「フィッシング詐欺で英銀行のインターネットバンキングが停止」記事へのコメント

銀行→利用者ルートの認証

[akiraani (24305)]

現状の利用者がオンラインバンキングサイトにアクセスするという形ですべての認証を行おうとしてますが、今後必要になってくるのは銀行→利用者へのリアルタイムかつセキュアな認証手段なのではないでしょうか。
マル

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[mocchino (13752)]

いやそのためのSSL電子証明書なんですけどね
証明書発行会社が、確かにその会社で有ることを確認して発行すると

ただし、認証された証明書だと、もし別の会社が取得した証明書だとしても警告なくアクセスできますからねぇ～
SSLの通信を開始しますメッセージで

Re:銀行→利用者ルートの認証

[akiraani (24305)]

うーん、それだと利用者→銀行の接続の延長なのではないかなぁ。
例えばですが、インスタントメッセンジャーで銀行から利用者にメッセージを送って、それに対する返事がなければ出金しないようにすれば、防げるのでは？と
成りすまして利用者にメッセージを送っても、銀行からのメッセージに返信されるわけではないですからね。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[mocchino (13752)]

接続先が信頼出来る物(つまり銀行で有ること)が確認できれば、フィッシング詐欺は防げるわけで、この目的ではそれ以上は必要ないでしょう

むろん、別ルートで返信されればクラックされたときに、送金操作等をされたタイミングで判明すると言う事もありますが
その場合も送信元が必ず銀行であると言う証明が必要になります
つまりその手

Re:銀行→利用者ルートの認証

[akiraani (24305)]

>銀行からのメッセージもなりすまされたら...と言う懸念が出てくるわけです。
成りすまして利用者に偽の銀行のメッセージを送っても、そのメッセージに対する返信は成りすました連中に返されるわけで、銀行に送られるわけではないですから、メッセージに対する返答を要求するようにすればいいわけですよ。
インスタントメッ

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[mocchino (13752)]

それだと、その詐称された画面でクレジットカード情報、ログイン情報等を入力するように促し
ユーザーが銀行だと思って入力してしまった場合、それらの情報が詐欺団体に流れてしまいませんか？
銀行に対して情報を提示したつもりが、成りすました相手にその手の情報が流れてしまうと..フィッシング詐欺ってそう言うものですし

Re:銀行→利用者ルートの認証

[akiraani (24305)]

あー、クレジットカード情報が流出するのは防げないです。防げるのは「流出したクレジットカード情報を悪用される」ことです。クレジットカード情報が漏れるとたいへんなのは、その情報だけでお金が引き出せちゃうから問題なのであって、出金時に別ルートで銀行側から本人

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[mocchino (13752)]

なるほど、でもそれだと、通信経路を複数に分けるわかりに
すでに既存で、PKI/IC カード [google.com]による相互確認とかがありますよ
これだと、パスワードと異なり通信データーが漏れても大丈夫という安心があります
また事前に双方で所持している秘密キーが無いと通信できません

PKIカードとPKIにアクセスするためのパスワード等を併せて盗難したらアウトですが、フィッシング詐欺の結果として銀行のサイトにはアクセス出来ないでしょう。
通信経路を別にしても、前に記載した通り発信元の保証、発

Re:銀行→利用者ルートの認証

[akiraani (24305)]

なるほど、公開鍵暗号方式＋ICカードかぁ。でも、確かにこれだとコストはかかりそうだし、読み取り機の設置とか利用者の負担も大きそうだ(^^;

今思いついたんですが、別経路の通信手段として、携帯電話とか使えませんかね？
出金直前に銀行から支払い内容の詳細を確認電話がかかってきて、「＊」を押して承認しないと出金がキャンセルされる、とか。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[Anonymous Coward]

問題はそんなことをしても銀行には全くメリットがないことです。
できるならこれだけオレオレ詐欺の被害が出ている現状でそのくらいしてますよ。
犯罪の被害額を銀行が保障するようになればいきなり発展しそうですが。

Re:銀行→利用者ルートの認証

[akiraani (24305)]

フィッシングを防ぐ話で、なぜにオレオレ詐欺の話が？
あれって、(だましてはいますが)本人合意の上で振り込んでるので、銀行側のシステムが何をしようと防ぐのは無理では？

あと、銀行側にメリットが出ないなら、なぜ「英銀行のインターネットバンキングが停止」なんて自体になってるんでしょう？　デメリットを回避できるってのは、立派なメリットですよ。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[parsley (5772)]

＞あれって、(だましてはいますが)本人合意の上で振り込んでるので、銀行側のシステムが何をしようと防ぐのは無理では？

あわてているお客様を見かけたら、問いかけて防ぐというシステムで何件も阻止できていますよ。

# 人もシステムだということをお忘れか？

--
Copyright (c) 2001-2014 Parsley, All rights reserved.

Re:銀行→利用者ルートの認証

[akiraani (24305)]

オンラインバンキングシステムについて話してるつもりだったんですが……。

--
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される

Re:銀行→利用者ルートの認証

[mocchino (13752)]

うお、返信あるの気づいてなかった(苦笑
たぶん見ないだろうけど...

えと、オレオレ詐欺は別にどうでもよくて、発信番号偽造の方に注目してください
電話を確認に使用すると言うことは、加入者は銀行からの電話である事を確認した上で承認すると言うことになります
フィッシング詐欺側で、発信番号を偽造できると言うことは、銀行からの確認電話自体を偽造可能と言うことです。
なので、この認証の場合、発信番号の詐称を考慮しなければないと言うことになるのです.

#いやーしっぱいした(苦笑