<HELP> for explanation

Блог им. itPiligrim

К вопросу о безопасности электронных сделок

В связи с шумом по поводу сбоя на бирже хотел бы высказать мысли по поводу безопасности электронных операций в целом и про недавнюю проблему в частности.

С моей точки зрения, максимум что трейдер может сделать для обеспечения безопасности своих сделок — это выполнить два условия:

1. Выбирать терминал, использующих цифровую подпись при совершении сделок, например QUIK. Отличительная особенность таких терминалов — это необходимость использовать два файла для подписи сделок — публичный и секретный. Подбоные алгоритмы цифровой подписи на сегодняшний день не взламываются за разумные сроки (нужно очень много компьютерного времени), но при соблюдении условия №2 (см. ниже). Не зря они даже утверждены на законодательном уровне. Если для совершения сделок используется только пароль, то можно надяться только на честность брокера и биржи, а надеяться на это не приходится...

2. Не давать брокеру секретный ключ от терминала. Это самый интересный пункт. Когда я первый раз захотел открыть счет у брокера и пришел в компанию Атон, мне они хотели скопировать ключи от QUIK-а на флэшку. На мое возражение, что этого делать категорически нельзя, девушка сделал глаза как у кота из мультфильма про Шрека и сказала: «А как Вы будете работать без ключей»? То есть брокер так работает со всеми клиентами и не знает, а скорее делает вид, что не знает, что клиент должен сам предоставить брокеру свой публичный ключ.  То есть у брокера есть все секретные ключи своих клиентов и они могут при желании нарисовать любые сделки… В итоге выбрал ВТБ. Да, там свои проблемы, но хотя бы о безопасности сделок я не беспокоюсь.


3. Вести свой дневник лимитов (сделок —  по желанию) и сверять данные на начало сессии.

Если у брокера нет секретного ключа, то нарисовать сделки он не сможет, а если и сможет, то будет реальный шанс доказать их фиктивность. Да, вы можете увидеть в терминале нереальные остатки, но рано или поздно это поправят, а вот отменить сделку, подписанную электронной подписью уже крайне проблематично. Таким образом, работая в терминале нужно помнить, что при соблюдении указанных выше двух условий имеют значения только сделки, а не остатки.

Конечно, точно мы не узнаем в чем причина вчерашнего сбоя, но можно сделать предположения:

— Если сбой был только в том, что люди увидели не свои остатки, но сделок как таковых не было, то либо это действительно случайность либо спланированная акция, целью которой было побудить  трейдеров сделать нужные сделки. Сделки скорее всего отменены не будут, как мне кажется, а вот лимиты вернут верные. 

— Если были все же сделки, то кто-то видимо целенаправленно собирал секретные ключи клиентов и нарисовал им сделки с той же целью. Тогда сделки вероятно будут отменены.

Хорошо бы собрать стастику по тем у кого был сбой:
— Используемый терминал
— Брокер
— Известен ли секретный ключ брокеру (при его наличии)
— Какие лимиты и на сколько были изменены
— Были ли сделки или только изменились лимиты
 

Как раз с Втб много народу и залетело. Про Втбшные тормоза и неадекватных сейлсов можно даже не упоминать…
avatar

Макс

Karaya1, про ВТБ согласен. Но все же интересно, были ли сделки или только остатки нарисовали? Кто отпишется?
брокер-пробизнесбанк.терминал-квик.секретный ключ-только у меня и в личном кабинете на сайте банка.лимиты-не изменились.сделки-была одна левая сделка -фРТС шорт 1 контракт.
avatar

sergeyvm

Daks, Не знаешь не говори. Те кто не следит за ключами и считают что они никому не нужны — полные балбесы
Роман, по пункту 2. Подписав договор, получив файл программы, ключи от брокера и придя домой… В папке КВИК находите папку KEYGEN и генерируете электронный ключ самостоятельно, полученный результат (пароль) отсылаете в техподдержку, а электронный ключ есть только у вас. Всё.
G Oleg, Я все это знаю.
Сомневаюсь, чтобы биржа или брокер делали левые сделки за клиентов. Они и сами, наверно, вчера вечером бегали в панике с криками «что делать?», ничего не понимая.
escoman, они то может и не делали, а Вася Пупкин, который поработал сис. админом у брокеров, а потом еще на РТС, собрал личные данные клиентов, вчера уволился, пришел домой и устроил армагедон… и поимел денег, которых ему хватит до пенсии…
itPiligrim, Найдут. Но это не так всё.
itPiligrim,
какая разница — сами вы предоставите ключ брокеру или он вам предоставит? результат один и тот же — ключи будут как у вас так и у тех же сотрудников брокера
avatar

ЁR

ЁR, У них будет только публичный ключ. Смысл электронной подписи в том, что секретный ключ используется для подписи, а публичный для проверки подписи. При этом имя, публичный ключ, получить секретный нельзя (или очень сложно).
itPiligrim, так ключ вы генерируете с помощью программы, которую вам предоставил никто иной как брокер. Откуда у вас уверенность, что благодаря этому брокер не узнает ваш секретный ключ по публичному?
avatar

ЁR

Не имеет значение, какой программой сделаны ключи. Тут работает сам алгоритм. Он не позволяет узнать секретный ключ, имея публичный. Конечно здесь есть ряд НО, но мы говорим о том, что мы сами можем сделать для своей безопасности. Эти НО уже от нас не зависят и мы не можем на это влиять.
itPiligrim, с чего вы взяли, что алгоритм мошеннического генератора не позволяет однозначно определить секретный ключ через публичный?
avatar

ЁR

От заведомо мошеннических действий никто не застрахован. Думаю это отдельная тема, имеющая отношения к выбору брокера и терминала.
itPiligrim, ок, понял — вы о случайных или слегка спровоцированных утечках ключей
avatar

ЁR

Мне вот и интересно понять, была ли утечка ключей. Если были сделки и они фигурируют в отчетах брокера, то утечка все же была. Но мне представляется это маловероятным. Думаю, что люди увидели несуществующие остатки по позициям и сами сделали «выгодные» кому-то сделки.

Только зарегистрированные и авторизованные пользователи могут оставлять комментарии.

Залогиниться

Зарегистрироваться
....все тэги
Регистрация
UP