Обычные пароли не всегда могут защитить важную информацию. Даже введение дополнительных правил на количество символов или на регистр не всегда могут помочь, поскольку утечки данных происходят довольно часто.
Для повышения уровня защищенности учетной записи, клиентам выдавали небольшие устройства, в виде usb флэш-накопителя, который использовался для обеспечения безопасности и идентификации, но для них требовалось устанавливать специальное ПО.
Носить такие токены при себе неудобно, даже учитывая их небольшой размер. Сам токен имеет достаточно небольшие размеры и поэтому его можно очень легко потерять.
В банках стали использовать СМС-сообщения с одноразовым паролем, который нужно ввести при совершении операций со счетом для подтверждения личности. Но злоумышленники давно научились перехватывать СМС, а значит степень защиты такого способа крайне мала.
Использовать другой способов аутентификации также подталкивает стоимость СМС, которое растет с каждым годом, хоть и незначительно. Если представить, что в банке полмиллиона клиентов, а стоимость сообщений 3 рубля, то на разовое уведомление каждому потребуется полтора миллиона.
Использование сервисов онлайн рассылки сообщений также не принесет никакой выгоды, поскольку цены в них ничуть не ниже.
Можно использовать push - уведомления, но для них требуется интернет, который может в нужный момент быть отключенным или неоплаченным. А кроме того, создатели и владельцы технологии объявляют push не гарантированным способом доставки информации.
В работе исследован и реализован подход двухфакторной аутентификации и авторизации, в котором смартфон используется в качестве токена. Телефон сложнее потерять, а если его украдут, то на нем стоит дополнительная защита в виде пароля или сканера отпечатка пальца, которую обойти будет достаточно проблематично.
Использование предложенного метода поможет сохранить уровень безопасности на прежнем уровне и избавит банк от затрат на СМС-сообщения.
Актуальность
Двухфакторная аутентификация с помощью одноразового пароля, генерируемого на мобильном устройстве намного удобнее, чем через СМС, поскольку пользователю не придется ждать сообщения, которые могут потеряться или быть перехваченными. Также использование одноразовых паролей, как второй фактор аутентификации может повысить степень защищенности и снизить расходы банка.
Объектом работы является использование одноразовых паролей, как фактора повышения безопасности при проведении финансовых операций.
Предметом работы является разработка решения для использования одноразовых паролей, как средства подтверждения личности клиента при выполнении финансовых операций.
Цель работы
Разработать прототип платформы генерации одноразовых паролей,
Задачи
В рамках работы было необходимо найти решение следующих задач.
1. Раскрыть актуальность использования одноразовых паролей
2. Исследовать возможность генерации одноразовых паролей оффлайн
3. Разработать прототип решения:
3.1 Разработать кроссплатформенную библиотеку генерации одноразовых паролей (далее - библиотека ОТР).
3.2 Разработать авторизационное API, реализующее аутентификацию и авторизацию клиента с использованием одноразового пароля, как второго фактора (далее - ОТР API).
3.3 Разработать мобильное приложение генерации одноразовых паролей для аутентификации и подтверждения финансовых операций, использующее библиотеку ОТР.
3.4 Разработать прототип канала дистанционного банковского обслуживания, эмулирующего работу клиента со своими финансами (далее - Web-приложение).
В результате проделанной работы были разработаны компоненты прототипа, которые можно интегрировать в любой канал дистанционного банковского обслуживания для повышения уровня защищенности данных и для снижения затрат на смс сообщения.
Список выполненных задач:
1. Ознакомился с возможными вариантами решения
2. Разработал кроссплатформенной библиотеки для генерации одноразовых паролей
3. Разработал авторизационное API, реализующее аутентификацию и авторизацию клиента с использованием одноразового пароля, как второго фактора.
4. Разработка мобильного приложения генерации одноразовых паролей для аутентификации и подтверждения финансовых операций, использующее библиотеку ОТР.
5. Разработка прототипа канала дистанционного банковского обслуживания, эмулирующего работу клиента со своими финансами.
Прототип показал работоспособность схемы подтверждения личности клиента банка при проведении операций, основанной на одноразовых паролях, генерируемых на мобильном устройстве, принадлежащим клиенту. Прототип позволил провести исследование безопасности реализации и производительности.
