Bezpieczeństwo

ING BusinessOnLine wykorzystuje zaawansowane metody zabezpieczeń, które gwarantują pełne bezpieczeństwo realizowanych zleceń. Zabezpieczenia oparte o najnowsze technologie zostały zastosowane nie tylko w samym systemie, ale również po stronie Użytkownika systemu.

 
 
Bezpieczeństwo użytkownika

 System ING BusinessOnLine oferuje dwie alternatywne metody logowania i autoryzacji zleceń:

  • z wykorzystaniem certyfikatu cyfrowego na nośniku kryptograficznym,
  • z wykorzystaniem jednorazowych kodów autoryzacyjnych SMS.

Metoda oparta o certyfikat wymaga wprowadzenia hasła użytkownika oraz przedstawienia certyfikatu cyfrowego znajdującego się na nośniku – karcie mikroprocesorowej umieszczonej w czytniku lub eTokenie podłączonym do portu USB.

Pracując z systemem Klient wykorzystuje jeden z poniższych pakietów dostarczonych przez Bank:

  • karta mikroprocesorowa wraz z czytnikiem z podłączeniem do portu USB,
  • karta mikroprocesorowa wraz z czytnikiem z podłączeniem do portu PCMCIA,
  • eToken podłączony do portu USB.

eToken oraz karta mikroprocesorowa, mająca wielkość standardowej karty płatniczej, wykonane są w nowoczesnej technologii gwarantującej maksimum bezpieczeństwa. Wyjęcie karty z czytnika lub eTokena z portu USB uniemożliwia dalsze korzystanie z systemu. Przesyłane w ramach systemu informacje są szyfrowane za pomocą algorytmu RSA.

Metoda oparta o kody SMS bazuje na trzech elementach zabezpieczających: identyfikatorze Użytkownika, haśle i kodach SMS. Przy logowaniu należy podać swój osobisty identyfikator oraz wprowadzić hasło w postaci maskowanej, w polach widocznych na ekranie.

Na podstawie zaawansowanych algorytmów system ocenia, czy dana operacja (w tym logowanie) wymaga potwierdzenia kodem SMS. Jeżeli zajdzie taka potrzeba, Użytkownik otrzyma jednorazowy kod autoryzacyjny w momencie wykonywania danej operacji. Należy zweryfikować treść SMS i zwrócić szczególną uwagę na datę i kwotę przelewu oraz numery rachunków prezentowane w wiadomości. Jeżeli dane w SMS są zgodne z wykonywaną operacją, należy wprowadzić kod autoryzacyjny we właściwym miejscu w oknie przeglądarki.

Kody SMS są wysyłane na numer telefonu komórkowego, zdefiniowany dla danego użytkownika. Przesyłane w ramach systemu informacje są szyfrowane za pomocą algorytmu RSA. 

 
 
Bezpieczeństwo systemu

Bezpieczeństwo zleceń realizowanych za pośrednictwem systemu jest gwarantowane przez:

  • technologię kodowania SSL (Secure Sockets Layer), która zapewnia integralność i poufność danych przekazywanych przez Internet,
  • zarządzanie kluczem prywatnym i publicznym (podpisem elektronicznym) lub autoryzację jednorazowymi kodami autoryzacyjnymi SMS,
  • rozbudowany system profili użytkowników, zarządzający prawami dostępu w systemie.

Jeżeli użytkownicy powinni korzystać z systemu tylko w miejscu pracy, Klient może określić adres lub pulę adresów IP, z których możliwe będzie logowanie. Jeżeli użytkownicy powinni korzystać z systemu tylko w godzinach pracy, można określić dni i godziny, w których takie logowanie będzie możliwe. Łącząc powyższe uprawnienia można zdefiniować politykę bezpieczeństwa dostosowaną do potrzeb firmy.

Bezpieczne hasło

ING BusinessOnLine wykorzystuje zaawansowane metody zabezpieczeń, które gwarantują pełne bezpieczeństwo realizowanych zleceń. Użytkownik musi jednakże zadbać o to, aby jego hasło dostępu do systemu czy autoryzacji było wystarczająco silne.


Warunki bezpiecznego hasła

  • Nie stosuj tego samego hasła do różnych systemów.
  • Hasło musi różnić się od identyfikatora użytkownika (w przypadku autoryzacji kodami SMS).
  • Hasło nie może składać się z takich danych, jak imię, nazwisko, data urodzenia, NIP, PESEL, powszechnie znane wyrazy i frazy itp.
  • Nikomu nie ujawniaj swojego hasła.
  • Zmieniaj hasło co kilka miesięcy.
  • Nie przechowuj hasła online, na komputerze czy kartce.
  • Nigdy i nikomu nie podawaj hasła w sposób zdalny, np. przez telefon albo e-mail – nie ma sytuacji, w której byłoby to uzasadnione.
  • Nigdy nie wpisuj hasła, gdy korzystasz z nieznanych Ci komputerów (np. w kawiarniach internetowych, kioskach multimedialnych).

Wymagane cechy silnego hasła w ING BusinessOnLine

Bezpieczne hasło to tzw. hasło silne, które w systemie ING BusinessOnLine:

  • w przypadku autoryzacji certyfikatem – ma nie mniej niż 8 znaków i nie więcej niż 16 znaków, przy czym zawiera przynajmniej jedną wielką literę, jedną małą literę oraz jedną cyfrę,
  • w przypadku autoryzacji kodami SMS - ma nie mniej niż 10 znaków i nie więcej niż 32 znaki, przy czym zawiera przynajmniej trzy spośród następujących rodzajów znaków: wielkie litery, małe litery, cyfry, znaki specjalne (np. #%^&@),
  • jest dla Ciebie łatwe do zapamiętania, lecz trudne do odgadnięcia przez inne osoby,
  • nie zawiera wyrazów z logicznymi zamiennikami liter, np. „mojeh@sło”,
  • nie zawiera całego wyrazu słownikowego,
  • różni się znacznie od poprzednich haseł,
  • nie zawiera powtórzeń znaków (np. 111111111), sekwencji (np. abcdefgh), ani ciągów znaków występujących obok siebie na klawiaturze (np. QWERTY).

Jak stworzyć silne hasło?

Powyższy przykład jest tylko jedną z metod, jakie można wykorzystać do stworzenia silnego hasła.

  • Wybierz zdanie, które łatwo zapamiętasz, np. Bardzo lubię czerwone smażone pomidory. Będzie to podstawa do zbudowania silnego hasła.
  • Utwórz nowe, pozbawione znaczenia słowo z dwóch pierwszych liter każdego wyrazu ze zdania powyżej: baluczsmpo.
  • Zwiększ siłę hasła dodając wielkie i małe litery oraz cyfry, np. BaLuczsmP0.
  • Zastąp część liter i cyfr znakami specjalnymi, np. B@Lucz$mP0.

Weryfikacja ścieżki certyfikacji

Komunikacja pomiędzy komputerem użytkownika systemu ING BusinessOnLine, a serwerem Banku szyfrowana jest protokołem SSL. ING Bank Śląski stosuje certyfikaty Extender Validation SSL o długości klucza 2048. Certyfikat EV SSL obsługiwany jest przez nowoczesne przeglądarki, np. Internet Explorer 7 i 8 oraz Mozilla Firefox 3. Dzięki temu logo, nazwa i lokalizacja organizacji są lepiej eksponowane. Ponadto certyfikat ten gwarantuje w pełni bezpieczne szyfrowanie danych, zabezpiecza je przed zmianami dokonywanymi z zewnątrz oraz uwierzytelnia komputery komunikujące się ze sobą. Uzyskanie certyfikatu EV SSL wiąże się z bardzo dokładną weryfikacją autentyczności podmiotu wnioskującego o jego przyznanie. Certyfikat wystawiany jest wyłącznie zaufanym instytucjom. Poprawna ścieżka certyfikacji dla serwera usługi ING BusinessOnLine wygląda następująco:

W prawym dolnym rogu okna lub u góry po prawej stronie na pasku adresu każdej przeglądarki widoczna jest ikona kłódki. Kłódka musi być zamknięta. Klikając w nią możesz sprawdzić ścieżkę certyfikacji ING BusinessOnLine. Następnie po otwarciu się okna Certyfikat kliknij w zakładkę Ścieżka certyfikacji (Certification Path) – dotyczy to przeglądarki IE. W przeglądarkach innych producentów postępuj zgodnie z ich instrukcjami obsługi dotyczącymi weryfikacji certyfikatów.

Wiarygodność certyfikatu ING Banku Śląskiego dla usługi ING BusinessOnLine możesz potwierdzić dodatkowo poprzez sprawdzenie odcisku klucza publicznego (ang. Thumbprint). Poprawna wartość odcisku klucza jest następująca:

Dzięki certyfikatom wydanym przez firmę VeriSign, możesz mieć pewność, że nawiązałeś w pełni bezpieczne połączenie z serwerem Banku.
 
 

Zobacz także