[Funland] Vụ 'bốc hơi' 5 tỷ trong tài khoản gửi tiết kiệm online

taiadau nói:

TPS lên đến vài trăm ngàn thì em nghĩ ở VN mình rấ hiếm có hệ thống để xử lý tốt nó (đỉnh cấp cỡ OCS của telecom thì may ra) còn banking thì vài nghìn là xịn xò rồi (cá biệt có 1 số hệ thống thanh toán trên thế giới may ra mới đạt con số đến mức vài trăm nghìn)

Nhấn vào đây để mở rộng...

con dơi 141 nói:

Các cụ đọc ko kỹ. Tôi nói rằng khi hệ thống core open phiên làm việc thì lúc đó trong hàng đợi có hàng trăm nghìn điện/giao dịch. Nên hệ thống phải kiểm soát được khả năng thực thi và không để trùng, ông IT không thể đổ lỗi rằng vì có 2 lệnh cùng posting một thời điểm nên balance check bị sai.
Đôi khi còn phải ghìm lại để đảm bảo thông tin trọn vẹn, query chính xác. Tốc độ xử lý còn phụ thuộc vào phương thức xử lý nữa. Kiểu như tài khoản có 5 tỷ thì 200-300 lệnh dưới 10tr không thèm check balance từng lệnh mà gộp check 1 batch rồi post.

Việc sai sót và vi phạm hàng loạt quy định của NHNN mà vẫn coi đó là yếu tố kỹ thuật khách quan phải chấp nhận thì cũng lạ.

Nhấn vào đây để mở rộng...

bau67 nói:

Nhà Cháu vừa ₫ọc, Cụ nào am hiểu vào nói cụ thể và dễ hiểu hơn được không ạ ?

Xác thực sinh trắc học không còn an toàn tuyệt đối

(Dân trí) - Một nghiên cứu từ MIT Technology Review phát hiện hàng chục hội nhóm trên Telegram mua bán các công cụ bẻ khóa sinh trắc học, giúp tội phạm vượt qua hệ thống nhận diện khuôn mặt của các ngân hàng.

dantri.com.vn

Các chuyên gia an ninh mạng đang gióng lên hồi chuông cảnh báo về sự gia tăng đáng báo động của các công cụ vượt qua xác thực sinh trắc học, biến quy trình bảo mật tưởng chừng vững chắc này thành "mảnh đất màu mỡ" cho tội phạm rửa tiền và lừa đảo.

Theo ông Ngô Minh Hiếu (Hiếu PC), chuyên gia an ninh mạng, một đối tượng trong trung tâm rửa tiền tại Campuchia đã dễ dàng "qua mặt" ứng dụng ngân hàng Việt Nam chỉ bằng một bức ảnh tĩnh và công cụ "camera ảo".
Công cụ này đã đánh lừa thành công bước kiểm tra "liveness", vốn được thiết kế để xác nhận người dùng là người thật đang tương tác trực tiếp.

Nhấn vào đây để mở rộng...

con dơi 141 nói:

Ở trên em với 1 cụ trao đổi về kiểu này. Hình thức này tinh vi hơn. Nôm na là sửa đổi API của app để chạy 1 ctrinh, tool camera ảo. Tool này tạo ra hình ảnh liveness từ ảnh tĩnh lượm đc để đánh lừa bước xác thực sinh trắc học bảo mật của bank

Nhấn vào đây để mở rộng...

Opel Astra nói:

Giờ có khi cái Vân tay lại an toàn hơn, bác ạ.
Và cũng rất thuận tiện.

Nhấn vào đây để mở rộng...

Opel Astra nói:

Giờ có khi cái Vân tay lại an toàn hơn, bác ạ.
Và cũng rất thuận tiện.

Nhấn vào đây để mở rộng...

XSim nói:

Vân tay cũng chỉ là dữ liệu cũng có thể dễ dàng bị copy khi máy bị hack thôi.

Nhấn vào đây để mở rộng...

Opel Astra nói:

Nó không có hồ sơ lưu, bác ạ.

Ở trên, bác con dơi 141 thể hiện là:
Nó có thể hack được máy.
Nó có thể có cái ảnh đâu đó.
Nó sử dụng ảnh 2d đó thành 3D để gửi cho server.

Để so sánh 2 loại hình thì bác không có cơ hội lấy vân tay ở đâu cả.
Thậm chí bác lấy được vân tay trên CMT, cũng khó lòng sử dụng.

Nhấn vào đây để mở rộng...

XSim nói:

Nếu vân tay được đưa vào yêu cầu sinh trắc thì bên ngân hàng sẽ phải lưu.

Còn lấy vân tay cũng không khó đâu, ngoài máy bị hack là có thể lấy được vân tay thì các phương pháp kinh điển ngày xưa để lấy vân tay cũng dùng được.

Nhấn vào đây để mở rộng...

Opel Astra nói:

Đây đang tính đến chuyện hack bằng high tech mà bác.
Còn nó muốn lấy vân tay + chụp lại + số hoá nó ở mức độ dùng được, thì là FBI rồi.

Nhấn vào đây để mở rộng...

XSim nói:

Thì hack bằng high tech là khi máy cụ bị hack đó, nó sẽ copy dữ liệu vân tay từ máy cụ sang máy hacker.

Nhấn vào đây để mở rộng...

Sonbt nói:

dữ liệu vân tay trên phone được lưu trữ trong một chip bảo mật đặc biệt gọi là Trusted Execution Environment (TEE) trên android hay Secure Enclave Processor (SEP) trên iphone. cụ không thể đọc được dữ liệu từ nó mà chỉ có thể gửi input vào để nó kiểm tra và trả về kết quả, kết quả này được digital sign bằng chữ kí điện tử để chống sửa đổi. nên việc đọc vân tay từ thiết bị đã bị hack là gần như bất khả thi.
Nói chung nếu sử dụng dữ liệu khuôn mặt để xác thực thì phải dùng dữ liệu 3D điều này yêu cầu phàn cứng chuyên biệt để quét 3d khuôn mặt (như trên iphone X đổ lên) chứ dùng camera thông thường thì nó không bảo mật bằng vân tay được. nếu không thằng apple đã không mất công tích hợp quét 3d vào thiết bị của nó làm gì

Nhấn vào đây để mở rộng...

XSim nói:

Nếu thế thì không dùng để xác thực sinh trắc với bank được, vì bank sẽ phải chủ động lưu trữ cái vân tay này để đối chiếu khi có người dùng thực hiện chuyển tiền, như với khuôn mặt ấy.

Nhấn vào đây để mở rộng...

Opel Astra nói:

Giờ có khi cái Vân tay lại an toàn hơn, bác ạ.
Và cũng rất thuận tiện.

Nhấn vào đây để mở rộng...

Sonbt nói:

ở bước đăng kí thiết bị ông bank sẽ đồng bộ khóa với phone và khóa này chỉ truy cập được khi đã được unlock bằng vân tay. như vậy bank không cần lưu trữ dữ liệu vân tay

Nhấn vào đây để mở rộng...