PC Magazine/RE - Журнал PC Magazine/RE №10/2009

Virtualization Gate – тоже французская разработка, созданная усилиями INRIA и университета Гренобля. Входящий во «Врата» пользователь оказывается в тщательно смоделированном мире, с которым можно взаимодействовать. Информация с камер позволяет точно вычислять положение и позу игрока в пространстве в каждый момент времени и в соответствии с этим изменять смоделированный мир. Но самый ошеломляющий эффект на посетителей выставки произвело изобретение Криса Харрисона из университета Карнеги—Мэллона: Scratchable Input, т. е. ввод при помощи царапания. В буквальном смысле: любой, кому хоть раз приходилось проводить, скучая, ногтями по столешнице или доске, мог заметить, что звук получается разным в зависимости от того, вертикально эту поверхность царапать или горизонтально.

Оказалось, что чувствительности микрофона обычного мобильника (усиленного в некоторых случаях стетоскопом) достаточно, чтобы определять «на слух» направление движения ногтя по твердой поверхности – после предварительной калибровки, конечно. В результате для «рукописного» ввода можно использовать не сенсорный экран, а стол, стену, книжную обложку, дверцу шкафа – любую твердую поверхность. Осуществлять навигацию по экранному меню телефона таким образом сложновато, а вот вводить текст – самое милое дело.

Как стало известно из обзора технологических новинок, опубликованного на сайте Массачусетского технологического института (MIT), двухфакторная аутентификация, которая активно используется при проведении онлайновых банковских операций, больше не считается абсолютно безопасной для создания надежной защиты. История ее взлома впрямь получилась детективной.

В середине июля этого года бухгалтер производственной копании Ferma (Маунтин-Вью, шт. Калифорния) вошел в онлайновую банковскую систему для выполнения текущих операций по счету компании, где он работает. Для его аутентификации использовалась технология защиты с одноразовыми паролями, что было сделано для повышения безопасности системы.

Однако оказалось, что на машине этого пользователя присутствовал «попутчик». Тщательное исследование его компьютера, проведенное в последующем, показало, что до злополучного входа в банковскую онлайновую систему он посетил некий Web-сайт, откуда в его компьютер внедрился вредоносный программный код. Когда бухгалтер стал выполнять через онлайн-банкинг легитимные банковские операции, программа одновременно с ними инициализировала 27 банковских транзакций по различным счетам, что в итоге привело к незаконному перечислению денежных средств на сумму 447 долл. Все было сделано за считанные минуты. «Они не только смогли внедриться в мой системный кабинет, но и сумели точно узнать, сколько средств они могут снять, поскольку посмотрели установленные мною лимиты по операциям». Это слова подставленного менеджера, которым оказался Рой Феррари, президент компании Ferma.

Кража удалась несмотря на то, что в Ferma применялась система одноразовых паролей, шестизначных цифровых кодов, генерируемых специальным электронным устройством (токеном), которые меняются каждые 30–60 с. Онлайновые мошенники обошли эту систему защиты, используя специальную программу – работающего в реальном времени «трояна», который выполнял нужные им транзакции, пока пользователь находился в онлайновом режиме в банковской системе.

Эксперты по безопасности, проанализировавшие эту ситуацию, утверждают, что вина в данном случае лежит на банке, который должен был предложить своим клиентам более сложную и надежную систему безопасности, чем в данном случае. Например, можно было бы увеличить число защищенных переходов, предложив барьеры с генерацией дополнительных одноразовых ключей. Или нечто подобное.

Другим возможным решением могло бы быть использование дополнительных каналов подтверждения. Например, координация транзакций через звонок по телефону или передачу контрольного значения средствами SMS.

Решение всегда есть. Но следует также помнить: игра с хакерами – это как игра в кошки-мышки. В ней изобретательными должны быть не только кошки, но и мышки. Тогда за этим процессом можно наблюдать долго. Если же одна из сторон перестает быть изобретательной, то игра быстро заканчивается.