Добрый день! Меня зовут Юлия, я буду вашим консультантом.

Сейчас это пилотный проект. Консультации проводят с 9:00 до 17:00 по московскому времени, длительность одной консультации — до часа. С клиентами общаются сотрудники ВТБ, для которых русский жестовый язык — важная часть жизни. Они с детства ежедневно разговаривают на нем с родными. Это делает процесс видеоконсультации максимально понятным и комфортным для всех участников.

На такой консультации можно получить ответы на вопросы по условиям обслуживания дебетовых и кредитных карт, начислению кешбэка, переводу пенсий, оформлению накопительных счетов и вкладов, кредитованию, а также уточнить адреса и функции банкоматов, график работы и расположение офисов банка.

Как записаться? Зайдите в блок «Клиентам с нарушением слуха» на сайте ВТБ в разделе «Людям с инвалидностью» и перейдите на страницу регистрации. После заполнения короткой формы вы получите письмо с подтверждением и ссылкой для подключения к видеозвонку. Запись на консультацию занимает менее минуты.

1. Считывание токена через NFC.
   Вы подходите с iPhone к терминалу с NFC-меткой, которая генерирует уникальный токен (это может быть просто строка, которая ссылается на информацию о платеже: сумма, пользователь и т.д.). Этот токен может быть зашифрован таким образом, чтобы его можно было расшифровать только на сервере, что предотвратит возможность его перехвата.

2. Передача токена на сервер.
   Как только телефон считывает токен, он автоматически отправляет его на сервер, скажем, через безопасное HTTPS-соединение. В это время устройство может передать еще и информацию о пользователе, чтобы сервер знал, кто делает платёж.

3. Обработка данных на сервере.
   Сервер, получив этот токен, расшифровывает его (поскольку только он имеет ключ для дешифровки) и извлекает все необходимые данные для выполнения транзакции, такие как сумма, идентификатор пользователя, и другие важные данные.

4. Транзакция через внешнюю систему.
   После дешифровки, сервер может использовать внешнюю платёжную систему, например, Систему быстрых платежей (СБП), для совершения транзакции. СБП позволяет провести перевод, используя номер телефона пользователя, без необходимости ввода банковских данных вручную.

5. Подтверждение транзакции.
   После того как транзакция завершена, сервер отправляет подтверждение обратно на мобильное приложение пользователя. Это может быть уведомление или просто изменение статуса на экране, что платёж прошёл успешно.

Такой подход позволяет избежать прямого использования Apple Pay для транзакции, но при этом делает процесс оплаты безопасным. Вместо того чтобы транзакция шла напрямую через NFC, мы используем его просто как средство для передачи уникального токена, который затем обрабатывается сервером.

Почему это может работать:

• Безопасность данных. NFC используется только для считывания токена, а сам платеж осуществляется через защищённую систему, например, СБП, которая уже гарантирует безопасность.

• Простота для пользователя. Пользователь снова сможет полноценно пользоватся своим телефоном и ему не нужна будет пластиковая карта, стикер и т.д., и вся информация о платеже уже передаётся на сервер.

• Минимизация зависимости от Apple Pay. В этом случае NFC не используется для самой транзакции, а лишь для передачи информации между устройствами.

В принципе, с точки зрения Apple, можно сказать, что это не является обходом их политики, потому что данные не передаются напрямую через NFC для выполнения транзакции. Это всё по сути просто токен, который передаётся серверу, а сам платёж уже происходит через систему, которая поддерживает это.

Это, конечно, теоретически, но кажется вполне осуществимым, если правильно реализовать всю систему с учётом безопасности и соответствия законодательству.

Тут конечно может не вся логика правильно описана. Если я не прав плиз, объясните, а то я теперь спать не смогу, мнение всех экспертов приветсвуется)

При этом я проверил, что в настройках в разделе известных устройств отображается только мой телефон.

А вот теперь сама дыра в безопасности:

1. Я открываю Firefox в приватном режиме. Т.е. никаких cookies быть не должно, сайт ВТБ не должен никак идентифицировать эту сессию, как сессию с известного устройства.

2. Захожу в личный кабинет ВТБ.

3. Ввожу номер телефона и СМС код.

И на следующем шаге сайт просит меня ввести не пароль, а код доступа, установленный в мобильном приложении!

Т.е. новое неизвестное устройство, новая сессия, но вместо пароля запрашивается код доступа.

ВОТ ЭТО и есть снижение безопасности. Вы снизили безопасность одного из двух факторов авторизации - пароля - в системе двухфакторной авторизации.

Поправьте, пожалуйста.