Banks online security, part deux

[ny_quant]

Начало тут. Загадочное поведение банковской интернет-вохры там блестяще объяснил malyj_gorgan.

Сегодня меня не пустил на порог Citibank. В отличие от прошлого раза, пароль я вводил руками (выучил за 25 лет, каюсь) и никакой ошибки не получил. Сайт, не говоря худого слова, просто возвращал меня на страницу авторизации. Всё то же самое из анонимного окна сработало без проблем. Возможно, объяснение окажется сходным. Но как-то совсем уж круто, что в обычном окне зайте вообще больше нельзя.

Повбивав бы.

Comments

[malyj-gorgan.livejournal.com]

Disclaimer: я свечку не держал, а если бы и держал (т.е., если бы знал, как конкретно работает защита в Сити) права рассказывать бы не имел. Но чаще всего оно работает именно так.
Если это third party defense, то просто не пропустить запрос тупо проще, соответственно, реже ломается, дешевле і т. д.

[ny-quant.livejournal.com]

Правильно говорят, что простота хуже воровства.

[malyj-gorgan.livejournal.com]

Хуже-не хуже -- дешевле
Если траффик не блокировать а рераутить (*), то надо больше мощности бекенда (дороже), плюс, сложнее процедура -- тоже дороже, а еще, дольше. Более медленный сайт >> клиенты уходят >> теряются деньги, более быстрый сайт >> банк чаще обманывают >> теряются деньги. Обычная оптимизация (там больше факторов, не только скорость)

(*) Перечитал предложение, понял, что уродую русский язык. Но не раскаиваюсь, а делаю это с чуйством глубокого мстительного удовлетворения :)