RSS

Средства защиты

19:40 19.03.2015

Что бы все операции контролировались на предмет регистрации устройств, с которых они выполняются, банкам теперь необходимо регистрировать все устройства, с которых клиенты банка планируют осуществлять удаленные операции. Банки будут обязаны блокировать отправку одноразовых паролей, если клиент изменит номер или SIM-карту (Указ ЦБ № 3361-У, меняет положение регулятора 382-П). Клиент, заявивший интернет обслуживание, дает банку согласие на определение параметров операций, осуществляемых через интернет и мобильный, куда относится и список устройств доступа к системам удаленного банковского обслуживания. То есть, перевод средств возможен только после идентификации средств связи клиента.

На сегодняшний день для банков в помощь МАС адрес (уникальный идентификатор модема каждого устройства). Для проверки доступа в Сеть, можно воспользоваться привычным IP адресом клиента, но при условии, что он не выходит из офиса в сеть, потому что, в корпоративной сети один и тот же IP для всех устройств. Иногда IP адрес для идентификации клиента не подойдет, если у пользователя нет постоянного IP адреса. С MAС адресами и числовыми конфигурациями оборудования нужно поработать, так как, их можно менять, сделав одинаковыми для нескольких пользователей, чем могут воспользоваться злоумышленники.

Итак, несколько промежуточных выводов, IP адрес подходит для работы с юр. лицами, чей выделенный публичный IP позволяет выход в интернет банк с любого компьютера. MAC адрес конкретного компьютера надежнее, но банкам нужно обновить системы интернет банкинга, что бы его получать автоматически с компьютера клиента. Нужна полная ясность с номерами IMEI, уникальные для каждого мобильного устройства, но иногда совпадающие в реальной жизни. Это связано с тем, что производители для более легкого обновления вводили один IMEI на всех устройствах, устанавливающих обновления. Сотовые телефоны снабжены идентификатором IMSI, жестко привязанным к SIM-карте и защищенным специальными протоколами регистрации SIM-карты, но их связь с конкретным IMSI в Сети нужно защитить от применения поддельной базовой станции (IMSI catcher). Все, что пока есть в арсенале банка по защите наших интернет операций, - это разовые пароли подтверждения переводов. Они надежны, так как уведомления с паролями, в отличии от СМС присылаются банком клиенту напрямую. Все мобильные устройства с подключенными push уведомлениями видны в браузере интернет-банка. Если клиент теряет телефон, точно так же как при потере карты, он оповещает об этом банк. Либо с любого устройства заходит в свой мобильный банк и удаляет устройство из списка, таким образом, мошенники не смогут получить пароли.

Исходя из комментариев ЦБ, пока предписано приостанавливать отправку клиенту служебных сообщений, если банк узнал о замене SIM-карты клиента, смене номера телефона, указанных в клиентском договоре. Такого механизма сообщения у операторов нет (кроме «МегаФона»), кроме того нет и закона, по которому операторы должны сотрудничать с банками.

izvestia.ru 

Если вы нашли ошибку: выделите текст и нажмите Ctrl+Enter

Сообщение об ошибке

Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
Неверно заполненное поле
*
CAPTCHA Обновить код
Play CAPTCHA Audio

Версия для печати