Tuesday May 17 2016 17:37, Alex Korchmar wrote to Andrew Kant: AK>> ключ от сервера, а дальше приложение делает стандартные функции типа AK>> хэширования по AK> думаю что ровно наоборот - на сервере лежит "ключ", как-то связанный с AK> номером карты (надеюсь, не через визовскую коробочку-пинохранилище).
Если-бы он был связан с номером карты, ты должен-был бы этот номер передавать при логине, а так как достаточно только набрать то, что показал тебе веб-сервер, то привязка идет к тому, что записано внутри.
AK> Раздавать пользователям какие-то ключи сервера, даже в AK> неизвлекаемом AK> формате - вряд ли одобрила бы банковская секьюрить. Вот эту бы детальку AK> и научиться воспроизводить у себя. Если оно не через коробочку - то, AK> скорее всего, воспроизводимо, понять бы, как. Hа карте есть обычный защищённый профиль, доступный по пину, в котором лежат ключи. Карта умеет этими ключами что-то пропускать через алгоритм RSA (естественно, не только, RSA чисто для примера). Второй ключ есть у сервера, сервер им что-то подписывает, это-же "что-то" он выкладывает тебе на сайте, ты вводишь в калькулятор и он подписывает это что-то ключом с карты. Результат ты вводишь.
AK>> Естественно, пин прийдется вводить, и его у тебя могут стырить AK> могут, но это две разные вещи надо стырить - код и физическое AK> устройство. Причем этот самый код и сменить недолго, ему незачем быть AK> суперсекьюрным и неудобозапоминаемым, сам по себе он тоже ничего не AK> дает, поэтому даже в этом случае не будет гарантии что стырен нужный AK> код. А если не сделать все очень быстро - я просто блокирую карту, и она AK> превращается в тыкву вместе с кодами. Вот и воспользуйся обычным токеном или смарткартой, их стандартный mstsc и стандартный виндовый логин принимает как родной. И пин, и карта (либо usb-донгл), и уже существующая промышленная технология, не китайская - всё как ты хотел.
Конечно, можно сказать, типа зачем мне ещё одна когда у меня уже есть одна смарткарта в кредитке и одна в мобиле, но там нет интеграции, то есть если хочешь секурно - то надо брать отдельно.
