Подменный курс

Уважаемый Михаил, не вводите в заблуждение читателей портала. Информация в вашей статье/табличке получилась однобокая, вырванная из контекста политики информационной безопасности каждого банка.

1. Банк Авангард действительно не использует привязку к ИД сим карты, но фактор аутентификации через СМС в Авангарде является дополнительным, основной фактор аутентификации КПК(карта переменных кодов). Аутентификация через СМС используется только как дополнительный фактор при переводе в ИБ сумм от 600 т.р. (тройная аутентификация КПК+СМС+ЭП(электронная подпись)

2. Промсвязьбанк на сегодняшний день как приоритетный фактор аутентификации предлагает клиентам КПК.

3. Не являюсь клиентом ВТБ24, но насколько знаю, КПК то же там в приоритете.

Уровень информационной безопасности надо рассматривать в комплексе с учетом многих факторов, в том числе например надежность аутентификации по телефону, а то бывает СМС с привязкой к ИД карты вроде бы все "хорошо", а подтверждение смены сим-карты по телефону совсем "дрявое", и привязка не спасает. Например, зная только паспортные данные можно сменить привязку сим карты.

Может кто из клиентов меня поправит и дополнит по ситуации в других банках из приведенной таблички.

ВТБ24 полностью переводит клиентов на смс-коды. Карты переменных кодов больше не выдаются. А когда-то ВТБ24 был одним из первых, если не первым, в их применении.

Очень жаль, что теперь доступ к своим деньгам идет через дополнительного посредника (мобильного оператора). За границей теперь нет доступа и при любых пробелмах оператора тоже. И безопасность смс-кодов намного ниже КПК.

Да, если уж доводить дело до конца, то в табличку нужно внести колонку про КПК с вариантами да/нет/возможна.
Так например в первом по списку СБ-банке КПК используется для авторизации (как физиков, так и юриков), и никаких СМС. А, например, в Московском Кредитном у меня ещё пока КПК (причём выдают новые без вопросов), а у жены уже - чистые СМС-ки, хотя интернет-банк один и тот же. Возможно если бы она настояла, ей тоже могли бы дать КПК, раз система их поддерживает.

Коды КПК не привязаны к конкретным реквизитам платежа. С учётом того, что стала распространена подмена реквизитов получателя и поддельное изображение в браузере (отображается тот платёж, который вы хотите отправить, а в банк реально уходит подделка, заверенная вашим кодом с КПК) - коды без привязки к реквизитам получателя ещё хуже, чем смс.

Цитата
Oksana

Все, что вы описали, зависит от осторожности самого пользователя, с таким же успехом клиенты, выкладывают всю критическую информацию злоумышленникам по телефону, на 100% защиты "от дурака" пока не придумали. Тут вопрос в другом, СМС значительно хуже КПК, поскольку, между Банком и Клиентом, встает посредник, от системы информационной безопасности которого зависит Банк и Клиент. Причем какой либо ответственности посредник не несет

Цитата
..Еще раз: безопасность системы определяется самым слабым звеном... Михаил Дьяков

Еще раз:

КПК или СМС, тогда ваша мантра работает (безопасность системы определяется самым слабым звеном)
КПК и СМС и ЭП (в идеале на съемном носителе по неизвлекаемой технологии), тогда уже ваша мантра не работает.

По поводу пользователей/клиентов отписал выше, вы сами признали что данный вопрос не обсуждаем.

Цитата
Речь об одной, давно всем известной дыре в безопасности, и о том, сколько банков прикрывают ее хоть как-то. Михаил Дьяков

Речь идет о том, что некоторые банки не считают СМС надежным каналом аутентификации клиента, и используют дополнительно другие методы(сумма факторов аутентификации). А из вашей таблички посетитель портала может сделать неправильные выводы об информационной безопасности представленных в ней банков.

Цитата
КПК и СМС и ЭП (в идеале на съемном носителе по неизвлекаемой технологии), тогда уже ваша мантра не работает.

Комбинирование и КПК и СМС и ЭП - редкий случай, и даже это не спасет, если компьютер заражен, и выполняется атака с подменой реквизитов платежа. Код с карты вы вводите сами, ЭП подписывает документ, поступивший с компьютера, и единственная возможность заметить подмену - несоответствие реквизитов в СМС-сообщении. Но SIM-карта перевыпущена, и СМС-код вводите уже не вы.

Цитата
Речь идет о том, что некоторые банки не считают СМС надежным каналом аутентификации клиента, и используют дополнительно другие методы(сумма факторов аутентификации).

Посыл в том, что СМС - это не дополнительная защита, а, скорее, дыра. Нужны иные средства для того, чтобы считать ДБО защищенным.

Странно короткий список.. и странный выбор банков...
Где банк Русский Стандарт, например, Хоум Кредит ?
Не опрашивали крупнейшие банки?
Зато есть Океан Банк ... сколько он карт выпустил?

Уважаемый Ибирь, привязался я по той простой причине, что автор статьи из анализа одного частного момента делает обобщение про "подавляющее большинство отечественных пользователей":

Цитата
Итоги нашего мини-исследования неутешительны: из 30 опрошенных банков 29 используют доставку кодов по СМС и лишь пять из них (помимо Сбербанка) имеют привязку к идентификатору сим-карты. Это значит, что подавляющее большинство отечественных пользователей дистанционного банковского обслуживания все так же не защищены от старой проверенной схемы мошенничества.

Которое ошибочно, поскольку у некоторых банков (из приведенной таблицы) может и не быть привязки по сим-карте, но при этом уровень безопасности ИБ (при прочих равных условиях) у них будет выше чем у банков реализующих такую привязку.

Цитата
Которое ошибочно, поскольку у некоторых банков (из приведенной таблицы) может и не быть привязки по сим-карте, но при этом уровень безопасности ИБ (при прочих равных условиях) у них будет выше чем у банков реализующих такую привязку.

При использовании только смс-кодов, пользователи, действительно, не защищены. А "подавляющее большинство отечественных пользователей" объясняется хотя бы тем, что в на смс-коды завязан ИБ Сбербанка. У других крупных банков, думаю, дела не лучше.

Цитата
А из-за таких шизофренических методов защиты, как у Альфы,я, например, оттуда ушел.

А почему от барсика не ушли? У него тоже есть привязка к сим-карте. Что касается "раскидывания телефонов", думаю, узнать ваш номер телефона злоумышленникам не проблема. Особенно, когда хороший куш на кону.

Наилучший способ идентификации клиента, как ни странно, был у невинно убиенного Мастер-Банка - с помощью одноразовых ключей, генерировавшихся мобильным приложением. Смена телефонного аппарата или сим-карты приводила к необходимости перестановки приложения с авторизацией с помощью КПК.