На сегодняшний день множество людей пользуются услугами интернет-банкинга.

Банки периодически проводят аудиты безопасности своих систем, выпускают инструкции и рекомендации по безопасной работе с интернет-банком, но при этом пользователи не всегда знают – хорошо ли защищено соединение с интернет-банком, которым они привыкли пользоваться.
Компания Andromeda Cloud, inc. (☁AC™) - Провела проверку топ 3 наиболее известных банков России (по активам).
Сегодня мы оценим защищенность подключений к всеми известным банкам РФ:
1. Сбербанк - Самый популярный банк в России.
Лидер банковского сектора
Сбербанк сегодня — это кровеносная система российской экономики, треть ее банковской системы. Банк дает работу и источник дохода каждой 150-й российской семье.
2. ВТБ Банк - Группа ВТБ сегодня обладает уникальной для российских банков международной сетью, которая насчитывает более 30 банков и финансовых компаний более чем в 20 странах мира
3. "Газпромбанк" (Акционерное общество) – один из крупнейших универсальных финансовых институтов России, предоставляющий широкий спектр банковских, финансовых, инвестиционных продуктов и услуг корпоративным и частным клиентам, финансовым институтам, институциональным и частным инвесторам.
Безопасность подключения пользователей к интернет-банкам обеспечивается использованием протоколов SSL/TLS.
На текущий момент известны «громкие» уязвимости SSL/TLS, которым даже были даны имена и/или логотипы (Beast, Poodle, Heartbleed, Freak, Logjam). Известные уязвимости SSL/TLS в том числе позволяют расшифровывать сессии, перехватывать и подменять данные, передаваемые между пользователем и сервером, что в силу очевидных причин упускается из внимания большинством пользователей.
Зачастую проблема заключается в использовании устаревших и слабых при текущем уровне вычислительных мощностей крипто-алгоритмов, а где-то наличием неустраненных уязвимостей используемого ПО. Все это ставит под угрозу безопасность платежей, совершаемых пользователями в интернет-банках.
Уровень защищенности SSL/TLS российских банков
Для оценки уровня защищенности конфигурации SSL/TLS на серверах мы будем использовать наилучший инструмент «SSL Server Test» от Qualys SSL Labs.
И так;
Банк номер один: "Сбербанк России": sberbank.ru Не смотря на рейтинг этого банка, исследование нами показывали шокирующий, отрицательный результат: Официальный сайт Сбербанка России не только уязвим к TLS/SSL атакам, но и использует сертификат подписки кода "HTTPS" в цепочке Ц.С, которого, используется устаревший алгоритм шифрования - SHA1!
1) Цепочка сертификата этого банка, состоится из 3 сертификатов:
1 - Сам сертификат: sberbank.ru - c подпиской хеширования SHA256.
2 - Посредник: Geotrust SSL CA G3 - c подпиской хеширования SHA256.
3. Главный ЦС: Geotrust Global CA - с подпиской хеширования SHA1!!!
Хотим отметить, что даже если сертификат устроен с подпиской SHA256, но "Цепочка" сертификата содержит подпись SHA1, - то уязвимость открывается для всех сертификатов "SHA256", подписанных сертификатом с устаревшим методом хеширования. Информационная безопасность Andromeda Cloud, inc. (☁AC™) доказывает, что ключ к сертификату с подпиской SHA1 - можно подобрать в течении от 15 минут, до 10 дней.
2) - Банк "Сбербанк России" использует 2048 битный SSL сертификат в то время, когда наималейший рекомендуемый размер ключа сертификата для банков и онлайн магазинов - это 4096 бит.
3) - Банк использует неправильный подпись HPKP пин кода для подписки ключа, в целях подтверждения подлинности сертификата. - 1aAzXOlcD2gSBegdf1GJQanNQbEuBoVg+9UlHjSZHY= - который является самоподписанным.
А вот и правильные пин коды "HPKP" Сбербанка России, которые соответствуют с подпиской сертификата "Chain" цепочки:
1. GeoTrust SSL CA - G3 "PbNCVpVasMJxps3IqFfLTRKkVnRCLrTlZVc5kspqlkw="
2. GeoTrust Global CA.
"h6801m+z8v3zbgkRHpq6L29Esgfzhj89C1SyUCOQmqU="
4) Сбербанк России уязвим к типу атаки "OpenSSL Padding Oracle vulnerability (CVE-2016-2107)". Риск уязвимости данного типа, является Выше чем использование подписки кода SHA1 в цепочке SSL.
Общая оценка рейтинга безопасности сайта "SBERBANK.RU" - оценивается как: "F".
Так-же Вы сами можете проверить безопасность сайта SBERBANK.RU и других ресурсов, перейдя по ссылке - https://comodo.ssllabs.com/analyze.html?d=www.sberbank.ru