Альфа-банк: безопасности бывает слишком много

[vitus_wagner]

Некоторое время назад я тут купил себе новый телефон. И тут же пошел и поменял сим-карту, поскольку новый телефон умел 4G, а старая сим-карта - нет.

Когда я после этого попытался залогиниться в интернет банк, мне сказали "обнаружена смена сим-карты, не пустим". Ну в общем, вполне разумная мера безопасности.
Нужно либо звонить в колл-центр и доказывать там свою идентичность кодовым словом, либо идти с паспортом в отделение банка.

Кодового слова я, естественно, не помнил, пошел в отделение банка. Там меня заставили переставить на телефоне приложение (и вводить в него заново номер карочки) и выдали мне новый пароль к интерент-банку. Который нужно было немедленно поменять

Ну вроде все работает. В интернет-банк пускают, одноразовый пароль в СМС-ке присылают, приложение логинится, в яндекс деньги можно перекинуть денег.

Но оказалось не все. Платить по шаблонам, которые не требуют дополнительного SMS-подтверждения - можно, а при платеже, которому требуется подтверждение "Обнаружена смена сим-карты". При попытке дозвониться в колл-центр я выяснил, что во-первых ключевого слова я не помню, а во-вторых, то что я помню не удовлетворяет требованиям к ключевым словам. Видимо требования за 7 лет поменялись.

Что-то они там перемудрили с безопасностью. Я пришел в отделение банка с паспортом и телефоном с этой самой новой сим-картой, а они не могут сразу во всех базах прописать, что моя сим-карта теперь вот эта. Хотя казалось-бы - пришли мне SMS-кой одноразовый пароль и попроси предъявить тому сотруднику, который только что проверил мой паспорт и карточку.

Comments

[inkelyad]

Ну и сразу уточнение.

Проверка IMSI - это не добавление фактора, а замена фактора '"владею"(могу использовать для связи) телефонный номер...' на 'владею (имею на руках) конкретную физическую вещь'.

[cross_join]

Вроде пишу русским языком и кратко:
Фактор 1 - логин/пароль
Фактор 2 - код, присланный по смс
Фактор 3 - идентификатор устройства

[vitus_wagner]

Во-первых не идентификатор устройства, а идентификатор сим-карты. Идентификатор устройства это IMEI, а тут проверяется IMSI.

Во-вторых, второй фактор это код, присланный по СМС КУДА? На сим-карту с определенным идентификатором. То есть проверка IMSI это не отдельный фактор, а часть второго фактора.

[cross_join]

смс присылается на телефон (id = номер), идентификатор устройства - абстракция, сегодня id симки, завтра id платы или еще что-нить в духе Apple.
Если хотите, можете считать все три этапа за один фактор, мне пофиг, если честно.

[vitus_wagner]

MSISDN (номер телефона) это вообще абстракция, про которую сам телефон не знает, и его симкарта тоже. Это только запись в HLR у опсоса.

В том-то и проблема, что банк, видимо на основании какого-то негативного опыта, не доверяет процедурам обновления базы HLR, хотя доверяет тому, что SMS будет доставлена в соответствии с текущим состоянием HLR. Поэтому если он запрашивает у опсоса "какому IMSI соответствует сегодня вот этот MSISDN", он испытывает reasonable certainity, что SMS будет доставлена именно на симку с этим IMSI.

Это автоматизированная процедура. И отдавать из HLR разные данные банку и SMS-роутеру - достаточно сложная задача следы от которой так просто не скроешь.

С другой стороны внесение в HLR записи о связи определенного MSISDN с определенным IMSI - это ручная процедура, выполняемая не слишком доверенным персоналом в салонах связи. И способов запутать следы и сказать "я не я и симка не моя" и вообще он мне показал вполне валидный паспорт на нужное имя - там хватает. Вероятность злого умысла на этом этапе гораздо выше.