Почему оплата по биометрии — это безопасно
Оплачивать покупки по Face ID или Touch ID — это удобно. Минимум взаимодействий: не нужно вводить номер карты и CVV. Но даже биометрические данные можно подделать. Выяснили, как компании и банки борются с таким мошенничеством.
Как работает биометрия и как её обманывают
Биометрические данные — это ваши уникальные биологические и физиологические характеристики: лицо, голос, рисунок отпечатка пальца или радужной оболочки глаза. Их используют для идентификации пользователя при оплате или оказании услуг удалённо. Например, с помощью биометрических данных вы можете оплачивать покупки картой, не прикладывая пластик к терминалу, полностью бесконтактно.
Чтобы система начала вас узнавать, нужно согласиться на обработку биометрических данных и сдать их. Каждый раз при использовании ваше изображение будут сравнивать с контрольными данными, которые вы сдавали впервые. Аналогично айфон при первой активации запоминает мимику вашего лица и отпечаток пальца, а потом каждый раз ищет сходства с первой версией.
Обмануть биометрию сложнее, чем получить доступ к контрольным вопросам или кодам из СМС для подтверждения оплаты. Самый простой и дешевый способ — подменить реального человека его фотографией или спроектировать 3D-модель лица, но это дорого и долго.
Мошенничество такого рода называется спуфингом.
Как компании защищают от взлома
Перед тем, как одобрить операцию, система проверяет, кто перед ней — реальный человек или его фотография. Такие методы защиты называются «liveness detection». Они бывают аппаратные и программные.
Аппаратные методы — значит с использованием дополнительного оборудования: инфракрасных, термальных, 3D-камер, дополнительных датчиков. Это дорого, но эффективно. Их внедряют производители мобильных телефонов, от чего цена устройств растёт и становится доступна не всем. В этом минус таких методов.
Есть и другие способы — программные. Не требуют дополнительного оборудования и работают на всех устройствах с Face ID. Чтобы отличить реальное лицо от поддельного, система просит пользователя что-нибудь сделать: моргнуть, повернуть голову, улыбнуться. Она анализирует человеческое лицо как 3D-объект, поэтому фотография проверку не пройдёт.
Программные методы называются «активными», потому что требуют участия пользователя. Их можно обойти, используя видеозапись или 3D-имитацию лица и мимики, но такие реплики дороги в производстве. Минус программных методов в том, что они всегда требуют дополнительного пользовательского участия.
В других случаях система использует плоское изображение и анализирует текстуры, тени и свет. Эти методы называются «пассивными», потому что незаметны пользователю.
Какие методы используют банки
Банки подходят к проблеме комплексно — используют и аппаратные, и программные средства защиты. На каждом устройстве с биометрией есть специальное оборудование:
- Бесконтактный датчик расстояния. Оплата с помощью биометрии происходит только когда клиент стоит прямо перед устройством.
- 3D-камера. Создаёт объёмное изображение и анализирует микромимику. Благодаря ей оплата по фото не пройдёт.
- NIR-камера ближнего инфракрасного диапазона. Она видит даже при плохом освещении, определяет температуру тела и подтверждает, что перед устройством действительно живой человек.
Расскажем на примере Сбербанка. На программном уровне он использует около 15 методов проверки. Часть из них реализована в приложении Сбербанк Онлайн. При сдаче биометрии в мобильном приложении вас попросят, например, повернуть голову влево, вправо, моргнуть.
Кроме основных liveness-методов, Сбербанк пользуется дополнительной защитой: шифрует данные (использует двустороннее TLS-шифрование) и проверяет подозрительные операции (фрод-мониторинг). Оплата всегда проходит через защищённый канал связи. Это исключает перехват данных от устройства до внутренней системы банка. Подозрительные операции по месту, времени и сегменту рынка строго контролируются и проверяются службой безопасности — банк связывается с клиентом, чтобы убедиться, что карта не захвачена мошенником.
Подробнее о том, какие ещё способы безналичной оплаты существуют, читайте в нашем спецпроекте.
Как на iPhone включить вход по Face ID в Сбербанк Онлайн?
Думаю, многие после перехода на iPhone с Face ID вместо Touch ID столкнулись с необходимостью повторно настраивать авторизацию, так как вход по числовому коду не так удобен и его можно забыть в самый ответственный момент. Его можно настроить в пару кликов:
1. Войти в приложение Сбербанк Онлайн
2. Перейти в Профиль (слева наверху) — Настройка (справа наверху, кнопка в виде шестеренки):
3. Безопасность — Вход по Face ID (раздел Вход):
Готово, при следующем входе приложение позволит привязать 5-значный к Face ID.
Как на iPhone и iPad использовать приложение Сбера (СБОЛ), которое удалили из App Store
В закладки
Из-за удаления некоторых российских приложений из App Store больше всего неудобств испытывают клиенты Сбера. В банке понимают это и пытаются всячески решить проблему.
На данный момент есть способ установить официальный клиент Сбер на любой iPhone, но для этого нужно посетить отделение банка. В качестве достойной альтернативы рекомендуем использовать веб-версию сервиса.
Настраивается все за несколько минут и идти никуда не придется.
- ��♂️ Ответ на любой вопрос про Apple вы найдете здесь: https://t.me/iphonesru_forum ��
Установите корневой сертификат Минцифры
Это необходимо для получения защищенного доступа к российским сайтам и сервисам в стандартном браузере Safari. Можно использовать браузер от Яндекс (там нужный сертификат уже встроен), но лучше сделать все в стандартном приложении iOS и iPadOS.
● Перейдите в специальный раздел сайта Госуслуги и загрузите сертификат для iOS (кнопка Скачать профиль).
● Откройте раздел Настройки – Профиль загружен – Установка профиля и нажмите Установить.
● Подтвердите установку профиля вводом пароля разблокировки гаджета.
● Перейдите в Настройки – Основные – Доверие сертификатам и включите тумблер Russian Trusted Root CA.
● Нажмите Продолжить в диалоговом окне.
● Откройте раздел Настройки – Safari и нажмите кнопку Очистить историю и данные, согласившись на закрытие всех вкладок.
Теперь стандартный браузер iOS и iPadOS поддерживает нужный для наших сайтов корневой сертификат безопасности.
Добавьте веб-версию Сбер с удобной авторизацией
Теперь можно приступать к созданию ярлыка для веб-версии банка.
● Авторизуйтесь любым доступным способом: через QR-код или при помощи подтверждающего кода по СМС.
● Вам будет предложено включить удобную авторизацию при помощи Face ID, Touch ID или пароля разблокировки гаджета. Нажмите Подключить и подтвердите действие.
● В меню Поделиться нажмите кнопку На экран Домой.
● Придумайте удобное название для ярлыка и нажмите Добавить.
Теперь на рабочем столе появится иконка для запуска веб-версии сервиса в отдельном окне. Работа максимально приближена к работе с приложением-клиентом банка.
Для входа или повторной авторизации после закрытия окна будет использоваться подтверждение пользователя через Face ID или Touch ID. Ждать и вводить код из СМС не потребуется.
На данный момент есть два важных недостатка у веб-версии Сбера: не поддерживается сканер QR-кодов для оплаты и нет системы уведомлений.
Надеемся, что обе фишки в скором времени будут доступны пользователям. Первая решается доработкой со стороны программистов банка, а для второй требуется появление заявленной еще на WWDC 2022 фишки iOS 16 и iPadOS 16. Купертиновцы обещали добавить push-уведомления для Safari, но позднее перенесли релиз опции на 2023 год.
Когда обе опции будут внедрены, веб-версия Сбера практически ни в чем не будет уступать полноценному приложению из App Store.
«Сбер» разработал собственное ПО для установки мобильного приложения на iOS-устройства в отделениях банка
Оно работает таким же образом, как и приложение iMazing.
- «Сбер» начал устанавливать своё мобильное приложение на iOS-устройства в отделениях банка в конце декабря 2022 года — и разработал для этого собственную программу, рассказал «Ведомостям» представитель банка. Но клиентам устанавливают не «Сбербанк Онлайн», а его копию — СБОЛ, убедилось издание.
- Услуга полностью бесплатная, её оказывают в 5000 офисов банка во всех регионах страны. Созданная «Сбером» программа называется Sberbank Installer iOS, установкой приложения с помощью неё занимается отдельный специалист.
- Для установки смартфон подключают к ноутбуку сотрудника через кабель. После того, как получено разрешение на доступ к устройству, Apple отправляет на него «официальное разрешение в виде шестизначного кода». Затем приложение устанавливают с ноутбука.
- Аналогичным способом работает приложение iMazing, которое позволяет передавать файлы между устройствами iOS и компьютерами macOS или Windows после авторизации через Apple ID.
- Установка приложений через iMazing и похожие программы никогда не считалась надёжной, рассказывает директор центра разработки Artezio Дмитрий Паршин. Он считает, что Apple может прикрыть эту лазейку — но всё зависит от того, насколько серьёзно настроена компания. Если ей достаточно «официального выдворения» из App Store, Apple может долго закрывать глаза на альтернативные варианты установки.
- После попадания «Сбера» под блокирующие санкции США его приложения пропали из App Store. В августе в магазине появилось приложение СБОЛ — копия «Сбербанк Онлайн», но её удалили через неделю. В октябре она заработала снова, а спустя месяц тоже пропала из App Store.