[ Сообщений: 43 ] 
Начать новую тему Ответить на тему На страницу 1, 2, 3  След.
Автор Сообщение
СообщениеДобавлено: 18 ноя 2009, 16:38 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Любое место, где есть деньги, привлекает внимание мошенников разного рода. МиксМаркет растет, и все больше партнеров зарабатывает в системе все больше денег. Поэтому все чаще возникают неприятные ситуации, когда у партнера пытаются увести заработки, и, к сожалению, мы далеко не всегда можем противостоять таким попыткам.

Такие ситуации можно разделить на два варианта:

Вариант 1. Злоумышленники получают доступ непосредственно к кошельку партнера и выводят из него деньги.

Обезопаситься от такой ситуации партнеры могут двумя способами:
- Перейти на работу по безналичному расчету. Это можно сделать, обратившись в службу поддержки. См. также про регламент вывода денег по безналичному расчету в соответствующем разделе FAQ: http://www.mixmarket.biz/faq/
- Неукоснительно соблюдать рекомендации по безопасности работы с соответствующими платежными системами. См. http://money.yandex.ru/security/ и http://security.webmoney.ru/
Пожалуй, больше ничем мы помочь не можем — заставлять партнеров пользоваться электронными токенами и подобными вещами мы не можем. Да и отследить активность злоумышленников на «чужой» территории — на территории платежных систем — мы никак не можем.

Вариант 2. Злоумышленники получают доступ к аккаунту партнера в МиксМаркете, заменяют кошелек на свой и выводят деньги на него.

С этой ситуацией мы можем и намерены бороться. Собственно, мне известно три ситуации подобного типа, проиошедшие в этом месяце. Две из них удалось предотвратить, одну, к сожалению, мы пропустили.

Как это происходит?

1. Злоумышленник получает доступ к электронному адресу, к которому привязан аккаунт.
2. Злоумышленник восстанавливает пароль от аккаунта МиксМаркета на этот электронный адрес.
3. Злоумышленник заменяет кошельки в аккаунте, получив ссылки-подтверждения на почту.
4. Злоумышленник формирует выплату и уходит с деньгами.

Обратите внимание: этот способ на сто процентов завязан на электронную почту. То есть злоумышленник, получивший доступ к аккаунту, но не получивший доступа к почте, может как угодно накуролесить в вашем аккаунте, но он все равно не получит ваших денег. Для получения денег ему необходим пароль от почты.

Кстати, электронный адрес тоже меняется исключительно с помощью почты.

Вводя такую логику, мы наивно полагали, что уж почту-то партнеры берегут как зеницу ока. Оказалось, что, быть может, и берегут, да только все равно доступ к ней каким-то образом оказывается у злоумышленников, мошенников и прочей сволочи. Иногда после этого злоумышленники ошибаются, например, обращаясь в поддержку с воплями «срочна нада денек вывидите сичас же», и тогда мы обнаруживаем «левую» активность в аккаунте и бьем тревогу. Иногда все проходит тихо, и, как это ни прискорбно, партнер остается без части честно заработанных денег. Такие дела.

Потом, естественно, мы восстанавливаем партнеру доступ к аккаунту и все такое, но деньги вернуть уже практически нереально.

Нынешнее положение дел нас в корне не устраивает. На данный момент я вижу следующее решение:
    Для смены кошелька, емейла или телефона необходимо дождаться одобрения от сотрудника МиксМаркета, который предварительно обязуется почитать логи действий, совершенных в аккаунте, и при малейшем сомнении связаться с партнером и убедиться в том, что это действительно партнер заказал смену кошелька. То есть фактически подтверждение будет двойное — сначала партнер подтверждает, потом сотрудник МиксМаркета проверяет.
Конечно же, это не гарантируют стопроцентной защиты, однако существенно осложняют жизнь злоумышленнику. И в некоторой степени осложняют жизнь партнеру — замена кошелька или емейла/телефона будет требовать значительно бóльшего времени, чем сейчас.

Сразу оговорюсь, что способы добровольной защиты (типа можно включить, а можно и не включать) не рассматриваются. Если дополнительная защита и будет введена, то для всех. Практика показывает, что в «группе риска» находятся именно те, кто плюет на добровольную защиту. Тем, кто ее включает, она, по большому счету, не нужна. 8)

Собственно, вопросы, которые я хочу выставить на обсуждение, следующие:

1. Нет ли у вас идей по поводу других вариантов защиты?

2. Готовы ли вы пойти на такие неудобства ради бóльшей безопасности?

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Последний раз редактировалось ivanov 27 янв 2010, 20:16, всего редактировалось 1 раз.
Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 17:00 
Аватара пользователя

Сообщения: 15
Поблагодарили: 0 раз.
Первый этап E-mail
Второй этап отправка кода SMS сообщением. Как в банках делают.
Третий этап (если оба первых этапы успешные) звонок сотрудника Миксмаркета для утверждения смены данных.
Плюс временной буфер - сутки на активацию новых данных после утверждения. После звонка все изменения не возможны в течении суток.

Мое мнение такое.
Я лично готов пойти на любые меры для затруднения манипулирования деньгами третьими лицами.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 17:08 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
andrewnnov писал(а):
Второй этап отправка кода SMS сообщением. Как в банках делают.

С SMS видится следующая проблема: по ощущениям больше половины партнеров не заполнили телефон; кроме того, у многих указан не мобильный телефон. То есть для ввода SMS-этапа нам придется:

(а) заставить кучу партнеров ввести телефон (что, вообще говоря, непросто: единственный реальный способ — «зажимать» деньги, пока не будет введен нормальный телефон)
и
(б) выработать политику «переходного периода» (то есть по сути некоторое время обходиться без SMS).

Короче, мне думается, что SMS — это лишняя морока.

Временной промежуток возникает автоматически из-за того, что я, к примеру, не смогу круглосуточно одобрять смены кошельков. Но это получается задержка не до, а после. Считаете, это принципиально?

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 19:32 
Эксперт
Аватара пользователя

Сообщения: 575
Поблагодарили: 20 раз.
лично мне так достаточно "красной надписи" в течении пары суток о том, что произошла смена кошельков или мылов (такое вроде и есть уже) - я в аккаунте раз в сутки (ми-и-инимум) точно бываю и попытку подмены спалю сразу.
Но я и не против дополнительных мер (озвученные выше "про доп. проверку сотрудником" считаю "в меру параноидальными" и вполне даже приемлемыми)... своих предложений сразу в голову не придумывается.

_________________
Люблю стабильное разнообразие

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 19:40 
Аватара пользователя

Сообщения: 47
Поблагодарили: 0 раз.
В аккаунт могу не заходить неделями. Поэтому я за СМС.
Хотя бы для уведомлений о смене кошелька или email. Пусть в этой СМС будет сразу же контактный телефон Миксмаркета. Чтобы можно было сразу отреагировать при несанкционированном доступе.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 23:58 
Аватара пользователя

Сообщения: 58
Поблагодарили: 1 раз.
ivanov писал(а):
Для смены кошелька, емейла или телефона необходимо дождаться одобрения от сотрудника МиксМаркета, который предварительно обязуется почитать логи действий, совершенных в аккаунте, и при малейшем сомнении связаться с партнером и убедиться в том, что это действительно партнер заказал смену кошелька. То есть фактически подтверждение будет двойное — сначала партнер подтверждает, потом сотрудник МиксМаркета проверяет.

По моему такой вариант довольно надежный и в общем особых неудобств партнеру не принесет. Вы-же работаете как минимум пять дней в неделю.

А на счет SMS, я вот допустим в другой стране (и думаю не только я) и я сомневаюсь что SMS до меня вообще дойдет.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 16:18 
Аватара пользователя

Сообщения: 65
Поблагодарили: 3 раз.
Для тех, кто не имеет возможности получать SMS, можно хранить в системе какой-то другой способ связи: ICQ, Skype или второй адрес e-mail.
Только надо сделать так, чтобы невозможно было сменить одновременно оба контакта.
Например, для смены одного e-mail надо щелкнуть по ссылке, которая отправляется по другому e-mail. После этого, например, 3-5 дней нельзя сменить второй e-mail

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 16:29 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Markety, с дополнительными емейлами предвижу дурацкую ситуацию — username@ya.ru и username@yandex.ru
Ну или действительно два разных емейла, но с пересылкой с одного на другой.

Этот вариант мне кажется слишком выморочным. Нормальный use case — у одного человека один емейл.

ICQ, Skype и подобное, увы, точно так же завязаны на емейл — поэтому сильно хуже, чем телефон. 8(

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 17:12 
Аватара пользователя

Сообщения: 5
Поблагодарили: 0 раз.
Есть еще один метод атаки это фишинг. Когда приходит письмо со ссылкой на левый сайт. И там пользователь вводит логин и пароль. Помню был такой у меня случай на доступ к кошельку на яндексе. Но я понял что это фишинг. И отправил письмо в службу поддержки.

Есть 2 варианта как обезопасить пользователей. Первое это сделать активацию смены кошелька и почти с помощью СМС. А телефон только с предоставлением копии паспорта заверенного нотариально.

Второй по моему самый лучший, это реализовать авторизацию с помощью электронных ключей типа э-токен.

_________________
Если вы с первого раза сумели написать программу, в которой компилятор не нашел ни одной ошибки, сообщите об этом системному программисту - он исправит ошибки в компиляторе.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 17:53 
Аватара пользователя

Сообщения: 65
Поблагодарили: 3 раз.
ivanov писал(а):
с дополнительными емейлами предвижу дурацкую ситуацию

Ну да, дурацкие ситуации можно придумать для любого способа защиты, в любом из таких вариантов будет просвечивать явное желание владельца аккаунта потерять свои денежки :)

Ещё как вариант, например, в webmoney light используется авторизация по сертификату, установленному в браузере клиента. Плюс - нет логинов-паролей, которые можно украсть. Клиенту только остается следить за сохранностью и неприкосновенностью локальной резервной копии сертификата и беречь свой компьютер от посторонних. Минусы: периодическая возня по замене сертификата перед истечением его срока годности и проблемы в случае просрочки обновления сертификата (предвижу дурацкую ситуацию ;) ), а также привязка к компьютеру (-ам), в браузерах которых установлен сертификат.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 18:16 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Markety писал(а):
Минусы: периодическая возня по замене сертификата перед истечением его срока годности и проблемы в случае просрочки обновления сертификата (предвижу дурацкую ситуацию Wink )
Мне кажется, это критично. Я, например, рад бы иметь возможность отказаться от возни с сертификатами в WM. Ну да не суть.
Markety писал(а):
Ну да, дурацкие ситуации можно придумать для любого способа защиты, в любом из таких вариантов будет просвечивать явное желание владельца аккаунта потерять свои денежки
Вот поэтому я и предлагаю полагаться на человека, а не на формализованные процедуры, которые партнеры будут старательно обходить. 8)

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 18:50 
Аватара пользователя

Сообщения: 1
Поблагодарили: 0 раз.
лично мне без разницы какую доп. защиту введете.
Подтверждение смены кошелька вашим сотрудником — хорошо, но предлагаю ввести еще несколько защит:
* блокировку левых IP (по типу WebMoney) — позволит работать только с указанных IP; подсети и т.п.
* защитить при помощи таблиц случайных последовательностей, которую использует, к примеру, Яндекс.
* ту же СМСку.

И предлагать, к примеру, пользователям выбирать способы защиты своих данных. Пусть выбирает СМСку (номер должен подтверждаться путем отсылки на номер кода), или таблицу случайных последовательностей, или блокировку по IP.

Если кошелек (или e-mail) так критичен, то пусть для его смены будет необходимо дня 3. Отправил заявку на смену — по e-mail отправляется предупреждение, что мол вы хотите сменить данные. Смена данных производится только по истечению 3-х дней. Мошенники обычно не так терпеливы. Обычным людям же смена кошелька нужна ооочень редко. Еще существует опасность, что мошенник может (если имеет доступ к почте) просто удалить письмо.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 22:52 
Аватара пользователя

Сообщения: 23
Поблагодарили: 1 раз.
я за дополнительную защиту.
наиболее распространенная, как мне кажется, защита - это привязка к телефону (коды подтверждения на sms). в профиле телефон светить не нужно даже для самого себя. смена мейла и телефона - через код подтверждения.
опционально можно и доп привязку по ip сделать, как у webmoney.
о несанкционированные действиях сообщать sms. :)

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 20 ноя 2009, 12:59 
Аватара пользователя

Сообщения: 30
Поблагодарили: 1 раз.
Можно перенять опыт с САПы - подтверждение смены чего угодно через размещение текстового файла в корне своего сайта.
Например, меняем кипер - пишем номер нового и старого кипера в текстовом файле (имя которого, кстати, можно спрятать и хранится он будет только у Админов системы) и размещаем этот файл в корне сайта.
Админы проверяют наличие данного файла на серваке клиента.
То же самое и со сменой мыла.
Плюс,можно зафигачить задержку выплаты при смене кипера.

Достоинства данного метода:
1. Простота реализации;
2. Приемлемая надежность - злоумышленнику придется получать доступ к серверу, что не так уж и просто;
3. Даже заполучив доступ к серверу - злоумышленник не будет знать имя текстового файла для размещения изменяемой инфы.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 20 ноя 2009, 13:55 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
urikor писал(а):
3. Даже заполучив доступ к серверу - злоумышленник не будет знать имя текстового файла для размещения изменяемой инфы.

А откуда его знает партнер?

Плюс чисто теоретически в Mix-UNI могут быть партнеры без собственных сайтов. 8/

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
Показать сообщения за:  Поле сортировки  
Начать новую тему Ответить на тему На страницу 1, 2, 3  След.
 [ Сообщений: 43 ] 

   Похожие темы   Ответы   Автор   Просмотры   Последнее сообщение 
В этой теме нет новых непрочитанных сообщений. Обновлен способ вывода денег из Микс-Товаров

в форуме Миксмаркет в развитии

10

ivanov

17812

08 июл 2008, 19:55

ivanov Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Изменения в работе Яндекс.Денег для анонимных пользователей

в форуме Микс-Товары

0

mixb

8102

20 май 2014, 10:25

mixb Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Как быстро проходит зачисление денег за регистрацию в играх?

в форуме Микс-Юни

1

slaru

5364

09 июл 2013, 14:53

Odaria Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Заказ денег больше существующей суммы.

в форуме Микс-Товары

4

tipntricks

10987

03 окт 2006, 17:10

tipntricks Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Очень хочу потратить денег, а вы не даете!

в форуме Миксмаркет в развитии

1

maytech

9962

22 июл 2013, 15:53

Odaria Перейти к последнему сообщению



Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения
cron


О проекте Новости Пресса о нас Сотрудничество Вакансии Контакты
2005–2011 Партнерская сеть Миксмаркет
Разработка сайта — iji-design / AdLabs
Powered by phpBB Group