Система аутентификации Verified by Visa подверглась критике ученых из Кембриджа

[CarderJoy]

Системы дополнительной защиты при проведении онлайн-платежей, такие как Verified by Visa, скорее являются средствами перераспределения ответственности, чем реальными инструментами для предотвращения мошенничества. По крайней мере, именно такую точку зрения высказали исследователи из Кембриджского университета.

Система 3D Secure, известная также, как Verified by Visa или MasterCard SecureCode, получила весьма широкое распространение - в настоящее время по всему миру на эту услугу подписаны 200 миллионов держателей карт. Коммерческие структуры все чаще требуют от клиентов ввода дополнительного пароля и повторного подтверждения кода CVV, поэтому совершать покупки в Сети, не будучи участником данной программы, довольно сложно.

Исследователи Росс Андерсон и Стивен Мердок подчеркивают, что они тщательно изучили систему 3D Secure и, сравнив ее с такими аналогами, как OpenID и InfoCard, нашли, что она плохо разработана. Хуже того, эксперты выяснили, что эта технология служит мишенью для фишинга, поскольку противоречивые методы аутентификации зачастую просто сбивают людей с толку.

Дополнительной проблемой Verified by Visa является то обстоятельство, что эта система позволяет злоумышленникам сбросить пароль при наличии у них дополнительной информации о банковской карте и дате рождения ее держателя. В некоторых странах, к примеру, данные о датах рождения можно найти в открытом доступе.

Эксперты объясняют распространенность 3D Secure не ее надежностью, а теми бонусами, которые предлагаются за ее поддержку. В частности, после внедрения системы коммерческие структуры могут перекладывать ответственность на банки, а банки, в свою очередь, на держателей карт.
Ознакомиться с выводами ученых более подробно можно тут - http://www.cl.cam.ac.uk/~rja14/Papers/fc10vbvsecurecode.pdf

Источник: www.xakep.ru