Симки, вклады, телефоны

Каждая SIM карта имеет уникальный номер - IMSI (международный идентификатор мобильного абонента). Судя по статье посвященной IMSI и комментам к ней, данная технология замечена только в следующей семерке банков: НОМОС, ПСБ, Альфа, ТКС, БРС, Сити, Сбер. Я больше согласен с автором статьи, чем с комментариями, что на вопрос надо смотреть шире. Нет, не надо смотреть шире! Типовые рабочие мошеннические схемы основаны именно на слабом звене – сотовой связи, поэтому хорошо, когда банк поддерживает нелюбимые мошенниками технологии. Также я бы порекомендовал включать эти условия SMS-информирования в клиентский договор.

В каких случаях меняются SIM-карты:

- при утере телефона

- при замене с обычной на micro/nano

- в честь отмены мобильного рабства

Приведу три ссылки на описание реальных примеров уводов денег подобным способом: тыц, тыц, тыц.  Какая очевидная мера здесь напрашивается? Запрет на досрочное закрытие вклада или снятие части вклада через интернет-банк. Этим также уже озадачены и на банках.ру, поэтому неплохо бы иметь список таких банков.

Если одноразовый код для подтверждения платежа генерируется банком случайным образом, то в SMS с кодом банк должен показывать счет получателя и сумму перевода. В этом случае ответственность за совершение операции лежит на стороне клиента. Если одноразовый код для подтверждения платежа при генерации учитывает счет получателя и сумму перевода, а потом вычисляется еще раз на пришедшем в банк платеже (защита от подмены реквизитов) и сравнивается с первым вычислением, то ответственность будет на стороне банка. Отсюда напрашивается вывод, что запрет на вывод вкладов и корректная обработка IMSI, по сути, эквивалентны персональному OTP.

Хорошо известно, что заметная часть левых переводов делается на одноразовые мобильные номера. Предлагается следующая реализация антифрода. В интернет-банке устанавливается три уровня доверия мобильных номеров.

1)      Личные номера клиента. Подтверждаются договорами с операторами сотовой связи. Лимита на переводы нет.

2)      Номера из шаблонов. Те номера, по которым уже были выполнены переводы, и по которым не поступало заявлений на опротестование в течение, например, месяца. Лимит, скажем, в 15 000 руб. в месяц.

3)      Прочие номера. Лимит, скажем, в 1 000 в месяц.

Таким образом, дополнительно банки не будут позволять клиентам совершать платежные операции через операторов связи, а будут подсказывать, что всё это можно сделать и через собственный интернет-банк.

Про Тинькофф

Когда-то я хотел написать про них отрицательный отзыв за то, что они прислали мне на почтовый адрес банковскую карту. Я это оценил как спам и порезал карту. Я даже заготовил письмо, бросил его в рюкзак, но подходя к почте, передумал его отправлять до лучших времен. И вот они наступили. Поэтому сегодня будет нейтральный отзыв.

Начну с сайта. Заходя на их сайт, сразу врубается HTTPS. Среди известных у нас банков такое замечено только на сайте Дойче банка и банка Санкт-Петербург. Сразу видна интернеториентированность.

Чтобы активировать карту нужно по телефону тоном вбить день рождения матери из анкеты с сайта.

Очень понравился 8-страничный трактат о мерах безопасности пластиковых карт, однако, вот несколько моментов:

«Запомните, что по операциям оплаты товаров и услуг в торгово-сервисных предприятиях картой Банка… введение ПИН-кода не требуется». Нет пина, нет проблемы?

«Процесс создания ПИН-кода гарантирует, что данная комбинация цифр может быть известна только человеку, его получившему». А оператор сотовой связи?

«Напоминаем Вам, что в соответствии с Общими условиями выпуска и обслуживания… Ваша ответственность за дальнейшее использование карты прекращается на следующий день (!), после дня осуществления блокировки…». Ладно бы полчаса или час, но следующий день.

«Звонки из Банка Вам могут поступать со следующих номеров» и перечислено 7 телефонов. Идея хорошая, запоминаем все номера?

Теперь странные фразы из Заявления-анкеты:

«Я… доверяю ООО «ТКС»… предоставить Заявление-анкету… в ТКС Банк (ЗАО)…».

«В случае отзыва согласия обработка моих персональных данных должна быть прекращена Банком и/или третьими лицами… в срок не позднее одного года…».

Ну и маленький штрих по их Интернет-банку, который является лучшим по версии журнала Global Finance в 2012 г. и лучшим по версии информационного агентства banki.ru в 2012 г.,  в котором вы ни за что не сможете в пароле использовать спецсимволы, отличные от «.», «@», «_», «-». А если я хочу использовать восклицательный знак или процент?

Остается только добавить, что конкурентов среди «виртуальных» банков в рунете у них нет, так сказать, свободная ниша)

Автонавигатор

Купил себе автонавигатор, а вместе с ним и SIM-карту с тарифным планом от МТС. При покупке заполнил всё, что нужно своими данными, а вот сегодня решил зайти в личный кабинет. И понял, что SIM-карта зарегистрирована на другое ФИО.

То есть я даже не могу обратиться к оператору для решения каких-либо проблем.

Поэтому хочу тут озвучить свое мнение на счет того, что необходимо сделать, если не для личной безопасности, но для безопасности общества точно:

1) Продавать мобильники и прочие устройства только по договору с оператором;

2) Продавать тарифные планы только по договору с оператором;

3) «Привязывать» устройства и тарифы к конкретному человеку.

4) Можно даже создать для органов БД динамического геоучета абонентов.

Мобильная безопасность

В настоящее время мобильные устройства набирают популярность и становятся необходимыми для широкого круга пользователей. Многие компании приветствуют свободный подход к трудовому распорядку в течение рабочего дня, отдавая приоритет эффективности своих сотрудников. Вспоминается фраза «бойтесь эффективных менеджеров».

Популярность новых мобильных устройств с операционной системой Android стремительно набирает обороты. Основа ОС - Linux с ядром 2.6. В настоящее время ОС Android купила Google и продолжает его развивать. ОС Android стала популярной, прежде всего благодаря удобству использования. Вообще в мире свободного ПО, особенно среди ОС Linux, вопросы удобства всегда оставались на втором, если не на третьем плане. Это связано с тем, что данное ПО использовали лишь «продвинутые» пользователи, а они уж рано или поздно точно разберутся и найдут способ настроить свой компьютер.

ОС Android имеет много разных приложений,  как платных, так и бесплатных, доступных как для покупки, так и просто для скачивания. Имеются инструменты для разработки собственных приложений. На рынке уже присутствует достаточное количество ноутбуков, нетбуков,  коммуникаторов, планшетов, работающих под управлением ОС Android.

Что нужно мобильным пользователям? Доступ в сеть Интернет, доступ к корпоративной почте, доступ к корпоративным ресурсам, где бы они ни находились. На разных приложениях/играх/прочем я останавливаться не буду, так как это не предмет данного рассмотрения.

Что нужно корпорациям? Получение прибыли. Эффективность работы персонала. Некоторым нужна информационная безопасность.

Риски ИБ

Расширение горизонта атак. Мобильные пользователи часто имеют доступ к корпоративным ресурсам, а значит, имеют возможность хранить на них конфиденциальную информацию.

Возможное распространение конфиденциальной информации, так как эти устройства почти всегда подключены к сети Интернет, часто подключаются к другим сетям, например домашним.

Возможная утечка конфиденциальной информации, например в случае кражи устройства.

По мере становления популярности будут возрастать риски антивирусного заражения ОС и данных.

По мере становления популярности будут возрастать риски атак на саму операционную систему.

Методы ИБ

Удаленный доступ. На рынке присутствуют несколько решений для создания безопасных VPN подключения. Есть поддержка L2TP, L2TP/IPSec в следующих продуктах: 1 VPN, 5 VPN, Cisco VPN Android. По некоторым данным, российская компания Инфотекс ведет разработку клиента VipNet Client под ОС Android.

Антивирус. На рынке уже присутствуют бесплатные версии Anti-Virus Free, Dr.Web, Lookout Antivirus, Norton Mobile Security Super Security. Я считаю, что бесплатность антивирусов явление временное.

Шифрование данных. На рынке присутствуют специальные программы, позволяющие создавать защищенные области для хранения данных – криптоконтейнеры. Примерами таких программ являются: B-Folders 2, gbaSafe, Keeper Password & Data Vault. Все эти программы поддерживают американский стандарт симметричного шифрования AES.

Стандартные меры: регулярное обновление ОС и приложений, работа без административных прав (root), предотвращение несанкционированного использования устройства.

Компрометация устройства

Компрометацией, в общем случае, называется ситуация, при которой данные могли куда-нибудь утечь или данные остались без присмотра хоть на какое-то время. Самым понятным для конечного пользователя случаем компрометации является кража оборудования. Что можно сделать в данной ситуации? Варианты мне видятся следующие:

• ничего не делать. Данные и так хранятся в зашифрованном виде в криптоконтейнере, ключ к которому защищен паролем.
• удалить находившиеся данные. Это можно сделать при помощи специального кода, специального электронного письма, специальной SMS.

Как правило, штатный функционал по дистанционному удалению данных вряд ли найдется, для этой цели лучше всего написать скрипт, благо ОС Android поддерживает скриптовые языки программирования.

Хочу заметить, что удалять все данные из устройства вовсе не обязательно, достаточно затереть ключ шифрования.