Перейти к содержанию

Recommended Posts

ivan_1

Добрый день,

каково ваша мнение по такому вопросу.

После посещения сайтов банков и затем проведения операций онлайн-банкинга - имеет ли какой то смысл чистить кеш браузера - если Windows то тем же,например, Ccleaner ,( ну или если луникс или мак - то аналогами Ccleaner ) ??

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

@ivan_1, обычно банк использует подтверждение всех действий через SMS. Знать только номер телефона и пароль - недостаточно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Иван, если у вас на компе банковский трой, то чистка кеша, как мертвому припарка, а если трояна нет, то зачем? Чтоб жена не узнала, что вы себе квадрокоптер купили?;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Перефразирую, может ли кеш, иметь интерес у мошенников, если часто проводим банковские операции?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег

Перефразирую, может ли кеш, иметь интерес у мошенников, если часто проводим банковские операции?

Все зависит от массы факторов. В теории если банковское ПО грамотно написано, а ПК защищен системой класса Internet Security (т.е. в ее составе есть Firewall, антивирус, проактивка и т.п.), то риски в общем-то близки к нулю. Плюс многофакторное подтверждение (обычно связка статического пароля, плюс разовый/сеансовый пароль, SMS или использование токена в разных сочетаниях). А вот если защиты ПК нет, и предположить, что на нем хранится всякая история и туда пролезет хитрый трой, или кто-то получит доступ к ПК извне, то:

1. Можно реконструировать, какие сайты посещает юзер (по кешам, кукизам и т.п.), и нередко понять, что его интересовало на данных сайтах

2. Контент некоторых сайтов нередко содержит некие перс. данные юзера - его логин например, или идентификаторы сеансов, или какие-то данные платежных транзакций, содержимое его корзины перед заказом ... это конечно не метод взлома его банковской учетки, но для каких-то атак может применяться

3. Некоторые бестолковые сайты могут вообще хранить в кукизах или контенте логины и пароли (или заменяющие их идентификаторы для автологина). Такое не должно в теории применяться, но на практике встречается увы часто, даже на сайтах весьма уважаемых контор. Опять-же, я не знаю такого бестолкового банка, который бы сделал автологин в учетку и платежи без подтверждения (вероятно, такие к счастью не встречаются в природе), но скажем автологин на сайт магазина может дать злодею доступ к профилю, в профиле могут быть адреса доставки, сведения о прошлых покупках пользователя, какие-то данные о кредике или учетке онлайн-банкинга и понеслось.

Т.е. получается, что напрямую по данным из кеша, истории, кукизов и прочего злодеи сломать банкинг не смогут, но могут накопать какие-то полезные для себя данные для атак на юзера. Еще момент - многие сайты важные (или все) данные передают по HTTPS, а браузеры умеют не кешировать данные, полученные таким путем. Мелочь, но включить стоит.

  • Upvote 2

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Спасибо Олег, за развёрнутый ответ, т.е. всё таки чистка кеша, не лишена смысла.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег

Спасибо Олег, за развёрнутый ответ, т.е. всё таки чистка кеша, не лишена смысла.

В общем случае не лишена ... забыл сказать еще про то, что современные браузеры имеют всякие хитрые режимы, типа InPrivate IE - названия разные, но суть одна - в этом режиме браузер не кеширует страницы, не пишет историю и не сохраняет на постоянной основе кукизы (плюс еще может минимизировать передачу данных о юзере, типа геоинформации .. тонкости от браузера зависят) . С точки зрения безопасности включение такого режима не допустит сохранение чего либо важного, что несомненно лучше, чем сохранить и потом чистить. Но подчеркну, что это уже супер-перестраховка, для большинства случаев несколько избыточная :)

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

HTTPS конечно не защитит от сохранения самого факта захода на страницу. А магазины по кредитке не посещал вроде.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Может быть проще использовать режим Private browsing, который есть уже кажется во всех браузерах. При Никакая информация не будет сохраняться на компьютере. Закрываешь вкладку и все. Не нужно лазить и чистить кеш каждый раз.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ivan_1

Может быть проще использовать режим Private browsing, который есть уже кажется во всех браузерах. При Никакая информация не будет сохраняться на компьютере. Закрываешь вкладку и все. Не нужно лазить и чистить кеш каждый раз.

Private browsing это хорошо - но и при этом режиме браузеры сохраняют различную информацию. В этом легко убедится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

После закрытия Private окна ничего оставаться не должно. В этом суть данного режима.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Чистка кеша - это хорошо. Я нашел файл pass.txt, где в открытом виде лежат пароли браузера. В папке браузера. Не мог же его создать троян?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ivan_1

После закрытия Private окна ничего оставаться не должно. В этом суть данного режима.

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Было бы интересно сделать исследование режимов Private у современных браузеров и опубликовать результаты у нас.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
UIT
Не мог же его создать троян?

Почему Вас терзают сомнения по этому поводу?  Что за браузер, есть ли установленные расширения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Что за браузер, есть ли установленные расширения.

 

Хром, файл в папке какой-то его был (АппДата или ПрогрФ-с). Офлайново переустановил - теперь файла нет нигде на диске C:, странно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
UIT

 А то, что пароли утекли - беспокойство вместе с возникновением необходимости  экстренно провести соответствующие мероприятия - у Вас совсем не появляется??? 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Было бы интересно сделать исследование режимов Private у современных браузеров и опубликовать результаты у нас

а всех ли браузеров, эта функция идентична?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

А то, что пароли утекли

 

Утекли или нет - не знаю. Пока ничего не увели.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Haivanew

 

 

Добрый день, каково ваша мнение по такому вопросу. После посещения сайтов банков и затем проведения операций онлайн-банкинга - имеет ли какой то смысл чистить кеш браузера - если Windows то тем же,например, Ccleaner ,( ну или если луникс или мак - то аналогами Ccleaner ) ?? 

ну думаю на всякий случай можно и прогнать чего уж там :lol:  много времени все равно не потратите то :rolleyes:  ну и может стоит прогонять тогда уж не много по серьёзней программкой

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
 

После посещения сайтов банков и затем проведения операций онлайн-банкинга - имеет ли какой то смысл чистить кеш браузера - если Windows
@ivan_1, Можно и не чистить, если соблюдать условия безопасного интернет-банкинга:
- возьмите за правило по завершении операции по переводу/получению денег ВСЕГДА кликать по опции "Выход";
- используйте только интернет-браузеры основных поставщиков этого ПО (только новейшие версии);
- пользуйтесь интернет-банкингом только с своего ПК, защищенного современными средствами антивирусной и антишпионской защиты;
- контролируйте свои браузеры на предмет посторонних расширений от неизвестных вам поставщиков;
- не устанавливайте на ПК малоизвестное вам, подозрительное и потенциально-нежелательное ПО;
- подключите в личном кабинете услугу SMS-информирования, чтобы получать уведомления обо всех операциях по вашим счетам;
- при получении сообщения о подозрительной транзакции сразу обращайтесь в службу поддержки банка;
- установите в личном кабинете лимиты на операции по счетам, чтобы ограничить мошенников в доступных денежных средствах;
- контролируйте адрес банковской страницы, т.к. разница даже в один знак — это признак фишингового сайта; 
- не вводите персональных данных, т.к. во время интернет-банкинга для входа на оригинальную банковскую страницу нужны только ваши логин и пароль;
- контролируйте защищенный https-протокол банковской страницы, поддерживающий шифрование (отображается в начале веб-адреса как https);
- регулярно, хотя бы раз в месяц, меняйте пароли доступа и не используйте один и тот же пароль для разных аккаунтов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Я бы добавил еще одну рекомендацию:

 

- использовать двухфакторную аутентификацию для доступа к онлайн-банку.

 

В качестве второго фактора подойдут: одноразовые пин-коды (sms, USSD-сообщения, карточки пин-кодов); приложение для генерации одноразовых паролей; токены или смарт-карты.  Если банк не дает такой возможности- меняйте его, он совершенно не заботится о безопасности ваших средств. 

 

Я бы лично не стал рисковать с использованием онлайн-банка без дополнительной аутентификации. Слишком высокие риски.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
jimmypage

Добрый день, каково ваша мнение по такому вопросу. После посещения сайтов банков и затем проведения операций онлайн-банкинга - имеет ли какой то смысл чистить кеш браузера - если Windows то тем же,например, Ccleaner ,( ну или если луникс или мак - то аналогами Ccleaner ) ??

Если компьютером еще кто-то пользуется, то стоит. Хотя у многих банков сессия завершается автоматически с удалением логина и пароля. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rodocop

Немного некропостинга на тему: файл pass.txt - это база паролей для брутфорса. Кто-то пытался ломать, а не уводить пароли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Dima2_90
      На мой взгляд то, что Process Hacker выгружает антивирусы - явление нормальное, потому что Process Hacker - легитимная программа (по мнению некоторых вендоров -  потенциально опасная), а не троянская, и  команду на выгрузку антивируса даёт сам пользователь ( выбрав процесс в списке и нажимая "Terminate"), то есть это действие (завершение процесса, отвечающего за работу антивируса) санкционировано самим пользователем.
    • rownong
      Здравствуйте. Есть следующая инфраструктура (VPS куплены у хостинг-провайдера).  VPS сервер 1.
      На нем:
      - Несколько баз данных MySQL 
      - Папки (с сайтами, веб-приложениями, скриптами)
      - Установленные программы
      > Панель управления Vesta
      > MySQL-сервер
      > PhpMyAdmin
      > FTP-сервер
      - Задачи крона VPS сервер 2.
      На нем:
      - Asterisk (с конфигурациями) В перспективе VPS сервер 3.
      На нем будет располагаться ERP организации (база данных, бекенд Laravel, фронтенд Vue.js).  Нужно обеспечить безопасность данной IT инфраструктуры, закрыть максимум уязвимостей.
      Чтобы злоумышленники не могли, просмотреть / украсть: пароли в конфигах PHP скриптов, данные БД Таблиц MySQL, не имели доступ к  Asterisk, данным ERP, защита от sql инъекций, DDoS-атак и т.д. Вопросы: 1. В представленной инфраструктуре, каких технические специалисты должны делать аудит ? PHP-программист, системный администратор, или есть отдельные специалисты которые занимаются безопастностью в IT? 2. Я правильно понимаю, что выполнение задачи будет разбито на 2 этапа:
      - аудит (когда будут выписаны замечания)
      - реализация мер по устранению замечаний
      ?? 3. Как выбрать аудиторов?
      Достаточно фрилансеров или нужно обращаться в организацию? 4. Как определить компетенции аудиторов в обеспечении безопасности в IT? 5. Имеет смысл  нанимать сразу 2-х аудиторов?
      Потом реализовывать замечания обоих аудитов? 6. В какой формате проводятся аудиты по безопасности?
      Нужно будет прислать специалистам доступы ко всем системам? 7. Целесообразно делать аудит VPS без аудита офисного железа (компьютеры, роутеры, файловый сервак)?
      Теоретически на компьютерах могут быть уязвимости к вирусам которые доступы крадут от VPS, но проверять еще компы всей организации, сильно увеличит время на аудит.  
    • Draft
      К Сереге лысому, моему другу, приходят и жалуются, мол разводят их как лохов
    • Quincy
      К тебе именно приходит и на сайт жалуется?)))) 
    • PR55.RP55
      https://github.com/dragokas/hijackthis/blob/devel/src/_ChangeLog_ru.txt Стоит прочесть и найти полезное. Типа: Добавлена зачистка зависимостей легитимных служб от удаляемой службы.
      Добавлен запрет программе на перезагрузку серверных ОС с запросом к пользователю сделать это вручную.
      Добавлена проверка типа виртуализации ключей реестра.
×