У кого украли Webmoney и доступ к ним - давайте разберемся наконец-то?

Почитайте комментарии до конца, (а лучше обсуждение этого случая тут, на серче) и спите дальше себе преспокойно... :)

Чейто

а можно суммировать "чё было-то" ?

Это на данный момент, вроде как, единственный взлом при включенном e-num-подтверждении переводов, произошедший чуть ли не в первую же неделю как появилась такая возможность. Маул (потерпевший) решил, что этого будет достаточно для полной безопасности, оставив без внимания e-num-авторизацию на сайтах. Хакер залез через его кипер на секьюрити.вебмани.ру и настроил доверенность на свой кипер-мини, и таким образом вывел без всяких подтверждений около 20 кило вмз.

Вебмани, как я понял, этот случай без внимания не оставили и решили не полагаться на сообразительность своих пользователей. Сейчас, при включенном подтверждение трансакций через e-num/sms добавление доверенностей и добавление новых корреспондентов (которым можно настроить лимит доверия) происходит тоже только с подтверждением через e-num/sms. Лично всё это проверял, поскольку ценю спокойствие своего сна. 🚬

а подскажите, насколько уязвимее енум через генерацию кода со своего телефона и енум через смс?

evergreen, + Изменён код шифроблокнота (енум клиента) он уникален для каждой модели телефона....

прошел по ссылке, почитать про развитие событий и КИС 2010 возмутился:

Я уже писал лично проверенный сценарий, возможно там что-то поправили.

1. Заходите с "ворованными" ключами в секьюрити.вебмани.ру

2. Выключаете авторизацию! по енум (подтверждение оставляете)

3. После этого добавляете доверенные кошельки.

Раньше работало, будем надеяться что заткнули. Не проверял.

Не поверите, но всё некогда.... да и толку, изменить нифига нельзя.

Сотрудник вебмани по телефону четко подтвердил, что нельзя

сделать так, чтобы имея ключи злоумышленник вас не обокрал.

Еще раз повторюсь - всё это информация из первых рук - звонил тоже лично.

_SP_ добавил 28.06.2010 в 18:01

А есть там инфа где-то про генерацию кода ?

Пока это было вопрос-ответ я еще понимаю, но сейчас это уж точно не шифрблокнот,

там же генерация некая происходит на основе получателя и суммы.

Я лично проверял все три пункта. ;)

1. Зайти с ключами (авторизоваться через кипер), если установлена "e-num-авторизация на сайтах" невозможно.

2. Выключить любую опцию e-num можно только используя e-num.

3. При включенном "подтверждении платежей" добавить доверенные кошельки можно только используя e-num.

_SP_, Там есть фактор Х о котором я сообщать небуду нигде не в паблике, не в личке, скажу так фактор имеет достаточную защиту от перебора даже на маинфрейме в ближайшие 10 лет, периодически у фактора чуточку меняется механизм я так понимаю. Вывод, раз в месяц качаем новый енум клиент и спим спокойно.

kxk добавил 28.06.2010 в 18:23

kxk, г

Для какждой транзакции код будет уникален как и для каждого клиента.

Можно подробнее в ПМ?