Обсуждение новости: Банки отказываются от самописного ДБО в пользу профессионалов - Форум по вопросам информационной безопасности

> Хотя, после эпохального вступления в WTO, рулить будут именно такие "профи" и втыкать везде импортированные погремушки, лежавшие рядом с реальной криптографией


Ага. А еще - вы не поверите - системы ДБО не защищают от утечек по каналам ПЭМИН и не проводят анализ скрытых каналов. Да, и контроль отсутствия НДВ в операционных системах не требуют :)

В ДБО и в пластиковых картах, в отличие от гостайны, модель нарушителя не из пальца высосана, а основана на хорошем знании способов и средств атаки. К сожалению, фактического материала выше крыши. В системе с заведомо уязвимым рабочим местом пользователя ломать криптосистему будет только больной на всю голову отморозок.

А если сравнивать системы ДБО по стойкости к хакерским атакам - таки да, их есть весьма профессиональных, и много.

цит
В системе с заведомо уязвимым рабочим местом пользователя ломать криптосистему будет только больной на всю голову отморозок.

Значит пользователь пользует не ту-же криптосистему, что и банк?
Но криптосистему ломать хакер не станет?
тру-ля-ля и "Сам дурак"!


Вот такие "Профи" и будут учить нас жить по их правилам....
Идет бычек...шатается...

> Вот такие "Профи" и будут учить нас жить по их правилам...

"- Ни хрена не верю!
- А я тебя ни хрена и не убеждаю. Это факт."

Повторяю для тех кто в танке: для того, чтобы увести деньги со сччета клиента, ломать криптосистему не требуется. Достаточно получить доступ к компу пользователя с правами этого пользователя.

Если вы этого не понимаете - это ваши личные трудности.

На этом и строится вся отмазка со стороны банка
клиент - сам дурак
был невменяемым и предоставил полный доступ к системе дбо которая авторизовала его как железо и отдала средств больше чем было на его личном счете
клиент еще и должен будет!
"Если вы этого не понимаете - это ваши личные трудности."

А консультант это человек, получивший вопрос "Который теперь час" - забирает у спросившего часы, смотрит на них и отвечает.

ВСЕ системы ДБО в РФ ЭТО ВЕРХ ПРОФЕССИОНАЛИЗМА!
В них не предусмотрена защита от "Дурака".

Лучше бы их писали авторы АБС с элементарными знаниями в ИБ, а не запойные алкаши и не шулера с пятью тузами в колоде

Впредь Понятия не подменяем
Рельсы со шпалами не путаем

Тема была - Банки отказываются от самописного ДБО в пользу профессионалов - "Профессионалы" сказали все сами - их никто за язык не тянул...

Где то можно найти список банков использующих корпоративный клиент iBank2 ?

qwerfv 40229
"Пал Андреич - Вы шпион?"

Думаю можно найти если есть чем заплатить...или на что поменять
ну там Корвалана на Хулигана...

Кстати, вопросы чтобы не плодить темы:
1. если с моего счёта (или счёта организации) ушли деньги я (или организация) имеет право требовать от банка продемонстрировать платёжное поручение подписанное моим ключом. Есть у банка обязанность (на основании каких-либо документов а не доброй воли банкиров) такое предоставить.
2. Это платёжное поручение, оно в стандартном формате или у каждого банка своё? И если своё, то обязан ли банк раскрыть формат (опять таки по закону и не на основании доброй воли конкретного сотрудника)?
3. Это платёжное поручение случайно не шифруется сразу на открытом ключе банка? А если шифруется должен ли банк дать возможность расшифровать его так или иначе?
Простыми словами, может ли потерпевший достоверно определить что злохакеры использовали его закрытый ключ или должен верить представителям банка на слово: "Ваш компьютер сломали, мамой клянусь, вам что моего слова мало?!"

1. Да - положение Банка России №383-П, п. 1.23
2. Стандартного - см. там же
3. Не имеет значения, но как правило нет. Порядок хранения регистров бухгалтерского учета (в том числе - и платежных поручений) обязывает банк обеспечить воспроизведение и достоверность платежных поручений.

По последнему абзацу - см. ч. 15 статьи 9 ФЗ "О НПС". Если банк не может доказать, что платежное поручение отправлено непосредственно клиентом, он обязан возместить клиенту переведенную сумму. От клиента требуется только заявление о том, что деньги переведены без его ведома.

На практике все не так радужно. В случае споров банки будут настаивать на том, что ЭЦП - достаточное доказательство того, что платеж отправил сам клиент. Поэтому в случае судебных споров клиенту все равно придется приводить подтверждение того, что комп был взломан. Реально эта норма заработает только лет через 10, когда накопится судебная практика и по ней примет какое-то решение Пленум ВС.