Некоторые банки для защиты своих систем ДБО от мошеннических действий в качестве строгой аутентификации предлагают своим клиентам использовать криптокалькуляторы (КК).
Следующие банки, используют эту технологию:
- Номос-Банк
- Московский индустриальный банк
- Липецккомбанк
- КредитУралБанк
- Банк Приморье
Каждому клиенту выдается (продается) устройство, которое и используется им для управления своим счетом.
Одноразовые пароли могут генерироваться следующими способами:
- только ответ
- запрос-ответ
- по времени
- по событию
- любыми вышеперечисленными комбинациями
Первые два способа это наши случаи для входа в Клиент-Банк и для подтверждения платежей соответственно. Предположу, что в случае с КК коды вырабатываются следующим образом:
- Код_аутентификации=Усечение(Функция(Номер_карты, Номер_попытки))
- Код_подтверждения=Усечение(Функция(Номер_карты,Код_запроса, Номер_попытки))
Код аутентификации это код, подтверждающий существование клиента системы, код подтверждения это вариация для последующей ЭЦП.
Номер_карты вместе с ПИН-кодом преобразуется по известному алгоритму в хэш.
Номер_попытки это счетчик от 0 до N, после замены элемента питания опять 0. Допустим, генерация возможна до 1 000 000 попыток, далее, скорее всего, КК будет выброшен как устаревший. Всё равно у него срок эксплуатации, скажем, 5 лет.
Используемые алгоритмы на стороне сервера аутентификации и в КК криптографические, основанные на HMAC с урезкой до нужного числа знаков и само собой одинаковые.
Плюсы:
- В персональный компьютер, сеть, удаленную систему никогда не уходит постоянный пароль клиента.
- Психологический, т.к. самая совершенная на сегодня защита.
Минусы:
- Неудобство использования - нужно генерировать код для каждой транзакции.
- Неудобство использования - зависимость от «лишнего» устройства.
- Дополнительные затраты на приобретение КК.
Риски:
- Возможность атаки MitM. Чтобы парировать риски:
- должна быть доверенная среда, т.е. ОС, права доступа, антивирус и т.д., что не всегда возможно.
- должен быть доверенный канал связи и его шифрование, что также не всегда возможно.
- Нет привязки КК к конкретному клиенту, а значит можно использовать любой КК, а не только выданный банком. Не является полностью риском, парировать его нельзя в виду технологической особенности процесса.
Альтернативные, но более «слабые» технологии:
- OTP-токены
- Скретч-карты или чеки
- Пароли по SMS
- Виртуальные клавиатуры
Выводы:
На текущий момент времени КК предоставляют клиенту наиболее совершенную защиту при проведении платежей через систему Клиент-Банк.
Комментариев нет:
Отправить комментарий