Центробанк готов нанести удар по интернет-банкингу

Российские пользователи интернет-банкинга как-то совсем распустились. Заходят, понимаешь, в аккаунт из разных мест, с разных компьютеров и через разные точки доступа — не уследишь! Пора этот бардак прикрыть, решил Центробанк и подготовил проект указания к положению об идентификации банковских клиентов, уникального даже для наших чиновников. Об этом пишет Артем Ейсков на banki.ru.

Если указание утвердят (а сомневаться в этом сложно), то каждое физическое лицо и каждая организация должны будут заранее — при заполнении анкеты на открытие счета в банке — указать, с какого IP-адреса они собираются заходить в интернет-банк. Кроме того, требуется сообщить и MAC-адрес каждого устройства, с которого будет происходить работа со счетом.

Если вы немного разбираетесь в сетевых технологиях, то наверняка решили, что я сошел с ума или что-то напутал. Вовсе нет, все ровно так: необходимо сообщить банку "9. Сведения об IP- и МАС-адресе (IP- и МАС-адресах), посредством которых физическим лицом осуществляется доступ к банковскому счету, открытому в кредитной организации, с целью совершения операций по нему в рамках заключенного кредитной организацией с данным физическим лицом договора, предусматривающего его обслуживание с использованием технологии дистанционного доступа к банковскому счету, включая интернет-банкинг". Для организаций — то же самое.

Специалисты, пропустите пару абзацев и придите в себя, а я пока расскажу, в чем тут дело, нормальным людям, не обремененным лишними знаниями о сетях (тем более что объяснять я буду "на пальцах", не совсем правильно, но зато доступно).

Каждый компьютер в момент подключения к Интернету получает свой уникальный "адрес". Это IP-адрес, с помощью которого компьютер технически "общается" с сайтами и прочими интернет-сервисами. IP-адреса назначает интернет-провайдер, к которому вы подключены. Они бывают постоянными (всегда один и тот же адрес у одного компьютера или у одной домашней/корпоративной сети) либо динамическими, то есть регулярно меняющимися. Сегодня у вашего компьютера один адрес, через неделю — другой, потом — третий. А ваш "вчерашний" адрес сегодня может быть чьим-то еще. Собственно, ни для вас, ни для вашего компьютера никаких проблем это не создает, все это — сугубо технические заморочки, необходимые для работы в Интернете.

Очевидно, что если вы пользуетесь не стационарным компьютером, а ноутбуком, планшетом или смартфоном, то ваш IP-адрес зависит от того, где вы сейчас находитесь: дома он один, в кафе — другой, на работе — третий, в метро — четвертый и т. д.

MAC-адрес — это "автограф" сетевой карты в вашем компьютере, то есть той микросхемы, с помощью которой компьютер (ноутбук, смартфон, планшет, холодильник, часы, что угодно) общается с другими устройствами, не обязательно через Интернет. Этот адрес "зашивается" в устройство при изготовлении, но при большом желании его можно сменить.

Оба адреса — информация не секретная, при соответствующих полномочиях и навыках их можно узнать. При этом в каждый конкретный момент сочетание двух этих адресов однозначно идентифицирует устройство, подключенное к Интернету: IP-адрес рассказывает, где примерно географически находится компьютер, а MAC-адрес — какой именно компьютер в этом месте подключен.

Именно ради однозначной идентификации компьютера пользователя Центробанк и хочет заставить всех клиентов интернет-банков заранее оставить свои электронные "отпечатки пальцев", то есть IP- и MAC-адреса, в банке. Мол, когда клиент приходит в банк лично, он предъявляет паспорт, в котором однозначно указано, кто это. Все действия человека в этом случае можно проконтролировать — например, если он перевел деньги террористам или Навальному. А если клиент заходит удаленно, через Интернет, то однозначно сказать, что он — это на самом деле он, нельзя. Логины-пароли — понятно, но это слишком слабая защита. "Финансирующий террористов" пользователь всегда может сказать, что злые хакеры украли его данные, а он — ни сном, ни духом. Зато если банковский сайт "видит", что к интернет-банку подключается конкретный компьютер с таким-то MAC-адресом, находящийся в заранее известном месте (квартире или офисе), с таким-то IP-адресом, то клиент в случае чего уже не отвертится.

Остается, конечно, вопрос, насколько обязательным станет использование именно заявленных адресов для доступа к интернет-банку. Теоретически можно предположить, что банк возьмет эти данные и забудет о них. Но в реальности это маловероятно: банк должен иметь возможность в любой момент отчитаться перед ЦБ в том, что он предоставляет доступ в интернет-аккаунт только идентифицированным клиентам. Иначе вся эта история полностью теряет смысл. Поэтому, скорее всего, банковский сервер будет пропускать запросы к интернет-банку только от пар адресов IP/MAC, входящих в белый список, то есть однозначно принадлежащих клиентам.

Вроде бы все логично. Более того, с точки зрения полицейского государства все правильно: каждый постоянно должен быть "под колпаком". Но с точки зрения обычного пользователя такой подход резко снижает ценность интернет-банкинга, ведь на клиента ложится несколько дополнительных ограничений.

Во-первых, придется купить статический IP-адрес. Это отдельная услуга у провайдеров, которая предоставляется по требованию и стоит неких денег — порядка сотен или пары тысяч рублей в год. Причем для мобильного интернет-устройства (ноутбука или смартфона) понадобится отдельный адрес в сетях 3G или 4G.

Во-вторых, при покупке очередного домашнего роутера, компьютера, смартфона, планшета или ноутбука (если вы собираетесь через него заходить в интернет-банк) необходимо лично обращаться в банк, чтобы дополнить свою анкету новым MAC-адресом.

В-третьих, стоит забыть о пользовании интернет-банком через публичные Wi-Fi-точки в кафе, аэропортах, метро, торговых центрах, ведь каждая из них имеет собственный IP-адрес.

В-четвертых, при поездке за границу никакого доступа к интернет-банку не будет. Совсем. Впрочем, если очень надо, можно настойчиво поинтересоваться в гостинице или у бизнес-партнера, есть ли у них статический IP-адрес, и, если есть, заранее внести его в свою банковскую анкету. Могу представить реакцию менеджера гостиницы на такое обращение.

В-пятых, воспользоваться компьютером друга, чтобы посмотреть состояние своего счета или провести операцию через веб-интерфейс, не выйдет. MAC-адрес не пройдет проверку.

В общем, идеальный частный пользователь интернет-банка с точки зрения ЦБ заходит на свой аккаунт строго из дома и строго с одного компьютера. В крайнем случае, из ограниченного числа заранее известных мест и с заранее известных компьютеров. Шаг в сторону от этого правила означает, что пользователь задумал что-то плохое — финансирование терроризма или отмывание преступно нажитых доходов.

Вполне возможно, что для кого-то это не проблема. Многие люди вообще имеют только один компьютер, установленный дома. Им по большому счету новый порядок безразличен, разве что придется заплатить за IP-адрес и лишний раз сходить в банк, чтобы сдать свои "электронные отпечатки пальцев".

Для других новые ограничения создадут серьезные неудобства. Я, скажем, постоянно находясь в паре тысяч километров от своего банка, замучаюсь летать в Москву, чтобы менять данные для своих устройств. И все равно сохранится опасность внезапно оказаться без доступа к рабочим и личным счетам — мало ли какой сбой возникнет у банка, провайдера или в моем компьютере. А кто-то привык работать со счетом, подключаясь к Интернету в ресторане или кофейне (при принятии определенных мер это достаточно безопасно).

Наконец, такая привязка интернет-банка к конкретному месту и конкретным вещам ради идентификации пользователя в наше динамичное время просто унизительна. Это прямое и очевидное ограничение свободы, в том числе финансовой, и оскорбление чувств современного человека. Хотя кого теперь этим удивишь?

Мнение автора может не совпадать с мнением редакции