сеансовый пароль что это
Личный кабинет Белгазпромбанк
Потребность в банковских услугах не всегда удается спланировать, и иногда внезапная необходимость требует пересмотра всех планов ради посещения офиса банка. Чтобы для открытия вклада или перевода денег на другую карту не приходилось переносить встречу с друзьями или опаздывать на переговоры с партнером, стоит подключиться к интернет-банкингу.
Особенности регистрации
Вход в личный кабинет Белгазпробанка осуществляется с главной страницы сайта http://belgazprombank.by/. Чтобы в него попасть, в правом верхнем углу экрана нужно найти кнопку «Интернет-банк».
Прежде чем широкие возможности совершения банковских операций из любой точки мира станут доступны, придется пройти регистрацию.
На сайте доступ в личный кабинет могут получить три категории физических лиц:
То есть чтобы зарегистрироваться в интернет-банке, не обязательно иметь историю финансовых отношений именно с Белгазпромбанком.
Тем, кто не был раньше клиентом Белгазпромбанка
Не являясь клиентом банка, можно начать использовать его продукты через личный кабинет. Весь процесс состоит из трех этапов: создание профиля, ввод паспортных данных, идентификация. Последний этап требует посещения офиса банка с удостоверяющим личность документом.
Некоторые услуги будут доступны и пользователям, не прошедшим идентификацию в офисе банка. Итак, просто заполнив сведения о себе в специальной форме, можно:
Чтобы этот перечень услуг стал доступен, потребуются следующие сведения о клиенте:
Заполнив в разделе «Дополнительная информация» предложенные поля (пол, дата рождения, адрес, данные документа, подтверждающего личность и т.д.), можно будет снизить время пребывания в офисе банка на этапе идентификации.
После нажатия кнопки «Продолжить» система отправляет на указанный номер телефона sms-сообщение с временным паролем.
Идентификация открывает перед пользователем более широкие возможности:
Тем, у кого уже есть карта/вклад/счет
Клиентам, которые уже сотрудничают с Белгазпромбанком в офлайн режиме, достаточно пройти регистрацию на сайте: ввести личные данные и получить пароль. Идентификация не потребуется. Воспользоваться возможностями личного кабинета можно сразу, тем более что доступ будет открыт ко всем сервисам интернет-банкинга.
Если Вы являетесь клиентом любого банка Беларуси, то для регистрации в интернет-банке ОАО «Белгазпромбанк» Вам необходимо:
Клиентам других банков Беларуси
Открыть личный кабинет Белгазпромбанка могут даже те пользователи, которые в настоящий момент пользуются финансовыми продуктами другого банка. В разделе регистрации новых пользователей на сайте http://belgazprombank.by/ нужно выбрать третью категорию «Пользователь МСИ» и следовать простому алгоритму:
перейти по ссылке на сайт МСИ и зарегистрироваться на нем;
пройти аутентификацию в Межбанковской системе как клиент Белгазпромбанка.
На сайте МСИ должен быть указан тот логин, который будет использован для регистрации в личном кабинете банка. Процедура завершается также sms-сообщением с временным паролем, и посещать офис банка также не придется.
Вход в личный кабинет
Получив доступ к совершению финансовых операций онлайн, полезно помнить о разных способах входа в личный кабинет:
Специальный сервис в мобильном приложении BGPB mobile используется для генерации кодов для входа и подтверждения операций в интернет-банке.
Онлайн-банкинг для бизнеса
С недавнего времени банк ввел аналогичный сервис и для юридических лиц. Оценить преимущества интернет-банкинга для бизнеса можно через вкладку «Демо-вход»: https://corporate.bgpb.by/Default/DemoLogin.
В этом режиме можно подробно изучить все возможности личного кабинета, например, попробовать создать платежное поручение и проверить, насколько удобен интерфейс системы.
Юридическому лицу для использования личного кабинета потребуется определить, кто из сотрудников получит права администратора и первым зарегистрирует организацию.
Пример использования интернет-банка БГПБ
О преимуществах электронного доступа к финансовым операциям лучше рассуждать на примере. Допустим, клиент планирует внести сумму для погашения рассрочки по Карте покупок. Это можно сделать через личный кабинет на сайте:
Пароль для ЛК Белгазпромбанка
Срок действия временного пароля из sms-сообщения – 1 час, в течение которого необходимо войти в личный кабинет, используя логин и этот код в качестве пароля. Система доступа в интернет-банк чувствительна к регистру и раскладке клавиатуры, поэтому важно заглавные буквы вводить именно заглавными. При первом посещении личного кабинета рекомендуется сменить пароль.
В целях сохранения личного кабинета клиента от использования третьими лицами рекомендуется не реже, чем один раз в три месяца менять пароль. Чтобы это сделать, достаточно войти в профиль личного кабинета (нажатием на свое имя) и открыть вкладку «Пароль для входа». Откроется диалоговое окно смены пароля, где новую комбинацию символов потребуется ввести дважды. Это действие также подтверждается сеансовым паролем.
Сеансовый пароль
Работа в личном кабинете Белгазпромбанка в целях безопасности разделена на сеансы продолжительностью 15 минут. Это значит, что по истечении указанного времени придется заново вводить логин и пароль. В рамках одного сеанса все операции подтверждаются сеансовым паролем: набором символов, который пользователь получает на мобильный телефон при входе в личный кабинет. Невнимательность в наборе сеансового пароля чревата блокировкой аккаунта пользователя: это происходит после шестой попытки ввести неверный пароль. Оказавшись в такой ситуации, следует обратиться к сотрудникам банка по круглосуточному номеру 120 (в Республике Беларусь).
Взаимодействие пользователя с системой регистрации на сайте выстроено максимально просто и снабжено подробными инструкциями. Возникшие вопросы всегда можно задать сотрудникам банка по номеру +375(17)2291616 или через форму обратной связи.
сеансовый пароль
Смотреть что такое «сеансовый пароль» в других словарях:
Криптосистема с открытым ключом — Криптографическая система с открытым ключом (или асимметричное шифрование, асимметричный шифр) система шифрования и/или электронной цифровой подписи (ЭЦП), при которой открытый ключ передаётся по открытому (то есть незащищённому, доступному … Википедия
Криптографическая система с открытым ключом — (или Асимметричное шифрование, Асимметричный шифр) система шифрования и/или электронной цифровой подписи (ЭЦП), при которой открытый ключ передаётся по открытому (то есть незащищённому, доступному для наблюдения) каналу, и используется для… … Википедия
Открытый ключ — Криптографическая система с открытым ключом (или Асимметричное шифрование, Асимметричный шифр) система шифрования и/или электронной цифровой подписи (ЭЦП), при которой открытый ключ передаётся по открытому (то есть незащищённому, доступному для… … Википедия
Шифрование с открытым ключом — Криптографическая система с открытым ключом (или Асимметричное шифрование, Асимметричный шифр) система шифрования и/или электронной цифровой подписи (ЭЦП), при которой открытый ключ передаётся по открытому (то есть незащищённому, доступному для… … Википедия
FTP — У этого термина существуют и другие значения, см. FTP (значения). FTP Название: File Transfer Protocol Уровень (по модели OSI): Прикладной Семейство: TCP/IP Создан в: 1971 г. Порт/ID: 21/TCP для команд, 20/TCP для данных, 49152 65534/TCP… … Википедия
POP3 — У этого термина существуют и другие значения, см. Pop. POP3 Название: Post Office Protocol 3 Уровень (по модели OSI): Прикладной Семейство: TCP/IP Порт/ID: 110/TCP Назначение протокола: Получение электронной почты Спецификация … Википедия
IMAP — Название: Internet Message Access Protocol Уровень (по модели OSI): Прикладной Семейство: TCP/IP, E Mail Создан в: 1986 г. Порт/ID: 143/TCP, 993/TCP (IMAP over SSL) Назначение протокола: Доступ к почтовым ящикам … Википедия
IRC — У этого термина существуют и другие значения, см. IRC (значения). Об IRC в Википедии смотрите страницу Википедия:IRC. IRC Название: Internet Relay Chat Уровень (по модели OSI): Прикладной Семейство: TCP/IP Создан в: 1988 г. Порт/ID … Википедия
SSH — Название: Secure Shell Уровень (по модели OSI): Прикладной Семейство: TCP/IP Порт/ID: 22/TCP Назначение протокола: Удалённый доступ Спецификация: RFC 4251 Основные реализации (клиенты) … Википедия
SNMP — Название: Simple Network Management Protocol Уровень (по модели OSI): Прикладной Семейство: UDP Порт/ID: 161/UDP,162/UDP Назначение протокола: Управление сетевыми устройствами Спецификация … Википедия
Система iPay
Система iPay — это возможность самостоятельно, безналично, без открытия счета в банке за счет средств на своем мобильном телефоне, осуществлять платежи:
Пользователем системы iPay может стать любой абонент МТС, физическое лицо с положительным балансом счета МТС, номер телефона которого не заблокирован.
Как воспользоваться?
Для осуществления платежей в системе iPay:
Для входа в Систему:
При каждом последующем входе в Систему Абоненту необходимо получить новый Сеансовый пароль.
Если номер мобильного телефона не зарегистрирован или заблокирован, вам предлагается выполнить процедуру регистрации.
Если сеансовый пароль, введенный пользователем, не совпадает с сеансовым паролем, зарегистрированным в базе данных Системы iPay, то Абоненту предлагается ввести сеансовый пароль еще раз. Количество неверных попыток ввода сеансового пароля равно 5 (пяти). После превышения этого количества, абонентский номер в базе данных Системы блокируется. Для разблокирования Абоненту необходимо пройти процедуру регистрации
Если на момент входа в Систему абонент не удовлетворяет условиям Системы iPay, на сайте отображается соответствующее сообщение.
После успешного входа в Систему iPay время бездействия на сайте ограничивается 20 (двадцатью) минутами. После истечения времени сеанса производится автоматическое отключение.
Во время сеанса вы имеете возможность:
Для осуществления операций в Системе iPay доступна не вся сумма баланса лицевого счета: после списания итоговой суммы операции на вашем счете должно остаться не менее 0,10 белорусских рублей.
При проверке остатка денежных средств на балансе Лицевого счета не учитывается «Обещанный платеж» и «Срочный кредит».
Платежи в системе iPay осуществляются без учета услуг МТС «Обещанный платеж» и «Срочный кредит». Кредитный лимит в рамках услуги «Кредит доверия» не расходуется на оплату услуг через Систему iPay.
После того, как вы выбрали конкретную услугу, в процессе диалога необходимо ввести необходимые реквизиты платежа, в результате чего формируется чек операции, в котором определяется итоговая сумма операции, включающая итоговую сумму платежа и итоговую сумму вознаграждения Эмитента за эмиссию и использование электронных денег iPay.
После того как вы подтверждаете готовность совершить платеж, происходит списание денежных средств с вашего лицевого счета, моментальная покупка суммы электронных денег, зачисление их на электронный кошелек Абонента и перевод на электронный кошелек соответствующего Поставщика услуг.
Если операция выполнена успешно, вы получаете чек в электронном виде, подтверждающий положительный результат операции. Для того чтобы получить официальный документ, подтверждающий факт совершения платежа, необходимо обратиться в любое отделение ОАО «Паритетбанк».
Консультирование абонентов осуществляется по номерам: 0890, (017) 237 98 98.
Получение банковской квитанции, решение спорных вопросов, касающихся исполнения платежей, получение информации о Поставщиках услуг по телефону: (017) 288-38-36.
По вопросам функционирования системы, передачи и обработки информации, звоните на номер: (017) 237 44 28.
Для того чтобы получить SMS-сообщение, содержащее ссылки на Мобильную версию web-страницы сайта, отправьте SMS-запрос на номер 5544.
Как воспользоваться с помощью SMS?
Сколько стоит?
При пользовании Системой iPay Абонент платит комиссию за использование электронных денег iPay. Размер комиссии может составлять от 0 до 4 % в зависимости от оплачиваемой услуги.
Стоимость SMS-сообщения на номера 5533 и 5544 — 0,03 бел. руб. с учётом НДС.
Стоимость GPRS-трафика согласно тарифам установленным СООО «Мобильные ТелеСистемы» на момент использования Системы iPay, в зависимости от того, какая услуга используется для доступа в Интернет.
Запросы на SMS-номер 553 не тарифицируются.
Как работают одноразовые пароли
Вступление
Как показывает практика, существует определенное непонимание принципов работы одноразовых паролей (это те самые, которые используются в GMail, в спец. токенах платежных систем и так далее).
Прочитав эту небольшую статью, Вы разберетесь в принципе работы одноразовых паролей на основе хэшей, а заодно напишете на Python небольшую программу, которая умеет вычислять пароли для двухэтапной аутентификации Google.
Хэш-функция
Хэш-функция позволяет взять любые данные любой длины и построить по ним короткий «цифровой отпечаток пальца». Длина значения хэш-функции не зависит от длины исходного текста; например, в случае популярного алгоритма SHA-1 длина этого отпечатка составляет 160 бит.
Чтобы понять, почему значение всегда имеет одинаковую длину и не зависит от исходного текста, можно упрощенно представить хэш-функцию в виде кодового замка с колесиками. Вначале мы выставляем все колесики в «ноль», затем идем по тексту и для каждой буквы прокручиваем колесики в соответствии с некоторыми правилами. То число, которое окажется на замке в конце, и есть значение хэш-функции. Примерами таких функций являются MD5, SHA-1, ГОСТ_Р_34.11-94.
Не придумывайте свои хэш-функции, используйте стандартные реализации (например, в случае Python):
Идея хэш-функции в том, что она работает только в одном направлении: ее очень легко подсчитать для «Войны и мира», но практически невозможно по уже готовому значению хэш-функции найти документ, который даст такое же значение. Даже если изменить в документе всего одну букву, хэш изменится полностью:
В связи с этим возникает естественное желание использовать хэш-функцию для контроля целостности сообщений, которые Алиса посылает Бобу: Алиса подсчитывает для каждого своего сообщения значение SHA-1 и вкладывает его в конверт; Боб, самостоятельно подсчитав SHA-1 текста, может сравнить свой результат с Алисиным и удостовериться, что сообщение не было изменено где-то по дороге.
Однако мы забыли о Меллори, который находится где-то между Алисой и Бобом, перехватывает их переписку и вскрывает конверты! Он вполне может изменить сообщение, после чего подсчитать для него SHA-1 и приложить к письму; Боб сверит значения и ничего не заметит.
Проверка подлинности
Подумав, Алиса и Боб при встрече договариваются, что при подсчете SHA-1 они будут временно дописывать к тексту секретное слово, например, «Secret» (конечно, в реальности Алиса и Боб решили использовать куда более длинное слово, чтобы его было сложно подобрать). Меллори не знает это слово, а следовательно, даже если изменит сообщение, то не сможет скорректировать его хэш, не так ли?
К сожалению, тут есть проблемы. Да, Меллори не может изменить тело сообщения, но (раз он знает хэш от текущего текста) он всегда может дописать в конце «P.S. На самом деле все это чушь, нам пора расстаться, Боб» и просто досчитать хэш от остатка (вспомним аналогию с кодовым замком).
Чтобы защититься от этого, мы немного усложним нашу функцию:
Теперь дописывание чего-либо в конец сообщения полностью изменит исходные данные для «внешнего» вызова SHA-1 и Меллори остается вне игры.
Алиса и Боб только что придумали то, что называется HMAC (или hash-based message authentication code): основанный на хэш-функции код проверки подлинности сообщений. В реальности HMAC, принятый как стандарт RFC2104 выглядит чуть-чуть сложнее за счет выравнивания длины ключа, пары XOR’ов внутри, участия ключа во «внутреннем» хэше, но суть не меняется.
Не придумывайте свои реализации HMAC, используйте стандартные реализации, например, HMAC-SHA1:
Одноразовые пароли
Что такое «одноразовый пароль»? Это пароль, который бесполезно перехватывать с помощью кейлоггера, подглядывания через плечо или прослушивания телефонной линии — т.к. этот пароль используется ровно один раз.
Как можно было бы реализовать эту схему? Например, Алиса может сгененировать сотню случайных паролей и отдать копию Бобу. Когда Боб позвонит в следующий раз, он продиктует самый верхний пароль в списке, Алиса сверит его со своим, после чего оба вычеркнут его. При следующем звонке они используют очередной пароль и так далее, пока они не закончатся. Это не очень удобно: хранение списков, генерация новых паролей и так далее.
Лучше реализовать эту схему в виде алгоритма. Например, паролем является его номер по порядку, умноженный на секретное число. Пусть Алиса и Боб договорились, что секретным числом является 42; тогда первым паролем будет 42, вторым 84, третьим 126 и так далее. Меллори, не знающий алгоритма и секретного числа, никогда не догадается, какой пароль будет следующим!
Конечно, алгоритм лучше выбрать посложнее. Алиса вспоминает про HMAC и предлагает Бобу считать пароль номер N по формуле: HMAC(«Secret», номер-пароля). После этого им нужно договориться о ключе (в данном случае это «Secret»), зато потом Бобу нужно только помнить, какой по счету пароль он генерирует (например, двадцатый):
Впрочем, Бобу совсем не улыбается каждый раз диктовать такой длинный пароль. Они с Алисой договариваются, что будут использовать только его часть, например, последние 6 символов.
Некоторое время все идет хорошо. До момента, пока Бобу и Алисе не надоедает вести подсчет, какой по счету пароль они используют. Кто-то подсказывает им, что в качестве аргумента HMAC() вместо номера можно использовать все, к чему Алиса и Боб имеют одновременный доступ… например, текущее время!
Наши герои синхронизируют свои часы и договариваются, что будут в качестве аргумента HMAC() использовать unix time — количество секунд, прошедших с момента наступления эпохи UNIX (в UTC). Чтобы вводить пароль не торопясь, они решают разделить время на 30 секундные «окна»; таким образом, на протяжении 30 секунд действует один и тот же пароль. Естественно, Алиса, проверяющая пароли, в течение 30 секунд не позволяет использовать пароль повторно (просто запоминая его) и тем самым оставляет его по-настоящему «одноразовым».
Теперь пароль вычисляется по следующей формуле: HMAC(«Secret», unix_timestamp / 30).
Мы получили одноразовые пароли на основе текущего времени. Сгенерировать и проверить эти пароли может только тот, кто обладает ключом («Secret» в примере выше); иначе говоря, сервер и пользователь.
Следует отметить, что одноразовые пароли могут считаться и по другим алгоритмам; главное, чтобы алгоритм и секрет были известны обеим сторонам. Но т.к. у нас есть стандарт, дальше мы будем говорить именно о нем
OATH, TOTP, HOTP, RFC… WTF?
Итак, мы только что описали основные идеи, лежащие в основе:
1) HMAC, hash-based message authentication code: RFC2104
2) HOTP, hash-based one-time password: RFC4226
3) TOTP, time-based one-time password: RFC6238
Эти идеи — один из краеугольных камней инициативы Initiative For Open Authentication (OATH), направленной на стандартизацию методов аутентификации.
Двухэтапная аутентификация Google
Одноразовые пароли, основанные на времени (и подсчитываемые на основе алгоритма TOTP RFC 6238) используются также компанией Google в приложении Google Authenticator, которое можно установить на iOS, Android, BlackBerry. Это приложение автоматически генерирует одноразовые пароли раз в 30 секунд (в дополнение к основному паролю на Google Account). Это означает, что даже если Ваш основной пароль кто-то подглядит или перехватит, без очередного одноразового пароля в систему войти будет невозможно. Удобно.
ВНИМАНИЕ : Я НЕ НЕСУ НИКАКОЙ ОТВЕТСТВЕННОСТИ ЗА ВАШИ ДЕЙСТВИЯ С ВКЛЮЧЕНИЕМ И ВЫКЛЮЧЕНИЕМ ДВУХЭТАПНОЙ АУТЕНТИФИКАЦИИ GOOGLE; ВЫ СОГЛАСНЫ, ЧТО ВЫ ВЫПОЛНЯЕТЕ ИХ НА СВОЙ СТРАХ И РИСК.
На самом деле там нет ничего страшного (есть инструкции, есть trusted-компьютеры, есть резервные коды и т.д.), но если от души постараться, бездумно нажимая на кнопки, то вполне можно лишиться доступа к своему аккаунту. И все же: если не готовы экспериментировать, не трогайте Gmail; просто скачайте приложение Google Authenticator на телефон, вручную добавьте «ключ по времени» (например, «a abc def abc def abc» или просто отсканируйте QR-код ниже).
Для начала нам нужно получить секретный ключ, который используется для создания одноразового пароля. Его можно посмотреть на странице добавления Google Authenticator’а в настройках аккаунта, он находится под QR-кодом:
Обратите внимание, что если двухэтапная аутентификация уже включена, то старый ключ узнать нельзя: придется удалить старый и сгенерировать новый. Это несложно; главное, не забыть сразу обновить ключ и в Google Authenticator, если Вы им пользуетесь.
Ключ закодирован в Base32 (для удобства уберите пробелы и переведите буквы в верхний регистр).
Программа, которая подсчитывает текущий одноразовый пароль:
Теперь можно положить рядом запущенный Google Authenticator и сравнить значения.
upd #2: если хотите поиграть с 2-step verification от dropbox, в конце секрета допишите «======» (это необходимо для паддинга и корректной работы base32-декодера).