Белинвестбанк - вопросы, ответы, советы по карточкам

spammer:

Что у Вас лично забрал банк, кроме как улучшил безопасность Ваших же денег?

Удобство.

spammer:

может быть Вам дополнительная безопасность и ни к чему, а вот я

Просто Ваши чаяния удачно совпали с новой политикой. Рад за Вас. Мои - нет.
А вот выбора нам не предоставили. Насильное осчастливливание рулит.

spammer:

На выбор клиента, как другого фактора авторизации.

Забудьте это еретическое слово - "выбор".

spammer:

улучшил безопасность Ваших же денег

Повторю для не следивших за дискуссией: защита от фишинга понизилась. Сейчас поддельная страница входа получает оба реквизита (логин и пароль), и вопрос доступа к деньгам - это минутный вопрос отжатия мобильника в тёмном переулке.
В старой схеме - даже при том, что пароль был псевдо-вторым фактором - было гораздо надёжнее: этот пароль пришлось бы добывать из Вас терморектальным криптоанализом, что гораздо дольше и сложнее простого гоп-стопа.

spammer:

На данный момент, выбор есть: CМС и почтовая авторизация.

Перечитайте несколько страниц. Это лишь имитация выбора между плохим и ещё худшим.
Кажется, никто из присутствующих не оспаривает необходимость второго фактора, особенно для расходных операций, и не призывает превратить ибанкинг в проходной двор.
Но реализация, превращающая рутинные операции в бег с препятствиями, радует, похоже, только Вас. Ну, и сотрудников банка, безопасников в первую очередь.

spammer:

andkh:

В старой схеме - даже при том, что пароль был псевдо-вторым фактором - было гораздо надёжнее: этот пароль пришлось бы добывать из Вас терморектальным криптоанализом, что гораздо дольше и сложнее простого гоп-стопа.

Ставим клавиатурный снифер и все Ваши псевдо-вторые факторы становятся далеко даже не псевдо, а так, просто пароль.

Для этого его нужно установить на моё устройство. А я не должен пользоваться виртуальной клавиатурой.
Но дело даже не в этом.
Снифер умеет читать мысли?
Или я настолько выживу из ума, что скормлю ему пароль, не получив от банка подтверждение в виде картинки?
 
Или это просто Вы не понимаете, о чём речь? Или понимаете, но умышленно соскакиваете с темы фишинга (от которого сейчас я защититься разумными средствами не могу: согласитесь, анализ сертификатов страницы к разумным средствам не относится) на тему чистоты клиентских устройств, за которой любой здравомыслящий клиент должен бы - ИЧСХ может, в отличие от! - следить самостоятельно?

LittleOne:

Брелок мне кажется удобнее

Ужас-ужас! Только не это. Как представлю ворох брелоков от всех ибанкингов, которыми пользуюсь...
Лучше уж приложение-генератор. Такое есть в БПСе; кажется, называется MibiPass. Впрочем, я выбрал заранее распечатанные сеансовые ключи (вернее, когда я открывал ибанкинг, выбора ещё не было).

Альтернативы второго фактора есть, их предостаточно. Но БИБ предпочёл мэйнстримовые решения: SMS и, скрепя сердце (читай: ограничив возможности), e-mail. Недостатки - и врождённые, и возникшие из-за кривой реализации - проблемы негров клиентов.
 
Лично мне наиболее универсальным представляется генерация OTP хэш-алгоритмом из секретного ключа (знает только банк), задающего числа ("номер карты кодов", известен* клиенту) и номера кода. Такой генератор можно зашить софтово в мобильное приложение, железно - в брелок, для технофобов - распечатать заранее сгенерированную карту кодов. В конце концов, даже по SMS его же можно присылать, если вычислять на стороне банка. И вот он - выбор. Каждый может подобрать канал по вкусу.
Но - увы... В меню только два блюда: "хавать, что дают" и "оставаться голодным".
-----
*Для безопасников-параноиков больше подходит вариант не сообщать его клиенту, а самостоятельно прошивать его в приложение-генератор и отдавать клиенту приложение, заточенное конкретно под него. Но такой вариант не позволит выложить приложение в общий доступ с тем, чтобы клиент мог самостоятельно его скачать и инициализировать под себя - например, после смены устройства.

andkh:

Или я настолько выживу из ума, что скормлю ему пароль, не получив от банка подтверждение в виде картинки?

Он запоминает все нажатия клавиатуры, лично ему вы ничего не кормите.

andkh:

его нужно установить на моё устройство.

Отжать тоже нужно ВАШЕ! устройство, а зная логин и пароль установить личность человека не очень просто.
Ну а фишинг в той же плоскости, что и "установить на мое" - не пользуйтесь не знакомыми WiFi и будете спокойны.

andkh:

должен бы - ИЧСХ может, в отличие от! - следить самостоятельно?

- еще раз, нулевая ответственность скоро, все "должен бы" отходят на другой план.

redbird:

я сейчас в роуминге.. все смски доходят без проблем

Верю. Не верят те, кто этим пользовался 3 раза и что-то пошло не так.

ssserega:

Vetali:

ssserega:

- в ограниченной версии системы «Интернет-банкинг» (запуск системы по коду сеансового ключа на e-mail) сняты ограничения на сумму выполнения расходных операций по переводу денежных средств с карточек на текущие (расчетные) и вкладные счета, открытые в ОАО «Белинвестбанк» в рамках одного клиента - физического лица, и операций по переводу денежных средств с карточек на карточки ОАО «Белинвестбанк», эмитированные в рамках одного клиента - физического лица;
- в ограниченной версии системы «Интернет-банкинг» (запуск системы по коду сеансового ключа на e-mail) повышен лимит на расходные операции по карточке (б/н платежи + переводы с карточки на карточку другого клиента и карточку другого банка) на общую сумму 5 000 000 бел.руб. в сутки.

Ну а теперь скажите, что мешает сделать тоже самое, но без СМС и мыла?

Я уже не раз говорил - ДОЛЖНА БЫТЬ двухфакторная аутентификация (не буду здесь описывать проблем безопасности, сописанных best practice, сделанных нами выводов и наблюдений и т.д. - слишком много займёт).
Если она вызывает неудобства - мы прислушиваемся к вам и стараемся сделать ее удобней, но отказываться не собираемся.
В дальнейшем, возможно внедрим еще каналы по доставке ключа пользователю.

Чем вам вариант с мылом то не угодил? Сидя в Интернете сложно e-mail просмотреть?

Как написали, она и была - пароль, ключевое слово. Вы, получается, ввели трехфакторную для мыла (с точки зрения пользователя) - пароль, пароль на почту, ключ.
А вот теперь смотрите - захожу в банкинг, сперва телефон перевожу в тихий режим (на работе - коллег не смущать, дома - детенка не пугать), жду СМС, (как правило приходит сразу, но...) ....минуту.... две... иду на почту, ввожу пароль в 15 символов, опять иду на банкинг, пробую заходить через почту, возвращаю телефон в рабочий режим, захожу в банкинг, и все это только для того, что бы закинуть на телефон 20000 рэ. Не находите, что как то сложновато? Мне, и большинству тут сидящих, через почту зайти сложнее, чем через СМС, засим вариант отваливается, остается только если мобильная связь рухнула или СМС заблудилась в воздухе. И где тогда альтернатива?
И вая эта система реально вызывает неудобства, и вы, хоть и пишете, что прислушаетесь, но как то ни как...

Да, я согласен, что кто то мог умудриться в банкинг заходить с чужих компом, интернет кафе, могла быть утечка паролей, увод денег, и СМС реально повышает безопасность, но, вы упорно игнорируете 2 вопроса:

1. Как будут приходить СМС 31 декабря.
2. Как ухудшится безопасность, если пользователь зайдет по паролю и ключевому слову, но при этом сможет только переводить деньги со своих карт на свои карты, проходить по сохраненным платежам...

spammer:

andkh, не драматизируйте, у пользователей большинства мобильный устройст подключен ящик к клиенту в телефоне. Стоит только прочесть уведомление. Ежели притянуть за уши пример, что "почта другая, не такая как аккаунт в телефоне и т.д." - есть пересылки. Вам банк пошел на встречу и отменил зверские лимиты, а вы начинаете садиться на голову.

Никто не драматизирует, я захожу в банкинг только со стационарного компа. Если у вас на мобилке открыта постоянно сессия с почтой, то, прошу прощение, какая это нафиг безопасность в плане получения ключа?

spammer:

Что у Вас лично забрал банк, кроме как улучшил безопасность Ваших же денег?

Точно так же, ответьте на вопрос 2

spammer:

На данный момент, выбор есть: CМС и почтовая авторизация.

Выбора нету, уже писалось. Через мыло - менее удобно, дольше по времени, да и с ограничениями, так, черный ход, если СМС не пришла.

spammer:

Ставим клавиатурный снифер и все Ваши псевдо-вторые факторы становятся далеко даже не псевдо, а так, просто пароль.

А) Есть виртуальная клавиатура.
Б) Вы считаете что СМС нельзя перехватить?

rubbish:

Подскажите, если в ИБ сберегательную карту заблокировать, будет ли она работать, как сберегательная, т.е. получать проценты каждый месяц? Нет ли ограничений на это дело, например, не будет ли банковских работников интересовать, почему карта часто блокируется-разблокируется?

% будет, ограничений ни каких не будет.
Сам так держу ВШ, разблокирую только чтобы пополнить или снять и снова блокирую.

redbird:

LittleOne:

spammer:

По делу. Есть ли в планах сделать что-то типа "Mobile Token Pass" или брелков для генерации OTP? На выбор клиента, как другого фактора авторизации.

Мне тоже это интересно, а пока от банка мы никакого ответа на этот вопрос не увидели.
Брелок мне кажется удобнее, чем недошедшие SMS в роуминге. Как и навязывание использования роуминга в принципе.
ssserega, хочется уже что-то от вас услышать и по этому поводу.

то естть брелок или что-то подобное реально интересно пользователям как опция? кому-то это еще надо?

Брелок таскать не очень хочется, а вот мобильное приложение-генератор кодов было бы неплохо.

Firefox 36.0.4

Выписка по карте, кнопки встык:

GUI+юзабилити, как миниум так (кнопки одинаковой ширины):

Владимир.Владимирович:

Ибанк: счета и вклады. Есть две карты: основная (BYR) и виртуон (Евро). Жму на евровой карте "перевод на карту" и получаю:

Без использования карточки запрещены операции перевода денежных средств с текущего (расчетного) счета с использованием карточки. Необходимо выполнять операцию перевода денежных средств с карточки.

Иду в "переводы", "У вас нет сохраненных переводов данного типа".
Как-то сложно, на мой взгляд...

Идите в карты, а не счета.
По сложности принято, подумаем

Владимир.Владимирович, попробуйте совершить перевод на вкладке "Карты", а не "Счета и вклады"