"Точка" в новости попала.

Это не защита совсем... все это подменяется школьником на домашнем компе за раз... так что тем кто хочет взять чужие деньги это вообще хлопот не доставит...

Почитайте положения по ДБО, типовые инструкции ФСБ - отдельный комп, включать только для сеанса отправки, лучше банк-клиент, чем интернет-клиент, опечатывайте системный блок. парольте вход в setup,
храните в сейфе, ведите журнал и т.д и т.п. И тогда ограбить тебя будет затруднительно, а когда у тебя свистнут бабки, всегда можно найти пункты, которые клиент не выполняет

Как бальзам на душу. Респект и уважуха.

Все верно: доверенная среда + свой канал связи

О как бы нет !? может я в широком смысле написал. Со всем Вашим упором и напором я так понимаю что Вы работаете в 24.ру ?

Если Вас что то не устраивает в моём описании то могу подробно в личку написать.

Что значит в широком смысле? :-) Какой упор, какой, напор? Вы заявили, что наличие логина, пароля и ЭЦП не позволит отправить платеж. Я спросила - почему. Вы ответили, что из-за того, что Крипто Про "привязывается к железу"Я спросила какие версии и какая связь. А Вы мне отвечаете, что я работаю в "точке"... Ну, как бы первоначальный-то вопрос все равно остается. Где бы я ни работала.

Вы сказали "ДБО видит MAC клиента" :-)
А это совсем не тоже самое, что "клиентская часть ДБО может сообщать серверной MAC компьютера"


В конкретной системе Банк-Клиент с "толстым" клиентом. В системах интернетбанкинга с тонким клиентом это, мягко говоря, проблематично.


Нет, не так. Я сказал (продолжая Вашу аналогию), что прикрывать сейф-дверь дополнительно картонной заслонкой не имеет смысла - пустая трата денег и лишние неудобство законному владельцу ;-)


Покажите, где лично я такое писал.
Если кто-то считает, что такая защита (завязка на MAC) эффективна - его право. Я же считал и считаю, что она бесполезна и даже вредна. Привязка к MAC (а еще лучше, к конкретному порту управляемого свитча) эффективна для провайдеров, но не для банков.


+1
Видимо человек видел одну единственную ДБО на базе КриптоПРО и экстраполирует ее особенности на все ДБО в принципе.
Но, кстати, когда я последний раз имел дело с КриптоПРО (а это было очень давно), оно действительно привязывалось к компу. Но не факт, что к железу, скорее всего к инсталляции windows, т.к. после полного (казалось бы) сноса CSP при попытке повторной установки оно говорило "так ведь тут стояло уже".

В общем, при существующей ситуации с троянами, единственной надежной схемой является использование сочетания аппаратного токена и подтверждения платежа по независимому каналу (SMS). При этом желательно самый "дубовый" телефон, а не новомодный смартфон, на которм троянцы также замечательно "прописываются" :-)

Ну звиняйте. Я плёхо говорьить по рюски :-D


У БСС эта проблема решена уже давненько. Насчет - БИФИТа - не знаю. Скорее всего, тоже.


Да-да-да. Помню такое. Это было на 1.х и на 2.0 встречалось. Эта ошибка возникала тогда, когда комп был в домене, и почему-то прав локального администратора не хватало, чтобы почистить реестр. Лечилось, как правило, загрузкой компа вне домена и удаления Крипто Про там. Ну, или в самых запущенных случаях - ручной чисткой реестра. Почему ставилось такое ограничение - сие тайна великая есть.

С выводом согласна. На данный момент самый безопасный способ. Если еще как альтернативу СМС добавить сеансовые ключи - согласна полностью. СМС для активно работающих предприятий не слишком подходят - они уже не 20-й подряд платежке взбесятся :-D И я их пойму.

В смысле - OTP?
Так кодик через SMS и есть частный случай OTP. Один из многих :-)
Но фича в том, чтобы в SMS (или любом другом, но альтернативном канале) приходили ключевые данные платежки - тогда описанная garik? атака не пройдет.

Ну, это на данный момент идеальный способ. Но для предприятий, у которых каждый день больше десятка платежей - неудобен. К сожалению. Остается уповать на грамотность одминов.

Неудобен до того момента, пока не украдут пару лимонов, после воровства, все становится удобным, мало того, попросят сделать еще неудобней и ввести дополнительный пароль.

после... как минимум меняют банк так то..

Банку то в чём сочуйствовать? В том, что он положил болт на клиента?

С высокой долей вероятности сэкономил на безопасности
Даже если она была: Нет ничего дороже дешевой безопасности (С)

Это конечно феерический отжиг журналюг :lol:

А как быть в случае с фишингом сниферами и кейлогерами? :-)

Что по вашему большая сумма? ;-) Питик на мобильный зашлёте не? :-)


У нас какой то интернет банк Вроде как СКБ - показывает MAC и IP последнего заходившего
Наверняка просто скрипт снимающий показания сетевой карты без передачи MAC как такового в банк
Что не мешает ему быть посланным таким образом отдельно поверх езернета через веб
При подписании договора просили указать - были посланы ибо устанут все Сначала я потом они

Для этого его надо знать для начала Любая мера ведь является только частью комплекса
Если бы у меня не встал - сосали у всей орды (С)

Кстати для блондинок С точки зрения клиента да и банка тоже
Даже если 101% виноват клиент - нет у него антивируса и всё такое
В сети очень крупных компаний может не пускать
если ваша ОС не соответствует заданным критериям безопасности
Например есть антивирус и всё остальное хорошо но в антивирусе устарели базы
Будет отпинывать до тех пор пока базы не будут обновлены

Почему бы банкам для начала и до начала принудительного ограничения
не делать скрипты которые информируют пользователя о проблемах?
Это конечно мечты о банках ориентированных на клиента
а не которые класть хотели на этого отдельно взятого клиента
Особенно когда это точка в свете событий троллинга их и серверной казны
Но ведь это технически давно реализовано и вопрос желания
Вопрос в том куда направить деньги - погреть задницы ТОПам на Мальдивах
или озадачить этих ТОПов заботами о клиенте и устранении потенциальных угроз
Клиент ведь всё равно побежит сначала в банк а потом в милицию и суд

А ведь решить проблему воровства можно легко, если отправлять платежи на следующий день , как это делают за рубежом. Чтобы была возможность заметить и отозвать. Как бы банк не старался, чего-бы не придумывал, ради безопасности клиента, все равно будут клиенты, которые хранят ключи и пароли на жестком диске, одновременно грузят порносайт и открывают Интернет-Клиент и т.д. и т.п. Но нет, у нас предметом гордости является скорость отправки платежей. Инбанк и другие заявляют, через 5 сек. платеж улетел. На счет физ.лица. Хорошо ли это? Может не надо торопиться? Все хорошо в меру.

что делать с теми у кого в ПК сидит троян? Если


так это ведь не физические деньги пересылаются а суть байты
разницы между 65К и 65 млн - несколько байт если не бит и их очередность
Так что если банк кладет на клиента - он и на завтра положит тоже самое на клиента

Я вот до сих пор ищу клиенториентированный банк - может подскажите? ;-)
ВСЕ мои знакомые итишники пишут что все банки одинаковы
Может стоит в борделе лядей поменять а не кровати переставлять по фен шую?

А разница какая? Кроме математической вероятности
Во первых флешки склонны непредсказуемо помирать
По закону подлости в самый "нужный" момент
Во вторых если она воткнута - без разницы откуда ее тырить - с диска C: или D:
В третьих - вопрос в абсолютном и относительном количестве таких клиентов
И как отрабатываются процедуры работы с клиентами

С точки зрения физика - IMHO хорошо Слишком много непредсказуемых ситуаций
Влиять на которые минимум 95% человечества не в состоянии
за исключением миллиардеров и президентов стран
с самолётом и возможностью заправки в воздухе в персональном распоряжении

Например - локаут в Домодедово Пополните карту, мобильный счёт удаленно на следующие сутки
Когда актуальность всего этого может быть уже давно нулевой если не отрицательной
За 6-8 часов можно долететь до Гоа из Москвы Это уже недалеко от экватора
За 4 - из Екатеринбурга до Греции
Самый большой трансатлантический перелет что то 12 или 14 часов
Т е это срок за который можно тупо финансы перевезти физически если это будет так нужно
Мир давно уже делится на лагери живущие совсем по разному ритму и темпу
Одни дауншифтят на Гоа или бегают по пляжам предлагая бусы
другие за день могут посетить несколько стран

это конечно перебор Оптимальным является несколько часа 2-4 где то так
Чтобы можно было успеть позвонить с учётом среднего расстояния и часовых поясов
Для юриков может и стоит вводить такое ограничение У них и средств больше
и на практике все равно большинство реально видят поступление на следующий день
Даже если деньги и перечислены - российская бюстгалтерия их не отображает в 1С

Гораздо удобнее будет выставить прогресс бар нужной скорости отправки
Плюс помещать платежки в папку исходящие
Откуда они уходят только по отдельной специальной команде

Хотите моментально -выставьте нужное значение подтвердив галочками и паролями
Параноик или много денег на счету? Выставьте сутки
Но это обсуждение сферического коня при современном состоянии местной банковской системы

Давно работаю в банках, занимался разными вещами, всегда сторонился ДБО, потому как, чтобы ты не делал, все равно, обязательно, будут недовольные клиенты. От обоснованных претензий до полного неадеквата, типа, у меня стоит ваш Клиент Банк, а комп не грузится, вы виноваты, приезжайте ко мне на ЖБИ и почините, буду жаловаться президенту банка. И чтобы ты не делал, лез вон из кожи, оценка твоей работы может быть , максимум, удовлетворительной, хорошей - никогда.
Но это так, ПЯ на тему ДБО.

У Volvo есть девиз - For Life ї В этом их отличие даже от лексуса
Лексус может быть высокотехнологичен - раздельный климат контроль и всё такое
Инженеры Volvo замечены в раздумиях над глубиной кнопок для длинных женских ногтей
и какая должна быть глубина отделения для перчаток

ЗЫ Недовольные могут пользоваться тазиками сбера или всякими педералами из калЪф
Многоуважемый Фролов в Северной Казне личным примером доказал
что есть не только имеет место быть как факт но и как именно оно это имеет
Видимость стакана наполовину пустым или полным - субъективная штука


За границей принято широко улыбаться кланяться и выписывать счёт за услуги
Когда клиент заплатит почасовую таксу 25$/ч за работу
по причине ложного вызова на основании заключения специалиста
и еще за легализацию своей говносборки от зверя от 90$ по курсу его мнение может резко измениться :-)

Ещё раз - спустя 4 года: появились ли достойные конкуренты в плане сервиса уровня Северной Казны?
У них минимум оценка хорошо :-)

[Сообщение удалено пользователем 23.03.2024 16:55]

сомневаюсь после того как Казна нас скоропостижно покинула а 24 выжили
по причине троллинга и ломанувшихся за борт хомячков в количестве не менее легиона леммингов
На месте Лапшина я б тоже не стал ценить таких "верных" клиентов больше :cen:

[Сообщение удалено пользователем 23.03.2024 16:55]

год какой? 2008?

http://forum.neyvabank.ru/index.php?topic=432.0
10 Октября 2011, 11:40:58 ?
Воз все еще там?
10 Октября 2011, 14:22:43 ?
Все идет в штатном режиме.
обломинго для физиков :-(

[Сообщение удалено пользователем 23.03.2024 16:55]

Ну так и IP надо знать, если на то пошло.
Утверждалось, что фильтрация по MAC делается для случаев, когда за одним IP находится много хостов (прокси, NAT) и чтобы "сосед по сети" не хулиганил.





Все классно, но отношения немного разные. Одно дело не пускать в корпоративную сеть "недозащищенные" компьютеры своих же сотрудников, и совсем другое дело не пускать к сервису клиентов.
Вы в магазине можете заставить продавцов надеть маски во время эпидемии гриппа, а попробуйте покупателей без масок в магазин не пустить :-)
Порвут :-)