Irina’s Weblog

4/7/2007

ePay веведоха задължителни сертификати за преводи над 200 лв.

Filed under: Computers,Daily — Izida @ 10:56 am

Вчера установих, че ePay не дават при обичайно логване само с име и парола да регистрираш вносни бележки за суми над 200 лв. За да можеш да го правиш имаш две алтернативи :

Да си инсталираш електронен сертификат;
Да ползваш услугата “Временен SMS код”

Реших да си генерирам техен сертификат. (Днес разбрах от пост на Жоро Чорбаджийски, че съм постъпила много добре като съм игнорирала SMS варианта!) Проследих връзките, браузърът ме предупреди за следващата инсталация на сертификат, потвърдих, че вярвам на ePay.bg и така се сдобих с нужното. При следващото влизане в ePay въведох отново името и паролата си, но вече след като кликна на бутона “Вход” браузърът ме попита кой сертификат да ползва – избрах този на ePay. И вече можех да превеждам по-големи суми.

Да, от тук нататък никой не може да влезе в ePay с моето име и парола освен като не е откраднал и сертификата от домашния ми компютър. Което е по-трудно от това да ме подмами и да се сдобие с паролата ми.

Но остава висящ въпроса – а ако моята парола вече беше открадната и този, който е инсталирал сертификата, всъщност е крадеца?? ePay реално не правят никаква проверка коя е личността, стояща зад пратения им публичен ключ, който ще се използва от тук нататък за проверка валидността на сесията. И това нямаше да го спре в този момент да направи голям превод до своя сметка. За сравнение, когато си инсталирах сертификат към Първа инвестиционна банка за целите на електронното банкиране, трябваше да отида с личната си карта в клон на банката и да се подпиша, че пратената заявка е наистина от мен.

Струва ми се, че това е някакъв опит да се внуши сигурност на потребителите след разпространилия се phishing от името на ePay през предните седмици (за който писа и Dzver-а). Но не са си доизпипали работата! Хем искат да е удобно и лесно за пускане като услуга – хем да е сигурно. Все пак е едно добро начало.

Comments (9)

9 Comments »

Ако някой ти врътнал номер и се е сертифицирал вместо теб, би трябвало да можеш да смениш или премахнеш сертификата, като се легитимираш в офиса им. Същото е и възстановяването на забравена парола. Затова е хубаво, дори наложително, данните в профила да са истински.

Поздрави Ему

Comment by Ему — 4/7/2007 @ 1:49 pm
А докато смениш сертификата? Той вече ще е източил бая парички.

Или се опитват да накарат хората, ползващи ePay за по-големи суми, да се замислят за сигурност.

Comment by Izida — 4/7/2007 @ 1:55 pm
Приципно това, което фишърите правят, си е измама, класическа. Има си застраховки срещу такива измами и общо-взето всяка институция, която се занимава с разплащания, ги има. Не знам дали и-пей имат такава, ще ме заинтересува, ако някой ден ми източат от картата някакви суми.

Тази технология със сертификата съществува поне от 5 години. Не е никак “нова” или “набързо” направена. И откъм удобство – цена няма. Иначе да ме карат да ходя до офиса им… ами ако случайно живея не в София и/или не в България?

Има един елементарен “хак”, който не позволява да ти източат повече от определена сума. Този хак е да имаш една дебитна карта, специално за такъв вид разплащания (и-пей, Интернет). Още една сметка наистина, но ако е в любимата електронна ПИБ, тогава няма проблем да си преливаш средства. Неудобство се явява, че ако искаш да разполагаш с по-голяма сума, ще трябва първо да я преливаш от основната ти сметка (която би следвало да няма карти към нея). Затова пък ще си подсигурен.

Разбира се, говорейки за измами, ако ти напипат “електронното банкиране”, тогава си яко оплескан. Защото банката НЕ ДЪЛЖИ нищо в случая, когато някой се е оторизирал като теб. Сертификатът ти в случая има формата на електронен подпис (поне тук е така, май в БГ не е още така, защото сертификатът им не отговаря на официалните изисквания за електронен подпис). Но то да стане белята, пък ти ги съди, че не правят разследване :).

Най-добре да не става. Нали?

Навремето си унищожих първия сертификат, който имах в иПей. Интересното беше, когато им се обадих, за да оправим проблема. Тогава (беше отдавна, пак повтарям) просто ми изтриха връзката на моя акаунт към този сертификат, за да мога да си изгенерирам сертификата отново :). Сега е моментът да те подгони параноята какво ще стане, ако практиките им са същите и в това отношение :).

Comment by Дончо — 4/7/2007 @ 2:15 pm
Тази технология със сертификата съществува поне от 5 години. Не е никак “нова” или “набързо” направена. И откъм удобство – цена няма. Иначе да ме карат да ходя до офиса им… ами ако случайно живея не в София и/или не в България?

Момент, че то и в ПИБ си е със сертификат! Просто имат по-сигурно удостоверяване, че сертификатът е генериран от теб.

Не знам как се справят с регистрацията на нови сертификати другите, но мен този вариант на ПИБ ме устройва.

Comment by Izida — 4/7/2007 @ 2:19 pm
Мдам – и аз вчера бях неприятно изненадат от това нововъведение.
И аз тръгнах да постъпвам като теб, обаче се спрях навреме. Оказа се, че приемат и сертификати, издадени от ПИБ. Просто указах да използва моя и – voila.

Comment by Даниел Панев — 4/7/2007 @ 2:22 pm
И като така и така сме започнали вече с параноите… рџ‰ Ами какво ще стане, ако някой ти седна на компютъра (напр. ползваш си ePay-а от офиса) и експортне сертификата, после си го отнесе и си го сложи на своя компютър? Много проста и напълно “легална” операция, всъщност.
Сертификатите са хубаво нещо и трябва да се ползват, само не забравяй да провериш кога ти изтича, за да няма изненади.

Comment by Иво — 4/7/2007 @ 2:41 pm
Май не се изразих точно – нямам нищо против сертификатите, напротив, даже се чудя защо до сега не съм си инсталирала сертификат в ePay. Но съм против процедурата по издаването им! Особено в момента, когато се знае, че има потребители на системата, подлъгани с phishing.

@Даниел,
как не се сетих! Просто бързах да си извърша превода. А и бях почти 100% убедена, че няма да мине без някаква верификация аз ли съм или не съм. Един вид бързах да разбера, че превод днес не мога да направя. И като ми прие сертификата без проблем, чак зяпнах!

Comment by Izida — 4/7/2007 @ 2:55 pm
Само да кажа за СМС варианта: парите които ти вземат за абонамент/раз-абонамент са парите ти за един СМС (15+3ст при мен)
На всяко плащане ти вземат още по 5 стотинки — поносима цена за нивото на сигурност което получаваш. Пренебрежимо малка в сравнение с таксата за превода, която е м/у 60ст и 1лв.

Comment by stanimir — 5/7/2007 @ 10:40 am
Е, но защо да плащаш за SMS като можеш да ползваш безплатно сертификат? А и при мен цената на превода е 40 стотинки ако е до друг ПИБ клиент. Иначе – левче.

Comment by Izida — 5/7/2007 @ 10:46 am