Можен не надо использовать чатики для входа в госуслуги?
Можно, но тогда что использовать? Телефонию? Так у нее достоверность еще паршивее - невозможно сказать, с кем именно ты общаешься. Все равно на что-то заменить придется и придумать более отслеживаемый способ общения с государством. И вернемся туда же.
Откуда мне знать все эти тонкости, если телефон у меня для позвонить?
Все равно не убедительно. Потому что тот человек, что телефоном только для телефона используется - умеет софт искать. Которого хватает. И потому Смотрим сюда и считаем, сколько там , скажем, Windows в табличке встречается.
Развлекательность маленькая у описанных страданий. Ибо неубедительные.
гугл плей оказался недоступным без впн.
Тот же Aegis Authenticator и в RuStore есть. И 'Качать с трудом' и потом ставить надо было какой-нибудь f-droid и уже дальше из него целую пачку этих аутентификаторов поставить можно.
казалось бы - делаем мессенджер как API, API документируем и открываем, делаем приложение с открытыми исходниками, которое ходит на открытый API мессенджера,
И получаем кучу поделок от злодеев, которые очень похожи на правильное приложение, даже работают, но имеют недокументированные модификации/функционала, сделанные совсем не для пользы пользователя. И непонятно, как с такой опасностью бороться.
Ну да, закрытие исходников не очень помогает, но хотя бы явно говорит всем, кто хоть чуть слушает - "никаких сторонних клиентов не предусмотрено, не ставьте их откуда попало". Так что тут все сложно как-то.
В дополнении к той ссылке на само постановление, что я приводил выше, вот выжимка от "Консультанта": (выделение мое)
Так, со дня вступления настоящего постановления в силу предъявлять паспорт гражданина РФ через мобильное приложение Единого портала госуслуг можно, в частности, для:
подтверждения возраста покупателя алкогольной продукции, табачной продукции или никотинсодержащей продукции, безалкогольных тонизирующих или безалкогольных энергетических напитков, кальянов и устройств для потребления никотинсодержащей продукции, пиротехнических изделий и сжиженного газа;
подтверждения возраста посетителя музея и (или) зрелищного мероприятия;
установления личности гражданина РФ - отправителя или адресата (уполномоченного представителя) при приеме регистрируемых почтовых отправлений, при вручении регистрируемых почтовых отправлений и простых почтовых отправлений, адресованных до востребования.
"О применении мобильного приложения федеральной государственной информационной системы "Единый портал государственных и муниципальных услуг (функций)" в целях представления гражданами Российской Федерации сведений, содержащихся в документах, удостоверяющих личность гражданина Российской Федерации, либо иных документах, выданных гражданам Российской Федерации государственными органами Российской Федерации
Просто на это немного забили.
Ну и ни приложение Госуслуг, ни MAX полноценной заменой не является. Только местами.
Это предполагает, что я картой платить буду. Что в общем случае неверно.
А более сложные конструкции требуют уже всяких куаркодов.
Вот проблема-то.
Собственно, по большому счету даже ничего вводить не надо - сервисы и сейчас платежку с QR по ГОСТ Р 56042-2014 совершенно самостоятельно сгенерировать и прислать. И человеку ничего никуда вводить не придётся, только банковским клиентом в нее ткнуть. Но, разумеется, делать этого они не будут.
Надо - чтобы слало куда ты хочешь. Некую строку (дублированную QR-ом и ссылкой протокола payto:) которую можно банковскому приложению скормить и оплатить.
А то будет как с ЖКХ-ными счетами. Каждый банк регулярно спамит 'мы нашли счет, оплати через нас'.
Даже инфраструктура, в общем, есть - эти те же организации, что электронные чеки выписывают. Можно создавать такой же чек, но 'на оплату'.
Вот когда кто-то, написавший приложение что-то промтами покажет, что если скормить те же самые промпты в сетку версии N+2, то результат такой же с точки зрения пользователей и эксплуататоров приложения - тогда задача будет решена.
А пока - это все составление заклинаний (от чего половина народа зубами скрипит а вторая радуется). Так работает, эдак не работает, (почему - необъяснимо). Предсказать, будет ли или оно работать если по другому попросить или вылезет и тебя сожрет - с этим пока еще проблема.
А если предположить, что единицей хранения исходников проекта будет не текст кода, а цепочка промптов? А код проекта - это всего лишь компиляция этой цепочки.
Вот когда сетки научатся стабильно повторять по положенной в Version Control цепочке промптов созданный артефакт (в том числе и при смене версии сетки) - тогда такое рассуждение будет работать.
а придется пользоваться семантическими конструкциями ИИ.
Которые просто станут еще одним ЯП. Потому что с естественным языком: "ИИ, возьми список умных и красивых сотрудников и потом..." Тут союз 'и' - какой смысл имеет?
Попытку 'программировать' на естественном языке мы все у юристов в законах видим. Как-то не очень. Уж лучше бы какой-нибудь умеренно сложный формально-логический был, что выучить надо.
Конечно нужно устройство для подписывания приказов. Внешнее, аппаратное, без лишних интерфейсов.
Если оно без сетевых интерфейсов - то удобным оно не будет никогда. Если будет сетевой интерфейс - ничем не отличается от ноута со вставленным токеном. А монокултура по софту будет только способствовать успешности и интересу к атаке.
Имеет смысла, потому как мне совершенно всё равно что показывает приложение, мне важно какие приказы я отдаю банку. Какие документы подписываю.
Поэтому вам нужно хотеть не такого странного токена, что 'позволит без последствий войти в свой банк на контролируемом компьютере' а доверенного (и со всех сторон залоченного, включая физические интерфейсы) устройства от банка, на котором с банком и работать, без использования того самого 'контролируемого компьютера'.
У меня какие-то другие смарты, им на неделю заряда даже в тумбочке увы не хватает.
Я же сказал - выключенным. Не просто заблокированным, а максимально выключенным. Ну, подождать придется загрузки, прежде чем воспользоваться - это не сильно большая проблема.
Негодными решениями весь рынок завален - это верно.
Оно пригодно в своей области. Надо надежнее - пользуемся 'более нормальными' методами.
Давайте сразу оговоримся: я занимаю позицию человека который защищает десятки миллионов рублей,
В контексте российских банков этот пин на токен вообще не самое слабое место поэтому разницы нет.
И если хотеть улучшений - то не разные генераторы с циферками, что продиктовать можно, а такие, которые обмениваются всем нужным по каналам, что мошеннику отдать нельзя. И со встроенной клавиатурой для пина желательно, да.
а система, которая позволит без последствий войти в свой банк на контролируемом компьютере.
Не имеет смысла. Потому что тогда нельзя гарантировать, что приложение, которым на этом компьютере для доступа пользуешься, показывает то, что должно показывать. Да, если токен достаточно продвинутый - он покажет то, что ему на подпись отправили и можно будет сравнить Но это уже уж совсем продвинутый токен. (Смотри, кстати, Госключ - при всей своей странности он позволяет посмотреть, что подписываешь).
Давайте с другой стороны: у вас два смарта ?
Штук 5 плюс-минус два в зависимости от того считать ли заброшенные. Для телефона, для интернета, для банковского приложения, для бакапов всех эти аутентификаторов, для рабочих дел, для личных и так далее. Большая часть никогда SIM не видела и с собой не носится.
Заряжать их не так уж и сложно - они же большей частью выключены. Просто раз в месяц просто по календарю обслуживание делаешь. TOTP-ны точно так же будет в тумбочке валяться. И настоящий железный должен быть вот совсем удобней и дешевле, чтобы иметь смысл.
Одна известная компания, генераторы которых часто в пример приводят, так не считает. Ну или так - его в этих обсуждениях тоже достаточно часто ликовали. Или так - упомянутое (плюс-минус банковская карта) 'работает на кредитке'
Оно смысла мало имеет. Эти генераторы - второй фактор, сами по себе использоваться не должны. А всякие PIN-ы и пароли можно спросить в качестве первого фактора.
Уже сто раз объяснял. Тот, в котором злодею нельзя ничего сообщить (нормальным образом, без достаточно хитрых способов), что поможет ему в сервис войти. TOTP - костыль, хотя и удачный. Защищает только от подбора/угона паролей. Токен - от большего.
Если ваш смарт уже скомпрометирован он сможет отправлять данные, к примеру меняя яркость подсветки :).
У вас сценарии странные. Можно какой-нибудь не совсем шпионский? У меня получается придумать только в духе: Evil Maid заражает смарт трояном(кстати, как, если мы все отодрали?), который при помощи мигания экрана отправляет ключики злодеям? А просто украсть железку нельзя, чтобы жертва не сменила токены входа?
Ну вы же понимаете, что имея доступ к устройству получится в любом случае.
Имея доступ к устройству его никто не будет ломать. Прямо им и будут пользоваться, чтобы коды генерировать. Потому и сомнительно, что для TOTP генератора оно надо.
"сфотографируем память в электронном микроскопе, там ячейки с единицами другого цвета получатся и потом сграбим данные с картинки"
В 'правильных' защищенных хранилищах именно против такого и борются. Вот тут результаты про challenge по RP2350. Именно таким образом(одним из) их и сломали и для следующих поколений процессора они собираются меры принять, чтобы не получалось.
Тезис в том, что за эту цену можно перейти с TOTP на гораздо более надежный способ.
А так - любой старый смарт. В ту же стоимость на древнем 4.* андроиде выйдут. Если паранойя грызет насчет того что взломают - вскрыть и все антенны отодрать и выломать.
Можно, но тогда что использовать? Телефонию? Так у нее достоверность еще паршивее - невозможно сказать, с кем именно ты общаешься. Все равно на что-то заменить придется и придумать более отслеживаемый способ общения с государством. И вернемся туда же.
В телеге выгода от установки человеку такой подделки не настолько велика.
Все равно не убедительно. Потому что тот человек, что телефоном только для телефона используется - умеет софт искать. Которого хватает.
И потому Смотрим сюда и считаем, сколько там , скажем, Windows в табличке встречается.
Развлекательность маленькая у описанных страданий. Ибо неубедительные.
Тот же Aegis Authenticator и в RuStore есть.
И 'Качать с трудом' и потом ставить надо было какой-нибудь f-droid и уже дальше из него целую пачку этих аутентификаторов поставить можно.
И получаем кучу поделок от злодеев, которые очень похожи на правильное приложение, даже работают, но имеют недокументированные модификации/функционала, сделанные совсем не для пользы пользователя.
И непонятно, как с такой опасностью бороться.
Ну да, закрытие исходников не очень помогает, но хотя бы явно говорит всем, кто хоть чуть слушает - "никаких сторонних клиентов не предусмотрено, не ставьте их откуда попало".
Так что тут все сложно как-то.
В дополнении к той ссылке на само постановление, что я приводил выше, вот выжимка от "Консультанта": (выделение мое)
Не совсем так.
Смотри "Постановление Правительства Российской Федерации от 19.09.2025 № 1443" - это про приложение госуслуг.
Просто на это немного забили.
Ну и ни приложение Госуслуг, ни MAX полноценной заменой не является. Только местами.
Это предполагает, что я картой платить буду. Что в общем случае неверно.
Вот проблема-то.
Собственно, по большому счету даже ничего вводить не надо - сервисы и сейчас платежку с QR по ГОСТ Р 56042-2014 совершенно самостоятельно сгенерировать и прислать. И человеку ничего никуда вводить не придётся, только банковским клиентом в нее ткнуть. Но, разумеется, делать этого они не будут.
Вот не надо так. Совершенно лишняя интеграция.
Надо - чтобы слало куда ты хочешь. Некую строку (дублированную QR-ом и ссылкой протокола payto:) которую можно банковскому приложению скормить и оплатить.
А то будет как с ЖКХ-ными счетами. Каждый банк регулярно спамит 'мы нашли счет, оплати через нас'.
Даже инфраструктура, в общем, есть - эти те же организации, что электронные чеки выписывают. Можно создавать такой же чек, но 'на оплату'.
Ну да, именно так как сказано.
Вот когда кто-то, написавший приложение что-то промтами покажет, что если скормить те же самые промпты в сетку версии N+2, то результат такой же с точки зрения пользователей и эксплуататоров приложения - тогда задача будет решена.
А пока - это все составление заклинаний (от чего половина народа зубами скрипит а вторая радуется). Так работает, эдак не работает, (почему - необъяснимо). Предсказать, будет ли или оно работать если по другому попросить или вылезет и тебя сожрет - с этим пока еще проблема.
Вот когда сетки научатся стабильно повторять по положенной в Version Control цепочке промптов созданный артефакт (в том числе и при смене версии сетки) - тогда такое рассуждение будет работать.
Которые просто станут еще одним ЯП. Потому что с естественным языком: "ИИ, возьми список умных и красивых сотрудников и потом..."
Тут союз 'и' - какой смысл имеет?
Попытку 'программировать' на естественном языке мы все у юристов в законах видим. Как-то не очень. Уж лучше бы какой-нибудь умеренно сложный формально-логический был, что выучить надо.
Если оно без сетевых интерфейсов - то удобным оно не будет никогда. Если будет сетевой интерфейс - ничем не отличается от ноута со вставленным токеном. А монокултура по софту будет только способствовать успешности и интересу к атаке.
Поэтому вам нужно хотеть не такого странного токена, что 'позволит без последствий войти в свой банк на контролируемом компьютере' а доверенного (и со всех сторон залоченного, включая физические интерфейсы) устройства от банка, на котором с банком и работать, без использования того самого 'контролируемого компьютера'.
Я же сказал - выключенным. Не просто заблокированным, а максимально выключенным. Ну, подождать придется загрузки, прежде чем воспользоваться - это не сильно большая проблема.
Оно пригодно в своей области. Надо надежнее - пользуемся 'более нормальными' методами.
В контексте российских банков этот пин на токен вообще не самое слабое место поэтому разницы нет.
И если хотеть улучшений - то не разные генераторы с циферками, что продиктовать можно, а такие, которые обмениваются всем нужным по каналам, что мошеннику отдать нельзя. И со встроенной клавиатурой для пина желательно, да.
Не имеет смысла. Потому что тогда нельзя гарантировать, что приложение, которым на этом компьютере для доступа пользуешься, показывает то, что должно показывать. Да, если токен достаточно продвинутый - он покажет то, что ему на подпись отправили и можно будет сравнить Но это уже уж совсем продвинутый токен. (Смотри, кстати, Госключ - при всей своей странности он позволяет посмотреть, что подписываешь).
Штук 5 плюс-минус два в зависимости от того считать ли заброшенные. Для телефона, для интернета, для банковского приложения, для бакапов всех эти аутентификаторов, для рабочих дел, для личных и так далее. Большая часть никогда SIM не видела и с собой не носится.
Заряжать их не так уж и сложно - они же большей частью выключены. Просто раз в месяц просто по календарю обслуживание делаешь. TOTP-ны точно так же будет в тумбочке валяться. И настоящий железный должен быть вот совсем удобней и дешевле, чтобы иметь смысл.
Одна известная компания, генераторы которых часто в пример приводят, так не считает. Ну или так - его в этих обсуждениях тоже достаточно часто ликовали. Или так - упомянутое (плюс-минус банковская карта) 'работает на кредитке'
Оно смысла мало имеет. Эти генераторы - второй фактор, сами по себе использоваться не должны. А всякие PIN-ы и пароли можно спросить в качестве первого фактора.
Уже сто раз объяснял. Тот, в котором злодею нельзя ничего сообщить (нормальным образом, без достаточно хитрых способов), что поможет ему в сервис войти. TOTP - костыль, хотя и удачный. Защищает только от подбора/угона паролей. Токен - от большего.
У вас сценарии странные. Можно какой-нибудь не совсем шпионский?
У меня получается придумать только в духе: Evil Maid заражает смарт трояном(кстати, как, если мы все отодрали?), который при помощи мигания экрана отправляет ключики злодеям? А просто украсть железку нельзя, чтобы жертва не сменила токены входа?
Имея доступ к устройству его никто не будет ломать. Прямо им и будут пользоваться, чтобы коды генерировать. Потому и сомнительно, что для TOTP генератора оно надо.
В 'правильных' защищенных хранилищах именно против такого и борются. Вот тут результаты про challenge по RP2350. Именно таким образом(одним из) их и сломали и для следующих поколений процессора они собираются меры принять, чтобы не получалось.
Тезис в том, что за эту цену можно перейти с TOTP на гораздо более надежный способ.
А так - любой старый смарт. В ту же стоимость на древнем 4.* андроиде выйдут. Если паранойя грызет насчет того что взломают - вскрыть и все антенны отодрать и выломать.