Názory k článku Bankovní bezpečnost: Rizika SMS
Článek je starý, nové názory již nelze přidávat.
-
SMS (neregistrovaný)Tzv. nevýhody a nebezpečí SMS zpráv uvedené v článku jsou malicherné a autorovi dalo jistě velkou práci, aby vůbec nějaké na tomto jednoduchém systému našel.
ceny SMS - jsou běžně zahrnuty v ceně za operaci pomocí internetbankingu
není mobil - kolik procent či spíš promile lidí v ČR nemá (nechce mít) mobil a zároveň používá (chce používat) internetbanking?? Krom toho jdou SMS poslat i na pevnou linku.
není signál - v praxi naleznete ve světě daleko víc civilizovaných míst, kde není připojení k internetu, než těch, kde není signál žádného z mobilních operátorů (o ČR vůbec nemluvím). Krom toho pro platby ve světě existuje vynález "embosovaná platební karta". Ale autor asi naráží na možnost používat satelitní připojení k internetu v africkém pralese apod. a mizernou hustotu pokrytí místní mobilní sítě - to každý z nás jistě využije denně: s expedicí dojdu na severní pól a vzpomenu si, že jsem nezaplatil složenku za plyn, rozhodnu se použít internetbanking :-)
zdržení SMS - při internetbankingu jsem se v praxi setkal se "zdržením" 2 minuty. V aplikaci bývá časový limit pro vepsání kódu, takže když mi např. do 10 min nepřijde SMS, z hlediska bezpečnosti se nic neděje - operace se neprovedla a kód je po těch 10 minutách neplatný.
Článek je jen reklamou na placené formy zabezpečení internetbankingu a snaží se přesvědčit uživatele internetbankingu, aby si koupili něco, co vlastně nepotřebují. -
Pavel F. (neregistrovaný)Když jsem byl na několikaměsíční stáži v Kalifornii (a Silicon Valley rozhodně za prales v Africe nepovažuji), byl jsem rád, že Ebanka má autentizační kalkulátor, protože s mobilem jsem si tam ani neškrtl. Jednak mobil nepodporoval pásmo 1900Mhz, i kdybych měl správný mobil, tak pokrytí 1900Mhz bylo jen v práci. A i v práci kolegovi většinou chodily SMS na jeho mobil s několikahodinovým zpožděním.
A platit domácí účty jsem musel, že...
Kdyby ČS nabízela i jinou variantu, která se nemusí na použitém počítači instalovat (jako ovladače k čtečce čipových karet), tak neřeknu ani ň, ale takhle... :-( -
krtonozka (neregistrovaný)No ja byl zase nekolik mesicu v Minnesote a signal (1900MHz) uplne v pohode.
Obydlene casti, okoli silnic bez problemu.
Jedine kde nebyl vubec zadnej signal bylo North Shore u Lake Superior, ale to je divocina :o)
a btw nekolikahodinove zpozdeni, paradoxne mi potvrzovaci SMS chodily rychleji nez v CR
v CR klasicky do 10sec, v MN 4-5sec -
Jimmy (neregistrovaný)GSM není v USA jediný systém mobilů, takže kde není signál toho správného operátora, tam klidně může být internet.
V mém případě jsem na půl roku v Japonsku a najedou z ničeho nic mě přišla zpráva od komerční banky, že si do 10 dnů mám aktivovat číslo mobilu. Měl jsem z toho ohromnou radost, protože nejbližší signál je odtud pár tisíc km. A zakládat si tady účet je scifi, vzhledem k tomu, že latinkou tu píší jen občas. -
Pavel (neregistrovaný)No jo, ale co když vycestujete na delší dobu kousek za humna? GSM není zdaleka rozšířen po celém světě, a na AS-41 si s GSM mobilem ani neškrtnete (a navíc ne každá AS-41 síť umí SMS). Dále si vemte seznam roamingových partnerů našich mobilních operátorů a porovnejte to s mapou světa. To je bílých mist, co? A zase - bez roamingového partnera je vám váš mobil na nic. A to ještě uvažte, že třeba Indie je rozdělená mezi asi stovku mobilních operátorů, a ač naši mobilní operátoři tvrdí, že mají roaming s Indií, většinou mají smlouvu jen s jedním z nich (který pokrývá Dillí a blízké okolí). Na to jsem narazil z vlastní zkušenosti, a takových špeků asi po světě bude... Prostě autorizace přes SMS opravdu může znemožnit použití účtu zrovna v okamžiku, kdy vám to způsobí největší průšvih.
-
Až na poslední odstavec s Vámi souhlasím.
Zavedení autorizačních SMS samozřejmě vítám, zásadně zvýší stávající zabezpečení a drtivá většina uživatelů s tím nebude mít problém.
Chtěl jsem jen poukázat na to, že ani autorizační SMS nejsou bez rizika a některým uživatelům mohou přinést problémy.
Také jsem se chtěl zastat autentizačních kalkulátorů, které byly de facto zrušeny.
Nejlepší by bylo, kdyby si uživatel mohl podle uložené částky a požadavků na dostupnost a snadnost použití vybrat vhodné zabezpečení. -
Obyvatel (neregistrovaný)Verte ze jsou i lide, kteri mobil nemaji a nechteji. Proto si take poridili internetove bankovnictvi, aby mohli ucet ovladat prostrednictvim prohlizece a pripojeni k Internetu. Kvuli par nesvepravnym lidem, kteri si udeali diru do pocitace (odhadl bych, ze nejakym priblblym P2P klientem si nasdileli cely disk vcetne souboru s certifikatem) se ted musi vetsina otravovat s mobilem.
-
pj (neregistrovaný)ja zase (ale nejen u tohoto clanku), porad nechapu co je nebezpecne na pouziti certifikatu k autorizaci transakce...
podotykam za povazuji za nezbytne ulozeni certifikatu a passphrase oddelene (a mimo pocitac). a v neposledni rade to jiste vyzaduje duveryhodny pocitac - napriklad vetsina linuxu jde velmi snadno zabezpecit na tuto uroven, pripadne existuji i jine moznosti, pouzit windows XP jiste lze, ale jejich zabezpeceni mi prijde pomerne zdlouhave a slozite - a v praxi tedy rozhodne neni bezne dostupne.
v cem pak je to nebezpecne? vzdyt je to via SSL a jeste podepsane autorizovanym certifikatem? -
No odebíral jsem nějaký čas časopis PC Worl security, takže vím že komunikace telefonu mezi nejbližší buňkou probíhá sice šifrovaně, ale pokud někdo má dost peněz na nákup zařízení, kterým lze šifrování prolomit, tak proč ne. A nebo pokud by se mu povedlo třeba přes bluetoth nebo irda nainstalovat nějaký spyware, tak by to pro něj nebyl problém.
-
V.Mlich (neregistrovaný)Udivuje mne, jak autor clanku vychvaluje kalkulator. Kdyz banka muze cislo zkontrolovat, tak jej taky muze spocitat a tudiz muze zamestnanec banky vytvorit falesny prikaz.
Z tohoto pohledu je daleko bezpecnejsi cerifikat s asymetrickou sifrou. Pak uz zalezi jen na stupni ochrany privatniho klice. -
Karel (neregistrovaný)Me teda prijde mnohem nebezpecnejsi chovani vetsiny lidi, kteri nejsou moc zbehli v pouzivani pocitace a dokazou si pustit internetove bankovnictvi s klidem treba v internetove kavarne nebo na jinem "cizim" pocitaci, nedokazi si overit, s kym komunikuji,... Tady by osveta mela vetsi smysl. A ne vymysleni scenaru stylu, ze se utocnik muze ZAROVEN dozvedet moje cislo, heslo, nepozorovane se zmocnit spravne SIM karty nebo rovnou odposlouchavat GSM sit, doufat v nemennost hesla a v to, ze transakci nestornuji, atd.
-
anonymnínapada me mnohem lepsi "finta"
proc jeste banky neprisli s vlastnim live OS na CD. pro pripad prave cestovani a pod. je to celkem pouzitelne. takove ty knoppixy apod. nabootuji dnes prakticky na jakemkoli pocitaci, pokuj je rozumne nakonfigurovana sit (dhcp) tak jste okamzite na netu.
pri vhodnych bezpecnostnich upravach by to rozhodne mohlo byt to prave...
PJ -
Nevim jake obstarozni HW pomucky pouziva autor clanku a Ceska sporitelna, pac mne jejich nabidka naprosto nezajima, ale empiricka vydrz baterky v kalkulatoru eBanky je +-4 roky s tim, ze baterii jsme schopni s elementarni sikovnosti a odpovidajicim nastrojem (krizovy stroubovak) vymenit behem 2 minut sami...
-
anonymníMám účet u dvou bank, obě používají 3DES šifrované SMS přes STK aplikaci. Implementoval jsem GSM-B do jedné větší banky a 3DES zprávy byly naprostá samozřejmost. Nedokážu si představit, že tak citlivé informace, jako přihlašovací či potvrzovací kódy k účtu nějaká banka posílá "volně" éterem servisním kanálem GSM sítí. Pravda, pro jednu banku jsme něco podobného dělali a tam to chodilo bez šifrování, ale v šlo o informační SMS, v žádném případě to nebyly přístupové kódy.
Opravdu jsou v článku zmiňované SMS u ČS nešifrované? Nebo u jiné banky? -
anonymníAutor se zabyva autorizacnimi SMS a kalkulatorem a asi nevi, ze drahnou dobu CS nabizi jako vyssi zabezpeceni certifikat na cipove karte. Pro kritiky toho, ze se musi instalovat ovladace apod. podotykam, ze jeden ze zakladnich principu on line bankovnictvi zni : neprovadet transakce na neznamem pocitaci. Predpokladam, ze tak kde mam nainstalovane ovladace je pro me znamy pocitac, alespon elementarne zabezpeceny.
-
O zabazpečení klientským certifikátem na čipové kartě vím. Vítám ho jako další ze škály zabezpečení.
Hlavní výhodou oproti kalkulátoru nejspíš je nižší pořizovací cena a snadnější použití. A pak také "nepopiratelnost". I když je otázkou, zda to není spíše výhoda pro banku než uživatele.
Nevýhodou je horší přenositelnost. Hlavní nevýhodou (i proti SMS) je, že zde schází příslovečný "metr vzduchu" - tedy fyzické oddělení od počítače. Podmínkou pak je, jak píšte, zabezpečený počítač. V případě napadaného počítače totiž uživatel nemůže ověřit zda jeho pravá karta, certifikát i PIN neslouží k autorizaci podvržené transakce namísto jím zahájené. K tomu by karta musela mít přinejmenším displej, ale to by už nebyla za 320 Kč.
Ale i s tímto teoretickým rizikem je klientský certifikát na čipové kartě dobré zabezpečení. -
Obyvatel (neregistrovaný)CS timto nesmyslnym krokem vlastne zrusila internet banking. Sice nabizeji moznost overeni certifikatem, ale uz se moc nechlubi tim, ze to stoji navic 600 Kc a dale (zcela neuveritelnych) 320 Kc za vydani certifikatu rocne !
A jejich slavna SMS autorizace nejde zasilat ani na pevnou linku (presto ze na ni lze dorucit SMS). -
Ověřil jsem to na servis24@csas.cz a bohužel máte pravdu:
Pokud chcete používat vyšší zabezpečení klientským certifikátem, je nutné na pobočce České spořitelny nutné sepsat smlouvu o poskytnutí vyššího zabezpečení. Při podpisu smlouvy obdržíte balíček v ceně 990 Kč, který obsahuje čtečku čipových karet, čipovou kartu, instalační CD. V rámci této ceny je i poplatek za certifikát, který je platný 1 rok. Po roce je nutné certifikát obnovit přes službu SERVIS 24 Internetbanking Správce certifikátu/ Obnova Změna certifikátu. Tato obnova je zpoplatněna ve výši 320 Kč, které jsou automaticky odečteny z účtu.
To byl autentizační kalkulátor s jednorázovou pořizovací cenou původně cca 2000, ale později cca 1000 Kč výhodnější. -
trochu reality (neregistrovaný)Zabezpeční až tak moc nerozumím, ale co má spořitelna, je vždycky shit. Ta potřebuje ze svých konzervativních klientů tahat stále větší a větší peníze a jelikož pár nekonzervativních klientů bylo ochotno jít jinam, ubylo jim pár klientů a tak to musí vynahradit u toho zbytku. Je to asi jako se spotřebou vody - lidi, šetřete vodu, ušetříte své peníze. Když lidi začali šetřit a spotřeba vody byla menší, zdražila se, protože menší spotřeba = menší zisky. Nebo Telecom / telefonika 0 dvě: lidi odhlašují pevné linky, tak se musí stávajím zákazníkům zdražit, aby zisky neutrpěly.
Já jsem přešel od ČS k Živnostenské bance. Tam jsou u internetového bankovnictví 2 certifikáty. Jeden se dá do počítače, na kterém se dělá netbanka. Dá se kdykoliv smazat a nahrát zase do jiného kompu. A při provádění operace se tato stvrzuje druhým, tzv. podpisovým certifikátem, který je uložen na přenosném médiu. Oba certifikáty platí tuším jeden rok, dají se změnit či zneplatnit kdykoliv po čas platnosti a hlavně je to celé zdarma. Nevím ovšem, jak jsou napadnutelné, na www.stránkách Živnobanky se capí, jak je to bezpečné. Je fakt, že za těch pár let, co u ŽB jsem, se mi s účtem nic nepřihodilo. -
Jak ukázala nedávná kauza, je dalším rizikem autorizačních SMS, možnost změny telefonního čísla pro jejich zasílání, přímo ve webové aplikaci. Je to sice podmíněno zadáním bezpečnostního kódu, ale i ten lze získat od důvěřivců phishingem (viz http://www.mesec.cz/clanky/klienti-ceske-sporitelny-v-ohrozeni/).
Vloni dokonce příslušný kód chybou nechtě vyzrazovala samotná aplikace (viz http://www.mesec.cz/clanky/chyba-v-internetovem-bankovnictvi-cs/).
Autentizační kalkulátor tento problém nemá. Zde nanejvýš hrozí (stajně jako u autorizačních SMS a jiných způsobů zabezpečení), že půjde z webu zvýšit limit pro vyžadování autorizace. Věřme však, že to nejde, resp. že to jde jen při návštěvě pobočky.
-
- Poradce firemní klientely pro SME v Ostravě
- Bankéř pro movitou klientelu (m/ž), Kopřivnice
- Mistr vizualizace CRM dat
- Bankéř pro movitou klientelu (m/ž), Frýdek - Místek
- Bankéř pro občany (m/ž), Frýdek - Místek
- Asistent/ka finančního ředitele
-
- MS Teams pro administrátory 1: základy vytváření a správy týmů
- iCloud a bezpečnost na Macu
- Sebevědomá a asertivní komunikace
- Manažerské tipy pro každý den
- Home office a vedení týmu na dálku: praktické tipy pro manažery
- Jak se soustředit ve světě vyrušení
-
- Poradce firemní klientely pro SME v Ostravě
- Bankéř pro občany s obsluhou pokladny (m/ž), Nový Jičín
- Bankéř pro movitou klientelu (m/ž), Kopřivnice
- Mistr vizualizace CRM dat
- Bankéř pro občany (m/ž), Frýdek - Místek
- Asistent/ka finančního ředitele
-
- iCloud a bezpečnost na Macu
- Manažerské tipy pro každý den
- Obsahová strategie V: 10 detailů funkční strategie
- Kritické myšlení 8 - Racionální komunikace a argumentace
- Home office a vedení týmu na dálku: praktické tipy pro manažery
- Jak se soustředit ve světě vyrušení
