«Исторически так сложилось»
Кто впервые сталкивался с мобильным телефоном, помимо звонков, узнавал о наличии коротких текстовых сообщений. И если изначально сообщения чаще использовались для обмена информацией без участия живого оператора (вспоминаем пейджер), то теперь они превратились в главный инструмент уведомлений и верификаций.
Мы провели тематический опрос в нашем телеграм-канале:
Результат: 87% используют SMS. Не всем очевидно, но ответ «Только для получения уведомлений» угрожает приватности ещё больше, чем SMS-переписка с кем-то, у кого нет мессенджеров. Поздравляя родственника с праздниками, вы задумываетесь, о чём пишете. Кто отправляют уведомления — нет.
Выборка скромная, но в больших цифрах разница окажется несущественной.
Угроза №1: Несанкционированные расходы
Регулярно появляются рассказы об автоматических подписках на платные сервисы. В прошлом месяце на Хабре говорили про Мегафон:
Год назад про МТС на Медузе:
Для понимания масштаба проблемы:
Угроза №2: Безопасность аккаунтов
Вы теряете SIM-карту, обращаетесь с паспортом в салон сотового оператора, сотрудник за минуту выдаёт новую карточку с вашим номером. Обычный сценарий? То же самое он может сделать и по собственной воле без вашего ведома, если выгода превысит последствия и вероятность наказания.
Но заметно более популярен перевыпуск SIM-карт по поддельной доверенности. Осознавая проблему, сотовые операторы предлагают защититься запретом действий от имени абонента по доверенности. Хотя могли бы решить проблему глобально, установив запрет по умолчанию.
Попав в чужие руки, ваш номер становится ключом к почте, мессенджерам, множеству платёжных инструментов. То есть везде, где используется восстановление доступа или верификация через SMS.
Относительно хорошая новость в том, что большинство современных банков умеет отслеживать факт смены SIM-карты, а значит — не впустят в интернет-банк, и не пришлют код подтверждения онлайн-платежа. По крайне мере до тех пор, пока вы не подтвердите смену карточки в отделении или по телефону. Но не забываем, что записи по «пакету Яровой» хранятся у оператора полгода, а там, среди прочего, есть и ваши ответы на «секретные вопросы».
Получить контроль над вашими SMS могут и силовые ведомства, о чем мы уже рассказывали ранее. Без перевыпуска SIM-карты и абсолютно незаметно для абонента.
Угроза 3: Приватность
Вот тут самое интересное.
Уведомления от компаний: онлайн-сервисы, рестораны, клубы, клиники, магазины, службы доставки, каршэринг. Многие подписывают свои сообщения, а значит можно сразу определить, какими сервисами пользуется клиент. Сколько личной информации содержится в таких сообщениях, можете представить сами.
Уведомления от банков. Из таких сообщений можно получить информацию:
• об остатках на счетах;
• о снятиях и пополнениях, в каких банкоматах;
• о вашем общем обороте за любой период;
• о вкладах: размере, сроке, выплаченных процентах;
• об одобренных кредитах, платежах по ним и задолженностях;
• о выпущенных картах, о части их цифр, а иногда часть или целый пин-код;
• о всех транзакциях пользователя, его покупках;
• об оплате счетов;
• о переводах другим людям, включая их имена и номера счетов.
И вот то, что сохраняет оператор, не защищено никакой «банковской тайной».
Собранная информация позволяет составить доскональный и персонализированный профиль клиента. Для аналитики не требуется много ресурсов: текстовая информация по шаблонам, ключевым словам и типе адресата легко обрабатывается алгоритмами.
Подобный профиль предоставляет практически безграничные возможности оператору и кому-либо еще, получившему несанкционированный доступ, включая утечку базы данных.
Про утечки информации на @dataleak
Откройте свои SMS и посмотрите, какой информацией вы делитесь с оператором в открытом виде.
Сколько хранятся архивы SMS? Согласно расследованию Mobile-Review — 3 года, по информации Максима Каца — как минимум 2 года.
Слезаем с иглы SMS — будет непросто
Финансовые операции
Переходим на использование Push-уведомлений вместо SMS.
Пример сценария от Альфа-Банка:
Аналогичная процедура доступна в большинстве других банков с мобильными приложениями.
Подтверждения входа в сервисах
Используем приложения верификации в смартфоне (Google Authenticator и аналоги), смарт-карты, токены или как минимум подтверждение по e-mail надёжного почтового сервиса.
Общение
Всех, с кем вы общаетесь через SMS, можно пересадить на безопасные или относительно безопасные мессенджеры зарубежного производства. Покажите им лично, что пользоваться мессенджерами не страшно и не больно.
Два более радикальных варианта
На обсуждение.
Использование зарубежной SIM-карты
Несколько сомнений в надежности этого варианта:
- Доступны ли эти SMS в открытом виде локальному оператору, который обслуживает в роуминге иностранный номер?
- Хранит и должен ли он хранить их по закону?
- Обязан ли предоставлять информацию о сообщениях на такие номера по запросу?
Если кто-то хочет рассказать о «внутренней кухне» этих вопросов, но не готов сделать это в публичных комментариях, можно анонимно написать в наш телеграм-бот с пометкой «для Хабра». По вашему разрешению мы добавим обезличенную информацию в статью.
Полный отказ от SMS
Пока сложно представить, как с этим жить. Но в нашем голосовании этот вариант набрал 13%…
Сможете ли вы полностью отказаться от SMS?
Комментарии (142)
JohnDoe_71Rus
12.05.2019 14:34+2Давно заметил тенденцию — перевести клиентов на push. Смс для банков и фирм настолько дороги?
Пуши и мессенджеры конечно замечательно. А прилетит ли пуш уведомление о движении по счету если телефон в данной точке даже 2g поймать не может?
Имея на устройстве клиента свое приложение для уведомлений, каждый стремится заставить клиента поставить приложение, сколько новой инфы о клиенте соберет приложение?
Popadanec
12.05.2019 15:50Да, вроде смс уведомления едва покрывает расходы. По крайней мере в некоторых ситуациях.
Я бы перешёл на пуш, но сбер за него просит те же деньги что и за смс, насколько я понял.
И плюс он менее удобен.
P.S. В приложении сбера ещё и позвонить в банк по wi-fi теперь можно.
Nexus7
12.05.2019 16:30Смс для банков и фирм настолько дороги?
Когда-то SMS стоило 50 копеек, было терпимо, потом стало 1.5 р. и больше, уже напряжно. Не в курсе текущих цен, зависит от оператора и агрегатора SMS, но наверняка ещё подняли, поэтому банкам очень хочется от них избавиться и насильно посадить всех на пуши во всех возможных случаях. Плюс ещё проверка изменения IMSI у клиента стоит денег, а её необходимо делать перед каждой отправкой SMS.
Но стоит понимать, что пуш-уведомления об операциях и изменении баланса безопаснее SMS, при грамотной реализации в пуше идёт только идентификатор извещения, а сам текст запрашивается с сервера банка по шифрованному каналу. А вот передача кодов подтверждения через пуши убивает всю двухфакторную аутентификацию, т.к. SMS хотя бы привязаны к конкретной железке — SIM-карте, а пуши идут в приложение, которое может быть установлено на любом устройстве. При утечке базы паролей клиентов вполне возможно украсть весь банк.JohnDoe_71Rus
12.05.2019 16:58+1Когда-то SMS стоило 50 копеек, было терпимо, потом стало 1.5 р. и больше, уже напряжно.
тут думается исключительно жадность оператора. Если раньше цена укладывалась в 50 коп, то что изменилось? Оборудование и инфраструктура развились и способны выполнять больше операций/запросов чем раньше. Логично предположить что затраты наоборот, должны снизится. Все давно настроено, налажено, оптимизировано. Почему вдруг стоит дороже?Nexus7
12.05.2019 17:17Все давно настроено, налажено, оптимизировано.
А потом приходит очередной 4,5,6G и всё меняется и перестраивается.
Почему вдруг стоит дороже?
По той же причине, почему у нас никогда не дешевеет бензин — монополии. Плюс бешеный принтер выпускает очередные законы, по которым отменяют мобильное рабство, роуминги и включают Яровую, операторы не будут экономить на себе, чтобы их выполнять, они просто поднимут тарифы. Да и рубль за последние пять лет подешевел в два раза, а практически всё телекоммуникационное железо стоит доллары или евро.
А банкам в этом случае деваться просто некуда — на них давит Центробанк со своими правилами оповещения клиентов. Прикиньте, сколько в среднем в месяц вам приходит оповещений, умножьте это число на количество клиентов среднего банка, и получите, сколько ИТ-отдел может сэкономить миллионов рублей в месяц при переходе на бесплатные пуши.JohnDoe_71Rus
13.05.2019 13:05А потом приходит очередной 4,5,6G и всё меняется и перестраивается
не меняется а дополняется. Старый давно работающий способ отправки смс никуда не исчезает, добавляется способ по каналам 4,5,6G. Работа по настройке и интеграции этого нового оборудования должна входить в затраты которые будут возмещены пользователями этих самых 4,5,6G через тарифы на услугу.
Так пришлось отцу положить на полку отлично работающий кнопочный телефон потому что ответ на USSD запрос баланса приходил в не читаемом виде. Надо было искать цифры среди странных символов. На латиницу ответ не переключался.
DaemonGloom
13.05.2019 07:57Тут помимо жадности был ещё мотив, что так спама станет гораздо меньше — ибо он станет невыгодным. И тогда количество рекламных сообщений действительно резко упало.
force
13.05.2019 13:19Тут есть несколько факторов. Первый, технический, не очень актуальный. Но SMS-ки идут бродкастами и у них есть фиксированная максимальная ёмкость на сеть. Т.е. оператор не может отправить больше определённого количества SMS, что бы он не делал (стандарт писался в то время, когда это не было проблемой, и как замена пейджера).
Второй — смсок отправляют мало, и можно или предложить пакет в комплект к дорогому тарифу, или жить по принципу: 10 старушек рубль. Это основное.
Третий: спам. Покупается симка, через неё отправляется куча дешёвых смсок. Вроде почти побороли, но ещё встречается.
denisshabr
13.05.2019 10:43Когда то смс в больших объёмах стоил 1 копейку. Всего 5-8 лет назад. Для малых объёмов поштучно — 10к. Когда стало 1.5р для всех без оптовых скидов — стало действительно фигово.
rexen
13.05.2019 12:37А прилетит ли пуш уведомление о движении по счету если телефон в данной точке даже 2g поймать не может?
Для гарантированной доставки пушей колхозим свойpush-2-smsПуш приходит по инету на комп/смарт, установленный дома, обрабатывается на нём и отсылается уже в виде кастомной СМС-ки уже на ваш мобильный номер
sumanai
13.05.2019 19:12push-2-sms
Объединяет недостатки обоих методов?rexen
13.05.2019 20:44Почему? Наоборот же. Я же написал — сообщение через канал СМС шифруется способом, известным только вам лично — канал утечки через опсосовцев или махинации с дубликатами СИМки закрывается. А надёжность доставки СМС остаётся.
sumanai
13.05.2019 20:55Шифрование в голове априори ненадёжно.
rexen
14.05.2019 08:31Так я про голову ничего не писал. У нас же смартфон — можно наваять СМС-парсер/(де)шифровальщик. Впрочем, при желании можно и в голове парсер иметь — я, например, пароли от всяких аккаунтов нигде не записываю, но они уникальные и достаточно сложные — просто своя собственная система придумывания паролей — пользуясь ей каждый день, забыть нереально.
andersong
13.05.2019 13:41Тиньков не так давно хотел меня перевести на пуши (вроде даже бесплатные, в отличие от СМС), но оказалось неудобно — раньше, если хочу по-быстрому глянуть остаток, открыл СМС и глянул, и интернет не нужен, а принятые пуши позже не откроешь).
AlxDr
13.05.2019 17:53Это уже недостаток КБ, скорее.
В обоих случаях действия абсолютно одинаковые: запускаем приложение, тыкаем в нём в нужное место и смотрим. Мне вот тоже непонятно, почему бы на такой случай в КБ не сделать какой-то кэш последних операций, чтобы «быстренько глянуть».Nexus7
13.05.2019 18:03Чтобы товарищ майор или жена «быстренько не глянули» без аутентификации.
AlxDr
13.05.2019 18:44Аутентификация по пин и так обычно есть. Проблема в обращении через Интернет, которого может не быть.
Почему бы с разрешения пользователя не кэшировать некоторую справочную информацию (последние транзакции, балансы выбранных карт), которая у большинства смертных и так лежит в смс вообще в открытом виде и показывать после ввода пина, пока проходит (или пытается, но не проходит) авторизация на сервере?
Подозреваю, что здесь забота не столько о пользователе, сколько нежелание столкнуться с претензией о предоставлении недостоверной информации — мол, я клиент ваш открыл, на счету показало сто тыщ, а на деле уже оставалось пятьдесят, обман!Nexus7
13.05.2019 19:12Аутентификация по пин и так обычно есть.
Аутентификация без сервера — это не аутентификация, а её имитация.
претензией о предоставлении недостоверной информации
Именно так. Клиент на кассе расплатился, SMS не пришло, смотрит в приложение — а там старая сумма на счету, ему от этого плохо, банк его обманул.
Nexus7
15.05.2019 11:55Вот и подтверждение от ФАС пришло, почему SMS для банков такие дорогие:
В сообщении ФАС указывается, что сотовые операторы заключали на разных условиях договоры с частными компаниями и организациями с государственным участием. Последние в результате могли платить в несколько раз меньше, причем разница доходила до 10 раз.
«Одним из примеров, в частности, является осуществление банками информационных, сервисных и транзакционных рассылок СМС-сообщений», — говорится в сообщении. За установление монопольно высоких цен на услугу рассылки СМС-сообщений операторы также признаны виновными.
Подробнее на РБК
qw1
12.05.2019 14:37не забываем, что записи по «пакету Яровой» хранятся у оператора полгода, а там, среди прочего, есть и ваши ответы на «секретные вопросы»
Прочитать только их нельзя, потому что трафик зашифрован стандартым SSL. Единственный способ — внедриться в канал заранее и при установке соединения в момент обмена ключами вместо рандомных ключей отправить свои ключи в обе стороны, при этом нужен сертификат сайта банка. Яровая пока только обеспечивает пассивное прослушивание, а значит, не получает доступ внутрь шифрованного канала.markus_saar Автор
12.05.2019 14:48В статье речь про общение с оператором банка по обычной телефонной линии. Во время звонка у вас спрашивают «ответ на секретный вопрос» и вы отвечаете голосом без какого-либо шифрования.
boingo-00
12.05.2019 15:04+1Переходим на использование Push-уведомлений вместо SMS.
Но я не хочу ставить себе тяжеленное приложение условного сбербанка, которое еще и с антивирусом в комплекте. Я в принципе не хочу без необходимости что-то ставить или заводить аккаунты где попало. Но почему-то куда ни зайди, особенно через браузер в телефоне, так сразу начинается требование поставить из гуглоплея (которого у меня нет) приложение и завести там аккаунт по номеру телефона. Зачем? Я две ссылки зашел посмотреть!Popadanec
12.05.2019 15:53Помогает переход в настройках хрома на «Версия для ПК», но на маленьком экране её не удобно использовать. Впрочем не так уж часто и нужно.
Blesna
12.05.2019 15:23Зарубежные симки! Только они! Их выпускают по имперской системе мер! И они никогда не попадут на вышку связи грязных Иванов!
erty
12.05.2019 16:36+1> Полностью отказался
> 13%
Эти люди не пользуются ни мобильными банками, ни телеграмами, ни воцапами, ни вконтактами, ни гмэйлами? Серьёзно? Почему я не верю.DrZlodberg
12.05.2019 17:30Зря. Я всем этим не пользуюсь, например. А вот смс-ками пользуюсь.
Уведомления от банка идут независимо от использования мобильного банка, да и сами смс как-то надёжнее, когда даже они доходят только если попрыгать некоторое время с телефоном в вытянутой руке. Такие места можно найти даже в москве, а уж в подмосковье их полно.
Кстати вру, гмыл аккаунт пока живой, и вполне пашет без телефона. Но не пользуюсь т.к. гмыл задолбал его блокировать после каждого входа с нового компа. Прикол ситуации в том, что компов всего два, но захожу я с них по-очереди с большими промежутками времени.
isden
12.05.2019 17:38+1> Полностью отказался
> опрос в нашем телеграм-канале
> телеграм
В телеге уже можно без смс? О_оS-trace
12.05.2019 19:19Там давно уже можно так.
Пока есть хоть одна живая сессия — код будет приходить туда, в другой инстанс мессенджера.
Evengard
12.05.2019 19:33+1А зарегистрироваться без смс (и вообще телефонного номера) там можно?
konchok
12.05.2019 21:35Используем сервисы типа sms-activate.ru, включаем в Телеге двухфакторную авторизацию. Далее см. выше.
imm
13.05.2019 10:50Используем сервисы типа
— кто даст гарантию, что на этот рандомный номер уже нет акка телеги?
— или гарантию, что через некоторое время другой желающий не отожмет (пусть и случайно) этот акк?
wlr398
12.05.2019 18:41+1Не очень понятно, что имели в виду отвечающие этим вариантом. Может быть только то, что они перестали кому-либо писать смс. Это действительно запросто.
kaman
12.05.2019 19:04Ну тот же гугл может вместо отправки смс позвонить на номер и продиктовать код роботом. Хоть и неясно, как это улучшит безопасность.
androidovshchik
12.05.2019 19:45Как вариант использовать чужой номер, не самый лучший, но как альтернатива
BCanary
12.05.2019 21:07-1facepalm… Написано же «пользуйтесь ли вы SMS», речи о мессенджерах в начали и не шло
irishmann
13.05.2019 09:07ВК, заметил, просит ввести некоторые цифры номера их робота, который звонит Вам на телефон.
kaman
12.05.2019 18:49+1Видится странным совет использовать пуши для приватности. Есть основания полагать, что гугл с эпплом не используют проходящие через них данные для аналитики?
Что действительно защитит — e-mail уведомления с ящиком на доверенном сервере, в идеале — своем.wlr398
12.05.2019 19:04Что действительно защитит — e-mail уведомления с ящиком на доверенном сервере, в идеале — своем.
В эпоху когда е-мейл это облачный сервис от Гугл, Майкрософт, Яндекс, Мейл.ру…
Да и вообще, использование в личных целях е-мейл давно идёт на спад.kaman
12.05.2019 19:13Ну мы же про приватность говорим, верно? Ожидать ее от облачных сервисов еще страннее.
wlr398
12.05.2019 19:32Так об этом и речь, что в массовом применении е-мейл не является решением приватности.
Ради единиц со своими почтовыми серверами или там пользователей tox, никто заморачиваться не будет.
D01
13.05.2019 14:46Защищенный пуш содержит только ID. Все. Нужно только чтобы программа проснулась (в принципе может и ID тут не нужен).
Остальное клиент получает напрямую в банке после авторизации)kaman
13.05.2019 15:35Если по уму делать – именно так. Если как быстрее – отсылается Notification message с заголовком и текстом уведомления прямо в теле, в этом случае сообщение даже не обрабатывается приложением.
ValdikSS
14.05.2019 04:06Что действительно защитит — e-mail уведомления с ящиком на доверенном сервере, в идеале — своем.
См. код для Альфа-Банка и Кукурузы
gist.github.com/ValdikSS/d39de7882a439a757c13dde9e8d8747e
Заходит в учётку, сверяет баланс, выдает сообщение, если баланс изменился. Можно ставить в крон, а крон настраивать на отправку уведомлений по почте.
AZaz1
12.05.2019 20:19-8прочитал статью и сложилось впечатление что ее писал либо шпион либо враг-вредитель который борется против нашей страны и ему все наши сервисы враждебны а вражеские — лучшие сервисы!
ужас, или человек застрял в пропаганде либерастов 90хkaman
12.05.2019 21:41Прочитал комментарий и сложилось впечатление, что это толстый троллинг.
«сотовые операторы» == «все наши сервисы»?
Whuthering
13.05.2019 08:43Вы вот хихикаете и называете это троллингом, а ведь реально в жизни попадаются люди, которые на самом деле так и думают…
sumanai
13.05.2019 19:17Мне иногда кажется, что на самом деле их нет, и все заявляющее подобное проплачены. Ну нельзя быть настолько неразумным!
xedas
12.05.2019 20:47Есть сервисы виртуальных телефонных номеров с возможностью принимать СМС. Несколько лет назад интересовался, но цены были совсем не гуманные.
Catrinblaidd
12.05.2019 21:08+1Получается, не доверяем мобильным операторам, но зато доверяем разработчикам мессенджеров. Спорный подход.
И ещё за кадром остались те, кто не пользуется смартфонами.Nexus7
12.05.2019 21:26Уже было достаточное количество известных случаев, когда сотрудники операторов помогали красть деньги, взламывать мессенджеры, а сами операторы постоянно находят новые способы честного отъёма денег у населения. Плюс Яровая обеспечила неограниченный доступ товарищам майорам к вашей информации, которая через них передаётся. Какое может быть к ним доверие?
У хороших мессенджеров есть открытый исходный код и описание протоколов, которые изучались широкой общественностью, к тому же никто не мешает вам сделать свой собственный мессенджер на их основе.
И ещё за кадром остались те, кто не пользуется смартфонами.
Ещё забыли тех, кто пользуется онлайн-сервисами через браузеры на компах. ;)Catrinblaidd
12.05.2019 22:07-1Сотрудники операторов подписывали кучу бумажек о неразглашении. И совершая нечто подобное они выходят из правового поля. Соответственно, их можно поймать, наказать, стребовать компенсацию через суд. Как уж это сработает на практике — другой вопрос, который я затрагивать не хочу. Но, как минимум, я могу на это надеяться. А условному «Дурову» — что я предъявлю?
Nexus7
12.05.2019 23:12Меня лично сотрудники МТС (или их близкие друзья) обокрали на несколько сот рублей, причём всё было сделано так, что никакой доказательной базы против них невозможно было бы собрать. Деньги вернули, но с тех пор номер МТС я использую только для входящих звонков за пару копеек в месяц.
После того, как обчистят все ваши банковские счета через поддельную симку вы будете продолжать верить, что в этой стране суды что-то решают? И после громких случаев со взломами мессенджеров оппозиционеров операторам стало как-то стыдно и они что-то кому-то компенсировали? Им глубоко на вас наплевать, у них миллионы абонентов, тысячей больше — тысячей меньше, они и не заметят. Репутационные риски их вообще не заботят.
Вполне реальный Дуров содержит за свои деньги сервис, которым не так страшно пользоваться, как российскими опсосами, которые все сидят под колпаками товарищей из трёхбуквенной конторы. В нём хотя бы есть кнопка «создать секретный чат» и имеется представление, как он работает. А в каких базах у МТС храняться мои SMS с балансом банковской карты? И сколько тысяч сотрудников имеет к ним прямой доступ? И сколько из них смогут перехватить SMS с кодом подтверждения операции, пока я сплю? Если на кону суммы с 6-7 нулями, то все эти бумажки о неразглашении — просто бумажки.Catrinblaidd
12.05.2019 23:19Деньги вернули
а это ключевое, я об этом и говорю.
Знаете, с последнего абзаца Вашего комментария я глубоко недоумеваю. Он совершенно логике не поддаётся. Очень странно, что Вы испытываете такое безграничное доверие к Дурову и к его сотрудникам.Nexus7
12.05.2019 23:50Деньги вернули
а это ключевое, я об этом и говорю.
Деньги вернули только после переписки с техподдержкой, где я изложил своё видение того, как они были украдены. Им гораздо проще сразу вернуть нескольким упёртым, оставив себе миллиарды рублей тех, кто ничего не заметил или не стал бодаться. Ещё раз повторюсь, схема была такая, что с моей стороны никаких доказательств невозможно было бы представить, атака была изнутри МТС и никаких бы логов они не показали, даже если бы началось реальное разбирательство.
Очень странно, что Вы испытываете такое безграничное доверие к Дурову и к его сотрудникам.
Где вы такое увидели? Все сколь-нибудь значимые переговоры с партнёрами и коллегами я веду только живьём. В телеграмме — приватная информация, в gmail — то, что можно показать другим, по телефону деловые переговоры по минимуму.
Телеграмм является хорошим примером, в котором никакие его сотрудники не имеют доступа к секретной переписке исходя из принципов его протокола, реализацию которого можно посмотреть в документации и исходниках, и даже при желании можно сделать свою. Дуров не может предоставить товарищам майорам ключи шифрования сообщений просто потому что у него их нет.
В конце концов уж если совсем прижмёт, то ещё есть Signal, Tox и ему подобные. Да и S-MIME и PGP никто ещё не отменял.
VolCh
12.05.2019 21:53Тут действует принцип "своя рубашка ближе к телу", но наоборот. Чем дальше ты от провайдера, чем меньшую долю его клиентов ты представляешь, тем меньше вероятность, что лично твой аккаунт станет объектом посягательств.
Catrinblaidd
12.05.2019 23:26Где-то на том конце любого сервиса есть люди, которые имеют доступ к моей информации. Выбор между кем-то неизвестным из-за океана и крупной компанией, которая заключила со мной договор и отвечает по закону РФ… Ну даже не знаю.
Nexus7
13.05.2019 00:00+1Вы между Gmail, ProtonMail и mail.ru какой сервис выбираете?
Вы реально верите в то, что в этой стране можно что-то добиться по закону? Здесь даже конституция не работает.
И какие у вас будут доказательства того, что злоумышленники с помощью сотрудников оператора связи перехватили SMS с кодами подтверждения и слили все деньги с ваших счетов? По логам банка будет что это вы сами всё перевели кому надо и подтвердили кодом из SMS, который по логам опсоса был отправлен на ваш телефон. И такие случаи были в реальной жизни.
Sabubu
13.05.2019 01:28+1Ну вот смотрите, есть такой малоизвестный местный политик Максим Кац, он, как вы советуете, заключил договор и доверил свои данные сотовому оператору. Оператор его переписку слил в СМИ, обращения во все инстанции ничего не дали.
Ну или другой случай: оператор МТС помог взломать Телеграм оппозиционеров. Ну-ка, попробуйте, привлеките их к ответственности.
Говоря об ответственности, возможно, вы можете показать примеры, где оператора бы удалось, например, заставить компенсировать украденные со счета деньги из-за соучастия в мошенничестве сотрудника? Или за незаконное предоставление информации правоохранительным органам без должных проверок и соблюдения юридических процедур? Я про такое не слышал.
Даже в статье есть пример про Ложкина, и он ни дня ни провел за решеткой в итоге. А кстати, на Западе, которому вы не доверяете, подали в суд на сотрудников, подделывавших сим-карты. Один пошел на сделку со следствием и получил 10 лет, другим при неудачном стечении обстоятельств может грозить до 20 лет (хотя имхо, 20 лет за ненасильственное преступление — это перебор, дайте им год-два, а на 20 лет сажайте тех, кто применяет насилие, но это же Америка, а там покушение на чужой доллар — серьезное преступление). А еще, в США засудили мотель, который незаконно сливал миграционной службе данные про гостей с латиноязычными фамилиями, из-за чего некоторые из них были пойманы и депортированы за незаконное нахождение на территории США. Были разбиты семьи, которые потеряли основного кормильца. Возмущенная общественность и избранный гражданами прокурор штата Вашингтон не смогли стерпеть такого обращения с людьми, возбудили дело, довели до суда. Суд обязал сеть мотелей выплатить компенсации всем, чьи данные были слиты, в итоге вышла внушительная сумма. Обратите внимание, что несчастные были депортированы законно, но информация о них — получена незаконно. Трудно представить такой процесс у нас.
Для сравнения, случаев, чтобы Телеграм или Гугл что-то слил в СМИ, пока не было. Конечно, утверждать, что они не передают данные спецслужбам, мы не можем, но пока ни одного дела на основе слитых данных не было.
Попробуйте вместо слепой веры поразмышлять логически, а также проанализировать происходившие ранее ситуации, и вы поймете, что "находится в юрисдикции РФ" — это не плюс, а минус. Это значит, что такие сервисы работают не по "закону", а по окрику местного феодала, а на ваши права им плевать с высокой колокольни вместе с российской судебной системой и центризбиркомом. На Западе с судами чуть получше, чем у нас, плюс, даже если условный Гугл что-то сольет в условный ФБР, то ФБР не сможет прийти к вам с утра выпиливать дверь.
kaman
13.05.2019 09:28+1Вы считаете, что условный Гугл не предоставит данные другой трехбуквенной организации? Ну, если хорошо попросить и напомнить про пример с Китаем.
Sabubu
13.05.2019 12:30+2Ну вот сеть мотелей "хорошо попросили" и теперь они по суду платят более 2 млн долларов, которые им, скорее всего, миграционная служба не компенсирует. Потому на Гугл рассуждения о Китае без ордера от суда США, скорее всего, впечатления не произведут. Если вы намекаете, что Гугл попросят российские органы — то тут точно нет. Посмотрите, какой шум в США поднялся после того, как российская фабрика троллей закупила рекламу в фейсбуке. Вплоть до расследования конгресса. Там четко проведена черта: сотрудничество с российской властью вам дорого обойдется.
kaman
13.05.2019 13:23Если это сотрудничество затрагивает интересы США, как в примере с фабрикой троллей, то да. А если вопрос будет стоять "не хотите ли выдать данные на оппозиционера Васю, чтобы мы вам не делали китайский вариант?" — неоднозначно.
VolCh
13.05.2019 16:58+2Так в том-то и дело, что, с одной стороны, "другая" организация заинтересуется мною с гораздо меньшей вероятностью, чем "эта". А последствия у "этой" могут быть гораздо заметней. Простое управление рисками — предпочитаем варианты с меньшими последствиями и меньшей вероятностью. Тут даже выбирать особо не из чего, на компромиссы идти не надо между, например, вероятностью и последствиями.
Catrinblaidd
13.05.2019 16:44Нет у меня причин опасаться российских спецслужб. Может, у Вас есть, не знаю.
Зато могу назвать пару веских причин опасаться иностранных. Одна причина — войска и ракеты НАТО, вон там, под боком. Другая — информационная волна на тему того, как ужасно у нас притесняют и не защищают права. Ну и кому же выгоден раскол между Риками и Морти?Whuthering
13.05.2019 17:21+1Нет у меня причин опасаться
Просто имейте в виду, что наличие или отсутствие этих самых причин в некоторых случаях от вас лично не зависит ну вообще никак.
Одна причина — войска и ракеты НАТО, вон там, под боком.
и какое это имеет отношение к теме обсуждаемого вопроса?)
информационная волна на тему того, как ужасно у нас притесняют и не защищают права.
а здесь что не так-то? скажите еще, что это злые враги сплошь обо всем этом клевещут, а на самом деле у нас все прекрасно-распрекрасно.
Ну и аналогично, даже если так, и что с того? Как оно влияет на интерес лично к вам со стороны кого-то там оттуда?Catrinblaidd
13.05.2019 17:29-4скажите еще, что это злые враги сплошь обо всем этом клевещут, а на самом деле у нас все прекрасно-распрекрасно.
Нет, у нас не всё прекрасно. Давайте преувеличим все косяки до предела и будем вопить об этом как можно громче на всех углах, чтобы гуманнейшие наши западные друзья воспользовались этим как поводом устроить нам полнейшую, блин, демократию. Лучше будет, да?
и что?
Вот тогда и поймёте, что. Но будет поздно.Whuthering
13.05.2019 17:40«Устраивать демократию» стране обладающей ядерным оружием никто в здравом уме не будет. Но вот если в противовес «вопить» все будут тихонько «молчать», то все будет гораздо хуже «демократии», которой вы так пугаете.
Ну и не надо переводить тему. Вопрос-то был изначально, как эти два озвученных вами в прошлом комментарии пункта объясняют мотивацию «иностранных спецслужб» выслежить и делать гадость лично вам?Catrinblaidd
13.05.2019 17:45А я Вам ответила. Прямо по теме.
Whuthering
13.05.2019 17:50Не вижу. Процитируйте, пожалуйста, прямо, свой ответ вот на этот вопрос:
как эти два озвученных вами… пункта объясняют мотивацию «иностранных спецслужб» выслежить и делать гадость лично вам?
Catrinblaidd
13.05.2019 18:05-1Да вот они мне уже делают гадость. А Вы, наверное, уже оттуда пишете, раз Вас не касаются беспорядки, раскол в обществе, призрак нависшей войны — то ли холодной, то ли горячей, то ли гражданской. А меня вот как-то напрягает. А что касается «выслеживать» — лично меня никто не будет, да. А так вот пачкой возьмут данные, купят. Откуда я знаю, условно, что именно они там через мой смартфон высмотрят? Почему Ваша паранойя распространяется только на Россию?
Whuthering
13.05.2019 18:14+2А Вы, наверное, уже оттуда пишете, раз Вас не касаются беспорядки, раскол в обществе, призрак нависшей войны — то ли холодной, то ли горячей, то ли гражданской.
Как раз-таки меня они и касаются в первую очередь. Просто с вашей стороны весьма странно искать причины всего вышеперечисленного исключительно в действиях «иностранных агентов», но при этом не анализируя то что происходит прямо под носом.
Почему Ваша паранойя распространяется только на Россию?
Потому что для того, чтобы «те» мне смогли сделать что-нибудь, если вдруг захотят, мне нужно лично оказаться на «их» территории.
А вот «свои» — они тут, они рядом, на соседней улице. Они знают обо мне и о всех моих близких гораздо больше. В их власти ограничить мне свободу перемещения, и тогда от них будет вообще никак не скрыться. И мотивов сделать мне плохо у них может быть весьма немало, от политических и коррупционных до банального «просто попал под руку когда нужно улучшать статистику».Catrinblaidd
13.05.2019 18:48-1весьма глупо искать причины всего вышеперечисленного в действиях «иностранных агентов», но при этом не видеть то что происходит прямо под носом.
Я вижу и внутренние проблемы, и внешних врагов. И в таких условиях «раскачивать лодку» мне кажется неразумным.Whuthering
13.05.2019 19:06+2… и остается немой вопрос: а что если «опасность внешних врагов» намеренно преувеличивается и пропагандируется именно для того, чтобы граждане «не раскачивали»?
Особенно учитывая тот занимательный факт, что многие люди из высших эшелонов власти имеют недвижимость и детей/жен на ПМЖ за бугром, хотя, казалось бы, им-то в первую очередь стоило бы обезопасить себя и своих близких от «внешних угроз».
Nexus7
13.05.2019 19:19Нет никаких внешних врагов. Вы живёте в слаборазвитой банановой республике с хунтой, захватившей власть. И всему остальному миру до этой страны нет никакого дела, пока какой-нибудь сказочный не надавит на красную кнопку или не начнёт оттяпывать огороды у соседей.
Раскачивание лодки — это один из способов снять с большой массы людей шоры, которые постоянно натягиваются на них телевизором и прочими медиа. Ледник уже трещит, посмотрим, что будет в сентябре на выборах, сможет ли трещина поползти дальше?
Nexus7
13.05.2019 18:19+3Холодная война СССР с США закончилась в декабре 1991-го, когда СССР окончательно умер. Гражданские войны на его бывшей территории не утихают с 1989-го и до сих пор продолжается его распад благодаря сказочным персонажам.
Чтобы никто ничего не высмотрел через ваш смартфон — не включайте его. Потому что любые данные могут быть использованы против вас и вы даже не догадываетесь как и какие именно. Сегодня вам хорошо, а завтра — 282 статья за лайк или репост. Это не паранойя, это суровая реальность, в которой местное государство гораздо хуже заокеанских корпораций добра.
Sabubu
13.05.2019 19:36+2Лучше всего использовать мессенджеры с сквозным шифрованием, вроде Tox или XMPP, но если это не вариант, то конечно, лучше использовать западный продукт. Что касается НАТО — непонятно, какая мне от них угроза. В то время как российские спецслужбы могут прийти ко мне в любой момент и подвергнуть пыткам (ФСБ пытало задержанных с помощью электрошокера, также, были новости про пытки шуруповертом). Может, вам ракеты НАТО кажутся страшнее, но это только пока вы не увидите электрошокер.
Что касается якобы "информационной войны".
Раскол у нас действительно есть — между феодалами у власти и не желающими жить по их "понятиям" гражданам, а желающими соблюдения закона и сменяемости власти. Чему феодалы пытаются помешать:
- партии, оппозиционные власти, регистрировать не дают
- митинги против власти не согласовывают, а даже если согласуют, то срывают и разгоняют росгвардией. Задержанных сажают с нарушением закона, протоколы часто написаны под копирку, судьи отказываются просматривать видеозаписи, так как "нет оснований не верить сотруднику полиции".
- тех, кто попался 3 раза за участие в несогласованных митингах, могут осудить по уголовной "статье Дадина". Да, просто за то, что человек стоял с плакатом, закон позволяет отправить его в колонию.
- к выборам не допускают, а если и допустят, то снимают под надуманными предлогами вроде несоответствия данных в ошибочно составленной "справке ФМС"
- результаты выборов фальсифицируют (последний раз: в Приморье)
- готовят непроверяемое электронное "голосование" в Москве
- вводят цензуру в Интернете, блокируют сайты по политическим мотивам
- вводят законы об оскорблении власти и преследуют людей за фото с надписью на здании "Путин — #####" или пост в соцсети "Путин — сказочный #######". Забыв про принцип свободы слова.
- вводят цензуру в соцсети Вконтакте, публикуя рекламу за власть и отказываясь публиковать оппозиционную рекламу
- готовят возможность отключения заграничных сайтов
Вы тут делаете вид, как будто у нас проблемы из серии "дырка в асфальте на дороге не заделана", а по факту у нас проблема вида "обнаглевшие жулики хотят удержать власть любой ценой, давно забыв про законы". А нарушить тайну переписки или по ошибке заблокировать нужный вам сайт — это вообще ерунда для них. Ну и естественно, всеми нововведениями вроде закона Яровой рано или поздно будут пользоваться и мошенники, которые с удовольствием покопаются в архиве СМС и звонков.
VolCh
13.05.2019 16:59+3А я точно знаю: неизвестный из океана для меня предпочтительный контрагент.
Catrinblaidd
13.05.2019 17:13-2И они Вам даже не заплатят за это. А ведь Вы умный человек. Похоже, всё-таки что-то странное распыляют над нами :)
Whuthering
13.05.2019 17:22+1А что странное то, и почему за это должны платить? Человек сверху просто использует здравый смысл и логическое мышление, и поступает как разумнее в данном случае.
VolCh
13.05.2019 19:12+1Я пользуюсь западными мессенджерами, почтами и т. п. для удовлетворения своих потребностей, в принципе я и платить за это готов, но они предоставляют бесплатно свои услуги. Угрозу для себя лично (госбезопасность — отдельный разговор) своим свободам, собственности, жизни и здоровью от них или от западных же спецслужб в результате этого использования я оцениваю как стремящуюся к нулю. А вот от родных — явно выше нулевой и с каждым годом, с каждым новым законом или указом каким она растёт даже в сфере "законных действий".
Stan_1
12.05.2019 22:26Получается так. Я действительно не доверяю мобильным операторам (там много человеческого фактора + специфика России (СОРМ)), но доверяю месседжерам по критерию: а) все автоматизировано, человек имеет меньше доступов, б) находятся не в Российской локации.
VolCh
12.05.2019 21:59Меня вполне устраивает ситуация, когда смс — это фоллбэк для Viber для кодов подтверждения и т.п. Пару раз точно спасло. В целом же проблема нерешаема, по-моему. Конфликт вечный между безопасностью и удобством.
Nexus7
12.05.2019 23:19Если говорить про двухфакторную аутентификацию в через SMS, то она уже давно depricated, потому что ненадёжная. Пока же лучше аппаратных криптотокенов или OTP-генераторов ещё ничего доступного нет, но банкам это очень не выгодно. Для юридических лиц они ещё могут предоставить токены для банк-клиентов, а раздать/продать их всем розничным клиентам — реально непосильная задача, потому что клиенты в основном не понимают необходимости дополнительной защиты своих счетов, их убедили, что SMS и пушей достаточно, и если что, банк деньги вернёт. Но это только кажется.
VolCh
13.05.2019 17:02Пока же лучше аппаратных криптотокенов или OTP-генераторов ещё ничего доступного нет
Лучше по какому критерию? Безопасность для меня не решающий фактор, я ищу компромисс между удобством и безопасностью.
Nexus7
13.05.2019 17:34+1По совокупности безопасности и удобству использования. Трудно взламываемые железки с простым интерфейсом. Если вам лень вводить несколько цифр с экрана OTP-генератора, или периодически заряжать BlueTooth криптотокен, но не страшно за свои деньги, то можно оставаться жить с SMS.
Банки сейчас прикрываются стратегией Неуловимого Джо, просто ещё не было известных случаев крупномасштабных ограблений банков, в основном злоумышленники работают по-малому, потому что обналичка или отмыв больших сумм денег — довольно трудоёмкий и опасный процесс. Если в каком-то банке до сих пор пароли хранятся в открытом виде в одной базе, то при утечке этой базы и наличии подельников в одном из операторов большой четвёрки можно увести почти весь банк через API онлайн-банка или мобильного приложения. Там реально миллиарды рублей сотен тысяч клиентов. Конечно, может сработать антифрод-защита и подозрительные операции заблокируются, но приятного для банка и клиентов будет мало.VolCh
13.05.2019 19:16Мне не вводить лень, мне очень неудобно их таскать с собой, с одной стороны, а, главное, очень будет неудобно, если потеряю или каким-то образом сотру или заблокирую (был неприятный опыт с ОТП Google Authenticator, когда безобидное вроде сканирование QR-кода привело у удалению предідущей привязки). С криптотокенами ещё проблемы есть, типа слабая их поддержка как железом, так и софтом.
Nexus7
13.05.2019 19:28Есть OTP-генераторы в формате банковских карт, места практически не занимают. Деньги же вы в чём-то носите?
будет неудобно, если потеряю
Проблема восстановления доступа, особенно удалённо — это основная причина того, что их практически не внедряют после того, как все подсели на простые и относительно дешёвые для первого входа SMS.
С криптотокенами ещё проблемы есть, типа слабая их поддержка как железом, так и софтом.
Потому что на них малый спрос, который возникает из этих неудобств, получается замкнутый круг. Делали бы их в виде какой-нибудь Тройки, которая читается через NFC, стоит копейки и выдаётся банком на халяву — многие бы ими пользовались.
erty
13.05.2019 01:20Всю историю имэйл регистрировали без всяких смс. И Ничуть это не уменьшало его безопасность. Наоборот. Никакой мобильный оператор или силовик не мог взломать мой ящик без паяльника. Сейчас же просто отправляется смс от моего имени и готово.
Всем же известна история со взломом по смс мессенджера того, чью фамилию боится называть Пж.
andrewGaara
13.05.2019 09:07А этим можно пользоваться людям, у которых нет интернета на смарте? Или они будут оплачивать инет людям?
Mentor_Valinor
13.05.2019 09:28я бы ещё и скрамблеры бы поставил. Зашифровать всё что можно зашифровать. Пусть хранят шум, а то слишком много личной информации у них. Вот только терорюг это не помогает ловить, даже просто мошенников не ловят, а вот средство контроля за населением просто колоссальное!
alprk
13.05.2019 10:38Печально что банки не позволяют вместо смс использовать например Google Autheticator.
kaman
13.05.2019 11:00+1РСХБ хвастались генератором OTP (т.н. «криптокалькулятор») прямо в мобильном приложении.
+ в некоторых банках выдают скретч-карту или распечатку списка OTP вместо смс-кодов. Не самое удобное решение, но всяко безопаснее.
valery1707
13.05.2019 14:54Распечатка с ограниченным набором одноразовых паролей была хорошей идей в 90-х.
Сейчас, когда я за день (например, при оплате комуналки) могу получить больше десяка OTP-кодов, скретч-карты с распечатками будут смотреть очень странно.
Для получения новых OTP-кодов, в данном случае, нужно идти в отделение и стоять в очереди, да даже в самом лучшем случае — в банкомат.
Но сейчас это явно не самый удобный подход.
Зачем калькулятор в приложении (в которое ещё войти нужно) если есть standalone приложения с этим функционалом. Проверенные временем.
lotse8
13.05.2019 11:55Вот вариант Deutschebank — приложение привязывается к конкретному устройству, потом при оплате смартфон сканирует мелькающие точки и выдает цифровой код для транзакции.
Видео
Наши могли бы нечто подобное сделать.Nexus7
13.05.2019 13:28Это ещё одна попытка сделать из смартфона криптотокен для работы с онлайн-сервисами банка. Точно так же можно сканировать QR-коды, вводить в приложении цифры с экрана, получать пуши. Но невозможно на 100% доказать, что это то самое устройство, которое регистрировалось в системе, а не приложение, запущенное в эмуляторе. Вся стойкость этих приложений сводится к трудности получения данных, которые они хранят на устройстве.
lotse8
13.05.2019 17:22В данном случае привязывается именно к конкретному устройству. Если устройство банком не привязано, то приложение работать не будет. Можно одновременно привязать смартфон, планшет, десктоп, ноутбук. При замене устройства его надо обязательно снова привязывать. Одновременная привязка на несколько устройств позволяет при краже смартфона, например, использовать планшет. Можно зайти в банк и отключить украденное устройство, после этого оно не сможет генерировать коды для транзакций.
Смотрите внимательно видео, там привязка устройства показана.Nexus7
13.05.2019 17:51Расскажите, пожалуйста, как конкретно осуществляется «привязка устройства»? Я вот сколько по этой теме не разбирался, не нашёл ни одного 100% безопасного способа доказательства, что это именно то устройство, с которого осуществлялась «привязка».
Предположим, приложение с сервером банка по какому-то протоколу обмениваются какими-то данными, подтверждающими, что приложение знает какой-то секретный код или ключ. Что мешает хакеру Васе узнать этот код? В iOS хотя бы давно была сделана аппаратная поддержка криптохранилищ, в Android, помниться, что-то вменяемое появилось с 6 версии, но не на всех устройствах оно есть физически. А где вы будете хранить секретики в Windows, если вы все приложения запускаете под одними правами доступа?
И самый коварный вопрос: как доказать, что первый раз привязку устройства делает валидный клиент, а не хакер Вася? Вот пришёл новый клиент в банк, ему выдали карту, какие-то бумажки, дома он начинает регистрацию и обнаруживает, что она уже была осуществлена, а вся его зарплата пропала, как от этого защищаться? Отсюда же идёт следствие проблемы — как доказать, что новое устройство принадлежит валидному клиенту, который утопил свой iPhone на Сейшелах и не может прям сейчас прийти в отделение банка, потому что ему до самолёта ещё две недели, денег на карте не осталось, а с резервного счёта перевести не может, потому что iPhone подруги не был зарегистрирован в банке.lotse8
13.05.2019 18:21Расскажите, пожалуйста, как конкретно осуществляется «привязка устройства»?
1) Скачивается и устанавливается приложение на смартфон или планшет. Обращаю внимание, что это не приложение банка, а приложение ТОЛЬКО для генерации кодов.
2) На компьютере в Online-Banking нужно в разделе безопасности активировать этот способ.
3) Банк присылает на домашний адрес письмо с картинкой.
4) Зайти на компьютере в Online-Banking и стартовать процесс активации устройства. С помощью приложения на смартфоне считать код с картинки в письме и ввести его в Online-Banking. Назвать устройство произвольно, но чтобы самому понятно было что это.
И таким образом привязать смартфон и планшет. Для каждого устройства свой код привязки.
Предположим, приложение с сервером банка по какому-то протоколу обмениваются какими-то данными, подтверждающими, что приложение знает какой-то секретный код или ключ. Что мешает хакеру Васе узнать этот код?
Приложение НЕ обменивается с банком по протоколу. При проведении транзакции в Online-Banking банк генерирует картинку, с помощью смартфона эта картинка сканируется с монитора и приложение на смартфоне выдает цифровой код. Код вводится на компьютере в поле для подтверждения транзакции.
И самый коварный вопрос: как доказать, что первый раз привязку устройства делает валидный клиент, а не хакер Вася?
Только у Вас данные для доступа в Online-Bank (логин и пароль), письмо содержит только картинку и ничего больше. Чтобы зарегистрировать устройство, нужно иметь в руках и то, и другое. Получить «Васе» это все сразу маловероятно.
как доказать, что новое устройство принадлежит валидному клиенту, который утопил свой iPhone на Сейшелах и не может прям сейчас прийти в отделение банка, потому что ему до самолёта ещё две недели, денег на карте не осталось, а с резервного счёта перевести не может, потому что iPhone подруги не был зарегистрирован в банке.
Спасение утопающих — дело рук самих утопающих. Банк выдает инструкцию по безопасности. Если клиент не хочет заботиться о собственной безопасности и делать что ему рекомендуют, то это уже проблемы клиента.
Таким же образом у клиента могут украсть сумку со всеми кредитными картами, айфонами-смартфонами и паспорт вместе с водительским удостоверением. Банк не может ничем помочь в таких случаях, кроме как заблокировать карты и счета по звонку — и для таких случаев банк выдает ламинированную визитку с телефонами и рекомендует держать ее отдельно от документов и кошельков.Nexus7
13.05.2019 18:35И таким образом привязать смартфон и планшет. Для каждого устройства свой код привязки.
Вы описали процедуру со стороны клиента банка, но так и не ответили на мой вопрос: как осуществляется «привязка к устройству»? Какой используется протокол, какие криптосхемы, где и как хранится секрет на устройстве?
Приложение НЕ обменивается с банком по протоколу.
Да ну? Передача кода через бумажную почту в виде картинки ничем не отличается от передачи того же кода по HTTPS, только менее безопасно, т.к. может быть перехвачено в большом количестве мест.
Получить «Васе» это все сразу маловероятно.
Картинка в простом бумажном конверте, логин-пароль — через кейлоггер/перехват трафика/слив базы паролей, вероятность сильно отлична от нуля.
Спасение утопающих — дело рук самих утопающих.
Вот поэтому банкам сильно наплевать на безопасность клиентов, которые всегда сами виноваты. Главное — минимизировать операционные затраты на обслуживание клиентов.lotse8
13.05.2019 20:20Ваш вопрос
Расскажите, пожалуйста, как конкретно осуществляется «привязка устройства»?
Я Вам и рассказал со стороны клиента. Если Вас интересуют технические подробности, то Вам надо не сюда, а к разработчикам этой системы. И в любом случае они Вам эту информацию не выдадут. Понятно почему.
Картинка в простом бумажном конверте
Почему Вы о банках так плохо думаете? Вы что, никогда PIN код для кредитной карты в бумажном конверте не получали?
И таки да, банки не могут сделать 100% защиту «от дурака» и предвидеть все ситуации. Все рассчитано на обычных людей. И по закону нормального распределения, количество «особо одаренных», способных потерять все всегда и везде порядка 2%. Да поможет им Бог.Nexus7
13.05.2019 21:21Если Вас интересуют технические подробности, то Вам надо не сюда, а к разработчикам этой системы.
Я догадываюсь о технических подробностях, потому что изучал подобные системы и разрабатывал близкие. Ещё раз повторюсь: превращать смартфон в криптотокен — это лучше, чем коды через SMS, но не так надёжно, как настоящий железный криптотокен.
Почему Вы о банках так плохо думаете?
Потому что я изнутри знаю, как там устроены многие вещи. Они до сих пор могут хранить пароли клиентов в открытом виде и их это особо не заботит.
В боле-менее продвинутых банках PIN-конверты давно уже не используются, а PIN-код карты задаётся клиентом самостоятельно при активации карты в банкомате или через мобильное приложение. TLS гораздо надёжнее бумаги.lotse8
14.05.2019 10:54Ещё раз повторюсь: превращать смартфон в криптотокен — это лучше, чем коды через SMS, но не так надёжно, как настоящий железный криптотокен.
Там много способов на выбор. В том же видео, ссылку на которое я дал в первом посте, показан настоящий железный криптотокен, специально для банка сделанный, и любой клиент может его заказать при желании и пользоваться им, а не смартфоном. Также есть вариант получить таблицу кодов, тогда при проведении транзакции будет запрашивать типа «введите код № ххх».Nexus7
14.05.2019 12:24Там много способов на выбор.
Ключевое слово — там. В этой стране при хорошо развитых банковских онлайн-сервисах сами банки не хотят развивать системы аутентификации. Раньше одноразовые коды выдавали на распечатках в банкоматах, потом на скретч-картах, только коды на них быстро заканчиваются. А когда повально все сделали подтверждение операций через коды в SMS, то про скретч-карты тихо стали забывать. А ещё «для удобства пользователей» дошли до 4-х знаковых кодов и подтверждение только входа в систему без подтверждения каждой операции.
Вот я хочу иметь OTP-генератор для безопасных банковских транзакций, какой нормальный банк в этой стране его может дать забесплатно? В некоторых баках пыжились их внедрять за немаленькие деньги, но широкого распространения они не получили.stanislavkulikov
15.05.2019 12:44Всё это делается не просто так. Во всех банках службы безопасности определяют самые вероятные вектора атаки и предпринимают действия по их устранению. И самая уязвимая часть всей системы — это люди. Понимаете, никому не нужно взламывать шифрование, обманывать сложную аутентификацию и т.п. если можно просто у пользователя спросить его логин/пароль/секретный ключ. И большинство пользователей вам их расскажут. И банки пытаются сделать самые простые и понятные механизмы защиты для пользователей, что бы те понимали эти механизмы и пользовались ими. И поэтому вам не нужны никакие OTP-генераторы и т.п. сложные схемы подтверждения, потому что если вы об этом задумываетесь, вас и так сложно взломать и это просто никто не будет делать. Потому что злоумышленники могут получить деньги гораздо более простым способом, чем возиться с вашей защитой.
Nexus7
15.05.2019 14:12Во всех банках службы безопасности определяют самые вероятные вектора атаки и предпринимают действия по их устранению.
Не стоит заявлять так категорично. В основном службы безопасности в банках занимаются бумажной безопасностью, защищая банк от нападок регулятора, надзирателей и прочих PCI DSS-требователей. Безопасники могут даже не догадываться что на самом деле начудили программисты и какие реально алгоритмы-протоколы они используют для защиты своих систем и что они до сих пор хранят пароли клиентов в открытом виде в общедоступной базе данных.
И банки пытаются сделать самые простые и понятные механизмы защиты для пользователей
Банки делают самые дешёвые механизмы защиты, чтобы проходить по требованиям регулятора и PCI DSS. Если новая защита будет стоить дороже издержек на юристов и урегулирование конфликтов с клиентами, то её просто не будут делать и внедрять, что и происходит в действительности. Это обычная бизнес-практика — не тратить слишком много денег там, где их можно не тратить. Промыть мозги клиентам в стиле «у нас самый защищённый онлайн-сервис» гораздо дешевле, чем закупать дополнительное оборудование и нанимать хороших спецов на большую зарплату.
Потому что злоумышленники могут получить деньги гораздо более простым способом, чем возиться с вашей защитой.
Моя защита волнует конечно же меня самого. Я защищаюсь другим способом: зная, как устроена система внутри, я не понесу в один банк много денег, в некоторые банки вообще никогда ничего не понесу. Просто ещё не было известных прецедентов (скорее всего мы о них просто не знаем), когда грабили банк по-крупному сразу на миллиарды. И введение более надёжных систем аутентификации, выключение из её цепочки сотовых операторов, поможет избежать таких случаев.
Вы правильно говорите про людей, только они с другой стороны. Сможет ли админ сотового оператора отказаться от нескольких десятоков-сотен миллионов гонорара за запуск небольшого скрипта на сервере для перехвата SMS или создания бэкдора? Так почему банки до сих пор доверяют сторонним админам? Ответ во втором абзаце — потому что это дёшево.
Jamato
13.05.2019 12:02Яндекс деньги тупо не работают без привязки номера телефона. Больше нельзя отвязаться как раньше.
eps
13.05.2019 13:21Сможете ли вы полностью отказаться от SMS?
Можно начать с отказа от мессенджеров, привязанных к SMS
stanislavkulikov
13.05.2019 14:27Во всей этой паранойе очень сильно прослеживается синдром «Неуловимого Джо». Спец. ведомства и так про вас всё знают, а то, что не знают могут легко получить. А всем остальным вы просто не нужны.
Rohan66
13.05.2019 14:57Хм… Забавно! А мужу вашей любовницы, у которого есть знакомый в «спец.ведомстве»? И ещё десятку-другому людей явно будет что-то интересно в вашей личной жизни!
stanislavkulikov
13.05.2019 15:41Немного не понял вашего комментария. Как я уже и написал, почти любой сотрудник ФСБ, даже думаю что и многие из МВД, и так смогут получить всю интересующую информацию о вас простым запросом. Без всяких посредников в виде сотовых операторов. Так что не важно чем пользоваться: пушами или смс.
Rohan66
13.05.2019 15:53комментарий относится к этому
А всем остальным вы просто не нужны.
Вот этот постулат у меня вызывает огромное сомнение! «Конторе» вы, может, и не нужны, а вот кому-то — очень даже нужны. И здесь очень интересный вопрос — на кого этот «кто-то» имеет выход. На контору, опсоса, банк…
kaman
13.05.2019 16:03Ну вот и хотелось бы узнать, как объяснить слишком любопытным, что я — неуловимый Джо и мои данные не представляют для них интереса. От всяких сервисов аналитики до обычных мошенников.
vlivyur
13.05.2019 15:54SMS — это история. А Push — сегодня есть, завтра исчез и был ли он никто не знает. Push никак не может быть заменителем SMS.
Dvait
13.05.2019 16:58По поводу запрета действий по доверенности. Билайн — удалось уговорить их это сделать отправив скан заявления. Мегафон — такой возможности вообще нет. И, кстати, менял симкарту Мегафона в связи со сменой смартфона, так Сбербанк никак на это не отреагировал. На новом телефоне с новой симкартой приложение запустилось без вопросов — не пришлось никуда звонить и ничего объяснять, что очень плохо.
kmish
13.05.2019 18:23По поводу запрета действий по доверенности… Мегафон — такой возможности вообще нет
*105*508# вам в помощьpalmyr
14.05.2019 00:32Попробовал найти какую-нибудь информацию про эту команду на сайте Мегафона — там ничего.
Гугл находит только какие-то старые стати на сайтах разной степени сомнительности.
Так что не факт что это работает.kmish
14.05.2019 07:49Так что не факт что это работает.
ну чтобы узнать, надо проверить…
Хотя поддержка мегафона, похоже, сама не в теме.
спросил, а работает ли этот код
ответ на вопрос
Dvait
14.05.2019 11:39Похоже *105*508# работает только для Москвы — у меня выдаёт список команд для 105-106, никакого запрета по доверенности там нет.
Поддержка тоже не в курсе, что у них такое есть, но это нормально. Попробую сходить в офис, подозреваю, что, как и у остальных операторов, они могут добавить комментарий к клиенту, на который потом могут и внимания не обратить.
romku
13.05.2019 17:24+1Как то купил красивый номер у одного из операторов большой тройки. Оказалось, что номер б.у. и привязан к чужой банковской карте сбера. т.к. редко но приходили смс о списании/пополнении. Сразу и не понял т.к. аппарат двухсимовый и вторая симка привязана к одной из моих карт.
Доступно было получение баланса. И думаю еще какие то смс команды, например пополнение мобильного счета то же бы прошло. Позвонил в сбер, с просьбой отвязать. Ответ меня убил: «пошлите смс команду по отвязке» т.е. это я должен сделать.
Такие дела.Nexus7
13.05.2019 17:56Было примерно то же самое, клиентка Сбера перепутала цифры в номере и SMS начали приходить на мой номер. Ничего не делал, через пару месяцев они пропали.
Это к вопросу правильной валидации номера, который предоставляет клиент. Один из правильных вариантов — активация новой карты через звонок IVR-боту со своего номера.
emerald_isle
13.05.2019 18:16С радостью бы заменил SMS-уведомления от банка на уведомления по email (можно даже папочку отдельную завести для этого, финансовые уведомления) — но банк в такое не умеет. В push-уведомления имеет, но работают они до безобразия криво — история не сохраняется, в чём их смысл вообще?
В идеале бы ещё уведомления шифровать моим открытым ключом, закрытого парного чтобы не было ни у банка, ни у мобильного оператора, ни у SMS-шлюзов, ни у силовиков, ни у кого, кроме меня.
В общем, как только — так сразу.ValdikSS
14.05.2019 03:49но банк в такое не умеет
Я тут наловчился:
gist.github.com/ValdikSS/d39de7882a439a757c13dde9e8d8747e
Используйте, дополняйте.
Gamliel_Fishkin
14.05.2019 04:59В идеале бы ещё уведомления шифровать моим открытым ключом
Нам данный момент это умеет одна социальная сеть. Будем надеяться, что и банки когда-нибудь подтянутся.
Crevice
14.05.2019 08:47Не знаю как защита информации организована в мессенджерах, но у мобильного оператора, где я работал, тексты смс охранялись очень жёстко. Все выдачи текстов органам протоколировать, любой доступ к таблицам фиксировался аудитом. Административный доступ к этой базе имел только один DBA и CIO. Операторы КЦ видели только информационные сообщения, остальное показывалось в виде: «Abab a aba abaa 0000 ababa»
Gamliel_Fishkin
14.05.2019 10:00Все выдачи текстов органам протоколировать, любой доступ к таблицам фиксировался аудитом.
И давно это было? Может быть, лет двадцать назад?
BigD
Push не придут, когда нет Интернета (в роуминге, в подвале). Не узнаешь, например, о списании со своего счета. SMS в этом плане надежнее.
tBlackCat
> Push не придут, когда нет Интернета (в роуминге, в подвале)
До сих пор есть подвалы в центре Москвы (!!!), где вообще мобильник превращается в кирпич, но это к слову.
Правилом хорошего тона должно быть в наших реалиях — после любого чиха (замена симки, переход на новый тариф...) тщательно просматривать подключенные сервисы в личном кабинете. Чудеса встречаются.
Был случай, когда ребёнку (ещё несовершеннолетнему) купил телефон и оформил тариф «Детский» у Билайна, естественно, на своё имя. Всё было прекрасно и вдруг приходит СМС-ка от оператора с предложением какой-то платной подниски. Уже не помню какой — дело давнее.
Пообщался со службой поддержки, мне попытались лапши навешать, мол в договоре есть пунктик тра-ля-ля. На что я ответил вопросм, есть ли у них копия договора подписанная, насколько мне известно, все копии у меня. Последовала неловкая пауза, аж через трубку передалось ощущение :)
Не стал девушку ставить в неловкую позицию и спросил, как это можно слать подобное, если даже по названию тарифа видно, что он предназначен несовершеннолетнему и платные предложения, мягко говоря, противоречат действующим правилам (про законодательство даже не помянул).
В итоге был приятно удивлён принесёнными извинениями и отсутствием дацзыбао по сей день, а прошло без малого 30 лет.
Оказывается и так бывает.
Serge78rus
tBlackCat
Действительно, пальчики покривели — около 20 лет :)
Если покопаться в архивах Билайна или погуглить, то можно более точно установить до месяца. Подкючал тариф через месяц после его анонсирования. Хотя суть не в дате, а в отношении к клиенту.
Сейчас же на МТС сижу. Тоже не напрягают, а тот телефон сделал домашним.
ilekarev
У меня так: если push не пришёл, то приходит SMS.
kaman
Зависит от банка. В Авангарде, емнимс, смс- и пуш-уведомления — взаимоисключающие услуги.
Detrous
Можно слать в SMS закодированное сообщение и сами приложения уже буду их декодировать и показывать в виде PUSH'а
Gamliel_Fishkin
Банки и прочие об этом знают?
valery1707
На сколько я знаю, сейчас Google начал блокировать доступ к СМС для приложений у которых работа с СМС не самоцель — так что сейчас далеко не все приложения смогут получить доступ к СМС.
Да я и не хочу давать доступ приложению одного банка к чтению всех моих СМС.
Ну и необходимость устанавливать приложение это уже не самый распространённый кейс.