Comments 12
А если кто то сломает DNS сервер клиента и захапает его пароль по ссылке?
Вы имеете ввиду того кто всё оплачивает? У него с банком secure-соединение.
А если вы имеете ввиду данные которые передаются банку из магазина вместе с ссылкой, то их нельзя изменить, потому что подпись формируется из этих данных и приватного ключа магазина.
Или я не понял вопроса..
А если вы имеете ввиду данные которые передаются банку из магазина вместе с ссылкой, то их нельзя изменить, потому что подпись формируется из этих данных и приватного ключа магазина.
Или я не понял вопроса..
Я имею в виду случай когда вместо правильного IP клиенту будет выдан IP адрес фишера. Скажем домен http://www.bank.com и правильный IP 123.456.789.001, а клиент получает 535.246.221.345 (не важно как, тут могут ломать и лично клиента, хотя тогда можно просто пароль проследить, и провайдера клиента). При этом подставной сайт сформирует шифрованное соединение, не все ведь смотрят в сертификат.
Ну если сайт полностью скопирует вид сайта банка, подделает каким-то образом сертификат https соединения и будет владеть dns сервером клиента, то да, перехватить пароли вполне возможно. Но при входе в банк проверяется не только статичный пароль, но случайный из 24-х вторичных паролей, что немного уменьшит возможность пройти.
Второй вариант входа банк через ID-карту происходит и он ничего секретного о клиенте дать не может и включает уже четвёртое лицо - центр сертификации, который даёт знать банку кто вообще логинится и насколько я знаю этот процесс получше защищён.
Второй вариант входа банк через ID-карту происходит и он ничего секретного о клиенте дать не может и включает уже четвёртое лицо - центр сертификации, который даёт знать банку кто вообще логинится и насколько я знаю этот процесс получше защищён.
Магазины должны иметь известный банку сертификат (не важно как) , в противном случае раздолье для фишеров.
Так и есть - услуга pangalink из-за того и платная, что банк выдаёт свой публичный ключ, и регистрирует у себя публичный код магазина.
Я передумал.
Вся система в принципе не верна.
Магазин не должен публиковать ссылку на банк, а клиент не должен пользоваться такими ссылками. Очень мало людей достаточно внимательны и грамотны для безопасной работы этой системы.
Магазин должен выставлять счет в банк на клиента . Клиент должен сам заходить в банк по известной ему ссылке и принимать решение об оплате.
Обмен между банком и магазином пусть защищают как хотят.
Вся система в принципе не верна.
Магазин не должен публиковать ссылку на банк, а клиент не должен пользоваться такими ссылками. Очень мало людей достаточно внимательны и грамотны для безопасной работы этой системы.
Магазин должен выставлять счет в банк на клиента . Клиент должен сам заходить в банк по известной ему ссылке и принимать решение об оплате.
Обмен между банком и магазином пусть защищают как хотят.
Да, можно по старинке публиковать счёт, но в таком случае нет автоматизации, а так вы сразу видете кто оплатил товар, а кто нет, плюс пользователю надо всё вручную вбивать.
Оно конечно, по ссылке можно чуть удобней сделать. Но это не безопасно.
А что именно в этом процессе опасней чем простая оплата счёта через интернет-банк без ссылки?
Перечисленные выше аргументы в том что можно перехватить DNS-сервер клиента и направить на свой сайт-фальшифку точно так же опасны и в случае простой оплаты.
Перечисленные выше аргументы в том что можно перехватить DNS-сервер клиента и направить на свой сайт-фальшифку точно так же опасны и в случае простой оплаты.
Угроза фишинга. Не надо приучать людей брать ссылки на свой кошелек где-то на стороне.
Насколько я понимаю фишинг выуживание личной информации пользователя. Что можно выудить из пользователя если ставится только ссылка на оффициальный банк с дополнительными параметрами что ему надо оплатить?
Если бы пользователь намеренно направлялся на банковский сайт-фальшифку благодаря магазину, то понятное дело что магазин не набрал бы большой популярности. А мелкие магазины-фальшифки как раз таки и не позволяют ставить настоящие pangalink, потому что надо прежде с банком заключить договор.
Так что где-то на стороне деньги потерять всегда есть риск, но если магазин типа ОЗОНа всем известен, то подобная оплата не уменьшила бы его безопасности. Приведите пример атаки если я чего-то не учёл.
Если бы пользователь намеренно направлялся на банковский сайт-фальшифку благодаря магазину, то понятное дело что магазин не набрал бы большой популярности. А мелкие магазины-фальшифки как раз таки и не позволяют ставить настоящие pangalink, потому что надо прежде с банком заключить договор.
Так что где-то на стороне деньги потерять всегда есть риск, но если магазин типа ОЗОНа всем известен, то подобная оплата не уменьшила бы его безопасности. Приведите пример атаки если я чего-то не учёл.
Sign up to leave a comment.
Pangalink — способ оплаты для магазинов