एक बैंक के उदाहरण पर दो-कारक प्राधिकरण को लागू करना आवश्यक नहीं है, या क्यों उत्पाद प्रबंधक को सुरक्षा अधिकारियों से परामर्श करना चाहिए

चौथे वर्ष के लिए अब मैं एक बैंक का ग्राहक बन गया हूं। यूआई में जाम का एक गुच्छा हुआ करता था, जिसके बारे में मैंने बैंक को बहु-पृष्ठ समीक्षाएं लिखी थीं (और अब भी, प्रोग्रामर लागू नहीं कर सकते हैं कि कोई भी रूसी स्कूली बच्चा जो पहली बार कैलकुलेटर लिखता है: अर्थात्, दशमलव विभाजक और अवधि लें , और एक अल्पविराम), लेकिन Sberbank के बाकी और Raiffeisen की आशंकाओं के साथ तुलना में (ओह, ये जावा एप्लेट्स, हर बार कितने दोस्तों को ट्रांसफर करने के लिए जरूरी फोन करते हैं, वे खुद इसे समझ नहीं पाते हैं, आदि।) आँखों के लिए खुशी।

लेकिन, वास्तव में, पोस्ट हाल के "सुधार" से बाहर हो गया। एक या दो महीने पहले, बैंक में किसी व्यक्ति ने उपयोगकर्ता के इंटरैक्शन में सुधार करने और कुछ कार्यों के लिए एक-बार कोड भेजने का फैसला किया, एसएमएस के माध्यम से नहीं, बल्कि यूएसएसडी संदेश (अपडेट: या, जैसा कि टिप्पणियों में सुझाया गया है, संभवतः फ्लैश एसएमएस के माध्यम से, जो हालाँकि, यह मामलों में बदलाव नहीं करता है)। इधर रक्षा गिरने लगी।



USSD संदेशों का उपयोग कब शुरू हुआ:

1. मोबाइल डिवाइस पर प्रारंभिक लॉगिन पर।
2. मोबाइल ग्राहक के माध्यम से लेनदेन करते समय (उनकी पुष्टि करने के लिए)।

अन्य सभी मामलों में, एक पुराने-अच्छे एसएमएस का उपयोग एक-बार पासवर्ड भेजने के लिए किया जाता है।

क्या गलत है

यूएसएसडी के उद्देश्य को समझना महत्वपूर्ण है। यूएसएसडी सेवा का उपयोग करने की मुख्य दिशा ग्राहकों को अनुप्रयोगों से अतिरिक्त जानकारी प्राप्त करने और इन अनुप्रयोगों का प्रबंधन करने का अवसर प्रदान कर रही है। यही है, संतुलन का पता लगाएं, कार्यों की एक श्रृंखला करें (मेनू के माध्यम से जाएं), किसी प्रकार की सेवा का आदेश दें।

मुख्य बिंदु यह है कि यूएसएसडी को (लेकिन इस बैंक में नहीं) एक विशिष्ट डिवाइस पर उपयोगकर्ता द्वारा पहल की जानी चाहिए (यानी, उपयोगकर्ता को उस समय डिवाइस को अपने हाथों में पकड़ना चाहिए)। ऐसा इसलिए है क्योंकि यूएसएसडी वास्तव में, एक अलार्म चैनल है जिसमें संदेशों का त्वरित रूप से आदान-प्रदान किया जाता है और एसएमएस के विपरीत, यूएसएसडी में एक मध्यवर्ती डेटाबेस नहीं होता है। सीधे शब्दों में कहें, वे कहीं भी संग्रहीत नहीं हैं और "यहां और अब" दिखाई देते हैं, तुरंत वितरित किए जाते हैं।

एक तरफ, सब कुछ ठीक है: एक बार का पासवर्ड किसी भी डेटाबेस में सहेजा नहीं जाएगा, यह एसएमएस की तुलना में तेजी से आएगा, संपूर्ण संवाद एक सत्र के भीतर आयोजित किया जाता है, आपको एसएमएस में मोबाइल एप्लिकेशन से बाहर निकलने की आवश्यकता नहीं है (यूएसएसडी इंटरफ़ेस के शीर्ष पर दिखाई देगा)। लेकिन एक बात है, इस तथ्य के कारण कि यूएसएसडी संदेश कहीं भी संग्रहीत नहीं किया जाता है, यह किसी भी इंटरफ़ेस के शीर्ष पर और तुरंत प्रदर्शित होता है (जैसा कि ऊपर की तस्वीर में है; भगवान मना करते हैं, स्पैमर्स यूएसएसडी के माध्यम से अपने "पत्र" भेजना शुरू करेंगे)। यदि यह अभी तक स्पष्ट नहीं है, तो यूएसएसडी संदेश तब भी दिखाया जाएगा जब आपका फोन एक पासवर्ड (एसएमएस पाठ, और इसके साथ एक बार का पासवर्ड, लॉक किए गए फोन के साथ पढ़ा नहीं जा सकता), कम से कम आईओएस पर और, जैसा कि टिप्पणियों का सुझाव है, पर विंडोज फोन

इसलिए, यदि कोई हमलावर अचानक आपके सामान्य पासवर्ड का पता लगाता है और उसी समय आपके फ़ोन पर 5 सेकंड के लिए भौतिक पहुँच होती है (उदाहरण के लिए, आपने उसे टेबल पर छोड़ दिया और छोड़ दिया), तो वह मोबाइल बैंक में लॉग इन कर सकेगा। भले ही आपका फोन पासवर्ड प्रोटेक्टेड हो। और उसे यूएसएसडी संदेश को हटाने की भी आवश्यकता नहीं है, क्योंकि यह फोन पर कहीं भी सहेजा नहीं जाएगा, लेकिन जब आप डिस्मिस बटन दबाते हैं तो बस गायब हो जाएगा। फिर से, इस तथ्य के कारण कि संदेश जबरन प्रदर्शित किया जाएगा (एसएमएस खुद ही नहीं खुलेगा जबकि आप, उदाहरण के लिए, खेलते हैं), आप बस फोन के पास हो सकते हैं (हालांकि, इस मामले में, पीड़ित को कुछ संदेह होगा, क्योंकि उसने पहल नहीं की थी संदेश)।

उपयोगकर्ता की सुविधा के लिए दो-कारक प्रमाणीकरण के लिए अपवाद कभी न बनाएं

क्या आपको लगता है कि यह समस्या का अंत है? बातचीत विभाग से किसी ने "सरल" सेवा को और अधिक सुविधाजनक बनाने का फैसला किया। उन्होंने कहा, "उपयोगकर्ता द्वारा पहली बार आवेदन करने के बाद केवल एक बार पासवर्ड दर्ज करने के लिए कहें।" उन्होंने कहा, लेकिन यह नहीं सोचा: क्या होगा यदि यह उपयोगकर्ता अपने टैबलेट / फोन के माध्यम से अपने व्यक्तिगत खाते में प्रवेश नहीं करता है? यदि यह हमलावर का उपकरण था, तो अब इसमें लॉग इन करना सामान्य उपयोगकर्ता के पासवर्ड (दो-कारक प्रमाणीकरण का अनुरोध नहीं किया जाएगा) को जानने के लिए पर्याप्त होगा।

परिणामस्वरूप, अब एक उत्कृष्ट योजना बन रही है:
1. हम दो-कारक प्रमाणीकरण (प्रकार के) का परिचय देते हैं।
2. हम यूएसएसडी के माध्यम से वन-टाइम पासवर्ड भेजेंगे, एसएमएस नहीं, ताकि कोड को एक बंद कंप्यूटर पर भी देखा जा सके। विंडोज 8 और एंड्रॉइड पर वर्तमान क्लाइंट के लिए सही, लेकिन पहले से ही आईओएस के लिए क्लाइंट के नवीनतम संस्करण के लिए तय किया गया है।
3. हम एक बार के पासवर्ड के लिए नहीं पूछेंगे यदि हमने डिवाइस पर कम से कम एक बार दो-कारक प्रमाणीकरण का उपयोग किया है (अर्थात, हम एक विशिष्ट डिवाइस के लिए दो-कारक प्रमाणीकरण को औपचारिक रूप से अक्षम कर देंगे)।
4. आइए पीड़ित व्यक्ति को हमारे डिवाइस के माध्यम से जाने और उसका पासवर्ड पता करें (सॉफ्टवेयर के बारे में एक अद्भुत फिल्म थी जो चश्मे या कीलॉगर में चश्मे को मिरर करके "डायल किए गए पासवर्ड को हटाता है")।
5. लाभ!

निष्कर्ष

1. जब समान व्यवहार होता है, तो कम से कम आईओएस और विंडोज फोन में हमेशा वन-टाइम पासवर्ड ट्रांसफर करने के लिए एसएमएस (और केवल एसएमएस) का उपयोग होता है।
2. यदि उपयोगकर्ता पहले से ही दो-कारक प्राधिकरण के लिए सहमत हो गया है, तो हमेशा इसका उपयोग करें (पहले लॉगिन के बाद इसे अलग-अलग उपकरणों के लिए अक्षम न करें यदि उपयोगकर्ता ने अपना "प्रोफ़ाइल" छोड़ दिया है)। यह यूएसएसडी के रूप में पासवर्ड भेजने की तुलना में सुरक्षा नीति का अधिक गंभीर उल्लंघन है (इस मामले में, आपको कुछ भी भेजने की आवश्यकता नहीं है)।

बैंक, यदि वह, टिंकोवा। इसलिए नैतिक, यदि यह सब आपको परेशान करता है, तो केवल वेब-फेस का उपयोग करें (हमेशा केवल एसएमएस आता है और दो-कारक प्रमाणीकरण हमेशा होता है)। जैसा कि समर्थन उत्तर देता है: "फिलहाल, उचित बदलाव करने के लिए, दुर्भाग्य से, संभव नहीं है।" मुझे उम्मीद है कि यह पोस्ट किसी दिन "प्रासंगिक परिवर्तन" की प्राथमिकता "किसी दिन, अगर समय" से "तत्काल" तक बढ़ जाएगी।

अपडेट: टिप्पणियों में एक बैंक कर्मचारी ऐसे सुरक्षा उल्लंघनों को "संदिग्ध कीड़े" मानता है और किसी भी डिवाइस पर विचार करने के लिए सामान्य मानता है जहां आपने कम से कम एक बार एक पुष्टिकरण कोड दर्ज किया है (आप किसी और के टैबलेट / फोन का उपयोग कभी नहीं करेंगे)। अच्छा है कि किया।