Белинвестбанк - вопросы, ответы, советы по карточкам

ssserega, в целях улучшения

выписка по карте, вид операции - перевод с карты на карту, графа - номер карты.

зачем писать тут номер карты, если я выбираю выписку по определенной карте?

Может лучше тут писать номер карты с какой или на какую делается перевод?

UPS - при приходной операции номер карты, с которой происходит перевод, пишется. Отсутствует указание номера карты, на которую делается перевод, при расходной операции

Simca:

Вопрос в том ЧТО подписывает OTP?!?!?!

Да тут на каждой странице разговор о том, что подтверждать нужно активные операции, и только их. Но у безопасников БИБа, похоже, свой взгляд на вещи. Их можно понять: их работа - банка прикрывать, а не клиента. А тут всё чисто:

Simca:

с точки зрения банка все легитимно, ибо все операции идут из под авторизованной с помощью OTP сессии

Как правильно перевести оплату SMS оповещений на другую карту ? Деньги списывают вперед или по факту в начале месяца за предыдущий? Вчера уже списали, на след месяц хочу перевести оплату на другую карту, надо ли ждать конца месяца, или можно сделать сейчас?

Vetali:

У вас на счету 1.000.000.000 фунтов лежит?

Скажите мне, вот у вас холодильник со жратвой так сказать. Но для того, что бы открыть дверь, вы получаете сеансовые ключи от продавца, пишете заявление директору LG, при чем лично его передаете в руки, неделю ждете ответа, потом согласовываете с сервисным центром.... внимание, вопрос! И нахрен такой холодильник?

Безопасным априори ничего не может быть. С помощью того же утюга и кипятильника, вы расскажите все пароли и подскажите ориентир где забрать ваши кровные... Всегда Нужен Баланс! Но сейчас в БИБе, ИМХО, он неоправданно сдвинут в параноидальную сторону. Как по мне, нравится все что сделали, за исключением мелких моментов, которые в скором временем поправят, и СМС, которая в некоторых случая просто не нужна и приводит к банальной трате времени.

Это Ваше мнение. Но в случае инцидента и пропажи даже самой малой суммы банк тратит огромные ресурсы на отработку каждого такого случая. Поэтому мы себя параноиками не считаем.

Vetali:

У вас на счету 1.000.000.000 фунтов лежит?

Значительно менее, НО сумма для меня более чем существенная! И потеря этих средств будет для меня весьма болезненной.

Vetali:

Скажите мне, вот у вас холодильник со жратвой так сказать. Но для того, что бы открыть дверь, вы получаете сеансовые ключи от продавца, пишете заявление директору LG, при чем лично его передаете в руки, неделю ждете ответа, потом согласовываете с сервисным центром.... внимание, вопрос! И нахрен такой холодильник?

Такой холодильник - нафиг не нужен. НО (!) мы сейчас о БАНКЕ а не о холодильнике! А в банках люди порой держат, вы не поверите, ДАЖЕ все свои накопления.
Если для Вас банк=холодильник, то согласен, персонально вам идеальным будет вход вообще без пароля (как в холодильник). Это не наезд - так, шутка.

Vetali:

Безопасным априори ничего не может быть. С помощью того же утюга и кипятильника, вы расскажите все пароли и подскажите ориентир где забрать ваши кровные... Всегда Нужен Баланс! Но сейчас в БИБе, ИМХО, он неоправданно сдвинут в параноидальную сторону. Как по мне, нравится все что сделали, за исключением мелких моментов, которые в скором временем поправят, и СМС, которая в некоторых случая просто не нужна и приводит к банальной трате времени.

Тут уже чистая демагогия. Еще раз повторю: "либо безопасность есть, либо ее нет"! Псевдобезопасность - злейшее зло!
С чем могу согласиться, оптимальным было бы (если это допустимо со стороны банка) чтобы уровень безопасности (и соответственно ответственности банка) мог выбрать сам клиент.
Если для тебя банк=холодильник и там только деньги на кефир - выбираешь вход по голому паролю и соглашаешься с тем что в случае чего банк тебе вообще ничего не должен.
Если же держишь в банке "все что нажито за всю жизнь непосильным трудом" - выбираешь максимальную защиту до параноидальности и мониторишь состояние счета ежечасно исключительно наиуникальнейшими одноразовыми ключами получаемыми наинадежнейшим способом.

Simca:

оптимальным было бы (если это допустимо со стороны банка) чтобы уровень безопасности (и соответственно ответственности банка) мог выбрать сам клиент.

Боюсь, законодательство не позволит таких вольностей. А оно у нас имеет приоритет над договором, поэтому любое хоть трижды добровольное соглашение между банком и клиентом будет признано ничтожным, если противоречит законодательству.

Simca:

Vetali:

У вас на счету 1.000.000.000 фунтов лежит?

Значительно менее, НО сумма для меня более чем существенная! И потеря этих средств будет для меня весьма болезненной.

Ну для меня утечка и 1.000.000 в белках критична

Simca:

Vetali:

Скажите мне, вот у вас холодильник со жратвой так сказать. Но для того, что бы открыть дверь, вы получаете сеансовые ключи от продавца, пишете заявление директору LG, при чем лично его передаете в руки, неделю ждете ответа, потом согласовываете с сервисным центром.... внимание, вопрос! И нахрен такой холодильник?

Такой холодильник - нафиг не нужен. НО (!) мы сейчас о БАНКЕ а не о холодильнике! А в банках люди порой держат, вы не поверите, ДАЖЕ все свои накопления.
Если для Вас банк=холодильник, то согласен, персонально вам идеальным будет вход вообще без пароля (как в холодильник). Это не наезд - так, шутка.

Все зависит от внешних факторов. Поверьте, если вы окажитесь на необитаемом острове, то холодильник для вас будет гораздо желаннее, чем банкинг с "нажитым непосильным трудом"

Simca:

Vetali:

Безопасным априори ничего не может быть. С помощью того же утюга и кипятильника, вы расскажите все пароли и подскажите ориентир где забрать ваши кровные... Всегда Нужен Баланс! Но сейчас в БИБе, ИМХО, он неоправданно сдвинут в параноидальную сторону. Как по мне, нравится все что сделали, за исключением мелких моментов, которые в скором временем поправят, и СМС, которая в некоторых случая просто не нужна и приводит к банальной трате времени.

Тут уже чистая демагогия. Еще раз повторю: "либо безопасность есть, либо ее нет"! Псевдобезопасность - злейшее зло!
С чем могу согласиться, оптимальным было бы (если это допустимо со стороны банка) чтобы уровень безопасности (и соответственно ответственности банка) мог выбрать сам клиент.
Если для тебя банк=холодильник и там только деньги на кефир - выбираешь вход по голому паролю и соглашаешься с тем что в случае чего банк тебе вообще ничего не должен.
Если же держишь в банке "все что нажито за всю жизнь непосильным трудом" - выбираешь максимальную защиту до параноидальности и мониторишь состояние счета ежечасно исключительно наиуникальнейшими одноразовыми ключами получаемыми наинадежнейшим способом.

Тогда безопасности нету. Исходите из этого. Всегда есть возможность деньги достать... храните их тогда на депозитных счетах без банкинга и привязанной карточки. Так, вопросик, как у вас могут увести деньги, если возможен перевод в вашей карточки только на вашу, сохраненные платежи ЕРИП?

xumerra:

Vetali:

Как можно увести деньги через оплату коммуналки, переводов со своей карты на свою? Ответ - никак, и для таких операций гораздо удобнее было бы что бы пользователь заходить в банкинг по упрощенной схеме ))

Перегонять с валютной на рублевую и обратно, пока нечего будет перегонять
Правда банк в этом случае не в обиде.

То есть, вы считаете, что "злой разбойник" будет взламывать ваш комп только для того, что бы погонять ваши деньги взат-вперед с карты на карту, что бы обнулить остаток?

Vetali:

Тогда безопасности нету. Исходите из этого. Всегда есть возможность деньги достать... храните их тогда на депозитных счетах без банкинга и привязанной карточки. Так, вопросик, как у вас могут увести деньги, если возможен перевод в вашей карточки только на вашу, сохраненные платежи ЕРИП?

Безопасность есть, когда она выполняет возложенные на нее функции! Задача OTP гарантировать что КОНКРЕТНАЯ операция авторизована КЛИЕНТОМ. Применение утюга в отношении клиента не входит в зону ответственности OTP-авторизации. Поэтому давайте не будем тролить тему, а будем обсуждать по существу.
Второй фактор нужен чтобы всю инфу для входа нельзя было (каким-либо способом) выудить непосредственно с компа клиента. SMS выполняет эту функцию, но небеспроблемно, о чем тут уже целая дискуссия развернулась. E-mail - откровенно плохо, ибо непрошареный юзер откроет свою почту на этом же компе и потеряет и сеансовые ключи и саму почту (при инцеденте). Причем ни SMS, ни почта не входит в зону контроля банка - это может создавать проблемы! Персонализируемый кодогенератор на мобиле (брелок и т.п.) с пином на вход (чтобы чужие не попользовались) решает вопрос генерации OTP и отвязывает от опсосов и сторонних сервисов. Также он не создает других проблем в виде генерации постороннего трафика. НО, это только первая часть вопроса, способ доставки OTP!
Далее способ его применения! Что защищать?! Причем это самостоятельный вопрос не корелирующий напрямую со способом получения OTP. Текущий сеансовый ключ получаемый через SMS, если он будет закрывать только вход, не убережет от увода средств (трояны, бэкдоры) без дополнительных авторизаций. Поэтому ИМХО защищать нужно ИНДИВИДУАЛЬНУЮ КОНКРЕТНУЮ операцию. Теперь вопрос - какие операции требуют защиты?! А вот тут уже может быть компромисс между банком и клиентами. Банк однозначно потребует защиту увода средств из банка, каких-то еще критических операций - это вероятно требование свыше. Остальное, финансово-неопасное, я бы оставил на усмотрение клиента (личный секьюрити-профиль). Т.е. управление профилем-безопасности ОДНОЗНАЧНО через OTP!!! А в нем уже настраивать то что позволительно банком. Допустим я параноик и вообще не хочу чтобы кто-то даже мой баланс видел и даже сохраненные операции без подтверждения мог провести - ставлю "галки" во всех полях секьюрити-профиля и подтверждаю каждую операцию СВОИМ УНИКАЛЬНЫМ ключом. Если же у меня "холодильник" - снимаю практически все "галки", хожу в банкинг по паролю, смотрю баланс, плачу коммуналку, перекидываю между своими карточками деньги и про OTP вспоминаю ну очень редко.

Полчаса уже не могу войти в банкинг. Это нормально? Профилактика?

Ага, теперь получаю такую вот штуку:

Прямо счастье какое-то! Спасибо!