Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 65
300 рублей? Это какой же спрос был на такую услугу, что такая малентка цена? Ну или конкуренция большая. Про какие тогда блокировки Телеграм и отсутствию мошенников в Макс можно говорить.
Какой жулик, наверное еще и "корованы грабил"...
Хабр уже не торт...
это очень важная новость.
комментарий буквально ниже, вашего коментрия.
я вот тоже не знал что у любого васяна из МФЦ есть такая возможность.
и это совсем не норма для ИТ безопасности "вообще". например в банках любая "маша" не может взять и сгенерировать доступ или например карточку, каждое действие запоминается и за каждым закреплен супервайзер приглядвающий.
Тут тупо слабоумие и отвага. В CRM у ОпСоСов тоже всё фиксируется-логиуется, но среди работничков постоянно находятся камикадзе. Со своей мобилы отсылают заказчикам фото экрана своего АРМ с данными заказанного. А на экране - ФИО оператора АРМ. И данные EXIF не стирают.
например в банках любая "маша" не может взять и сгенерировать доступ или например карточку, каждое действие запоминается и за каждым закреплен супервайзер приглядвающий.
1) в крупных банках так стало только в последние лет 6
2) у меня подозрение что ТАК не во всех банках, я давно уже не в отрасли но в 16 году точно было даже не в половине..в Сбере (насколько я слышал) такую систему надзора только только вводили
3) есть много "маш" чьи действия логируются, но за ними никто не присматривает
===
даже блин я, гдето в начале 10х, рядовой админ мог вполне селектнуть рандомного человека и посмотреть чё он и где покупал и какая у него зарплата
...да и не просто селектнуть, у нас народ (в конце 10х) развлекался тем что друг другу по приколу карточки лочил...типа "васян пошел обедать, ща мы ему карточку локнем, поржем потом как он расплачиваться будет"...лавочку прикрыли административно (Васян взял да и в поддержку позвонил) настучав развлекающимся по голове..но формально доступы все остались
это зависит от отделения, можете не верить, но:
однажды выдали на работе карту, приезжал сотрудник банка. Конверт не запечатан, телефон привязки онлайн сброшен на рабочий бухгалтерии. Вечером полез в онлайн-бан - очканул знатно
Пришел в отделение, утрясти данные. Планировка типичная: столы образуют контур от стен по кругу. Мне операционист данные правит, сзади него проходит уборщица из страны 282 и фоткает его экран или видео записывает. Знатно "пободался" со службой безопасности
Минусующим.
Я специально сделал скриншот очень вычитанного перед публикацией заголовка.
Конечно же его поправили.
То есть любой Васян из любого МФЦ запросто может скинуть кому надо доступ к моим госуслугам?
За 300 рублей.
Человеческий фактор никто не отменял. Какая бы защищенная система не была, всегда найдется человек который по финансовым или идеологическим причинам (или просто дурак) предоставит доступ к данным на которые у него есть привилегии.
Система должна быть настроена таким образом, чтобы Васян не мог открыть доступ к разделу, где можно изменить доступ к госуслугам. Хотя бы слать пин код на телефон привязанный к учетке госуслуг и пока клиент его не скажет доступ к этому разделу не откроется.
Так поход в МФЦ и нужен для того, чтобы восстановить доступ, если утрачен телефон (номер просрочился и ушел в отстойник) или ТОТР (тоже придется в МФЦ, да).
Нужен еще один фактор - типа паспорта с NFC-чипом, пришел в МФЦ, приложил к считывателю и только после этого пошла разблокировка и сброс пароля.
Ну или расстреливать таких вот сотрудников МФЦ на Красной площади с трансляцией по 1 каналу.
Давным давно придуманы механизмы подтверждения значимых действий несколькими разными сотрудниками.
Было бы желание эти меры внедрять
Если один сотрудник оказался злыднем, то и два тоже могут вступить в сговор.
А если для работы с профилем гражданина надо, чтобы этот самый гражданин приложил паспорт, то сговор не поможет.
PS: Или биометрию задействовать (приложите палец/посмотрите на камеру для разрешения работы с вашим профилем), но мне такое не по нраву.
Биометрию граждане сдавать не хотят и не безосновательно. Я тоже не хочу и считаю что она не должна покидать моих устройств. Никаких серверных решений.
Паспорт как раз и может быть потерян. Бывает. ВУ тоже.
А вот позвать начальника и заставить его сверить гражданина с фото в БД глазами и зафиксировать своей ЭПЦ факт того что сверил и совпадает нужно. И даже снять это на видео вполне нормально. Естественно в случае когда у гражданина нет вообще документов. Все сгорело.
Шанс злоупотреблений минимален на самом деле. И всегда сразу понятно кого сажать в случае чего. Это тоже важно.
Паспорт как раз и может быть потерян. Бывает. ВУ тоже.
Если еще и военный билет потеряли (ВУ у нас некритично для восстановления, в отличие от США), то МФЦ тут уже не поможет в любом случае, придется обращаться в полицию, а потом в подразделение МВД и военкомат.
Там, конечно, тоже злыдни могут быть, но вероятность этого уже сильно ниже, чем вероятность слива в МФЦ.
Я сторонник концепции одного окна в общении с государством. Когда не надо думать. По любой бытовой проблеме иди в МФЦ и там все сделают.
Восстановление документов без уголовщины это обычная бытовая ситуация. Мне хочется чтобы она решалась через МФЦ и чтобы это было безопасно.
Восстановление документов без уголовщины это обычная бытовая ситуация.
Само по себе 'восстановление документов' (в смысле, бумажных) выглядит как атавизм. Вообще достаточно файла(ов) на любом носителе, включая не электронные, со всеми нужным данными (фотографию, форму зубов, чего там еще хочется?), на который наложена ЭП от государства. "Заверено <дата>, <тем-то>, <из того-то учреждения>. Показанному верить до..." Потому что если подумать, то подавляющую часть функций, что выполняет бумажный бланк (что данные, да. именно такие, как государство думает и их никто не менял и не подделывал) -- ЭП отлично выполняет.
Единственное что сломается - что файлик можно скопировать и двух одновременно местах предъявить, в отличии от паспорта. Но и это решается (во всяком случае мне кажется, что лучше чем с бумажным паспортом), если задаться решением вопроса.
Кроме того, защищенный бумажный бланк - не такой уж и защищенный по современным меркам да еще и дорогой, как я понимаю.
Само по себе 'восстановление документов' (в смысле, бумажных) выглядит как атавизм.
Не хочется желать вам ситуации когда ничего бумажного у вас нет, а все ваши электронные данные в пропали по каким-либо причинам (пожар, наводнение, халатность и т.п.).
Точно, вот представьте себе ситуацию - проходит несколько лет, и в датацентры пенсионного фонда и налоговой проникает вирус, и уничтожает все данные (и кассеты ленточные тоже из сейфов вытаскивает, и тоже уничтожает, прямо на части рвёт ;) ).
Что делать будем? Бумажные трудовые книжки ушли несколько лет назад, справки о доходах мало кто сохраняет у себя в электронном виде, и еще меньше - получает их в бумажном. Банки, если что - тоже выписки только за 3 последних года дают.
Как убедить потом государство, что ты работал и платил налоги?
Так что пренебрегать "бумагой" не стоит, она позволяет по крайней мере пойти в суд с каким-то доказательством. И справки о доходах раз в 2-3 года получить заверенные тоже стоит.
в датацентры пенсионного фонда и налоговой проникает вирус, и уничтожает все данные
Именно поэтому все эти документы должны быть не только в пенсионном фонде, но и на флешках и прочих носителях информации самих граждан.
Так что пренебрегать "бумагой" не стоит, она позволяет по крайней мере пойти в суд с каким-то доказательством.
И я не зря там говорил про любой носитель. Документ с ЭП, если все правильно делать, можно и на бумаге изготовить. И он даже читаться человеком будет.
Мои возражения были именно про 'бумажный документ на спец-бланке'.
а все ваши электронные данные в пропали по каким-либо причинам (пожар, наводнение, халатность и т.п.).
Электронные данные, которые, как я описывал - в виде 'документ с ЭП государства', а не в виде 'запись в базе данных', я могу еще и сам по куче мест растолкать.
И бумажные документ в пожарах и потопах еще ловчее пропадают. Вот та ситуация, с которой я в обсуждение встрял - про это. Паспорт сгорел/утонул и у меня теперь головная боль по восстановлению. А почему я просто копию (бумажную, самостоятельно изготовленную) использовать не могу?
А почему я просто копию (бумажную, самостоятельно изготовленную) использовать не могу?
Пока нет необходимой инфраструктуры. Когда будет, можно будет с собой просто карточку с QR-кодом носить или помнить пожизненно выданный номер телефона личный код.
И у каждого полицейского, в каждом салоне связи, офисе банка и т.д. при считывании этого кода и обращении к ГосБазе будет высвечиваться ваше актуальное фото, ФИО, адрес проживания, сексуальные предпочтения и остаток денег на карточках...
Пока нет необходимой инфраструктуры. Когда будет, можно будет с собой просто карточку с QR-кодом носить или помнить пожизненно выданный
номер телефоналичный код.
Это подразумевает центральную базу данных. Чревато (такое, кстати, может произойти и с совершенно бумажным архивом и история говорит, что происходило). Я про вариант, когда документ бумажный, но содержимое защищено не всякими экзотическими бланками, а прямо тут же напечатанными контрольными суммами/ЭП. Что-то сменишь - перестанет сходиться. Копировать же без изменения можно на любом ксероксе. От этого, очевидно, интересующая государство информация (включая идентифицирующие признаки владельца), не меняется.
А с фото как быть при полном оффлайне? Самое-то важное - визуально оценить соответствие документа его предьявителю. ;)
В принципе, есть пара путей: первый - закодировать фото в машиночитаемый формат - типа большого QR-кода, и использовать какое-то специализированное сжатие, чтобы утоптать фото до 3-4 кБ в приемлемом качестве.
Или подписать подписью распечатанное фото, но такого я пока не видел - чтобы по обычной фотографии на бумаге или пластике формировался идентификатор (fingeprint), который вместе с ФИО и прочими данными будет заверен подписью, размещенной рядом в виде того же QR. И я не уверен, что этот идентификатор переживет копирование на любом ксероксе, после которого иногда и собственно фото не узнать.
Как-то так...
И в любом случае потребуется наличие техники (хотя бы смартфон с программой) во всех местах, где может потребоваться идентификация.
опирование на любом ксероксе
Ну имелся в виду тот ксерокс, что свою работу делает.
А так да - наверняка есть способ подписать не байты фотографии 'как картинки', а какой-то более сложный набор признаков, который с этой фотографии считывается.
Как там его... биометрический вектор.
Для той биометрии, что пытаются со всех снять, значит, умеют, а с фото - не могут? Не верю.
Биометрию граждане сдавать не хотят и не безосновательно. Я тоже не хочу и считаю что она не должна покидать моих устройств. Никаких серверных решений.
Уже вроде обсуждали. Если биометрия - это лечь в томограф (тут медицинская точность не нужна и можно умеренно дешевым обойтись) и еще полдюжины сложно копируемых и читаемых параметров, то имеет право на жизнь. Чтобы, значит, в случае утери всех документов доказать по этой центральной базе, что это ты.
А для быстрой кражи личности - такое непригодно.
Если один сотрудник оказался злыднем, то и два тоже могут вступить в сговор.
Ну вообще: Выбирать случайно сотрудника из какого-то другого случайного отделения, чтобы он через камеру и сканнеры на человека и паспорт посмотрел? Алгоритмы, основанные на случайном выборе - иногда умеренно полезны.
Но идентификация и авторизация действий гражданина в (около)государственных учреждениях - при всей нашей цифровизации - какая-то странно подвисшая проблема.
Очень странно. Фото в БД есть. Показать фото небольшому начальнику если он набрал полное ФИО + дату рождения можно без проблем.
И естественно рейт лимитер с логами и алертами повесить. Десяток граждан которые без документов и надо фото в сутки в деревне это очень странно и стоит разобраться.
если он набрал полное ФИО + дату рождения можно без проблем.
Излишне. Все что требуется - подтверждение "это вот тот же человек перед камерой крутится, что на фотографии или нет?"
Фотография сама приезжает со сканера, на который паспорт положили, без всякого поиска по ФИО.
Можно даже не нескольким людям отправлять.
Тут, кстати, придется признать, что биометрия, которую так не хочется, слегка помогает. С паспорта читаем номер (просто распознаем), а фотографию - из той самой централизованной базы тянем.
Потому что имеется некий смысл в паранойе "фотография-то человеку соответствует. А как проверять будем, что сотрудник, которому бланк паспорта с этой фотографией показали, не ошибся/не соврал, насчет того, что бланк - настоящий?"
А если нет паспорта? Потерять или испортить как-то паспорт до не читаемости это обычная ситуация.
А если нет паспорта?
А этот случай вообще странно сейчас устроен. Приходит некий человек, говорит, "Я ФИО, хочу паспорт восстановить."
Иии.... как, собственно, проверяется что он именно тот, за кого себя выдает? По каким-то древним фотографиям из паспортного стола, которые -дцать лет назад сделаны были?
Да, именно так.
Попробуют попросить любой другой документ для сверки, но если вообще все утонуло то именно по фото.
то именно по фото.
Где я 20-лет назад ну совершенно на себя сегодняшнего не похож. Или, наоборот, 'кто-то', который не я -- слишком похож, особенно если добавить немного грима.
Причем, судя по всему -- подтверждение, что 'да-да этот тот же самый человек' -- отдается на волю сотрудника который, как мы видим по новости, может и ошибаться/врать. А с учетом качества тех фотографий...
Ну... система, может, как-то и работает, но вопросы вызывает.
Добавляем паузу на восстановление документов по фото, недельку можно со справкой с минимальными правами пожить и уголовную ответственность за сознательный обман. И система будет работать.
В мире вообще много систем примерно так работает.
Где я 20-лет назад ну совершенно на себя сегодняшнего не похож.
Это вы так думаете ;) Тут в соседней теме immich затронули, так он прекрасно связал в единое целое фото моего сына в 1-2 года, в 7 лет и вплоть до современных. Я сам офигел.
Причем в массиве фотографий была куча других малышей и подростков - дети родственников и знакомых, просто случайные...
С временным удостоверением личности можно практически всё. ;)
Я даже симку по нему как-то успел купить, когда у меня паспорт потерялся (или украден был, непонятно). Хотя по виду просто тупая картонка с фото и печатью.
Ну Вы же можете прийти в любой МФЦ и восстановить доступ, если забыли пароль / потеряли доступ к телефону для СМС и пр. Значит, сотрудник МФЦ может сделать вид, что Вы пришли и он по Вашей просьбе провёл такое восстановление.
Конечно, тут бы не помешали повышенные стандарты для такой процедуры (обязательная видеофиксация, одобрение со стороны руководителя МФЦ) и срочное уведомление по всем контактам из профиля... может быть, даже ввести разрыв между обращением в МФЦ и сбросом пароля этак в сутки, чтобы получившая уведомление жертва успела среагировать и прервать процесс (но это не в реалиях, когда этот самый доступ из-за отсутствия мессенджера Макс на ровном месте блокируют).
Как делают в банках, без кода из СМС к твоему профилю никто из сотрудников банка доступа не имеет. Точнее к "чувствительной" информации из профиля.
Наверняка в банках есть и процедура на случай потери доступа к номеру телефона, когда просто проверяют личность по паспорту. От этого не уйти всё равно.
Да хоть мордой по сканеру возить - но нужно. А то из новости видно, что абсолютно ЛЮБОЙ Васян может открыть профиль ЛЮБОГО человека и скинуть логин/пароль без присутствия хозяина аккаунта.
Да нет, Васян же делает вид, что к нему в МФЦ пришёл хозяин аккаунта и попросил восстановить доступ. И такая процедура должна быть, безусловно, иногда же его действительно нужно восстанавливать. Но учитывая болезненность последствий - требования к проведению такой процедуры надо бы ужесточить. То же самое касается перевыпуска СИМок в офисах операторов - ещё один знатный вектор атаки, тоже зависящий от низкооплачиваемого Васяна...
В банке при совершении серьезной операции сотрудник под своим ключом сверяет личность, после этого зовет старшего, и тот тоже подтверждает операцию своим ключом. Это я наблюдал при своем обслуживании несколько раз. Конечно, атака "любой Васян в сговоре с Коляном" тоже возможна, но организуется сложнее и наказывается строже.
Ну это я выше и написал как одно из предложений. Хотя подозреваю, что в реальном мире начальнику МФЦ Коляну просто надоест со своей карточкой бегать подтверждать восстановления доступа всем Васянам и он её повесит на гвоздь где-нибудь на видном месте, чтобы сами брали :)
Коляну просто надоест
Тогда он получит "группой лиц по предварительному сговору".
да так.
оператор банка в звонке - может получить сведенья из карточки клиента, разные, но если эти данные не понадобились - у оператору будут вопросы.
работа оператора - фиксируется, буквально записывается скринкаст, и супервайзер - непосредственный начальник может услышать звонок и посмотреть какие поля карточки оператор открывал какие кнопки нажимал, и так каждый звонок!
Мочь то может, но
Он офигеет от количества однотипной работы, в одного может не вывезти. Как итог - выборочный контроль. И следовательно, есть вероятность что Васяна он не просмотрит, зато просмотрит 200 скринкастов Петь , Маш и тд. А только Васян промышляет. Но он хороший и не постоянно это делает.
Начальник может быть в доле и специально не смотреть Васяна, прикрывшись п.1.
Начальник - сам Васян =)
Я думаю руководители сами будут сильно не в восторге от "просмотра скринкастов", делающим их руководительскую работу похожей на работу охранника в торговом центре, сидеть и пялиться в экраны.
Ну вот, а вы всё жалуетесь, что в России всё дорожает!
Не понимаю один момент. Если предоставлялся доступ к портал госуслуг, то почему мошенники сразу не отключили самозапрет на получение кредита? Это же был бы логичный первый шаг. Видимо какие-то мамкины хацкеры делом занимались. Но то, что рандомный работник рандомного МФЦ может "подарить" доступ кому угодно это, конечно, жесть
del
У тестя таким же макаром кто-то успешно выполнил "восстановление пароля" в офисе МФЦ. То, что это МФЦ - видно по IP в аудите учётки. Благо ГосУслуги сразу заблокировали эту операцию
Я чет не понял каким способом давался доступ к чужому аккаунту? Через восстановление пароля или прямой диктовкой пароля?
Если второе, то мог ли он обойти 2FA. При восстановление вроде 2FA не требуется на госусллугах
Вообще пользователю должен быть доступен аудит своего профиля. Со срочным уведомлением: Васян из Урюпинска смотрит/редактирует твой профиль; обратитесь в губчк если что.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
В Югре задержали сотрудника МФЦ, продававшего незаконный доступ к аккаунтам на «Госуслугах»