Česká spořitelna zavádí pro své internetové bankovnictví povinné autorizační SMS. Přitom ještě vyšší míru zabezpečení – autentizační kalkulátor – přestala ke konci roku 2005 poskytovat. Jen kdo už ho má z dřívějška, může ho používat nadále a autorizační SMS používat nemusí (ač mu to aplikace dost neodbytně neustále nabízí).
Myslím, že by uživatel měl mít možnost zvolit stupeň zabezpečení. Kdo např. na účtu nikdy nemá více než jednotky tisíc korun a používá dobře zabezpečený počítač, tomu dřívější varianta „klientské číslo a heslo“ mohla pro svou snadnost a rychlost vyhovovat i přes vědomí malého rizika. Podle tiskové zprávy České spořitelny z 28. srpna 2006 bude od 1. října 2006 pro klienty, kteří nepoužívají vyšší zabezpečení (klientský certifikát na čipové kartě a autentizační kalkulátor), povinná autorizace všech plateb autorizační SMS, bez ohledu na jejich výši.
Na zatím nejvyšším konci zabezpečení stojí použití autentizačního kalkulátoru, ovšem za cenu nejnižšího komfortu. Jeho použití připomíná trochu odpálení jaderné rakety – po vyplnění webového formuláře musíte vyplnit hlavní údaje platby, tj. částku, předčíslí a číslo účtu a kód banky. Z těchto údajů, aktuálního času a svého unikátního kódu kalkulátor vypočte číselný kód, který zobrazí na svém displeji a vy ho ručně přepíšete do webového formuláře. V bance se pak porovná algoritmem, který ví, jaký kalkulátor (s jakým kódem) vám byl přidělen.
Proces zadávání dat do kalkulátoru byl před lety usnadněn Java apletem, který v malém okénku na obrazovce počítače střídal černobílé obrazce, které se daly snímat autentizačním kalkulátorem (má na to optická čidla). Ten je pak převáděl na zadávaná čísla (částka, účet atd.), předepisoval na svém displeji a uživatel je jen kontroloval a potvrzoval. Nyní nezbývá než vše zadávat z klávesnice kalkulátoru. Pokud však ta čísla neopisujete z obrazovky, ale z podkladů, kde máte specifikaci chystané platby, je to dokonalá ochrana proti překlepu.
Použití autorizačních SMS má několik nevýhod a není bez nebezpečí:
- Ač jsou „zdarma“, banka za ně určitě něco operátorům zaplatí. Narozdíl od kalkulátoru, který je jednorázovou investicí (i když vysokou), zvyšuje to náklady na každou transakci. Banka je jistě neopomene nějak nepřímo přenést na své zákazníky.
- Uživatel vůbec musí mít mobil. Jsou tací, co ho nemají, ba dokonce nechtějí.
- Uživatel musí mít v okamžiku transakce „SMS konektivitu“. Je určitě spousta míst, kde uživatel může mít „IP konektivitu“, aby mohl používat internetové bankovnictví, ale nefunguje jeho mobil. Na povrchu Země to bude asi většina plochy, a i v Česku taková místa budou. To jsou ale okrajové případy. Může jít i o jiné situace, kdy z nejrůznějších příčin mobil nemám nebo nefunguje.
- Nepraktické může být i zdržení takové SMS (byť jsou jistě prioritní).
Nižší stupeň zabezpečení pomocí autorizačních SMS tkví v použití prostředku, který nebyl navržen pro tak vysokou bezpečnost, jaká se očekává u bankovních transakcí. Předpokládejme, že útočník ovládl počítač uživatele, jako tomu bylo v nedávných kauzách. SMS jde různými způsoby odesílat podvržené. To je ale v daném případě útočníkovi k ničemu. Musí naopak přimět banku k vygenerování pravé autorizační SMS a tu pak nějak odchytit a použít. Myslitelných je několik scénářů:
- Útočníkův program způsobí neodeslání uživatelovy žádosti do banky, ale odešle vlastní žádost s jinou částkou a účtem. Banka vygeneruje SMS a pošle uživateli. Ten by měl zkontrolovat, zda údaje v SMS popisují přesně jeho platbu, ale neudělá to, a jen mechanicky opíše obdržený kód do formuláře. Je možné, že některé jiné banky dokonce posílají SMS bez opisu dat transakce, pak ani kontrola není možná. Útočníkův program sejme zadaný kód z formuláře a použije k dokončení své transakce na pozadí. Pak se pokusí navodit zdání běžné chyby a dokončit původní uživatelovu transakci (s novou SMS).
- Útočník se na dobu transakce fyzicky zmocní mobilu uživatele. Pokud je zapnutý, ani nepotřebuje znát PIN (telefonu a SIM karty, pokud jsou vůbec nastaveny).
- Útočník se na čas fyzicky zmocní SIM karty z mobilu uživatele a naklonuje ji. U starších SIM karet to bylo snadné, vždy ale (snad) k tomu bylo zapotřebí znát PIN klonované karty. V době, kdy uživatelův mobil je vypnut, útočník provede transakci a autorizační SMS příjme se svou klonovanou SIM. Uživatel tak není zneklidněn nevyžádanou autorizační SMS.
- Útočník skutečně „odposlechne“ příchozí SMS. Jde odposlechnout dokonce GSM hovory, odposlechnout SMS bude snazší. Navíc SMS z banky k uživateli prochází řadou různých systémů. V tomto případě by však uživatel SMS nakonec dostal a mohl by se snažit falešnou transakci zablokovat. Pokud by ovšem pochopil, oč běží, a stihl to v potřebném čase.
Tyto útoky by výrazně zkomplikovalo použití šifrovaných (tzv. „bankovních“) SMS do SIM Toolkitové aplikace. Nevýhodou je nutnost upgrade SIM karty za speciální vydanou ve spolupráci banky a operátora a doplněnou o příslušnou aplikaci, nutnost mít dostatečně nový telefon a nutnost zadávat při práci další PIN (BPIN). Výhodou je výrazně vyšší bezpečnost, klonování takových karty není běžné. Některé banky tyto bezpečnější SMS používají.
I autorizační kalkulátory mají své nevýhody. Hlavní je případ, kdy ho zrovna nemáte u sebe. Ale může být nepoužitelný i z prostšího důvodu. Ač má být životnost baterie 7 let a má být předem signalizováno „Vybité bat.“, praktická životnost může být i poloviční a konec může přijít bez varování. A pozor – dle příručky Výměna baterií nebo reinicializace Autentizačního kalkulátoru Digipass 700 může trvat až 30 dní,
a také to bez několika dnů tak dlouho trvalo. Během této doby je účet totálně zabezpečen nejen před útočníky, ale i před svým majitelem. I když před útočníky ne během přepravy od firmy vyměňující baterie na adresu pobočky doporučenou zásilkou, spolu s papírkem s počátečním PINem.
Autor je programátor.
