SamOnline - опыт использования: вопросы и ответы

[Andrey Kim]

Сообщение от reg-stoni

Одна просьба, не требовать использования e-token для физ.лиц до тех пор пока ваша флешка будет корректно работать в 64битных WINDOWS 7 (т.е. они должны иметь 64битный драйвер). Не хочу только из-за этого возвращаться на старую операценку.

Разумеется. Имеющаяся на данный момент модель SafeNet 1032 корректно работает на W7х64.

[MichaelR]

Сообщение от Andrey Kim

Разумеется. Имеющаяся на данный момент модель SafeNet 1032 корректно работает на W7х64.

И на компьютере (новом) не надо будет устанавливать больше capicom???

[Bakhtiyor aka]

Сообщение от reg-stoni

Одна просьба, не требовать использования e-token для физ.лиц до тех пор пока ваша флешка будет корректно работать в 64битных WINDOWS 7 (т.е. они должны иметь 64битный драйвер). Не хочу только из-за этого возвращаться на старую операценку.

Добавлю к тому что Андрей сказал. Можете не беспокоиться, применение е-токенов физ.лицами будет добровольным, ради безопасности их же средств на счету.

[Andrey Kim]

Сообщение от MichaelR

И на компьютере (новом) не надо будет устанавливать больше capicom???

К сожалению нет, Capicom-а это не касается. Речь идет о драйвере для корректной работы е-токена. От привязки к Capicom мы по сей день не можем избавиться.

[reg-stoni]

Сообщение от Andrey Kim

К сожалению нет, Capicom-а это не касается. Речь идет о драйвере для корректной работы е-токена. От привязки к Capicom мы по сей день не можем избавиться.

может сюда вам Alternatives to Using CAPICOM

CAPICOM is a 32-bit only component that is available for use in the following operating systems: Windows Server 2008, Windows Vista, Windows XP, and Windows 2000. Instead, use the .NET Framework to implement security features. For more information, see the alternatives listed below.

[Andrey Kim]

Сообщение от reg-stoni

может сюда вам Alternatives to Using CAPICOM

CAPICOM is a 32-bit only component that is available for use in the following operating systems: Windows Server 2008, Windows Vista, Windows XP, and Windows 2000. Instead, use the .NET Framework to implement security features. For more information, see the alternatives listed below.

Для работы с электронно-цифровой подписью нам необходим этот элемент ActiveX. Просто привязка к Capicom усложняет переход на кроссплатформенность SAM.online, т.е возможность работы через другие браузеры, как например Мозилла. Что бы мы не использовали Capicom или .NET, который идет ему на смену и то, на что вы даете ссылку - все это продукты Microsoft.

[MichaelR]

Сообщение от Andrey Kim

К сожалению нет, Capicom-а это не касается. Речь идет о драйвере для корректной работы е-токена. От привязки к Capicom мы по сей день не можем избавиться.

В таком случае какие еще преимущества от перехода на е-токены, кроме сомнительного аргумента про более высокую безопасность такого механизма подписи платежки??? Кто платить будет за эти гаджеты?

[Andrey Kim]

Сообщение от MichaelR

В таком случае какие еще преимущества от перехода на е-токены, кроме сомнительного аргумента про более высокую безопасность такого механизма подписи платежки???

однозначно безопасность более высокая чем при записи на обычную флэшку или диск.

Сообщение от MichaelR

Кто платить будет за эти гаджеты?

Покупать и держать на балансе будет банк. Желающие будут получать токены за небольшую ежемесячную арендную плату.

[MichaelR]

Сообщение от Andrey Kim

однозначно безопасность более высокая чем при записи на обычную флэшку или диск.

безопаснее чем хранить (ЭЦП) на домашнем/офисном компьютере?

Сообщение от Andrey Kim

Покупать и держать на балансе будет банк. Желающие будут получать токены за небольшую ежемесячную арендную плату.

Если переход на е-токен добровольный (т.е. по желанию), то в чем смысл банку тратиться на "непредсказуемые желания" клиентов? Тем более, что эта "добровольность" будет стоить денег пользователю

[Andrey Kim]

Сообщение от MichaelR

безопаснее чем хранить (ЭЦП) на домашнем/офисном компьютере?

USB-токен применяют для противодействия хищениям вредоносными программами – троянами – секретных ключей ЭЦП, необходимых для подтверждения платежа от имени клиента банка. Принцип защиты - формирование ЭЦП клиента непосредственно внутри токена (на вход электронный документ, на выходе – ЭЦП), причем криптографические ключи генерируются внутри токена, хранятся в защищенной памяти и не могут быть считаны с токена путем копирования.

Цитата из статьи

После прочтения этой статьи вы скажете, что и с е-токеном безопасность не обеспечена на 100%. Однако многие риски, связанные с использованием ЭЦП е-токен уже помогает решить, в том числе и вопрос компроментации закрытого ключа и проведения операций третьими лицами. Ведь может возникнуть случай, когда увольняется бухгалтер, который занимался подписанием платежек от своего имени и имени директора и прихватить с собой диск со всеми данными для работы со счетом или просто скопировать на флэшку. В случае увольнения, директор немедленно должен предоставить в банк заявление об аннулировании ЭЦП уволенного работника, однако из-за отсутствия культуры использования ЭЦП 95% клиентов этого не делают. Вот и приходится банку думать за клиентов об их безопасности и делать применение е-токенов обязательным (это я о юрлицах).
Помимо этого, всем клиентам мы рекомендуем не скупиться на антивирусную защиту. Существуют вирусы, "заточенные" специально под банковский сектор, которые "подгружают" в систему r-admin или аналогичные программы, т.е. удаленное управление компьютером. В таком случае, вирус может "подсунуть" левую платежку или мошенник, получив полный контроль над машиной клиента банка может проводить платежи прямо с этого же компьютера. Поэтому мы также рекомендуем не оставлять е-токен в USB-порту постоянно, а только на время проведения платежа. Ну, а если не использовать токен, то скопировать закрытый ключ вообще не составит никакого труда. Стоить задать в поиск *.pfx или *.p12 или *.rar, если вы заархивировали ключи и поставили пароль. Подобрать пароль от RAR архива на сегодняшний день уже не так уж сложно.

Сообщение от MichaelR

Если переход на е-токен добровольный (т.е. по желанию), то в чем смысл банку тратиться на "непредсказуемые желания" клиентов? Тем более, что эта "добровольность" будет стоить денег пользователю

Само собой безопасность будет чего-то стоить. Банку же не бесплатно достаются эти девайсы, (большой плюс к реальной стоимости е-токенов - это "чудеса растаможки").
На самом деле в тех же российских банках е-токены используются по умолчанию. Для них это минимальное требование безопасности. По мере того, как изменяются и совершенствуются атаки, безопасность тоже "обрастает" новшествами, как например, привязкой отдельных клиентов к определенному IP-адресу, применение одноразовых паролей через СМС, OTP-брелки. Возможно где-то уже есть и дактилоскопия, сканирование сетчатки глаз или тому подобное, я не знаю.

Среднестатически, обороты физических лиц не настолько привлекательны для мошенников, чем обороты юридических лиц, поэтому и использование е-токенов для них не обязательно. Однако, с появлением е-депозитов и ростом популярности SAM.online теперь подобное утверждать нельзя. Поэтому в скором времени мы предоставим клиентам физическим лицам возможность брать в пользование е-токен.