19.08.2016, 15:37:31
Войти Зарегистрироваться
Авторизация на сайте

Ваш логин:

Ваш пароль:

Забыли пароль?

Навигация
Новости
Поход в Холодный Яр

Если вы ищете, чем заняться в выходные, любите походы и природу Украины, то вероятно вам понравится поход. Поход в Холодный Яр, если точнее. Холодный

Увлекательный тур пешком по Карпатам

Украина самая большая страна Европы с неплохой инфраструктурой и разнообразием ландшафта. Здесь действительно есть, что посмотреть, от памятников славянской старины до изумительных природных красот.

Бизнес план кредитного потребительского
Финансовый рынок нашей страны довольно развит, что в общем-то характерно для государств всего мира с развитыми или развивающимися экономики. Но потребности в финансовых услугах все равно, в значительной

Бизнес онлайн от сбербанка
Услуга Сбербанк бизнес онлайн от Сбербанка России – это новая, уникальная и, несомненно удобная возможность для предпринимателей и юридических лиц управлять своими счетами в банке, а также проводить необходимые

Кредит круглосуточно
Кредит является довольно популярным экономическим термином, который употребляют в своей речи люди разного возраста, пола, вероисповедания, социального положения и так далее. Слово это имеет разные значения,

Перевод диплома
Приветствую всех читателей моего блога. Как и обещал, начинаю вновь публиковать интересные и актуальные статьи о сфере ЖКХ. Наиболее актуальная тема последних дней – это уборка снега на дворовой

Фильмы в качестве 2020
Пока страна ждёт фильм «Купала» – амбициозный проект Национальной киностудии о судьбе народного поэта, – мы встретились с его автором Владимиром Янковским. Режиссёр и актёр из знаменитой

Тамада или ведущий на свадьбу
Не стоит, наверно, говорить, что все празднования и свадьбы без тамады просто не могут существовать о приоре. И ведущий на корпоратив тоже обязателен. Кто с этим не согласен, то пусть побывает хоть на

Домашний интернет
Современный человек, априори, не может прожить без интернета. Это и работа и учеба и развлечение и общение. Хотя подключить интернет сегодня и не проблема, но качество подключения, как и дальнейшее предоставление

Система dwh
Неуклонный рост производительности производственных и управленческих процессов напрямую связан с широким внедрением информационных технологий. Существенную роль в данном процессе играет система dwh, внедрение

Архив новостей
Реклама
Календарь событий
Right Left

Про багатофакторної аутентифікації і не тільки

Ринок систем аутентифікації в фінансових установах демонструє сьогодні парадоксальну консервативність, незважаючи на запуск Єдиної біометричної системи і зростання інтересу банків до біометрії в цілому

Ринок систем аутентифікації в фінансових установах демонструє сьогодні парадоксальну консервативність, незважаючи на запуск Єдиної біометричної системи і зростання інтересу банків до біометрії в цілому. Будь-яких принципових змін в системах ДБО не викликають навіть регулярно підвищувати операторами мобільного зв'язку тарифи на розсилки SMS-повідомлень для банків. До таких висновків приходить Павло Есаков, експерт по системам аутентифікації компанії CompuTel System Management.

Курйозні речі іноді мають під собою якусь цілком певну підгрунтя. Аутентифікація - один з наріжних каменів безпеки. Зауважимо, що дуже часто має місце підміна понять: дуже часто, навіть в банківському секторі, йдуть розмови про необхідність саме ідентифікації клієнта.

На щастя, для банків ця необхідність явно надумана - клієнт, як правило, не приховує свої ідентифікаційні дані (наприклад, називає своє прізвище, ім'я, по батькові при візиті до відділення). Банку всього лише необхідно упевнитися в тому, що надана інформація про особу достовірна. І якщо у відділенні банку наступні процедури операціоніста з перевірки достовірності повідомлених клієнтом ідентифікаційних даних строго регламентовані (і при цьому уніфіковані у всіх банках), то в разі надання банківських послуг в дистанційному режимі кожен банк практично діє так, як вважає за потрібне. Справа в тому, що в Росії поки відсутній будь-який виразний документ, що визначає вимоги до системи аутентифікації при наданні банківських послуг в віддаленому режимі.

Скажімо прямо, російські банки не балують своїх клієнтів різноманітністю систем аутентифікації при наданні фінансових послуг в системах ДБО. Пальців на одній руці вистачить, щоб перерахувати всі найбільш часто застосовуються інструменти: в роздробі це одноразовий пароль по SMS, для корпоративних клієнтів - той або інший різновид посиленою кваліфікованої підпису. Це може бути USB-токен з не вилученими ключем, а може бути і програмна реалізація посиленою кваліфікованої підпису, ключ якої може знаходиться як на зовнішньому носії, так і зберігатися на жорсткому диску комп'ютера, який відповідає за функціонування корпоративного інтернет-банку.

Який же в ідеалі повинна бути система аутентифікації? Відповідь очевидна - безпечної, зручної та недорогої. На жаль, можна вибрати лише два якості з наявних трьох: зручна і недорога система аутентифікації не будуть безпечними, в чому можуть на ділі переконатися клієнти російських банків.

Багато регуляторів у фінансовій сфері, з огляду на зростання кількості незаконних переказів банківських коштів в системах ДБО, прийшли до необхідності введення вимог, а іноді і стандартів для систем аутентифікації в рішеннях для дистанційного керування рахунком - прикладом може послужити документ RTS SCA (Regulatory Technical Standards Strong Customer Authentication ) Євросоюзу. Будь-який експерт в області аутентифікації скаже, що для підтвердження особи користувача і підтвердження транзакції необхідне використання багатофакторної аутентифікації. Число факторів невелика - всього три:

  • Фактор знання (те, що знаю я (і тільки я) - пароль, кодова фраза);
  • Фактор володіння (то, що є у мене (і тільки у мене) - ключ від сейфа, карта доступу);
  • Біометричний фактор (те, що притаманне мені від народження - відбитки пальців, особа, голос і маса інших ознак).

Як правило, для забезпечення безпеки достатньо використання двох з трьох. І якщо з використанням перших двох факторів: фактора знання і фактора володіння питань практично не виникає, то третій фактор - біометричний, оповитий масою міфів і домислів. Почнемо з того, що іноді можна почути про те, що банк використовує двухфакторную біометричну аутентифікацію, що є явний нонсенс: багаторазове використання одного і того ж фактора не робить аутентифікацію багатофакторної. Так, біометричної аутентифікації властива многомодальним: у людини маса біометричних ознак, даних йому природою. Правда, треба віддавати собі звіт, що використання всіх цих біометричних ознак:

  • носить імовірнісний характер;
  • біометричні ознаки в режимі дистанційного обслуговування можуть легко відчужуватися (можна пред'явити відео або фото клієнта, отримане без його відома, можна підробити і голос). Слід, однак, відзначити - в разі динамічної біометричної аутентифікації (яку використовує ЕБС) останнім стає досить складним.
  • посилення вимог до якості аутентифікації клієнта обов'язково підвищує ймовірність того, що клієнт не буде аутентифікований;
  • сама схема біометричної аутентифікації набагато розширює вектор можливих атак на систему аутентифікації (бажаючі можуть познайомитися з документом NIST по темі біометричної аутентифікації по посиланню https://pages.nist.gov/SOFA/SOFA.html ).

Тема біометричної аутентифікації стала настільки широко обговорюваної, що на цій хвилі не могли не з'явитися компанії, які використовують даний інформаційний привід для створення інтересу до свої продуктам, які часто взагалі не мають відношення до аутентифікації. Так, дуже часто стали говорити про аутентифікації на основі ризиків (Risk Based Authentication). Придивившись до такого методу аутентифікації, неважко помітити наступне - пропонується поєднати в одному рішенні три абсолютно незалежні технології:

  • поведінкову біометрії;
  • контроль за використовуваним для входу в систему ДБО пристроєм;
  • аналіз транзакційних ризиків.

Поведінкова біометрія заснована на ідеї контролю за тим, як, якою швидкістю ви працюєте з клавіатурою, як переміщаєте курсор. Імовірність правильної аутентифікації клієнта досить невисока, та й занадто багато факторів впливають на швидкість роботи з клавіатурою і мишкою: час доби, умови освітлення, ваше фізичний і психологічний стан - але, тим не менш, це дійсно використання біометричного аутентификационного фактора, хоча в даному випадку вельми ненадійного.

У другому випадку передбачається, що клієнт банку використовує завжди (або переважно) одне і теж пристрій для дистанційного керування рахунком, і в тому випадку, якщо це так, і наприклад, ви працюєте з того ж IP-адреси, що і раніше, а ваші географічні координати ті ж, що і раніше, то пропонується відмовитися від використання другого чинника - наприклад, не посилати SMS-пароль, тим самим спростити процес аутентифікації і заощадити гроші банку. Говорячи строго, дана технологія ніяк не пов'язана з аутентифікацією вас як клієнта банку. Більш того, маса атак в системах ДБО використовує технологію віддаленого доступу до комп'ютера легального клієнта: для проведення атаки буде використаний той же комп'ютер, ті ж геолокаційні дані і той же IP-адресу легального клієнта. У цих умовах вищеописаний механізм може надати вам ведмежу послугу, спростивши завдання для шахрая.

Аналіз транзакційних ризиків - дуже корисний механізм, але, на жаль, до аутентифікації він теж ніякого відношення не має. Зрозуміло, що транзакції, що несуть малий рівень ризику, банк може виконати і без підтвердження від клієнта - це спрощує життя клієнта, хоча і вимагає наявності системи оцінки ризиків на стороні банку. Які транзакції несуть найнижчі ризики? Це переклади по шаблонах, переклади довіреною постачальникам, переклади податковим органам, так і просто транзакції на малі суми. Саме такий підхід і дозволяє створити систему аутентифікації, яка буде одночасно зручна і безпечна. Але практично відсутні банки, які можуть надати таку систему в дії. Багато банків використовують для оцінки транзакційних ризиків системи ризик моніторингу, але тільки одиниці можуть похвалитися тим, що результат оцінки ризику враховується в системі аутентифікації ДБО. До того ж завдання фрод-моніторингових систем не цілком збігаються з завданнями системи оцінки транзакційних ризиків.

В цілому, треба відзначити, що склалася картина на ринку систем аутентифікації в фінансових установах свідчить про те, що навіть регулярно підвищувати операторами мобільного зв'язку тарифи на розсилки SMS-повідомлень для банків так і не викликали будь-яких змін в системах ДБО.

Експертам відсутність реальної реакції банків в цьому відношенні бачиться помилковою, особливо з точки зору подальшої непередбачуваності «тарифного свербіння» компаній мобільного зв'язку.

За матеріалами PLUSworld.ru

Який же в ідеалі повинна бути система аутентифікації?
Які транзакції несуть найнижчі ризики?