Это да. Но банк не получит подписанного и закриптованного по всем правилам распоряжения. Можно сделать данный девайс с возможностью работать в двух режимах: автономной и при подключении к компьютеру. В первом случае строже проводится авторизация в банк-клиенте и накладываются ограничения на суммы перевода. Во втором можно даже авторизовываться в банк-клиенте через криптодевайс, не вводя логин и пароль в браузере.
Всю эту благодать можно сделать на той же яве, которая может работать практически везде. Соединение можно сделать USB и BlueTooth, а на девайсе эмулировать обыкновенный последовательный порт.
В данном случае den1 прав, классические токены здесь не панацея. Троян показывает вам одни данные, а на подпись отправляются совсем другие. Нужно, чтобы сам токен имел активные средства отображения информации и контроля.
Может дойти до абсурда: при втыкании токена в комп активируется троян, который заранее откейлоггил ПИН-код и данные для входа в банк-клиент, прозрачно в фоне сформировал несколько запросов и отправил все ваши ништяки со счетов своему хозяину куда-нибудь на багамы. Вы этого можете даже и не заметить.
Почему же, они вполне могут подключаться к компьютеру, это не страшно.
Совсем не страшно, если оно будет иметь USB-порт, через который будет скидываться в устройство платежка и пересылаться обратно уже подписанная. Для этого нужно простейшее API. Самое главное, не выставлять наружу кишки и ПО девайса.
Кстати, в Телебанке были автономные крипто-калькуляторы, но без ридера. После прихода ВТБ на смену Гуте видать новые админы их не осилили.
Будет не больше калькулятора. Есть такой проект у MasterCard, называется Mondex. По сути — чиповый кошелек. Т.е., карта без онлайн-процессинга, а-ля наш родной Сберкарт. Там к карте можно прикупить миниатюрный ридер с пин-падом и дисплеем. Вставляешь свою карту, вводишь данные, вставляешь чужую, после этого нужная сумма оказывается на чужой карте. И наоборот. Довольно сложный девайс. Так есть модификации, которые размером с небольшой брелок, с кольцом для ключей, работающие от одной или двух литиевых таблеток (точно не помню).
В случае банк-клиента совсем не обязательно на клавиатуре ридера набивать все данные перевода. Достаточно ввести не все данные, а только часть (допустим, номер счета получателя или его часть). Этого будет вполне достаточно.
MITM в данном случае опасен на самом компьютере жертвы. Вполне реально заделать хитрый специализированный троян, который будет перехватывать ввод/вывод. Т.е., клиент будет взаимодействовать не с криптосистемой, а с некой подделкой-прокладкой. А эта «прокладка» будет криптосистеме скармливать уже свои данные. Этому подвержены все поделия на базе СМС-ок, карт переменных кодов, криптосистем типа Интер-ПРО и криптосистем на основе обычного ридера смарт-карт (PC/SC-style) или USB-токенов.
От этого может помочь аппаратный модуль, в виде ридера смарт-карт с пин-падом и дисплеем. Сгенерированная банк-клиентом платежка отправляется на этот девайс, он ее обрабатывает и перед подписью высвечивает на дисплей данные транзакции, и требует ввести ПИН-код и часть данных (допустим, несколько цифр счета получателя платежа). В таком случае, клиент точно знает, что подписывает. После ввода запрашиваемых данных, девайс самостоятельно подписывает платежку и отправляет пакет уже в банк-клиент на компьютер, где он отправляется в банк для исполнения. Именно идея выноса криптографического модуля за пределы компьютера и помогает не попасться на троян-прослойку. Здесь главное вынести за пределы компьютера не только криптопроцессор (смарт-карта), а еще и ПИН-пад (чтобы троян-кейлоггер не перехватил ввод с клавиатуры) и средство отображения (дисплей, показывающий данные финальной платежки и требующий ввести часть данных). Где-то так, по-моему.
Кстати, у American Express есть продукт один интересный. У них есть чиповая карта, «Blue Card» называется, к ней можно докупить фирменную клаву производства Cherry с картридером и встроенным секурным ПИН-падом. Т.е., ПИН-код не попадает в компьютер, он не выходит за пределы ридера клавиатуры, по принципу, как у банкоматов.
Я это прочитал на странице новостей в системе. Рассылки настраиваются в разделе «Профиль клиента» — «Система оповещений» (старая морда, в новой может по другому называться).
01.12.2009
Внимание: особенности работы в системе «Телебанк»/«Телеинфо» через Интернет
Обращаем ваше внимание, что система «Телебанк»/ «Телеинфо» никогда не предлагает в случае неправильного ввода переменного кода ввести переменный код со следующим номером. При неправильном вводе переменного кода запрашивается ввод того же переменного кода, и после трех попыток ошибочного ввода переменного кода дистанционный доступ к системе временно блокируется.
Если у вас при входе в систему «Телебанк» или при подтверждении операции на экране появилось сообщение о неправильном вводе переменного кода и запрошен переменный код со следующим номером, не вводите следующий переменный код и проверьте свой компьютер на наличие вирусов и троянских программ.
Также обращаем ваше внимание, что система «Телебанк»/«Телеинфо» никогда не предлагает вам вводить CVV-код вашей банковской карты (трехзначный номер на обороте карты), а также PIN-код.
Вниманию клиентов «Телеинфо»: 1-3 декабря ВТБ24 будет дополнительно произведена персональная рассылка информации о мерах безопасности в системе «Телеинфо» по электронной почте и SMS. По e-mail рассылка будет осуществляться с адреса службы поддержки telebank@vtb24.ru, по SMS – от адресата VTB24.
Просим вас ознакомиться с данной информацией и использовать ее в дальнейшей работе.
Дополнительно для обеспечения сохранности своей конфиденциальной информации рекомендуется следовать Памятке по обеспечению безопасности в системе «Телебанк».
Это всё прелести EMV с поддержкой различных приложений на чипе. Да и в UK довольно давно уже у всех чиповые карты. Но в любом случае, остаётся опасность MITM, не для увода ключей, а для прозрачной подделки данных транзакции «на лету».
Можно ключи хранить на токене, Интер-Про это позволяет. В таком случае увести ключи не получится. Трояну останется только подменять данные при проведении транзакции. Но этого тоже можно избежать, всего навсего будучи внимательным: перед подписью демон и-про показывает данные подписываемой операции, в т.ч. и номера счетов. Вообще, раньше у них (еще в Гутабанке) был криптодевайс, генерирующий переменные коды. Вот это была занятная штука.
У меня была похожая эпопея, но со связным. На первое заявление о расторжении ДКП они чего-то невнятное ответили и все как-то динамили. После этого я написал абузу и отослал письмами продавцу и в потребнадзор (или как они сейчас себя именуют «Федеральная служба по надзору в сфере защиты прав потребителей и благополучия человека»). Естественно, в копию продавца я вставил фразу типа «Копия направлена в потребнадзор». Через два дня (видимо как письмо дошло) звонят мне и такие невинным голосом: а типа деньги вас уже ждут, приезжайте, забирайте. Ну я приехал, забрал. Где-то через неделю мне позвонили из потребнадзора, поинтересовались, получил ли я деньги и не осталось ли у меня каких-либо претензий. Сообщили, что у них сидит зам. Связного по Москве. Еще через неделю приходит по почте отчет, что, дескать, они нарушили ЗоЗПП и в отношении ген. директора Связного-МС возбуждено дело об административном правонарушении. Собственно, этого мне оказалось достаточно для морального удовлетворения. Можно, конечно, было бы в суд еще подать для взыскания неустойки за просрочку (по подсчетам половина стоимости аппарата), но уже как-то немного поднадоело. Да и своего я добился.
Всю эту благодать можно сделать на той же яве, которая может работать практически везде. Соединение можно сделать USB и BlueTooth, а на девайсе эмулировать обыкновенный последовательный порт.
Может дойти до абсурда: при втыкании токена в комп активируется троян, который заранее откейлоггил ПИН-код и данные для входа в банк-клиент, прозрачно в фоне сформировал несколько запросов и отправил все ваши ништяки со счетов своему хозяину куда-нибудь на багамы. Вы этого можете даже и не заметить.
Совсем не страшно, если оно будет иметь USB-порт, через который будет скидываться в устройство платежка и пересылаться обратно уже подписанная. Для этого нужно простейшее API. Самое главное, не выставлять наружу кишки и ПО девайса.
Кстати, в Телебанке были автономные крипто-калькуляторы, но без ридера. После прихода ВТБ на смену Гуте видать новые админы их не осилили.
В случае банк-клиента совсем не обязательно на клавиатуре ридера набивать все данные перевода. Достаточно ввести не все данные, а только часть (допустим, номер счета получателя или его часть). Этого будет вполне достаточно.
От этого может помочь аппаратный модуль, в виде ридера смарт-карт с пин-падом и дисплеем. Сгенерированная банк-клиентом платежка отправляется на этот девайс, он ее обрабатывает и перед подписью высвечивает на дисплей данные транзакции, и требует ввести ПИН-код и часть данных (допустим, несколько цифр счета получателя платежа). В таком случае, клиент точно знает, что подписывает. После ввода запрашиваемых данных, девайс самостоятельно подписывает платежку и отправляет пакет уже в банк-клиент на компьютер, где он отправляется в банк для исполнения. Именно идея выноса криптографического модуля за пределы компьютера и помогает не попасться на троян-прослойку. Здесь главное вынести за пределы компьютера не только криптопроцессор (смарт-карта), а еще и ПИН-пад (чтобы троян-кейлоггер не перехватил ввод с клавиатуры) и средство отображения (дисплей, показывающий данные финальной платежки и требующий ввести часть данных). Где-то так, по-моему.
Кстати, у American Express есть продукт один интересный. У них есть чиповая карта, «Blue Card» называется, к ней можно докупить фирменную клаву производства Cherry с картридером и встроенным секурным ПИН-падом. Т.е., ПИН-код не попадает в компьютер, он не выходит за пределы ридера клавиатуры, по принципу, как у банкоматов.
01.12.2009
Внимание: особенности работы в системе «Телебанк»/«Телеинфо» через Интернет
Обращаем ваше внимание, что система «Телебанк»/ «Телеинфо» никогда не предлагает в случае неправильного ввода переменного кода ввести переменный код со следующим номером. При неправильном вводе переменного кода запрашивается ввод того же переменного кода, и после трех попыток ошибочного ввода переменного кода дистанционный доступ к системе временно блокируется.
Если у вас при входе в систему «Телебанк» или при подтверждении операции на экране появилось сообщение о неправильном вводе переменного кода и запрошен переменный код со следующим номером, не вводите следующий переменный код и проверьте свой компьютер на наличие вирусов и троянских программ.
Также обращаем ваше внимание, что система «Телебанк»/«Телеинфо» никогда не предлагает вам вводить CVV-код вашей банковской карты (трехзначный номер на обороте карты), а также PIN-код.
Вниманию клиентов «Телеинфо»: 1-3 декабря ВТБ24 будет дополнительно произведена персональная рассылка информации о мерах безопасности в системе «Телеинфо» по электронной почте и SMS. По e-mail рассылка будет осуществляться с адреса службы поддержки telebank@vtb24.ru, по SMS – от адресата VTB24.
Просим вас ознакомиться с данной информацией и использовать ее в дальнейшей работе.
Дополнительно для обеспечения сохранности своей конфиденциальной информации рекомендуется следовать Памятке по обеспечению безопасности в системе «Телебанк».