(no subject)

[stas]

Любопытно, какие-то публичные сайты, кроме PayPal, используют security key для защиты пользователей? Копеечная ведь штука. Банки должны бы всем бесплатно раздавать, ан нет - ничего подобного, ни одного банка, который бы это делал, не знаю - вместо этого какая-то лажа типа "кличка вратаря дворовой футбольной команды, игру которой вы видели однажды в 1980-м году" и т.п.

Comments

[ex-ex-zhuzh.livejournal.com]

http://www.google.com/search?q=bank+securid

[selfmade.livejournal.com]

Merrill Lynch использует такие ключи из 4-х цифр для подключения к внутренней сети через VPN.

[bugabuga.livejournal.com]

Копеечная? Оно стоит вроде баксов 75 :)

[vzaliva.livejournal.com]

citibank дает для бизнес аккаунтов (в Калифорнии).

[dmpogo.livejournal.com]

В Голландии по-моему все банки дают такие со своими аккаунтами.

[white-lee.livejournal.com]

The PayPal Security Key is available for a special introductory fee of $5.00 USD

[white-lee.livejournal.com]

Судя по тому, что там написано, пэйпал требует только юзер и пасс и эту штучку. Ее очень легко украсть - она будет лежать под экраном, прямо под postit на которой записаны юзер и пасс.

[finik.livejournal.com]

E*TRADE Bank агитировали меня по телефону недавно:
https://us.etrade.com/e/t/jumppage/viewjumppage?PageName=secureid_enter
Если денег достаточно дают бесплатно, если нет то за one time $25.

Недавно друг в свою фирму такие ключики заказывал, и это вроде стоило ему около $50 за штуку. Банку оптом подешевле обойдется наверное. Но не такой копеечный уж расход если каждому вкладчику давать. А насколько это эффективней надо бы статистику посмотреть.

[yankel.livejournal.com]

Жена в Амндокс из дома только так и подключается. Им это уже лет 5 как раздали.
А банки - ага. Израильких только недавно Банк Израиля предупредил, что они несут ответственность за секьюрити. До этого оне-с предпочитали скидывать всю ответсвенность на клиента.

[manta.livejournal.com]

В Литве банки такую раздают бизнес-клиентам.

[white-lee.livejournal.com]

В следующий раз, что будете в банке, оглянитесь вокруг, и прикиньте на глаз, сколько процентов посетителей там знают о X11-версии утилиты keepass, или хотя бы о слове "утилита" вообще :).

Пэйпал - да, это другая история, там можно говорить о компьютерной грамотности. А с банками сложнее.

[yankel.livejournal.com]

Это говорит больше о долбоклюях администраторах IT.
Помнится на одно моем рабочем месте с этим делом было строго. Народ пинали за пасворда на записочках. И приучили таки.

[white-lee.livejournal.com]

Я имел в виду конкретно вот эту идею из оригинального поста: Банки должны бы всем бесплатно раздавать, ан нет - ничего подобного, ни одного банка, который бы это делал, не знаю.

[yankel.livejournal.com]

Ааа, о них.
Это да.
Здесь, похоже, нужно со школы приучать.
Хотя... И это не поможет.
Наверное, все придет к старой доброй биометрии: брелочек читающий отпечаток пальца.

[atil.livejournal.com]

Ага. И года через два таскать на брелке два десятка таких ключей. Один от банка, другой от VPN, третий от какой-нибудь там трейдерной системы, четвертый от правительственного сайта, пятый от Пэйпала, шестой от ебея или амазона, двадцатый от ЖЖ... И мучительно перебирать перед компьютером - какой куда идет. И наклеивать на них бумажки с метками и паролями. А когда брелок со всем этим добром потеряется или будет украден, восстанавливать все это уже не introductory price , а за реальную цену 50-70 долларов за штуку...

автобанка

[freedom_of_sea.livejournal.com]

примерно в 1993 году настраивал клиент Автобанка. Таблетка была.

[bugabuga.livejournal.com]

не, оно ИМ стоит 75 баксов :) или RSA внезапно стала раздавать сервера и брелоки бесплатно?

[white-lee.livejournal.com]

A :).

[digest.livejournal.com]

Совершенно дурацкая и неудобная штука. Помимо физического неудобства таскать ее с собой (сейчас мучаюсь с такой же корпоративной), она не отменяет кличку вратаря дворовой футбольной команды. И стоит, если не субсидировать, гораздо больше $5.

[yankel.livejournal.com]

А что бы ты предложил?

[digest.livejournal.com]

Хммм.. вопрос на мильён долларов :)
Во всяком случае не OTP решение.
И тем более не хардверный OTP.
И тем более не проприетарный.

Нужно что-то, что всегда с тобой, плюс стандартизованное и действительно широко применяемое. Вроде продвинутой биометрии, хотя сегодня там бардак полнейший... Пока не наведут порядок придется пользоваться паролями.

Не далее как в мае месяце, я был вынужден пройти 2 мили по палящим улицам LA только из-за того, что забыл такую корпоративную херню в номере гостиницы.

[yankel.livejournal.com]

Проблемка...
С биометрией еще долго похоже порядок не наведут.
А насчет хардверных решений, выбор надо бы народу дать. Например, не позволять без брелка каких либо важных действий, вроде переводов денег на крупные суммы.
А вообще, интересно, насколько можно было реализовать идею фицпатриковского OpenId? С брелком идентифицируешься супротив некого провайдера, а остальные получают от него добро.

[digest.livejournal.com]

Ян, я тебе там в твоем журнале уже написал, что аутентикация -- лишь малая часть секюрити. Ну зайдет зомбированный лох с десятью одноразовыми паролями из десяти разных брелоков в банк, и все: дорога злоумышленнику УЖЕ открыта.

С другой стороны заставлять таскать с собой физический девайс есть бред и неудобство.

OpenId не приносит ничего нового. Аутентикационные центры, системы и протоколы, всякие RADIUS-ы и шмадиусы существуют образно говоря сто лет. Вопрос давно сместился в социальную сферу: как подобрать НАДЕЖНОЕ, но и ДОСТУПНОЕ дояркам комплексное средство. Брелок -- плохое средство. Почему я на работе не могу выполнить срочно понадобившиеся мне важные действия из-за брелока, оставшегося дома? Хорошего же средства пока не придумали. Но думают вовсю :)

[yankel.livejournal.com]

Эхехе. Да прав-прав. Я уже видел ответ.

При наличии троянов на компе, хер решение будет...
Разве что массово вводить в дело что то вроде Х термниналов, которые загружаются с центрального сервера. Но это тоже не выход.

[digest.livejournal.com]

У банков счас мода пошла на виртуализацию: по идее в банк выходит полностью изолированная и контролируемая виртуальная машина. Но опять же решение не для доярок, куча сложностей с установками и поддержкой и отсутствие стандартизации.