[ Сообщений: 43 ] 
Начать новую тему Ответить на тему На страницу 1, 2, 3  След.
Автор Сообщение
СообщениеДобавлено: 18 ноя 2009, 16:38 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Любое место, где есть деньги, привлекает внимание мошенников разного рода. МиксМаркет растет, и все больше партнеров зарабатывает в системе все больше денег. Поэтому все чаще возникают неприятные ситуации, когда у партнера пытаются увести заработки, и, к сожалению, мы далеко не всегда можем противостоять таким попыткам.

Такие ситуации можно разделить на два варианта:

Вариант 1. Злоумышленники получают доступ непосредственно к кошельку партнера и выводят из него деньги.

Обезопаситься от такой ситуации партнеры могут двумя способами:
- Перейти на работу по безналичному расчету. Это можно сделать, обратившись в службу поддержки. См. также про регламент вывода денег по безналичному расчету в соответствующем разделе FAQ: http://www.mixmarket.biz/faq/
- Неукоснительно соблюдать рекомендации по безопасности работы с соответствующими платежными системами. См. http://money.yandex.ru/security/ и http://security.webmoney.ru/
Пожалуй, больше ничем мы помочь не можем — заставлять партнеров пользоваться электронными токенами и подобными вещами мы не можем. Да и отследить активность злоумышленников на «чужой» территории — на территории платежных систем — мы никак не можем.

Вариант 2. Злоумышленники получают доступ к аккаунту партнера в МиксМаркете, заменяют кошелек на свой и выводят деньги на него.

С этой ситуацией мы можем и намерены бороться. Собственно, мне известно три ситуации подобного типа, проиошедшие в этом месяце. Две из них удалось предотвратить, одну, к сожалению, мы пропустили.

Как это происходит?

1. Злоумышленник получает доступ к электронному адресу, к которому привязан аккаунт.
2. Злоумышленник восстанавливает пароль от аккаунта МиксМаркета на этот электронный адрес.
3. Злоумышленник заменяет кошельки в аккаунте, получив ссылки-подтверждения на почту.
4. Злоумышленник формирует выплату и уходит с деньгами.

Обратите внимание: этот способ на сто процентов завязан на электронную почту. То есть злоумышленник, получивший доступ к аккаунту, но не получивший доступа к почте, может как угодно накуролесить в вашем аккаунте, но он все равно не получит ваших денег. Для получения денег ему необходим пароль от почты.

Кстати, электронный адрес тоже меняется исключительно с помощью почты.

Вводя такую логику, мы наивно полагали, что уж почту-то партнеры берегут как зеницу ока. Оказалось, что, быть может, и берегут, да только все равно доступ к ней каким-то образом оказывается у злоумышленников, мошенников и прочей сволочи. Иногда после этого злоумышленники ошибаются, например, обращаясь в поддержку с воплями «срочна нада денек вывидите сичас же», и тогда мы обнаруживаем «левую» активность в аккаунте и бьем тревогу. Иногда все проходит тихо, и, как это ни прискорбно, партнер остается без части честно заработанных денег. Такие дела.

Потом, естественно, мы восстанавливаем партнеру доступ к аккаунту и все такое, но деньги вернуть уже практически нереально.

Нынешнее положение дел нас в корне не устраивает. На данный момент я вижу следующее решение:
    Для смены кошелька, емейла или телефона необходимо дождаться одобрения от сотрудника МиксМаркета, который предварительно обязуется почитать логи действий, совершенных в аккаунте, и при малейшем сомнении связаться с партнером и убедиться в том, что это действительно партнер заказал смену кошелька. То есть фактически подтверждение будет двойное — сначала партнер подтверждает, потом сотрудник МиксМаркета проверяет.
Конечно же, это не гарантируют стопроцентной защиты, однако существенно осложняют жизнь злоумышленнику. И в некоторой степени осложняют жизнь партнеру — замена кошелька или емейла/телефона будет требовать значительно бóльшего времени, чем сейчас.

Сразу оговорюсь, что способы добровольной защиты (типа можно включить, а можно и не включать) не рассматриваются. Если дополнительная защита и будет введена, то для всех. Практика показывает, что в «группе риска» находятся именно те, кто плюет на добровольную защиту. Тем, кто ее включает, она, по большому счету, не нужна. 8)

Собственно, вопросы, которые я хочу выставить на обсуждение, следующие:

1. Нет ли у вас идей по поводу других вариантов защиты?

2. Готовы ли вы пойти на такие неудобства ради бóльшей безопасности?

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Последний раз редактировалось ivanov 27 янв 2010, 20:16, всего редактировалось 1 раз.
Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 17:00 
Аватара пользователя

Сообщения: 15
Поблагодарили: 0 раз.
Первый этап E-mail
Второй этап отправка кода SMS сообщением. Как в банках делают.
Третий этап (если оба первых этапы успешные) звонок сотрудника Миксмаркета для утверждения смены данных.
Плюс временной буфер - сутки на активацию новых данных после утверждения. После звонка все изменения не возможны в течении суток.

Мое мнение такое.
Я лично готов пойти на любые меры для затруднения манипулирования деньгами третьими лицами.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 17:08 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
andrewnnov писал(а):
Второй этап отправка кода SMS сообщением. Как в банках делают.

С SMS видится следующая проблема: по ощущениям больше половины партнеров не заполнили телефон; кроме того, у многих указан не мобильный телефон. То есть для ввода SMS-этапа нам придется:

(а) заставить кучу партнеров ввести телефон (что, вообще говоря, непросто: единственный реальный способ — «зажимать» деньги, пока не будет введен нормальный телефон)
и
(б) выработать политику «переходного периода» (то есть по сути некоторое время обходиться без SMS).

Короче, мне думается, что SMS — это лишняя морока.

Временной промежуток возникает автоматически из-за того, что я, к примеру, не смогу круглосуточно одобрять смены кошельков. Но это получается задержка не до, а после. Считаете, это принципиально?

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 19:32 
Эксперт
Аватара пользователя

Сообщения: 575
Поблагодарили: 20 раз.
лично мне так достаточно "красной надписи" в течении пары суток о том, что произошла смена кошельков или мылов (такое вроде и есть уже) - я в аккаунте раз в сутки (ми-и-инимум) точно бываю и попытку подмены спалю сразу.
Но я и не против дополнительных мер (озвученные выше "про доп. проверку сотрудником" считаю "в меру параноидальными" и вполне даже приемлемыми)... своих предложений сразу в голову не придумывается.

_________________
Люблю стабильное разнообразие

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 19:40 
Аватара пользователя

Сообщения: 47
Поблагодарили: 0 раз.
В аккаунт могу не заходить неделями. Поэтому я за СМС.
Хотя бы для уведомлений о смене кошелька или email. Пусть в этой СМС будет сразу же контактный телефон Миксмаркета. Чтобы можно было сразу отреагировать при несанкционированном доступе.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 18 ноя 2009, 23:58 
Аватара пользователя

Сообщения: 58
Поблагодарили: 1 раз.
ivanov писал(а):
Для смены кошелька, емейла или телефона необходимо дождаться одобрения от сотрудника МиксМаркета, который предварительно обязуется почитать логи действий, совершенных в аккаунте, и при малейшем сомнении связаться с партнером и убедиться в том, что это действительно партнер заказал смену кошелька. То есть фактически подтверждение будет двойное — сначала партнер подтверждает, потом сотрудник МиксМаркета проверяет.

По моему такой вариант довольно надежный и в общем особых неудобств партнеру не принесет. Вы-же работаете как минимум пять дней в неделю.

А на счет SMS, я вот допустим в другой стране (и думаю не только я) и я сомневаюсь что SMS до меня вообще дойдет.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 16:18 
Аватара пользователя

Сообщения: 67
Поблагодарили: 3 раз.
Для тех, кто не имеет возможности получать SMS, можно хранить в системе какой-то другой способ связи: ICQ, Skype или второй адрес e-mail.
Только надо сделать так, чтобы невозможно было сменить одновременно оба контакта.
Например, для смены одного e-mail надо щелкнуть по ссылке, которая отправляется по другому e-mail. После этого, например, 3-5 дней нельзя сменить второй e-mail

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 16:29 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Markety, с дополнительными емейлами предвижу дурацкую ситуацию — username@ya.ru и username@yandex.ru
Ну или действительно два разных емейла, но с пересылкой с одного на другой.

Этот вариант мне кажется слишком выморочным. Нормальный use case — у одного человека один емейл.

ICQ, Skype и подобное, увы, точно так же завязаны на емейл — поэтому сильно хуже, чем телефон. 8(

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 17:12 
Аватара пользователя

Сообщения: 5
Поблагодарили: 0 раз.
Есть еще один метод атаки это фишинг. Когда приходит письмо со ссылкой на левый сайт. И там пользователь вводит логин и пароль. Помню был такой у меня случай на доступ к кошельку на яндексе. Но я понял что это фишинг. И отправил письмо в службу поддержки.

Есть 2 варианта как обезопасить пользователей. Первое это сделать активацию смены кошелька и почти с помощью СМС. А телефон только с предоставлением копии паспорта заверенного нотариально.

Второй по моему самый лучший, это реализовать авторизацию с помощью электронных ключей типа э-токен.

_________________
Если вы с первого раза сумели написать программу, в которой компилятор не нашел ни одной ошибки, сообщите об этом системному программисту - он исправит ошибки в компиляторе.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 17:53 
Аватара пользователя

Сообщения: 67
Поблагодарили: 3 раз.
ivanov писал(а):
с дополнительными емейлами предвижу дурацкую ситуацию

Ну да, дурацкие ситуации можно придумать для любого способа защиты, в любом из таких вариантов будет просвечивать явное желание владельца аккаунта потерять свои денежки :)

Ещё как вариант, например, в webmoney light используется авторизация по сертификату, установленному в браузере клиента. Плюс - нет логинов-паролей, которые можно украсть. Клиенту только остается следить за сохранностью и неприкосновенностью локальной резервной копии сертификата и беречь свой компьютер от посторонних. Минусы: периодическая возня по замене сертификата перед истечением его срока годности и проблемы в случае просрочки обновления сертификата (предвижу дурацкую ситуацию ;) ), а также привязка к компьютеру (-ам), в браузерах которых установлен сертификат.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 18:16 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
Markety писал(а):
Минусы: периодическая возня по замене сертификата перед истечением его срока годности и проблемы в случае просрочки обновления сертификата (предвижу дурацкую ситуацию Wink )
Мне кажется, это критично. Я, например, рад бы иметь возможность отказаться от возни с сертификатами в WM. Ну да не суть.
Markety писал(а):
Ну да, дурацкие ситуации можно придумать для любого способа защиты, в любом из таких вариантов будет просвечивать явное желание владельца аккаунта потерять свои денежки
Вот поэтому я и предлагаю полагаться на человека, а не на формализованные процедуры, которые партнеры будут старательно обходить. 8)

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 18:50 
Аватара пользователя

Сообщения: 1
Поблагодарили: 0 раз.
лично мне без разницы какую доп. защиту введете.
Подтверждение смены кошелька вашим сотрудником — хорошо, но предлагаю ввести еще несколько защит:
* блокировку левых IP (по типу WebMoney) — позволит работать только с указанных IP; подсети и т.п.
* защитить при помощи таблиц случайных последовательностей, которую использует, к примеру, Яндекс.
* ту же СМСку.

И предлагать, к примеру, пользователям выбирать способы защиты своих данных. Пусть выбирает СМСку (номер должен подтверждаться путем отсылки на номер кода), или таблицу случайных последовательностей, или блокировку по IP.

Если кошелек (или e-mail) так критичен, то пусть для его смены будет необходимо дня 3. Отправил заявку на смену — по e-mail отправляется предупреждение, что мол вы хотите сменить данные. Смена данных производится только по истечению 3-х дней. Мошенники обычно не так терпеливы. Обычным людям же смена кошелька нужна ооочень редко. Еще существует опасность, что мошенник может (если имеет доступ к почте) просто удалить письмо.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 19 ноя 2009, 22:52 
Аватара пользователя

Сообщения: 23
Поблагодарили: 1 раз.
я за дополнительную защиту.
наиболее распространенная, как мне кажется, защита - это привязка к телефону (коды подтверждения на sms). в профиле телефон светить не нужно даже для самого себя. смена мейла и телефона - через код подтверждения.
опционально можно и доп привязку по ip сделать, как у webmoney.
о несанкционированные действиях сообщать sms. :)

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 20 ноя 2009, 12:59 
Аватара пользователя

Сообщения: 30
Поблагодарили: 1 раз.
Можно перенять опыт с САПы - подтверждение смены чего угодно через размещение текстового файла в корне своего сайта.
Например, меняем кипер - пишем номер нового и старого кипера в текстовом файле (имя которого, кстати, можно спрятать и хранится он будет только у Админов системы) и размещаем этот файл в корне сайта.
Админы проверяют наличие данного файла на серваке клиента.
То же самое и со сменой мыла.
Плюс,можно зафигачить задержку выплаты при смене кипера.

Достоинства данного метода:
1. Простота реализации;
2. Приемлемая надежность - злоумышленнику придется получать доступ к серверу, что не так уж и просто;
3. Даже заполучив доступ к серверу - злоумышленник не будет знать имя текстового файла для размещения изменяемой инфы.

Вернуться к началу
 Профиль  
 
СообщениеДобавлено: 20 ноя 2009, 13:55 
Эксперт
Аватара пользователя

Сообщения: 2192
Поблагодарили: 2 раз.
urikor писал(а):
3. Даже заполучив доступ к серверу - злоумышленник не будет знать имя текстового файла для размещения изменяемой инфы.

А откуда его знает партнер?

Плюс чисто теоретически в Mix-UNI могут быть партнеры без собственных сайтов. 8/

_________________
Денис Иванов, экс-Миксмаркет
upyrj@ya.ru

Вернуться к началу
 Профиль  
 
Показать сообщения за:  Поле сортировки  
Начать новую тему Ответить на тему На страницу 1, 2, 3  След.
 [ Сообщений: 43 ] 

   Похожие темы   Ответы   Автор   Просмотры   Последнее сообщение 
В этой теме нет новых непрочитанных сообщений. Как быстро проходит зачисление денег за регистрацию в играх?

в форуме Микс-Юни

1

slaru

8673

09 июл 2013, 14:53

Odaria Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Обновлен способ вывода денег из Микс-Товаров

в форуме Миксмаркет в развитии

10

ivanov

22840

08 июл 2008, 19:55

ivanov Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Изменения в работе Яндекс.Денег для анонимных пользователей

в форуме Микс-Товары

0

mixb

17000

20 май 2014, 10:25

mixb Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Заказ денег больше существующей суммы.

в форуме Микс-Товары

4

tipntricks

14598

03 окт 2006, 17:10

tipntricks Перейти к последнему сообщению

В этой теме нет новых непрочитанных сообщений. Очень хочу потратить денег, а вы не даете!

в форуме Миксмаркет в развитии

1

maytech

14430

22 июл 2013, 15:53

Odaria Перейти к последнему сообщению



Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения


О проекте Новости Пресса о нас Сотрудничество Вакансии Контакты
2005–2011 Партнерская сеть Миксмаркет
Разработка сайта — iji-design / AdLabs
Powered by phpBB Group