Пять опасностей интернет-банкинга

Он и его аспиранты Лаура Фалк и Кевин Бордерс на протяжении 2006 года изучили 214 веб-сайтов различных кредитно-финансовых учреждений. Результаты работы будут представлены на симпозиуме, посвященном практической конфиденциальности и безопасности, который пройдет в Университете Карнеги Меллон 25 июля.

Упомянутые недочеты в дизайне сайтов не являются программными ошибками, и их нельзя исправить с помощью "заплатки". Их корень кроется в самой работе сайта и в его планировке. В число подобных недочетов входит размещение полей для авторизации и контактной информации на незащищенных страницах и неспособность удержать пользователя на сайте, на который он изначально зашел. По словам профессора Пракаша, несмотря на то, что с момент сбора данных прошло много времени и некоторые банки уже предприняла ряд шагов для исправления сложившейся ситуации, большинству еще только предстоит это сделать.

"К нашему изумлению, недочеты дизайна, ставящие под угрозу безопасность данных, были настолько широко распространены, что их можно было встретить даже на сайтах очень крупных банков, - рассказывает Пракаш. - Мы сконцентрировали внимание на тех случаях, когда пользователи старались проявлять осторожность, но структура сайта банка сделал практически невозможным принятие правильного, с точки зрения безопасности, решения во время проведения банковских операций онлайн".

Недочеты привели к тому, что в системе безопасности образовались "дыры", которыми могут воспользоваться хакеры для того, чтобы завладеть частной информацией клиентов и получить доступ к их счетам.

Сайт Мичиганского университета перечисляет пять основных ошибок дизайна банковских сайтов, на которые, по версии профессора Пракаша, нужно обратить особое внимание.

1. Размещение полей для авторизации на незащищенных страницах.

Подобная ошибка встретилась у 47% банковских сайтов, изученных американскими специалистами. Используя ее, хакер может перенаправить вводимые данные или создать поддельную копию банковского сайта для сбора информации о клиентах банка. Кроме того, у хакера появляется возможность проводить атаки типа "злоумышленник в середине" (man-in-the-middle), когда для пользователя адрес банка, отображаемый в программе просмотра не изменяется. В результате даже самые бдительные пользователи могут стать жертвами преступника. Решение проблемы кроется в использовании протокола SSL на тех страницах, которые запрашивают ввод конфиденциальной информации. Пользователь может узнать защищенную протоколом страницу по адресу, который начинается с букв https, а не с обычных http.

2. Размещение контактной информации банковских служб и рекомее по мерам безопасности на незащищенных страницах.

Этот недочет встречался в 55% всех случаев. Злоумышленник имеет возможность изменить адрес или телефонный номер call-центра с тем, чтобы организовать сбор частной информации у клиентов банка, которым требуется помощь. Банки проявляют недостаточно внимания к информации, которая является общедоступной и которую можно получить в других местах. В тоже время клиенты банка уверены, что информация, расположенная на интернет-странице банка является правильной. Именно по этому профессор Пракаш рекомендует и в этом случае для защиты информации использовать протокол SSL.

3. Брешь в цепочке "доверенных" партнеров.

В случае, когда банк без предупреждения перенаправляет пользователя на интернет-страницы, расположенные вне домена, принадлежащего банку, он тем самым демонстрирует свою неспособность сохранить у пользователя ощущение безопасности выполняемых операций. Около 30% банковских сайтов имеют подобный недочет, говорит профессор Пракаш. Пользователи, видя, что они оказались на совершенно другом сайте, имеющем адрес, отличный от адреса сайта банка, вынуждены лишь строить догадки о том, можно ли ему доверять. Чаще всего такая ситуация возникает, если банк передает часть своих операций сторонним организациям. В таком случае следует информировать пользователя о том, что для продолжения той или иной операции они будут перенаправленны на сайт другой организации.

4. Разрешение использовать не отвечающие требованиям безопасности имя пользователя и пароль.

Некоторые американские банки позволяют использовать в качестве логина для входа в банковскую систему номер карточки социального страхования или адрес электронной почты. Несомненно, пользователям их легко запомнить, но злоумышленники так же легко могут их вычислить или узнать где-либо еще. Другой довольно распространенной ошибкой является отсутствие политики, касающейся созданию паролей или допущение использования слабых паролей. Этим грешат 28% банковских сайтов, изученных профессором Пракашем и его коллегами.

5. Рассылка по электронной почте конфиденциальной информации в незащищенном виде.

Информации, передаваемая по электронной почте, в большинстве случаев не защищена. Тем не менее, 31% банковских сайтов предлагает, в случае необходимости, выслать по электронной почте пароль или выписку со счета. Что касается выписки, пользователя зачастую не извещали, будет ли это непосредственно выписка, ссылка на нее или просто извещение, что выписка готова. Во всех случаях, кроме извещения, использование электронной почты представляется американским экспертам плохой идеей.

Компания BSS подвела итоги работы за 2008 год

Евгений Аристов, MoneyRates: "Наша цель - выстроить полноценную финансовую систему"