Форвард Банк Forward Bank (2009 - 2021)

rollo , признаюсь,что я не сильно шарю в этих толкалках и тянучках. И не ориентируюсь как лучше и правильней завести или вывести средства.

ну а форварду спасибо за возможность проверить по номеру - клиент банка или нет

Такая же возможность есть минимум в Идея-банке, ПУМБ и Конкорде. И кажись в Кристалбанке, но не могу вспомнить точно. Имеют ли они такой-же плохо продуманный подход к блокировке - вот это не знаю.

rollo , признаюсь,что я не сильно шарю в этих толкалках и тянучках. И не ориентируюсь как лучше и правильней завести или вывести средства.

Это дело наживное. Вы, главное, спрашивайте.
Я тоже раньше не сильно шарил.

Увы, но пессимисты оказались правы

Не пессимисты, а реалисты

Увы, но пессимисты оказались правы

Не пессимисты, а реалисты

А точнее - даже оптимисты.
Было бы гораздо хуже, если бы после нескольких неправильных паролей акк не лочился, и любой утырок мог спокойно и методично подбирать пароль к любому телефону

[1]

rollo , признаюсь,что я не сильно шарю в этих толкалках и тянучках. И не ориентируюсь как лучше и правильней завести или вывести средства.

Вы все правильно сделали - Алка девка норовливая, чуть что не понравится и блокануть карты могЁт. А оно вам надо - проходить гестапо и в случае неуверенных ответов и вообще получить бесплатный призыв на внеочередное посещение отделения. Поэтому в случае с Аллой - использовать СЭП, да если еще не горит и пара часов ничего не решает, да и еще если это в рабочее время рабочего дня недели - это как раз самое оно. При этом не забываем и о дополнительном бонусе - финмон принимающего банка тоже лояльнее относится к СЭПу поскольку там в отличие от р2р отправителя идентифицирован.
Единственный момент, который я бы на месте _PORT_UA сделал по другому - СЭПил бы напрямую на кредитку, потому как в Вашем случае транзит через дебетку не имеет никакого резону, а и в случае если зазеваетесь и не успеете перевести с дебетки на кредитку (мало ли а вдруК у Скунса вырубятся серваки) то еще и получите уменьшенный % по депозитке

ущерб который может быть причинён клиенту действиями третьих лиц знающих его номер телефона.

для третьих лиц существует только Приват. Ощад , может и Пумб. До Форварда они еще не доросли.

Было бы гораздо хуже, если бы после нескольких неправильных паролей акк не лочился, и любой утырок мог спокойно и методично подбирать пароль к любому телефону

Речь же не о том чтобы вообще ничего не делать. Речь о том что: а) при подборе пароле на веб-сайте не должен лочиться доступ через мобильное приложение, б) блокироваться должен атакующий, а не клиент - по IP-адресу, по сессии, в конце концов просто блокироваться вход по логину-паролю с сохранением возможности зайти по QR-коду, можно придумать и что-то более сложное и изощренное если такие случаи будут частые и реальные.

А что имеем сейчас? Всё как предполагалось и даже хуже: аккаунт заблокирован и остался заблокированным после 15 минут, в добавок заблокировано мобильное приложение. Тоесть банк как раз подигрыл атакующему лишив клиента доступа в банк.

Даже просто банальная блокировка на 15 минут, как было в юникс-системах прошлого века - была бы лучшим решением чем это.

блокироваться должен атакующий, а не клиент - по IP-адресу, по сессии

Вы шутите ?
Как в реальной жизни можно блокировать атакующего, который может зайти с любого айпи/хоста/браузера/сессии ? Правильно - никак.
Блокироваться должен именно предмет атаки. Лучше перебдеть, чем недобдеть.

Тоесть банк как раз подигрыл атакующему лишив клиента доступа в банк

То, что будет лок - было и так понятно.
И это правильно: лок - гораздо лучше, чем утечка

Как в реальной жизни можно блокировать атакующего, который может зайти с любого айпи/хоста/браузера/сессии ?

Одновременно? С нескольких сот хостов? Для подбора пароля одного клиента? А как другие сайты разруливают не подбор пароля, а целые дос-атаки? Форвард-банк не первый сайт который в мире, есть куча способов решения данной проблемы и блокировка клиента наглухо - далеко не лучший.

К слову вариант с логином-не-телефоном ничуть не лучше в этом плане так как подбирать логин можно так же как и пароль.

Ну и немного странно то что вчера ты называл их де***, а теперь защищаешь де*** способ защиты который по сути сам является методом атаки на клиента руками банка.