WhiteDynomite
Newbie
Activity: 33
Merit: 0
|
 |
March 14, 2014, 11:58:35 AM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
|
|
|
|
|
|
throughput
|
|
March 14, 2014, 12:22:41 PM |
|
1. Добавьте списки одноразовых паролей, как опцию не для всех, но только для тех, кто сам не против.
2. Расширьте API, btc-e - это не эталон, даже не близко! Используйте дополнительно websocket, а ещё лучше AMQP для рассылки сообщений от вашего движка в момент произведения операций в торгах, чтобы можно было исключить повторяющиеся периодические обращения к API только для мониторинга выполнения операции обмена. ВАМ ЖЕ ЛУЧШЕ будет, этим разгрУзите API-сервис, будет элементарно возможность масштабирования messaging-узлов.
Это сейчас у вас мало нагрузки. Что будет с 100x пользователями и под нагрузкой от DDoS ? Если API так расчитано, что в этом случае будет просто ложиться, то... так и сообщите заранее. Не буду тратить время, оно ведь бесценно.
|
|
|
|
|
|
vs2014 (OP)
|
|
March 14, 2014, 03:31:34 PM |
|
Даже биткоин-кошелёк coinbase использует для двухфакторной авторизации смс-уведомления...  SMS - это нормально! Я согласен!  Вопрос с SMS только один – кто за них будет платить. Они сейчас по 50 копеек  Кошелёк платит. Солидный кошелёк для солидных людей (банки же платят, лол)... Банки, как известно, сами не платят а за дополнительные деньги подключают клиенту SMS-уведомления.. К тому же SMS, как технология, устаревает быстро... Все на онлайн месенджеры переходят. Вы явно не клиент банков. За SMS код подтверждения клиент не платит ни копейки... Не... обслуживание банк-клиента стоит ежемесячно денежек SMS включены... Это вы мне сказки рассказываете? У меня сейчас включена такая авторизация в четырёх банках (среди них сбер, если что), я банкам не плачу ничего... Я Сбером не пользуюсь... Но в Юникредите и Райфе есть годовое обслуживание счета, стоимость платежки в банк-клиенте и т.п. При использовании карты SMS-пакет отдельно подключается. Но я допускаю, что пользуюсь не теми банками. и они меня обдирают Подтверждение по коду в СМС-пакет не входит (нигде не видел, чтобы было обратное)... Отдельно я тоже не встречал такой услуги. В общем, по поводу СМС, я говорю откровенно - они стали дорогими (50 коп.) раньше стоили 3 коп. Нам не выгодно тратить эти деньги за свой счет при каждой авторизации и входе на сайт. Проблема в этом. |
|
|
|
|
vs2014 (OP)
|
|
March 14, 2014, 05:09:59 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Поэтому мы приделали TapLogin, который производит on-line подтверждение транзакций, в отличие от гугл аутентификатора. Но из-за своей меньшей известности вызывает больше вопросов у пользователей. В данном случае мы предпочитаем иметь лучше защиту, чем известное решение, которое ее не обеспечивает. Потому, что спрашивать нас будут именно за это. |
|
|
|
deisik
Legendary
Activity: 3542
Merit: 1280
English ⬄ Russian Translation Services
|
|
March 14, 2014, 06:16:34 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь!  |
|
|
|
|
Ivan-russian
|
|
March 14, 2014, 07:01:28 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь! А мне вот было бы жалко просто так выкидывать 50 копеек, я лучше приложение поставлю. |
|
|
|
|
|
vs2014 (OP)
|
|
March 14, 2014, 07:20:39 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь! 3000 р. – это минимальный платеж при выводе на карту VISA. Для других провайдеров можно хоть 10 р. вывести (на телефон и т.п.) И таких платежей большинство... 150 р. (средний платеж за связь) * 3% комиссии = 4,5 р. дохода. Теперь расходы: 50 коп на входе в аккаунт + 50 коп при подтверждении операции = 1 руб. (если делать уведомление о транзакции то 1,5 руб) 20% - 30% получается... |
|
|
|
|
vs2014 (OP)
|
|
March 14, 2014, 07:27:35 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь! А мне вот было бы жалко просто так выкидывать 50 копеек, я лучше приложение поставлю. Вот, собственно, об этом и речь! Было бы ради чего тратить эти деньги. Тем более, что они в объеме мелких платежей составляют приличный процент. |
|
|
|
cryptodev
Member
Activity: 108
Merit: 12
|
|
March 14, 2014, 07:31:47 PM |
|
Прочитал все и так и не понял главное, когда вы мне начислите на остаток бешеные проценты. Я собираюсь быть на них рантье! Вывести-то все равно нельзя при такой колоссальной сумме... что вот с этим делать? |
|
|
|
|
|
vs2014 (OP)
|
|
March 15, 2014, 03:42:26 AM |
|
Онлайн хранение? Нет, спасибо. МТгокс тому пример  Мы не призываем хранить большие суммы... Достаточно небольших, просто ради удобства... Банки тоже банкротятся десятками по всему миру, но все продолжают картами пользоваться просто потому, что удобно Речь не идет о хранении всего своего состояния. Но ведь бояться за каждую копейку – тоже абсурд... И на улице обокрасть могут Что же, по улице не ходить теперь?! Нужно просто с умом распоряжаться капиталом. Защита одной копейки может стоить вам нескольких рублей и массы неудобств в придачу У Mtgox была очень-многофакторная авторизация. Но потом они ввели обязательную идентификацию даже для вывода BTC, введённых на анонимный логин. Идентификация требовала перевода с русского на английский квитанции ЖКХ, заверенного нотариусом и апостилем... В общем, Я не положу на ваш сервис ни одного Биткоина, пока Вы не поклянётесь здесь и во всех соглашениях с пользователями, что подобного у вас никогда не повторится. Гарантируйте, что вывод крипто всегда будет доступен для всех аккаунтов. Иначе идите к чёрту! Извините, был разочарован уже не раз. Подобного безобразия не допустим! |
|
|
|
|
vs2014 (OP)
|
|
March 15, 2014, 03:52:29 AM |
|
Прочитал все и так и не понял главное, когда вы мне начислите на остаток бешеные проценты. Я собираюсь быть на них рантье! Вывести-то все равно нельзя при такой колоссальной сумме... что вот с этим делать? Я полагаю, что речь идет о дробных суммах меньше одного рубля и т.п.? А в чем проблемы с их выводом? |
|
|
|
|
vs2014 (OP)
|
|
March 15, 2014, 10:01:25 AM |
|
1. Добавьте списки одноразовых паролей, как опцию не для всех, но только для тех, кто сам не против.
2. Расширьте API, btc-e - это не эталон, даже не близко! Используйте дополнительно websocket, а ещё лучше AMQP для рассылки сообщений от вашего движка в момент произведения операций в торгах, чтобы можно было исключить повторяющиеся периодические обращения к API только для мониторинга выполнения операции обмена. ВАМ ЖЕ ЛУЧШЕ будет, этим разгрУзите API-сервис, будет элементарно возможность масштабирования messaging-узлов.
Это сейчас у вас мало нагрузки. Что будет с 100x пользователями и под нагрузкой от DDoS ? Если API так расчитано, что в этом случае будет просто ложиться, то... так и сообщите заранее. Не буду тратить время, оно ведь бесценно.
Согласен с комментариями. Реализация дополнительных возможностей у нас в планах по разработке. Сейчас вывели минимальный набор опций для торгов. Дальше будем расширять. Падать просто так не будем, к нагрузке готовы. DDoS - имеем ряд средств защиты, но проверяли только на уровне тестов. Надеюсь, что справимся... Мы хотим занять нишу в торгах с рублем: BTC/RUB; LTC/RUB (для этого создали все удобные средства вывода/ввода) Постепенно будем добавлять другие пары. |
|
|
|
cadet86
Newbie
Activity: 26
Merit: 0
|
|
March 15, 2014, 04:57:34 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь! так капейка-то рубль бережет |
|
|
|
|
|
vs2014 (OP)
|
|
March 15, 2014, 07:24:20 PM |
|
если добавите гугл аутентификатор - будет ещё удобнее)
это же сейчас популярная тема
Сейчас активно обсуждаем это... Многие спрашивают. Есть проблема с использованием гугл аутентификатора. Гугл не предоставляет возможность подтверждения конкретной транзакции (авторизации). Он только проверяет, что вы - это вы (производит аутентификацию). Поэтому, если у вас троян в браузере, то вы вместо своей транзакции подпишете транзакцию злоумышленника. В этом смысле он лишь создает видимость защиты денег на аккаунте, но не осуществляет ее. Потому что защищать нужно не вход на сайт, а транзакцию вывода средств. В подтверждение моих слов Bruce Schneier рассказывает об этом в своих статьях: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html Думаю, что его авторитет не требует дополнительных подтверждений... Самое простое и привычное было бы использовать SMS-подтверждение транзакций. Но SMS резко подорожали с 3 копеек до 50 копеек за SMS. Смешно... У вас минимальный платёж вроде 3 тысячи рублей (если не ошибаюсь), а вы из-за 50 копеек жмётесь! так капейка-то рубль бережет Именно  |
|
|
|
|
vs2014 (OP)
|
|
March 15, 2014, 09:25:13 PM |
|
Прочитал все и так и не понял главное, когда вы мне начислите на остаток бешеные проценты. Я собираюсь быть на них рантье! Вывести-то все равно нельзя при такой колоссальной сумме... что вот с этим делать? Предлагаете пирамиду на биткоинах построить? |
|
|
|
cryptodev
Member
Activity: 108
Merit: 12
|
|
March 16, 2014, 06:07:01 AM |
|
Прочитал все и так и не понял главное, когда вы мне начислите на остаток бешеные проценты. Я собираюсь быть на них рантье! Вывести-то все равно нельзя при такой колоссальной сумме... что вот с этим делать? Я полагаю, что речь идет о дробных суммах меньше одного рубля и т.п.? А в чем проблемы с их выводом? Куда же их можно вывести? Телефон не меньше рубля. |
|
|
|
|
|
vs2014 (OP)
|
|
March 16, 2014, 06:22:59 AM |
|
Прочитал все и так и не понял главное, когда вы мне начислите на остаток бешеные проценты. Я собираюсь быть на них рантье! Вывести-то все равно нельзя при такой колоссальной сумме... что вот с этим делать? Я полагаю, что речь идет о дробных суммах меньше одного рубля и т.п.? А в чем проблемы с их выводом? Куда же их можно вывести? Телефон не меньше рубля. А на бирже конвертнуть в крипту? |
|
|
|
|
yurm
|
|
March 16, 2014, 12:55:16 PM |
|
По поводу TapLogin — он опенсорсный? Мой внутренний параноик отказывается использовать проприетарный код для подобных целей Если нет, могу предложить такой вариант в духе Google Authenticator: 1. https://www.ietf.org/rfc/rfc2104.txtHS = HMAC-SHA1(K, text) K — ключ text — авторизуемая транзакция в человекочитаемом текстовом виде. 2. https://www.ietf.org/rfc/rfc4226.txtOTP = Truncate(HS) На RFC 4226 непосредственно ссылается Google Authenticator ( RFC 6238). Соответственно, можно текст транзакции отображать хоть на сайте QR-кодом, пользователь считает его телефоном, проверит корректность транзакции на телефоне, после чего введёт одноразовый код. UPD. В text очень рекомендую записывать также время формирования транзакции и не разрешать переводы, подтверждающий код на которые приходит очень поздно. Иначе взломщик сможет тупо последовательно перебрать все комбинации OTP для своей транзакции. |
BTC donation:1DPUVJWeN2CNgJvRx5MtbsYWnFsKHxXWrc
|
|
|
|
vs2014 (OP)
|
|
March 16, 2014, 04:42:57 PM |
|
По поводу TapLogin — он опенсорсный? Мой внутренний параноик отказывается использовать проприетарный код для подобных целей Если нет, могу предложить такой вариант в духе Google Authenticator: 1. https://www.ietf.org/rfc/rfc2104.txtHS = HMAC-SHA1(K, text) K — ключ text — авторизуемая транзакция в человекочитаемом текстовом виде. 2. https://www.ietf.org/rfc/rfc4226.txtOTP = Truncate(HS) На RFC 4226 непосредственно ссылается Google Authenticator ( RFC 6238). Соответственно, можно текст транзакции отображать хоть на сайте QR-кодом, пользователь считает его телефоном, проверит корректность транзакции на телефоне, после чего введёт одноразовый код. UPD. В text очень рекомендую записывать также время формирования транзакции и не разрешать переводы, подтверждающий код на которые приходит очень поздно. Иначе взломщик сможет тупо последовательно перебрать все комбинации OTP для своей транзакции. TapLogin не опенсорсный... Спасибо за предложение! Ваш способ, очевидно, можно попробовать использовать. Но пользователям прийдется обязательно всегда читать QR-код с экрана для проверки подлинности каждой транзакции и потом еще код вводить. То есть этот способ будет работать только для смартфонов с нормальными камерами. И это, очевидно менее удобно, чем в онлайне одной кнопкой подтвердить. Но можно сделать такой способ опциональным. То есть, чтобы его можно было установить вместо Таплогина, тем, кто желает. |
|
|
|
|
yurm
|
|
March 16, 2014, 05:49:38 PM |
|
Но пользователям прийдется обязательно всегда читать QR-код с экрана для проверки подлинности каждой транзакции и потом еще код вводить. То есть этот способ будет работать только для смартфонов с нормальными камерами. И это, очевидно менее удобно, чем в онлайне одной кнопкой подтвердить.
Я так понимаю, что TapLogin просто по другому каналу с сайтом соединяется (по другому зашифрованному соединению общается)? Тогда, если нужно обойтись без QR-кода, можно присылать эту транзакцию клиенту на смартфоне в онлайне аналогично TapLogin'у. Но можно сделать такой способ опциональным. То есть, чтобы его можно было установить вместо Таплогина, тем, кто желает.
Я был бы обеими руками за Необязательно даже именно этот алгоритм, главное открытость. |
BTC donation:1DPUVJWeN2CNgJvRx5MtbsYWnFsKHxXWrc
|
|
|
|
