Риски использования криптокалькуляторов

Риски использования криптокалькуляторов
Некоторые банки для защиты своих систем ДБО от мошеннических действий в качестве строгой аутентификации предлагают своим клиентам использовать криптокалькуляторы (КК).



Следующие банки, используют эту технологию:
  • Номос-Банк
  • Московский индустриальный банк
  • Липецккомбанк
  • КредитУралБанк
  • Банк Приморье
КК – устройство, похожее на обычный калькулятор, в которое вставляется чипованная банковская карта и после ввода ПИН-кода выдается одноразовый цифровой пароль.
Каждому клиенту выдается (продается) устройство, которое и используется им для управления своим счетом.
Одноразовые пароли могут генерироваться следующими способами:
  • только ответ
  • запрос-ответ
  • по времени
  • по событию
  • любыми вышеперечисленными комбинациями
Первые два способа это наши случаи для входа в Клиент-Банк и для подтверждения платежей соответственно. Предположу, что в случае с КК коды вырабатываются следующим образом:
  • Код_аутентификации=Усечение(Функция(Номер_карты, Номер_попытки))
  • Код_подтверждения=Усечение(Функция(Номер_карты,Код_запроса, Номер_попытки))
Код аутентификации это код, подтверждающий существование клиента системы, код подтверждения это вариация для последующей ЭЦП.
Номер_карты вместе с ПИН-кодом преобразуется по известному алгоритму в хэш.
Номер_попытки это счетчик от 0 до N, после замены элемента питания опять 0. Допустим, генерация возможна до 1 000 000 попыток, далее, скорее всего, КК будет выброшен как устаревший. Всё равно у него срок эксплуатации, скажем, 5 лет.
Используемые алгоритмы на стороне сервера аутентификации и в КК криптографические, основанные на HMACс урезкой до нужного числа знаков и само собой одинаковые.

Плюсы:
  • В персональный компьютер, сеть, удаленную систему никогда не уходит постоянный пароль клиента.
  • Психологический, т.к. самая совершенная на сегодня защита.

Минусы:
  • Неудобство использования - нужно генерировать код для каждой транзакции.
  • Неудобство использования -  зависимость от «лишнего» устройства.
  • Дополнительные затраты на приобретение КК.

Риски:
  • Возможность атаки MitM. Чтобы парировать риски:
- должна быть доверенная среда, т.е. ОС, права доступа, антивирус и т.д., что не всегда возможно.
- должен быть доверенный канал связи и его шифрование, что также не всегда возможно.
  • Нет привязки КК к конкретному клиенту, а значит можно использовать любой КК, а не только выданный банком. Не является полностью риском,  парировать его нельзя в виду технологической особенности процесса.

Альтернативные, но более «слабые» технологии:
  • OTP-токены
  • Скретч-карты или чеки
  • Пароли по SMS
  • Виртуальные клавиатуры

Выводы:
На текущий момент времени КК предоставляют клиенту наиболее совершенную защиту при проведении платежей через систему Клиент-Банк.
Alt text

Устали от того, что Интернет знает о вас все?

Присоединяйтесь к нам и станьте невидимыми!

Евгений Шауро

Блог специалиста по информационной безопасности