30 марта, понедельник 19:47
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

iBank 2 - ответы на вопросы

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • вопрос это у них авария или их ддосят

    Комментарий


    • Вроде авария.

      Ожил смс центр вроде бы ...

      Комментарий


      • сайт доступен.

        Комментарий


        • http://www.esetnod32.ru/company/pres...siyskie-banki/

          Комментарий


          • С версии Google Chrome 42.0.2311.90 поддержка программного интерфейса npapi отключена, который используется для работы Java плагина. Обходное решение, до 45 версии, выход которой планируется в сентябре месяце, следующее: в адресной строке браузера наберите chrome://flags/#enable-npapi , Включить NPAPI Mac, Windows. После выхода 45 версии и эта возможность будет исключена.

            Комментарий


            • гуглогады ( пруф

              Комментарий


              • Не подскажет ли всезнающий ALL,что там с клиентом для юриков на HTML5 ? Может время таки пришло ?

                Комментарий


                • Сообщение от Dimerson Посмотреть сообщение
                  Не подскажет ли всезнающий ALL,что там с клиентом для юриков на HTML5 ? Может время таки пришло ?
                  А в чём смысл? Во первых, реализовать функциональность HTML5 (Web)-клиенте как в Java-клиенте будет очень сложно и не быстро (скорость работы, горячие клавиши, работа с большими объёмами данных, навигация), посмотрите на ЦФК-Web он пока близко не приблизился к Java-клиенту. Во вторых, всё равно будет плагин к браузеру для ЭП и, возможно, шифрования (как сейчас для АРМ "ЦФК (Web)" всё равно есть апплет для запуска), и с плагином будет проблема, т.к. Хром уже не будет держать NPAPI, в Windows 10 будет Спартан и как он будет работать с плагинами ещё не понятно. В любом случае для Web-клиента нужно как-то реализовывать шифрование, стандартного TLS не хватает (это не сертифицированное СКЗИ), что всем будем Crypto Pro ставить?

                  Комментарий


                  • Сообщение от Zuz Посмотреть сообщение
                    стандартного TLS не хватает (это не сертифицированное СКЗИ)
                    Похоже это сегодня мало кого реально волнует.
                    Крупнейшие банки предоставляют услуги, не заморачивась чем-то большим, чем TLS.
                    Для особых случаев шифрованию пора полностью уходить в токены и подобные устройства.

                    Прошлые проблемки с Java у клиентов мы будем с ностальгией вспоминать,
                    мучаясь с настройкой плагина в очередном лучшем браузере,
                    обрастающим у клиентов десятками других лучших плагинов
                    с конфликтующими настройками.

                    Комментарий


                    • Сообщение от zoomp Посмотреть сообщение
                      Похоже это сегодня мало кого реально волнует.
                      Крупнейшие банки предоставляют услуги, не заморачивась чем-то большим, чем TLS.
                      Для особых случаев шифрованию пора полностью уходить в токены и подобные устройства.
                      Это волнует клиентов, которые просто не будут обсуживаться у вас, если вы не соответствуете их требованиям (госы).

                      Комментарий


                      • Заявление на подключение/отключение услуг. Реализована возможность работы с новым документом "Заявление на подключение/отключение услуг".
                        ........
                        Настройка осуществляется при помощи средств СУБД в таблице SERVICE_TYPE По умолчанию таблица не заполнена.

                        Не гордые, влезем уж в базу а GUI прикрутить религия не позволила ?
                        no comments......

                        Комментарий


                        • Сообщение от Freelancer Посмотреть сообщение
                          прикрутить религия не позволила
                          видимо защита от дурака такая, безгуёвая, экономная )))))

                          Комментарий


                          • Цитата из письма ...

                            Документ может быть использован для получения от клиента сведений, например об изменении номеров телефонов, используемых для получения одноразовых паролей посредством SMS-сообщений.
                            Тут закралась неверная формулировка. Вместо слова "например" следует использовать "только"

                            В модуле операционист нельзя фильтр наложить в разрезе клиента/счета, да хоть чего только дата и точка.
                            Господа аналитики, раненый в голову американский морпех лучше реализует весьма полезный функционал!
                            no comments......

                            Комментарий


                            • Freelancer и фильтров в этом модуле не хватает и валится он с завидной периодичностью. а в случае кучи клиентов от нескольких филиалов, работа превращается прям в песню, весьма и весьма грустную.

                              Комментарий


                              • Всем привет.

                                Решил помочь дружественному банку (Банку Москвы) и написал программу, которая ищет возможные ошибки (сетевые или проблемы с java) при установки ibank2 клиентам Юридическим лицам. Шанс, что её заметит сам банк невелики, но вдруг сами клиенты найдут её в интернете и тем самым упростят себе жизнь. Она конечно пока "сырая", но если она получит, хоть какую-то популярность, то я и дальше её доработаю. Жаль, что подобной программы нет у самого Бифита.

                                Вот ссылка: http://bm-ibank2-logs.livejournal.com/
                                Пишите комменты и отзывы.

                                Клиент "Банка Москвы"

                                Комментарий


                                • bm_ibank2_logs какая замечательная программа. и главное безопасная. потому что так написано в жж. офигеть.

                                  Комментарий


                                  • _

                                    _
                                    Последний раз редактировалось bm_ibank2_logs; 18.05.2015, 11:24.

                                    Комментарий


                                    • olgeir, а что не так? Безопасность её в первую очередь подтверждает https://www.virustotal.com/. Это самый главный показатель.

                                      Любой желающий ведь может на виртуальной машине её протестировать и убедиться в этом.

                                      При желании я могу изменить проверочные хосты, на хосты другого банка (мне не жалко)

                                      Комментарий


                                      • Сообщение от bm_ibank2_logs Посмотреть сообщение
                                        olgeir, а что не так? Безопасность её в первую очередь подтверждает https://www.virustotal.com/.
                                        Это никакой не показатель. Он никак не гарантирует от того, что в программе будут "закладки", сливающую инфу налево.
                                        При желании я могу изменить проверочные хосты, на хосты другого банка (мне не жалко)
                                        Лучше исходники опубликуйте. Это будет лучшей гарантией.

                                        Комментарий


                                        • Сообщение от DerianFox
                                          Ну вот что-что, а вирустотал - далеко не показатель безопасности
                                          Согласен. Но как я и писал ранее, самое правильно, это любому желающему проверить программу на виртуальном хосте, убедившись, что файлы она не создает и не меняет, в интернет на неизвестные сайты не лезет. На livejournal.com я добавил описание, что конкретно программа делает и куда лезет, так что проверить это не сложно.

                                          Сообщение от Mashiro-sama Посмотреть сообщение
                                          Это никакой не показатель. Он никак не гарантирует от того, что в программе будут "закладки", сливающую инфу налево.

                                          Лучше исходники опубликуйте. Это будет лучшей гарантией.
                                          Исходники принципиально ситуацию не поменяют. В коде разбираться будут единицы и соответственно программу будут использовать только они. Так что, когда один из давних форумчан её проверит, то он и сможет написать здесь свой вердикт, тогда и другие заинтересуются.

                                          На самом деле главный вопрос полезна ли она? И убедившись в ёё безвредности, будут ли её использовать?

                                          Комментарий


                                          • Сообщение от bm_ibank2_logs Посмотреть сообщение
                                            на виртуальном хосте, убедившись, что файлы она не создает и не меняет, в интернет на неизвестные сайты не лезет
                                            это на виртуалке. а где гарантия что на боевой системе это не изменится? где гарантия что через месяц программа не сделает левую платежку, не подсадит троян?

                                            Комментарий


                                            • Сообщение от bm_ibank2_logs Посмотреть сообщение
                                              Исходники принципиально ситуацию не поменяют. В коде разбираться будут единицы и соответственно программу будут использовать только они.
                                              Вы не с того конца смотрите. В коде будут разбираться специалисты Банка, и если они (специалисты именно конкретного банка) решат, что программа безопасная и полезная, то будут рекомендовать ее клиентам. Причем не всем, а именно клиентам только своего Банка. И это правильно.
                                              Если же клиент сам решит на свой риск ее использовать (потому что Аноним_001 с форума посоветовал, а Аноним_002 с того же форума написал, что программа Ок, безвредная, "мамой клянусь"), то такому клиенту надо дать по рукам, ибо если у него уведут деньги, сам виноват будет.
                                              Если не хотите публиковать исходники, то предложите их Бифиту, если они на своем официальном сайте программу выложат, ей доверять можно будет.

                                              Комментарий


                                              • Сообщение от Mashiro-sama Посмотреть сообщение
                                                Если не хотите публиковать исходники, то предложите их Бифиту, если они на своем официальном сайте программу выложат, ей доверять можно будет.
                                                Это запросто. Но во-первых, я думаю, что бифит врятли будет ко мне обращаться, а во вторых, там сидят мега программисты, которые напишут данную программу за неделю. Им просто это не интересно.

                                                Комментарий


                                                • Сообщение от bm_ibank2_logs Посмотреть сообщение
                                                  сидят мега программисты
                                                  дада


                                                  Сообщение от bm_ibank2_logs Посмотреть сообщение
                                                  которые напишут данную программу за неделю
                                                  ты не поверишь, но до не которых вещей они просто могут не додуматься. вот смотри, сначала Noman предложил свою утилиту, а только потом Бифит содрал эту идею, едва ли не полностью ))

                                                  хочешь помочь всем? напиши в суппорт бифита, опиши что ты сделал, зачем, и как это может помочь людям.

                                                  Комментарий


                                                  • Уважаемые коллеги! Помогите, пожалуйста, грамотно сформулировать для клиентов необходимость покупки новых токенов, сертифицированных ФСБ. Правильно ли я понимаю, что клиент может пользоваться токеном с СКЗИ с закончившимся сертификатом ФСБ пока у него не закончится срок действия ключа ЭП, если в момент генерации этого ключа сертификат ФСБ был действителен? А для генерации нового ключа ЭП он должен купить новый токен с действующим сертификатом ФСБ? В 382-П в п.2.9.1 написано, что если банк применяет СКЗИ российского производителя, они должны быть сертифицированы. Есть ли еще документы на эту тему? Нужен регламентирующий документ, на основании которого клиентам будет предписана замена токенов.

                                                    Комментарий


                                                    • Сообщение от tim100 Посмотреть сообщение
                                                      Уважаемые коллеги! Помогите, пожалуйста, грамотно сформулировать для клиентов необходимость покупки новых токенов, сертифицированных ФСБ. Правильно ли я понимаю, что клиент может пользоваться токеном с СКЗИ с закончившимся сертификатом ФСБ пока у него не закончится срок действия ключа ЭП, если в момент генерации этого ключа сертификат ФСБ был действителен?
                                                      Если иное не указано в договоре с банком клиент может использовать. В текущем законодательстве нет требований принуждающих клиентов использовать только сертифицированные криптографические средства. Про то, что можно использовать пока срок действия сертификата не истёк это миф ничем особо не подтверждённый. Тема с сертификацией СЗИ и в частности СКЗИ в текущем законодательстве не очевидно отражена в результате проверяющие будут толковать наиболее жёстко, т.е. если сертификат закончил действие, то данное СКЗИ уже не сертифицированное. К сожалению, продление сертификата не является обязанностью производителя СКЗИ в результате годное устройство, у которого срок эксплуатации ещё не подошёл к концу приходится выкидывать. Решайте, что вам выгоднее довольные клиенты или требования регуляторов. По факту менее безопасным токен с истёкшим сертификатом не становится (с таким же успехом он может и в момент действия сертификата стать не безопасным, при обнаружении той или иной уязвимости).

                                                      Сообщение от tim100 Посмотреть сообщение
                                                      А для генерации нового ключа ЭП он должен купить новый токен с действующим сертификатом ФСБ? В 382-П в п.2.9.1 написано, что если банк применяет СКЗИ российского производителя, они должны быть сертифицированы.
                                                      Это требование для банка, которое, кстати, может выполняться частично. Просто это снизит вам оценку по 382-П. Это решает бизнес, что важнее оценка и возможные санкции или довольный клиент? Всегда можно заявить, что вы в процессе перехода и т.п. напридумывать, ну будет предписание, сделает план, начнёте устранять, будите работать с клиентами по переводу на новые токены. )))

                                                      Сообщение от tim100 Посмотреть сообщение
                                                      Есть ли еще документы на эту тему? Нужен регламентирующий документ, на основании которого клиентам будет предписана замена токенов.
                                                      Клиентам предписана замена может быть только на основании заключенного между вами договора. Т.е. вы можете прописать туда требование и требовать от клиента его исполнения. Всё прочее клиенту побоку.

                                                      P.S. Что касается клиентов вот вам случай из жизни: у клиента на компе рассадник, куча зловредов, детектор угроз разрывается, клиенту направлены несколько раз письма с требованием провести лечение или переустановить ОС, как мера снижения риска все платежные поручения подтверждаются звонком клиенту. И? Думаете он что то сделал? Нет. Он заявил, что ему проще банк сменить. )))

                                                      Комментарий


                                                      • Сообщение от Zuz Посмотреть сообщение
                                                        В текущем законодательстве нет требований принуждающих клиентов использовать только сертифицированные криптографические средства.
                                                        Большое спасибо за ответ. Правильно ли я понял, что по Вашему мнению токен (СКЗИ) с просроченным сертификатом принадлежит клиенту, 382-П на него не распространяется и клиент может использовать его в соответствии с эксплуатационной документацией? А на стороне банка СКЗИ должно быть сертифицировано? Я не очень хорошо понимаю механизм работы СКЗИ в iBank2. Помогите разобраться. Клиент подписывает свою платежку с помощью своего СКЗИ - USB-токена, при этом в базе банковского сервера появляется некая запись, содержащая эту подпись. Банковский сервер проверяет подпись ключом проверки ЭП, который тоже хранится в базе данных на банковском сервере. Какое СКЗИ при этом работает?

                                                        Комментарий


                                                        • Сообщение от tim100 Посмотреть сообщение
                                                          Большое спасибо за ответ. Правильно ли я понял, что по Вашему мнению токен (СКЗИ) с просроченным сертификатом принадлежит клиенту, 382-П на него не распространяется и клиент может использовать его в соответствии с эксплуатационной документацией?
                                                          Клиент может использовать любое СКЗИ, текущее законодательство не запрещает ему использовать не сертифицированное криптографическое средство. Конкретно на отдельно взятого клиента 382-П не распространяется, но на систему ДБО банка, с которой работает клиент и на банк как оператора по переводу денежных средств - распространяется. Поэтому, если вы не хотите снижать оценку по данному показателю до "выполняется частично", вместо "выполняется полностью", то все клиенты должны использовать сертифицированные СКЗИ для работы с iBank2. И данное требование должно быть отражено в договоре с клиентом, чтобы он был обязан его выполнять.

                                                          Сообщение от tim100 Посмотреть сообщение
                                                          А на стороне банка СКЗИ должно быть сертифицировано? Я не очень хорошо понимаю механизм работы СКЗИ в iBank2. Помогите разобраться. Клиент подписывает свою платежку с помощью своего СКЗИ - USB-токена, при этом в базе банковского сервера появляется некая запись, содержащая эту подпись. Банковский сервер проверяет подпись ключом проверки ЭП, который тоже хранится в базе данных на банковском сервере. Какое СКЗИ при этом работает?
                                                          На стороне банка обязательно в противном случае - это может быть истолковано как нарушение лицензионных требований (ФСБ).

                                                          На сервере с iBank2 работает встроенное в iBank2 СКЗИ (на текущий момент это должен быть КриптоКОМ 3.3), какое именно регулируется настройками. На стороне клиента работает как СКЗИ в токене, так и программное СКЗИ, которое занимается шифрованием трафика и расчётом хэша при подписи документа (за все модели токенов не ручаюсь, возможны варианты).

                                                          Ещё на стороне банка используется в составе iBank2 в явном виде несертифицированные криптографические средства для обеспечения работы HTTPS. Например, для реализации функций WEB-интрефейса (новые АРМы интернет-банкинга и ЦФК для юриков и интернет-банкинга для физиков). Реализовано в составе сервера приложений Tomcat и JRE. Для согласования сеансовых ключей в составе iBank2 также до сих пор используется RSA (как минимум генерация ключевой пары RSA, сама модульная экспонента возможно считается с использованием функций из криптобиблиотек). Но все эти нюансы мало кого заботят. Хотя ЦБ лепит замечания на раз. Есть HTTPS с несертифицированным криптографическим ядром внутри будь добр предоставь комплект эксплуатационной документации и вообще нельзя использовать несертифицированное (требование СТО БР ИББС, который вовсе не рекомендация для проверяющих). )))
                                                          Последний раз редактировалось Zuz; 18.06.2015, 14:31.

                                                          Комментарий


                                                          • Сообщение от Zuz Посмотреть сообщение
                                                            На сервере с iBank2 работает встроенное в iBank2 СКЗИ (на текущий момент это должен быть КриптоКОМ 3.3), какое именно регулируется настройками.
                                                            Т.е. клиент может подписать документ с помощью СКЗИ JaCarta ГОСТ, а банк проверить подпись с помощью СКЗИ КриптоКОМ 3.3? У нас в конфигураторе системы в категории «Безопасность» в параметре «crypto.type» стоит "ccom", это и есть КриптоКОМ 3.3? А какой вариант исполнения? На сайте Сигнал Ком 4 сертификата для разных вариантов исполнения, из них 2 действующих. Как узнать, какой наш? И как относиться к заключениям ФСБ, разрешающим использовать СКЗИ с закончившимся сертификатом?

                                                            Сертификат № СФ/124-2478 от 16.09.2014 на соответствие СКЗИ "Крипто-КОМ 3.3" (варианты исполнения 22, 23) требованиям ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС1 для варианта исполнения 22, требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС2 для варианта исполнения 23. В соответствии с заключением ФСБ России № 149/3/2/2-1269 от 21.07.2014 г. исполнения 22 и 23 СКЗИ "Крипто-КОМ 3.3" разрешается эксплуатировать до 01.08.2019 г.

                                                            Сертификат № СФ/124-2479 от 16.09.2014 на соответствие СКЗИ "Крипто-КОМ 3.3" (варианты исполнения 25, 26) требованиям ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС1 для варианта исполнения 25, требованиям ФСБ России к шифровальным (криптографическим) средствам класса КС2 для варианта исполнения 26. В соответствии с заключением ФСБ России № 149/3/2/2-1270 от 21.07.2014 г. исполнения 25 и 26 СКЗИ "Крипто-КОМ 3.3" разрешается эксплуатировать до 01.08.2019 г.

                                                            Сертификат № СФ/124-2061 на «Крипто-КОМ 3.3» (безопасность информации по уровню КС1, вариант исполнения 1) от 01.02.2013

                                                            Сертификат № СФ/124-2062 на «Крипто-КОМ 3.3» (безопасность информации по уровню КС2, вариант исполнения 2) от 01.02.2013

                                                            Комментарий


                                                            • Сообщение от tim100 Посмотреть сообщение
                                                              Т.е. клиент может подписать документ с помощью СКЗИ JaCarta ГОСТ, а банк проверить подпись с помощью СКЗИ КриптоКОМ 3.3?
                                                              Именно так.

                                                              Сообщение от tim100 Посмотреть сообщение
                                                              У нас в конфигураторе системы в категории «Безопасность» в параметре «crypto.type» стоит "ccom", это и есть КриптоКОМ 3.3?
                                                              Нет, должно быть ccom33. У вас сейчас настроено на предыдущую версию, сертификат, насколько помню, уже истёк.

                                                              Сообщение от tim100 Посмотреть сообщение
                                                              А какой вариант исполнения? На сайте Сигнал Ком 4 сертификата для разных вариантов исполнения, из них 2 действующих. Как узнать, какой наш?
                                                              По идее, тот что КС1. Но, т.к. вам поставляется уже встроенное СКЗИ, то его исполнение отличается от того, что в сертификате (см. соответствующий акт(ы) приёма-передачи, там указан и компакт-диск, на котором переданы СКЗИ и учетные номера и пр.). Также вам должны были предоставить "Выдержки из согласованных с ФСБ России «Правил пользования…» встроенными и поставляемыми в составе системы «iBank 2» криптобиблиотеками" (на том же компакт-диске, этот документ дополняет документацию на СКЗИ, которая образуется из документации на iBank2 и этих выдержек).

                                                              Сообщение от tim100 Посмотреть сообщение
                                                              И как относиться к заключениям ФСБ, разрешающим использовать СКЗИ с закончившимся сертификатом?
                                                              Я про такие случаи не слышал. Расскажите подробнее. Бывают временные разрешения (временный сертификат, продлённый сертификат) - на тот случай, если, не успели продлить сертификат вовремя.

                                                              Комментарий

                                                              Обработка...
                                                              X