Банки и операторы связи столкнулись с валом подмены номеров 45 / 2175

[brother52]

отдельный физический цифровой ключ

О, да, это хорошая штука. Там остаётся только нюанс надёжности соединения (на тот ли сайт идёт информация, особенно в случае "тонкого клиента"), но это уже детали.

впаривают вместо него приложение на телефон, еле отбрыкался

Поддерживаю! В отличие от физически отдельного ключа, приложение не обеспечивает двухфакторную аутентификацию.

Кстати, а к телефонам-то как эту штуку присобачивать? Там обычный USB.

Ну, и отдельных денег эти девайсы стоят. Иногда оно и не надо, достаточно обычной двухфакторной аутентификации (комп плюс телефон - это же два разных устройства).

Вы не совсем поняли, что такое этот ключ. Он никуда не подключается и ничего не передаёт:

[brother52]

отдельный физический цифровой ключ

О, да, это хорошая штука. Там остаётся только нюанс надёжности соединения (на тот ли сайт идёт информация, особенно в случае "тонкого клиента"), но это уже детали.

впаривают вместо него приложение на телефон, еле отбрыкался

Поддерживаю! В отличие от физически отдельного ключа, приложение не обеспечивает двухфакторную аутентификацию.

Кстати, а к телефонам-то как эту штуку присобачивать? Там обычный USB.

Ну, и отдельных денег эти девайсы стоят. Иногда оно и не надо, достаточно обычной двухфакторной аутентификации (комп плюс телефон - это же два разных устройства).

Этот ключ никуда не подключается и ничего не передаёт. Он только показывает числа - либо просто по нажатию кнопки, либо в ответ на ввод числа с сайта (при переводе денег). Перехватывать их бесполезно, они одноразовые.

[Дори]

brother52,
Я поняла, что у вас токен с ключами, ну в России их производят Актив и Аладдин. А вы что имели в виду?

[Дори]

brother52,
Увидела, спасибо. У вас пинпад, причем простой его вариант, он просто генерирует коды (как раньше были карточки с кодами, которые надо было стирать ногтем).
Токен (про который говорила я) обеспечивает канал шифрования, сам формирует цифровую подпись, чтобы ключ не лежал в памяти.
Ещё "круче" бывает продвинутый пинпад, который и цифровую подпись делает, и показывает на своем экране, что именно он подписывает (например, платёжку). Это на случай, если вирус в памяти компьютера подменил платёжку, и она, подписанная, готова уйти (не та и не туда). Он дороже.

[brother52]

brother52,
Увидела, спасибо. У вас пинпад, причем простой его вариант, он просто генерирует коды (как раньше были карточки с кодами, которые надо было стирать ногтем).
Токен (про который говорила я) обеспечивает канал шифрования, сам формирует цифровую подпись, чтобы ключ не лежал в памяти.

Тут и то, и другое. При входе на сайт - одноразовый код. При переводе денег, вводите последние цифры счёта адресата на пинпаде, и он генерирует код на основании него. В сущности, цифровая подпись.