Параноидальная безопасность

ЧАСТЬ 1. Информационная безопасность.

Недавно обходя владения банкосферы, я обратил внимание на очередную бесплатную карту, сулящую 15% годовых на остаток. Привезли мне её не быстро, но потом, листая информационные бумажки, я наткнулся на фразу «Максимальное в РФ количество элементов безопасности». Значит, мимо я уже никак пройти не смог, пришлось самому взять посмотреть, как это выглядит на практике. Итак, поехали:

1. При входе в ИБ слева текст, что надо использовать безопасный режим браузера, что надо проверить URL и SSL, что нельзя никому показывать CVV. Трудности начинаются сразу. При вводе логина символы не отображаются даже на мгновение, поэтому, никогда не знаешь, что вводишь. Метод Copy/Paste не работает. Далее идет captcha, ну и рекомендация всё вводить с виртуальной клавиатуры.

2. Далее надо создать платежный пароль. Само понятие платежный пароль пошло от сервисов типа Яндекс.Деньги / Деньги@Mail.Ru, т.к. в них пароль на почту и пароль в ЭПС один и тот же. Трудность в том, что дважды вводить платежный пароль предлагается исключительно с виртуальной клавиатуры. Опять присутствует captcha.

3. Теперь ваш платежный пароль надо подписать. Для этого его нужно указать еще раз и ввести код из SMS. Конечно же, используя виртуальную клавиатуру.

4. Теперь вам cгенерируется виртуальная скретч-карта, которую предлагается, как угодно сохранить, чтобы в последствии подтверждать этими кодами свои платежи.

5. Разумеется, ведется логирование былых событий. А вот зачем передавать банку фотографии я понять не смог.

6. Можно забавно поиграться в химика, пока будете устанавливать связи между финансовыми сущностями.

7. В разделе безопасность есть много чего интересно, среди них подробная памятка о том, что такое хорошо и что такое плохо.

8.Там же можно включить и придумать суффикс для сгенерированного банком логина на вход.

9. Интерактивная Матрица безопасности. Напоминает она кому-нибудь модель угроз безопасности.

Продолжение этой матрицы. Тут вам уже геоблокировки, IP-блокировки, защита шаблонов платежей.

10. Ну, какой же банк без сейфа. Сейчас это модная тенденция, она появляется то тут, то там. Любые счета можно засунуть в сейф, которых тоже может быть несколько.

11. Можно сделать виртуальные карты для реальных платежей в рублях, долларах и евро. CVV-код приходит в SMS. Счета в Китайских юанях есть, а виртуалок почему-то нет.

12. А дальше начинаются поистине уникальные возможности. Я еще зимой ванговал, что хорошо бы, чтобы в ИБ можно было переводить деньги методом Drag&Drop как между счетами в пределах одного банка, так и между банками. Для этого, очевидно, все ИБ должны соответствовать общему стандарту. И вот первая реализация – стало возможно мышкой перетаскивать деньги со счета на счет в пределах этого банка! Подождем, когда подобное появится у других банков.

13. А вот если пройти вот этот Квест…,

то откроется возможность для выставления своих счетов на всеобщее обозрение. Можно транслировать свой виджет со счетом в Одноклассники или ВКонтакте, и пусть весь мир знает, какой вы крутой. Любой сможет смотреть баланс, а клиент даже делать выписку. Приватности и банковской тайне приходит конец.

Конечно, некоторую паранойю можно отключить, но осадок-то, как говорится, остался. Еще отдельными фразами:

·         Ежедневно в 00:00 клиента принудительно выкидывает из ИБ. Памятка говорит, что если кому надо, пусть зайдет еще раз.

·         За 2000 руб. клиенту выдается USB-Рутокен для еще более защищенной работы в ИБ.

Кстати, во славу отмены зарплатного рабства в комплекте идет уже напечатанное от имени клиента Заявление за перечисление зарплаты в этот банк.

Что бы еще добавить в ИБ, что б уж было наверняка? Может усложнить captcha?

Идем далее. На сайте банка заявлено, что у них есть сертификат PCI DSS. Так как банк использует процессинг Мультикарта, что входит в группу компаний ВТБ, собственный полноценный сертификат банк иметь не обязан. Редко какой банк в этом случае заморачивается вообще на этот счет, т.к. считает, что нет процессинга – нет проблемы. Однако банк пошел дальше, и получил положительный AVS-скан, что достаточно для торгово-сервисного предприятия (мерчанта). Если они это делают ежеквартально, то это только приветствуется.

Теперь общее замечание. Когда смотришь довольно сложный программный продукт, возникает вопрос, насколько безопасен исходный программный код. Делал ли банк анализ программного кода ИБ и заодно МБ? Хорошо бы получить на эти вопросы ответы. Если «да», то ответом могло бы быть заключение известного, независимого консалтера. Но так всё продается и всё покупается, общественность поверит только если показать:

·         договор на оказание услуг по анализу программного кода (должен быть автоматический и ручной анализ);

·         банковский перевод денег за оказание этих услуг (банк же сам придумал способ, как выставлять любые счета напоказ);

·         результирующую часть отчета о проверке исходного кода ИБ и МБ.

Вывод раз:

Лично моё мнение заключается в том, что такой показательно параноидальный уровень безопасности это явный перебор. Мне расхотелось пользоваться ИБ еще на этапе первичных регистраций, настроек и проверок.

ЧАСТЬ 2. Финансовая безопасность.

Теперь перехожу к финансовым особенностям тарифов, а говоря проще к недостаткам с точки зрения продвинутого клиента:

Казалось бы, как хорошо, что можно выбрать либо проценты на остаток, либо кешбек на покупки, либо и то и другое за 150 руб. в месяц, однако читаем внимательно условия и тарифы.

Проценты на остаток. Начисление процентов производится ежемесячно на сумму среднемесячного остатка по карточному счету при условии, что размер среднемесячного остатка, порядок расчета которого установлен ниже, составляет не менее 30000 рублей, а так же при условии осуществления нижеуказанных операций по Карточному счету. Для расчета среднемесячного остатка по Карточному счету остатки денежных средств каждый календарный день расчетного месяца суммируются и результат суммирования делится на количество календарных дней в расчетном месяце. При расчете среднемесячного остатка учитываются остатки денежных средств на Карточном счете не превышающие 300000 рублей. Проценты выплачиваются при наличии операций покупки в торгово-сервисных предприятиях на сумму не менее 10000 рублей за расчетный месяц.

Кешбек за покупки. CashBack по операциям покупки с использованием карты в сумме до 50000 рублей ежемесячно составляет 0,5% от суммы покупок. В сумме от 50000 до 100000 рублей ежемесячно - 1% от суммы покупок. В сумме более 100000 рублей ежемесячно  - 1,5% от суммы покупок.

Там много разных исключений, среди которых явно выделяется: Начисление CashBack не производится по операциям в супермаркетах Перекресток, Пятерочка, Атак, Ашан, Метро, Магнит, Карусель, Лента. (МСС 5411).  А почему про Дикси, Викторию, O’КЕЙ, Магнолию забыли?

И еще: При совершении более 2-х операций в одном ТСП в течение одного календарного дня, CashBack за третью и последующие операции, совершенные в течение этого же календарного дня в данном ТСП, не выплачивается.

Почти всё из процитированного выше написано в тарифах в виде сносок и микроскопическим шрифтом. Имхо стандартный расчет на невнимательных клиентов.

Ну и пару других замечаний:

•  Межбанк через ИБ – 35 руб. за каждый платеж,
• но есть прикольная услуга «Платеж по ФОТО» - 100 руб.
• Валютный перевод 35 долларов или 35 евро за каждый платеж.
• Снятие денег в банкоматах ВТБ24 0,5% (мин 50 руб.), в других банкоматах – 100 руб.

Вывод два:

Лично моё мнение заключается в том, что с точки зрения клиента данным банковским продуктом пользоваться абсолютно нецелесообразно. Теперь понимаешь, как смешно звучит фраза про эту карту из их Памятки «Бесплатная сейчас и навсегда, мы не берем с Вас деньги, мы платим Вам!».

PS1. Вчера 30 апреля 2015 г. ЦБ в третий раз за год снизил ключевую ставку на 1.5% - c 14% до 12.5% годовых. Это решение регулятор аргументировал ослаблением инфляционных рисков при сохранении рисков существенного охлаждения экономики.

PS2. Это решение уже дало о себе знать на финансовом рынке. Например, становившаяся популярной «Рыбка» стала не по 15, а по 14. Думаю, что другие банки после праздников будут поступать аналогичным образом один за другим. Также думаю, что ориентированный на клиентов процент по картам-копилкам сейчас находится в районе 14-16. Тем, кто считает, что это много, скажу, что профессиональный трейдер на финансовом рынке часто делает 5-10% в месяц.

Безопасность переговоров

Мой знакомый регулярно ведет переговоры в целью поиска инвестиций через Интернет. Как с физическими, так и с юридическими лицами. Зная, что он читает мой блог, позволю здесь для него написать несколько предложений. Думаю, что это будет полезно и окружающим.

Руководящий здесь принцип защиты — ваша деятельность не интересует ИХ. А все остальные всё равно не смогут получить доступ. Если вы считаете, что ОНИ заинтересуются вами, то вам поможет только телепатический канал связи. Следовательно, информацию нужно защищать не от дальних, а от ближних. Например, кого интересует зарплата сотрудников моего отдела? Думаю, только таких же сотрудников моего отдела и всех соседних отделов. Другим компаниям это будет уже не так интересно, а только как справочная информация. Но наши зарплаты никак не интересует ни В.В. Путина, ни Б. Обаму. Поэтому от раскрытия ИМ зарплат даже не нужно беспокоиться. Далее просто тезисами, которые и так понятны:

1. Все переговоры ведем в скайпе или по мобильному телефону. Но не в аськах, одноклассниках, блогах и форумах.
2. Все письма с конфиденциальной информацией пересылаем в пределах Gmail, так как это иностранный почтовик с шифрованием канала связи. Почтовики Яндекс или Мейлру по понятным причинам для этого не используем. Я правда не уверен, что в РФ нет гугловских серверов, но думаю, что договорится с Google гораздо труднее, чем с российскими компаниями.
3. Если надо переслать письмо куда-то в сторону, используем архивы с длинным паролем на них. Здесь помним, что алгоритмы шифрования в архиваторах и в закрытых каналах для банковских транзакций одни и те же. Распространенный пример алгоритма AES-256.
4. Если надо переслать скан документа для идентификации, например, паспорт, то делаем в графическом редакторе подпись «Только для Иванова Ивана Ивановича» или «Только для компании Рога и Копыта». Лучше всего использовать цвет шрифта аналогичный цвету шрифта пересылаемого документа. Для прикола можно использовать радугу, если найдете такой шрифт.
5. Если надо переслать бумажные документы, то лучше не использовать почту России, а лучше немного разориться на DHL, но быть уверенным, что корреспонденцию точно доставят из точки А в точку Б. Вот цены за обычный конверт формата А4: Москва-Новосибирск ~1500 руб, Москва-Владивосток ~1700 руб. Не думаю, что это очень накладно.
6. Про финансовую безопасность я сейчас рассуждать не буду, для этого нужен отдельный ликбез, т. к. без этого многие выводы будут просто противоречить друг другу.

Внимание: вода!

Я работаю в одном топовом федеральном банке, и сегодня у нас произошел редкий случай. Сотрудница, выходя с работы, выносила в руках бутылку с водой. Мимо охраны она спокойно пройти не смогла, т. к. у нас запрещено выносить воду, и поэтому её задержали. Поясняю почему.

В соответствии с внутренними политиками ИБ банка, вода у нас относится к конфиденциальной информации, а именно к коммерческой тайне. Это сделано не случайно. В переговорных комнатах у нас стоят кулеры с водой. В коридорах и у лифтов у нас кулеров нет. Когда переговорные комнаты свободны сотрудники могут наполнять чайники или чашки водой и пить в своих кабинетах или опенспейсах чай. Но всё дело в том, что в переговорных комнатах ежедневно проходят конфиденциальные переговоры, и поэтому вода заряжается конфиденциальной информацией. Если вы до сих пор не верите в это, рекомендую погуглить данную тему в инете. Все сотрудники при приеме на работу, а потом и ежегодно проходят инструктажи по техникам работы с конфиденциальной информацией. Далее все обязательно подписывают своей личной электронной подписью на корпоративном портале публичное NDA. Так было и с той сотрудницей в прошлом году при приёме на работу. Хорошо, что у нас во всех переговорках установлены камеры видеонаблюдения и ведется запись всех без исключения переговоров. Следовательно, будет не сложно восстановить, чуть было не похищенную информацию. В любом случае у нас зафиксировался инцидент ИБ и мне пришлось задержаться на работе, чтобы его правильно оформить. Завтра буду инициировать расследование.

Даже страшно подумать, что было бы, если в банке не был бы введен режим коммерческой тайны!

Короче, комрады с 1 апреля.

Делаем приватный монитор из старого LCD монитора

Ссылка на отличный пост на Хабре про безопасный монитор.

10 страхов владельцев карт

Регулярно читаю новости "основных" банков и вот мне попалась новость, относящаяся к финансам и ИБ. Привожу текст целиком.


Получая новенькую кредитку, многие беспокойные натуры сразу же начинают волноваться о том, что с ней может случиться что-то плохое. Специально для таких паникёров мы составили список самых распространённых страхов и причин, почему они на самом деле не страшны:


Страх № 1: Я потеряю карту!
Ну и что? Выдадут новую! Просто позвоните в банк, попросите заблокировать карту, а потом напишите заявление на перевыпуск, и через несколько дней ваша кредитка снова поселится у вас в кошельке. Перевыпуск карты – платная услуга, но стоит, как правило, недорого – порядка 300 рублей.


Страх № 2: У меня ее украдут!
Тоже не катастрофа. Порядок действий ничем не отличается от предыдущего пункта, кроме того, что нужно заблокировать карту как можно скорее, чтобы злоумышленники не успели подобрать пин-код и запустить руки в ваш кредитный лимит. Хотя и в этом случае вы сможете оспорить все операции по карте, проведенные не вами, и вернуть деньги.


Страх № 3: Я забуду/потеряю пин-код!
Для таких забывашек и потеряшек многие банки сейчас предлагают услугу генерации или изменения пин-кода на тот, который вам легче будет запомнить. Держать пин-код только в памяти гораздо безопаснее, потому что, записывая его, вы рискуете отдать его в руки злоумышленников. Но если уж записали – не держите пин-код вместе с картой в кошельке, а зашифруйте в блокноте в какой-нибудь записи, которую посторонние не смогут логически связать с вашей кредитной картой.


Страх № 4: Я ее сломаю!
Ну, если очень постараетесь, то сломаете. Но вы же не будете стараться? А если вдруг это получится как-то случайно, см. п. 1 – поменяете, и все дела!


Страх № 5: С меня спишут больше, чем надо!
Такое случается крайне редко, и достаточно сохранять чеки от покупок в течение месяца, чтобы в случае разночтений проверить списания. Для этого закажите выписку по счету карты – ее можно заказать на электронную почту, или распечатать в отделении, или увидеть в Интернет-банке. Ну, и подключите услугу СМС-уведомлений об операциях по карте – она стоит недорого, а иногда может быть и бесплатной, и вы всегда будете оповещены о каждом списании со счёта карты и об остатке средств.


Страх № 6: Я стану жертвой мошенников!
Риск этого не выше, чем в любой другой сфере нашей жизни. СМС-уведомления выручают и в этой ситуации. Если вы получили уведомление о списании по платежу, которого не совершали сами, моментально звоните в банк, сообщайте об этом и просите заблокировать платеж. И всегда нелишними будут меры предосторожности: следить, чтобы на банкомате, которым вы пользуетесь, не было никаких посторонних накладок на клавиатуре и картоприёмнике, прикрывать рукой вводимый пин-код, и снова – хранить его только в своей голове!


Страх № 7: Я потрачу больше, чем можно!
Ну, выйти за пределы кредитного лимита у вас вряд ли получится. А если кредитный лимит больше ваших доходов, и вы боитесь слегка погорячиться с шопингом в выходные - просто мысленно определите сумму, которую вы готовы потратить, и не выходите за её пределы. Финансовая самодисциплина – дело важное, и без постоянных тренировок её не выработаешь. Так что не пользоваться кредиткой – не выход, лучше учиться тратить с умом.


Страх № 8: Я забуду, сколько должна, и просрочу платёж!
Интернет-банк в любую секунду покажет вам полную сумму задолженности по кредитке и сумму минимального платежа, который нужно внести, чтобы не стать недобросовестным клиентом в глазах банка. А если гасить всю задолженность в льготный период – вы даже обычных процентов за использование заёмных денег не будете платить, не говоря уже про штрафы.


Страх № 9: Я останусь в замкнутом круге долгов!
Многие боятся привыкнуть тратить заёмные деньги и постоянно жить с долгами по кредитке. А другие не боятся, потому что, тратя деньги с кредитной карты, при этом имеют собственные средства на депозитном счёте, и получают дополнительную выгоду от использования банковских продуктов. Получив зарплату, переводят ее на вклад с возможностью снятия без потери процентов, и получают проценты по вкладу. А когда нужно – снимают часть средств, чтобы погасить задолженность по кредитке. И всегда остаются в плюсе!


Страх № 10: Банк всегда найдёт, как получить свою выгоду!
Поверьте, у крупного розничного банка слишком много клиентов, чтобы из всех миллионов выбрать именно вас и приложить массу усилий, чтобы придумать, как же заставить вас раскошелиться. Просто запомните, когда начинается и заканчивается платёжный период и когда заканчивается льготный период, и вовремя гасите задолженность. И выберите карту с функцией кэш-бэк: тогда, возвращая деньги в течение льготного периода, вы будете «занимать» у банка без процентов, и в придачу банк будет возвращать определенный процент от всех потраченных с помощью карты сумм. Представьте: вы пользуетесь кредитной картой, и вам за это ещё и платят! Это ощущение стоит того, чтобы прийти в банк за кредиткой!