СМС в системах ДБО - безопасность под угрозой!

[Groove]

Системы ДБО, идентифицирующие клиента (полностью или частично) по номеру телефона с которого он позвонил на номер системы "голосового" обслуживания тоже в опасности, поскольку номер звонящего тоже может быть подделан. Пример из комментариев по ссылке:
Цитата
У Приватбанка есть голосовое меню по номеру 3700, которое позволяет пополнять любой телефон, введя просто последние 4 цифры своей карты. Т.е. я могу позвонит на голосовое меню Приватбанка, подменив номер на любой реальный, который является клиентом банка и просто по IVR меню пополнить любой телефон с карты того клиента? Последние 4 цифры карты можно сбрутфорсить, у них нет ограничений на количество попыток.

[Nika26]

А чего вы хотели? СМС - это примочка к дырявому и уязвимому сигнальному протоколу ОКС-7, он же SS7. Данные идут открытыми, перехватить может любой желающий, правда потрудиться придётся. Никакой верификации нет и не было. Все эти сайты работают с использованием особенностей сигнального протокола, который аж с 70-х годов прошлого века и до сих пор используется. За банк ничего сказать не могу в плане того почему он использует эту систему, в то время как любому новорождённому младенцу известно о небезопасности СМС-канала.

Не пользуйтесь СМС-банкингом и всё, если хотите действительно уберечь денежки. Другого варианта тут подсказать не могу.

[Nika26]

Минкомсвязи России признало СМС-пароли небезопасными, об этом писали многие СМИ 5 октября 2016 года, но подробнее всех написали Известия.
Так что, можете смело отказываться от сервисов, завязанных на СМС-канал. Ну, и требуйте от банков альтернативных способов аутентификации.

[remisinis]

Сообщение от Nika26

Минкомсвязи России признало СМС-пароли небезопасными, об этом писали многие СМИ 5 октября 2016 года, но подробнее всех написали Известия.
Так что, можете смело отказываться от сервисов, завязанных на СМС-канал. Ну, и требуйте от банков альтернативных способов аутентификации.

Позвольте поинтересоваться, на каком основании следует это делать? Судя по вашей точке зрения потому, что об этом написали в СМИ? Не, ну потребовать то вы сможете, вот только результат прогнозируем на 100%.

[Nika26]

Сообщение от remisinis

Позвольте поинтересоваться, на каком основании следует это делать? Судя по вашей точке зрения потому, что об этом написали в СМИ? Не, ну потребовать то вы сможете, вот только результат прогнозируем на 100%.

Ну, дело Ваше. Хотите рискуйте, хотите нет. Минкомсвязь признала небезопасным данный способ, не только СМИ. Всё из-за того, что СМС - это примочка к дырявому сигнальному протоколу ОКС-7, который не модернизировался аж с 70 годов. Стандарт GSM уже давно как взломан, вскрыт. Козловский и Албуров уже пострадали от "высокой безопасности" СМС-канала.
Лично я не стану доверять финансы GSM сети, которая не может гарантировать максимально возможную безопасность.

[remisinis]

Вопрос был не об этом. Никто уже наверное не станет отрицать небезопасность СМС канала. Вы написали, что необходимо требовать от банка альтернативных методов аутентификации. Вот расскажите мне, как это например сделать для Сбербанка и на основании каких документов этого требовать. Мне следует предъявить им статью из Известий?
Следующее. Вы сколько знаете банков с альтернативными СМС методами аутентификации? Вот разделите их количество лучше раза в 3 для банков в провинции и учитывайте при этом доходность депозитов по сравнению с другими банками, где процесс аутентификации реализован с помощью СМС.

[Nika26]

Не та страна у нас, где работают рыночные механизмы вроде оттока клиентов к конкуренту из-за неудовлетворённости в условиях. Нужно, чтобы надзорные ведомства стукнули по кумполу каждому из банков, только так начнётся внедрение безопасных технологий. Кто-то сделает это добровольно, кто-то с боем, ссылаясь на долгосрочные контракты с ОпСоСами на эту тему.

Как "наехать" на банк:
1) Запрос в Минкомсвязь
2) Распечатать статью из "Известий"
3) Вооружившись ответкой на Запрос в Минкомсвязь и распечаткой "Известий" написать Претензию в банк.
4) получить ответ на Претензию из банка.
5) Обратиться органы Роспотребнадзора, т.к. идёт грубейшее нарушение положений Статьи 16 ФЗ о Защите прав потребителя банком (услуга "Интернет-банк" подразумевает приобретение услуг ОпСоСа)
6) Обратиться в ЦБ РФ, приложив ответку от банка, ответку от Минкомсвязи и распечатку со ссылкой на Известия, для усиления эффекта можно сосдаться на инцидент с Албуровым и Козловским.
7) Если Роспотребнадзор начнёт валять дурака и слать отписки - в органы прокуратуры, чтобы те в рамках прокурорского реагирования обязали потребнадзор выполнить свою работу.
smile8) ЦБ пришлёт отписку, но банку по кумполу настучит.

Банк будет трясти своей 428 Статьёй ГК РФ, что мол договор этот это присоединение и клиент сам изволил и подписался. Однако для банка тут есть сюрприз, они почему-то забывают про статью 422 всё того же ГК РФ, гласящую о том, что Договор должен соответствовать законам и НПА. В частности всё тому же Закону о ЗПП, который запрещает при приобретении одной услуги обязательно приобретать иную услугу.

Из банков, где ИБ без СМС есть можно выделить: Газпромбанк. Интеза, ВТБ 24, ЮниКредит, Авангард, Россельхозбанк, Связьбанк. Это я так, навскидку.

Если каждый из нас проделает, не поленится, то что описала я, глядишь и заживём как нормальные человеки. Лучше идти таким путём, чем ждать когда начнётся массовая атака на ОКС-7 с перехватом СМС, взломами и повальными кражами денег со счетов. тут государство не сразу раскачается и не сразу примет ся решать проблемы.

[Anton]

Промсвязьбанк выключает прежнюю версию интернет-банка вместе с возможностью использования сертификатов НЭП.

[creditman]

Сообщение от remisinis

Позвольте поинтересоваться, на каком основании следует это делать? Судя по вашей точке зрения потому, что об этом написали в СМИ? Не, ну потребовать то вы сможете, вот только результат прогнозируем на 100%.

Сменить банк, т.к. СМС "читаются" через ОПСОСа.

Утечка клиентов вынудит банк прикрутить к ИБ хотя бы одноразовые пароли или Token.

[remisinis]

Сообщение от creditman

Сменить банк, т.к. СМС "читаются" через ОПСОСа.

Утечка клиентов вынудит банк прикрутить к ИБ хотя бы одноразовые пароли или Token.

Ничего их не заставит изменяться. Им и так неплохо, что бы изменяться в сторону сервиса и безопасности для клиента, да и никакой утечки клиентов не будет, так как про уязвимость СМС канала в ДБО слышали наверное не более 0,01% клиентов банков.
Их принцип: ешь, что дают.