Хакер #326. Router from Hell
Подписка на «Хакер» -50%
Минцифры может предложить обязательное подтверждение «значимых действий» в интернете через SMS или мессенджер Max. По данным Forbes , соответствующую норму обсуждают в рамках третьего пакета мер по борьбе с кибермошенничеством. При этом в самом ведомстве утверждают, что такая инициатива не рассматривается.
Как сообщили источники издания, похожая поправка уже входила в первоначальную версию второго пакета антифрод-мер. Она предполагала подтверждение юридически значимых действий в сети через Max и SMS, однако тогда формулировка оказалась неоднозначной: было неясно, нужно ли использовать оба способа одновременно или достаточно одного. Перечень самих действий в документе тоже отсутствовал, и его позднее должно было определить правительство.
Однако перед вторым чтением поправку убрали из документа. По словам одного из собеседников Forbes, от нее отказались после критики со стороны бизнеса, чтобы пользователи и сервисы могли самостоятельно выбирать способ аутентификации. В итоге, в начале июня, Госдума приняла второй пакет антифрод-мер без этой нормы, а позже закон подписал президент РФ Владимир Путин.
По информации издания, теперь представители ИТ-отрасли опасаются, что возвращение инициативы вынудит компании отказаться от собственных механизмов защиты, включая push-уведомления и подтверждения внутри приложений. В настоящее время антифрод-системы могут выбирать уровень проверки в зависимости от риска конкретной операции, а обязательная привязка всего к двум каналам нарушит этот подход.
Кроме того, банкам, маркетплейсам и другим платформам придется платить за рассылку SMS и уведомлений в Max. Но претензии бизнеса связаны не только с дополнительными расходами: обязательная привязка к двум каналам лишит компании возможности использовать собственные механизмы аутентификации и может снизить уровень безопасности. По данным источника издания, ранее против этой инициативы выступил почти весь рынок, кроме операторов связи и VK, чья дочерняя структура разрабатывает мессенджер.
В беседе с журналистами президент Ассоциации компаний интернет-торговли (АКИТ) Артем Соколов отметил, что даже выбор между SMS и Max не решит проблему полностью. В группе РВБ, которая контролирует Wildberries, назвали меру избыточной, сообщив, что на платформе уже работают многоуровневая проверка подозрительной активности, анализ рисков и дополнительные сценарии подтверждения. Новые расходы, предупредили в компании, могут в итоге повлиять на стоимость товаров и услуг.
Также эксперты указывают, что существуют более надежные и универсальные способы двухфакторной аутентификации.
Руководитель АНО «Информационная культура» Иван Бегтин называет инициативу очередной попыткой расширить аудиторию Max. По его словам, под понятие «значимые действия» при желании можно подвести что угодно, хотя речь, вероятно, идет о двухфакторной аутентификации.
Специалист проекта «Сетевые свободы» Станислав Селезнев напомнил об открытом стандарте одноразовых паролей TOTP, описанном в RFC 6238, который не привязан к конкретной платформе. По его словам, отказ от него в пользу закрытого решения требует серьезного обоснования, поскольку код Max закрыт и оценить надежность приложения невозможно.
Альтернативой остаются push-подтверждения внутри приложений. Однако Селезнев напомнил, что после удаления из App Store Max получает push-уведомления не на всех устройствах Apple.
При этом представители Минцифры заявили Forbes, что «такая мера не рассматривается».
«В настоящее время третий пакет мер по борьбе с кибермошенничеством согласовывается с заинтересованными ведомствами и отраслью. Необходимо отметить, что все инициативы разрабатываются с учетом баланса безопасности и прав пользователей. Они направлены на усиление защиты граждан от мошенников в интернет-среде», — подчеркнули в Минцифры.
«В настоящее время третий пакет мер по борьбе с кибермошенничеством согласовывается с заинтересованными ведомствами и отраслью. Необходимо отметить, что все инициативы разрабатываются с учетом баланса безопасности и прав пользователей. Они направлены на усиление защиты граждан от мошенников в интернет-среде», — подчеркнули в Минцифры.