Новые проекты:
новости
о компании
Solox - Интернет технологии проекты
PRQ.RU Voroh.RU Toksikoz.ru услуги
Контакты

Услуги

На главную Контакты Карта сайта

Опасность кражи идентификационных данных

Опасность кражи идентификационных данных

Более 75% банковских интернет-сайтов имеют как минимум один недочет в дизайне, из-за которого клиенты банка подвергаются опасности кражи идентификационных данных и кровно заработаных денег. К такому выводу пришла группа исследователей из Мичиганского университета (США) во главе с профессором Атулом Пракашем. Он и его аспиранты Лаура Фалк и Кевин Бордерс на протяжении 2006 года изучили 214 веб-сайтов различных кредитно-финансовых учреждений.

Результаты работы будут представлены на симпозиуме, посвященном практической конфиденциальности и безопасности, который пройдет в Университете Карнеги Меллон 25 июля.

Упомянутые недочеты в дизайне сайтов не являются программными ошибками, и их нельзя исправить с помощью "заплатки". Их корень кроется в самой работе сайта и в его планировке. В число подобных недочетов входит размещение полей для авторизации и контактной информации на незащищенных страницах и неспособность удержать пользователя на сайте, на который он изначально зашел. По словам профессора Пракаша, несмотря на то, что с момент сбора данных прошло много времени и некоторые банки уже предприняла ряд шагов для исправления сложившейся ситуации, большинству еще только предстоит это сделать.

"К нашему изумлению, недочеты дизайна, ставящие под угрозу безопасность данных, были настолько широко распространены, что их можно было встретить даже на сайтах очень крупных банков, - рассказывает Пракаш. - Мы сконцентрировали внимание на тех случаях, когда пользователи старались проявлять осторожность, но структура сайта банка сделал практически невозможным принятие правильного, с точки зрения безопасности, решения во время проведения банковских операций онлайн".

Недочеты привели к тому, что в системе безопасности образовались "дыры", которыми могут воспользоваться хакеры для того, чтобы завладеть частной информацией клиентов и получить доступ к их счетам.

Сайт Мичиганского университета перечисляет пять основных ошибок дизайна банковских сайтов, на которые, по версии профессора Пракаша, нужно обратить особое внимание.

1. Размещение полей для авторизации на незащищенных страницах.

Подобная ошибка встретилась у 47% банковских сайтов, изученных американскими специалистами. Используя ее, хакер может перенаправить вводимые данные или создать поддельную копию банковского сайта для сбора информации о клиентах банка. Кроме того, у хакера появляется возможность проводить атаки типа "злоумышленник в середине" (man-in-the-middle), когда для пользователя адрес банка, отображаемый в программе просмотра не изменяется. В результате даже самые бдительные пользователи могут стать жертвами преступника. Решение проблемы кроется в использовании протокола SSL на тех страницах, которые запрашивают ввод конфиденциальной информации. Пользователь может узнать защищенную протоколом страницу по адресу, который начинается с букв https, а не с обычных http.

2. Размещение контактной информации банковских служб и рекомее по мерам безопасности на незащищенных страницах.

Этот недочет встречался в 55% всех случаев. Злоумышленник имеет возможность изменить адрес или телефонный номер call-центра с тем, чтобы организовать сбор частной информации у клиентов банка, которым требуется помощь. Банки проявляют недостаточно внимания к информации, которая является общедоступной и которую можно получить в других местах. В тоже время клиенты банка уверены, что информация, расположенная на интернет-странице банка является правильной. Именно по этому профессор Пракаш рекомендует и в этом случае для защиты информации использовать протокол SSL.

3. Брешь в цепочке "доверенных" партнеров.

В случае, когда банк без предупреждения перенаправляет пользователя на интернет-страницы, расположенные вне домена, принадлежащего банку, он тем самым демонстрирует свою неспособность сохранить у пользователя ощущение безопасности выполняемых операций. Около 30% банковских сайтов имеют подобный недочет, говорит профессор Пракаш. Пользователи, видя, что они оказались на совершенно другом сайте, имеющем адрес, отличный от адреса сайта банка, вынуждены лишь строить догадки о том, можно ли ему доверять. Чаще всего такая ситуация возникает, если банк передает часть своих операций сторонним организациям. В таком случае следует информировать пользователя о том, что для продолжения той или иной операции они будут перенаправленны на сайт другой организации.

4. Разрешение использовать не отвечающие требованиям безопасности имя пользователя и пароль.

Некоторые американские банки позволяют использовать в качестве логина для входа в банковскую систему номер карточки социального страхования или адрес электронной почты. Несомненно, пользователям их легко запомнить, но злоумышленники так же легко могут их вычислить или узнать где-либо еще. Другой довольно распространенной ошибкой является отсутствие политики, касающейся созданию паролей или допущение использования слабых паролей. Этим грешат 28% банковских сайтов, изученных профессором Пракашем и его коллегами.

5. Рассылка по электронной почте конфиденциальной информации в незащищенном виде.

Информации, передаваемая по электронной почте, в большинстве случаев не защищена. Тем не менее, 31% банковских сайтов предлагает, в случае необходимости, выслать по электронной почте пароль или выписку со счета. Что касается выписки, пользователя зачастую не извещали, будет ли это непосредственно выписка, ссылка на нее или просто извещение, что выписка готова. Во всех случаях, кроме извещения, использование электронной почты представляется американским экспертам плохой идеей.

http://moneynews.ru/




Правильные инвестиции в акции
Один из основных принципов профессионального инвестирования - правильный выбор ценных бумаг. Вам как молодому инвестору о многих вещах, например о пенсии, пока можно не беспокоиться. У вас вся жизнь впереди... »»

Как правильно продать в интернете
Большинство действий человек делает не задумываясь, стоит один раз их понять. Так же само и в интернет-пространстве: достаточно один раз сделать что-то, и барьер преодолен. Трудности у большинства вебмастеров возникают из за... »»

Fynanz: онлайн-кредиты студентам
В Интернете появился новый веб-ресурс, ориентированный на студентов американских колледжей, нуждающихся в денежных средствах. Сервис Fynanz, по всей видимости, является первой P2P-площадкой в США, нацеленной целиком на рынок студенческого... »»

Украинский Гарант упростил обналичку WMU
"Украинское Гарантийное Агентство" взяло курс на упрощение процедуры вывода титульных знаков WMU. Как сообщает оВебМани.Ру, до недавнего времени получить деньги с гривневых кошельков системы WebMoney можно было банковским... »»

Visa расширяет спктр своих услуг
Платежная система Visa запустила новое приложение для социальных сетей, ориентированное на владельцев малого бизнеса, пользователей Facebook. В рекламу своего нового сервиса компания вкладывает $2 млн. Visa Business Network... »»

WebMoney запретила обмен титульных знаков
С 1 августа 2008 г система WebMoney запретила обмен своих титульных знаков на электронные деньги целого ряда других систем. Вместе с этим, веб-ресурс "Мегасток" опубликовал новые условия размещения информации об обменных пунктах WM на... »»

Google отменил традиционные скидки
Google отменил традиционные скидки для онлайн-торговцев в платежной системе Checkout. Льготы предоставлялись организациям-клиентам рекламной системы Google. Последние несколько лет плата за пользование системой... »»

Google AdWords вместе с Яндекс.Деньги
Технически платежи проходят через систему Assist. По словам заместителя генерального директора "Яндекс.Деньги" Натальи Хайтиной, "у Google уже существовал шлюз с "Ассистом". И компания пошла по пути оптимизации ресурсов - включила "Яндекс.Деньги" в работающий... »»

Призрак ChronoPay бродит по Европе
ChronoPay, интернациональный оператор платежей по банковским картам, сказал о начале работы с системой электронных платежей Payvision. Две компании договорились о долгосрочном стратегическом партнерстве. Таковой шаг должен дозволить... »»

Магазин доменов
Продажа сайтов
Покупка сайтов
Рекламная площадка
Инвестиционный фонд
Глоссарий
Анализ сайта


Новости


Новые возможности игрокам онлайновых игр

Платежный сервис "Единый кошелек" дал возможность игрокам онлайновых игр простой, удобный и быстрый способ приобретения игровых валют и дополнительных игровых возможностей. Игровые проекты пополнились новыми браузерными...


Google AdSense платит через Рапиду




Музыкальный портал




Новые возможности игрокам онлайновых игр




Mixmed.ru

Архив
Публикации
Статьи