Názory k článku Bankovní bezpečnost: Rizika SMS

Tzv. nevýhody a nebezpečí SMS zpráv uvedené v článku jsou malicherné a autorovi dalo jistě velkou práci, aby vůbec nějaké na tomto jednoduchém systému našel.
ceny SMS - jsou běžně zahrnuty v ceně za operaci pomocí internetbankingu
není mobil - kolik procent či spíš promile lidí v ČR nemá (nechce mít) mobil a zároveň používá (chce používat) internetbanking?? Krom toho jdou SMS poslat i na pevnou linku.
není signál - v praxi naleznete ve světě daleko víc civilizovaných míst, kde není připojení k internetu, než těch, kde není signál žádného z mobilních operátorů (o ČR vůbec nemluvím). Krom toho pro platby ve světě existuje vynález "embosovaná platební karta". Ale autor asi naráží na možnost používat satelitní připojení k internetu v africkém pralese apod. a mizernou hustotu pokrytí místní mobilní sítě - to každý z nás jistě využije denně: s expedicí dojdu na severní pól a vzpomenu si, že jsem nezaplatil složenku za plyn, rozhodnu se použít internetbanking :-)
zdržení SMS - při internetbankingu jsem se v praxi setkal se "zdržením" 2 minuty. V aplikaci bývá časový limit pro vepsání kódu, takže když mi např. do 10 min nepřijde SMS, z hlediska bezpečnosti se nic neděje - operace se neprovedla a kód je po těch 10 minutách neplatný.
Článek je jen reklamou na placené formy zabezpečení internetbankingu a snaží se přesvědčit uživatele internetbankingu, aby si koupili něco, co vlastně nepotřebují.

Když jsem byl na několikaměsíční stáži v Kalifornii (a Silicon Valley rozhodně za prales v Africe nepovažuji), byl jsem rád, že Ebanka má autentizační kalkulátor, protože s mobilem jsem si tam ani neškrtl. Jednak mobil nepodporoval pásmo 1900Mhz, i kdybych měl správný mobil, tak pokrytí 1900Mhz bylo jen v práci. A i v práci kolegovi většinou chodily SMS na jeho mobil s několikahodinovým zpožděním.
A platit domácí účty jsem musel, že...
Kdyby ČS nabízela i jinou variantu, která se nemusí na použitém počítači instalovat (jako ovladače k čtečce čipových karet), tak neřeknu ani ň, ale takhle... :-(

No ja byl zase nekolik mesicu v Minnesote a signal (1900MHz) uplne v pohode.
Obydlene casti, okoli silnic bez problemu.
Jedine kde nebyl vubec zadnej signal bylo North Shore u Lake Superior, ale to je divocina :o)
a btw nekolikahodinove zpozdeni, paradoxne mi potvrzovaci SMS chodily rychleji nez v CR
v CR klasicky do 10sec, v MN 4-5sec

A co si takhle v USA koupit mobil a založit konto? Prý to jde bez problémů a poplatky za vedení účtu jsou minimální a za zrušení žádné :-) Jen dotaz na konec - tam kde nebyl signál mobilního operátora jste bez problému měl připojení k internetu?

GSM není v USA jediný systém mobilů, takže kde není signál toho správného operátora, tam klidně může být internet.
V mém případě jsem na půl roku v Japonsku a najedou z ničeho nic mě přišla zpráva od komerční banky, že si do 10 dnů mám aktivovat číslo mobilu. Měl jsem z toho ohromnou radost, protože nejbližší signál je odtud pár tisíc km. A zakládat si tady účet je scifi, vzhledem k tomu, že latinkou tu píší jen občas.

No jo, ale co když vycestujete na delší dobu kousek za humna? GSM není zdaleka rozšířen po celém světě, a na AS-41 si s GSM mobilem ani neškrtnete (a navíc ne každá AS-41 síť umí SMS). Dále si vemte seznam roamingových partnerů našich mobilních operátorů a porovnejte to s mapou světa. To je bílých mist, co? A zase - bez roamingového partnera je vám váš mobil na nic. A to ještě uvažte, že třeba Indie je rozdělená mezi asi stovku mobilních operátorů, a ač naši mobilní operátoři tvrdí, že mají roaming s Indií, většinou mají smlouvu jen s jedním z nich (který pokrývá Dillí a blízké okolí). Na to jsem narazil z vlastní zkušenosti, a takových špeků asi po světě bude... Prostě autorizace přes SMS opravdu může znemožnit použití účtu zrovna v okamžiku, kdy vám to způsobí největší průšvih.

Verte ze jsou i lide, kteri mobil nemaji a nechteji. Proto si take poridili internetove bankovnictvi, aby mohli ucet ovladat prostrednictvim prohlizece a pripojeni k Internetu. Kvuli par nesvepravnym lidem, kteri si udeali diru do pocitace (odhadl bych, ze nejakym priblblym P2P klientem si nasdileli cely disk vcetne souboru s certifikatem) se ted musi vetsina otravovat s mobilem.

ja zase (ale nejen u tohoto clanku), porad nechapu co je nebezpecne na pouziti certifikatu k autorizaci transakce...

podotykam za povazuji za nezbytne ulozeni certifikatu a passphrase oddelene (a mimo pocitac). a v neposledni rade to jiste vyzaduje duveryhodny pocitac - napriklad vetsina linuxu jde velmi snadno zabezpecit na tuto uroven, pripadne existuji i jine moznosti, pouzit windows XP jiste lze, ale jejich zabezpeceni mi prijde pomerne zdlouhave a slozite - a v praxi tedy rozhodne neni bezne dostupne.

v cem pak je to nebezpecne? vzdyt je to via SSL a jeste podepsane autorizovanym certifikatem?

Šifrovaný je jen hlasový kanál, ne signalizační. A SMS se posílají po signalizačním kanále, takže nijak šifrované nejsou.

Udivuje mne, jak autor clanku vychvaluje kalkulator. Kdyz banka muze cislo zkontrolovat, tak jej taky muze spocitat a tudiz muze zamestnanec banky vytvorit falesny prikaz.

Z tohoto pohledu je daleko bezpecnejsi cerifikat s asymetrickou sifrou. Pak uz zalezi jen na stupni ochrany privatniho klice.

A on ten kalkulátor nepoužívá asymetrickou šifru?

Me teda prijde mnohem nebezpecnejsi chovani vetsiny lidi, kteri nejsou moc zbehli v pouzivani pocitace a dokazou si pustit internetove bankovnictvi s klidem treba v internetove kavarne nebo na jinem "cizim" pocitaci, nedokazi si overit, s kym komunikuji,... Tady by osveta mela vetsi smysl. A ne vymysleni scenaru stylu, ze se utocnik muze ZAROVEN dozvedet moje cislo, heslo, nepozorovane se zmocnit spravne SIM karty nebo rovnou odposlouchavat GSM sit, doufat v nemennost hesla a v to, ze transakci nestornuji, atd.

Finta je prave v tom, ze pri pouziti napr. autorizacnich SMS mohu ebanking klidne pouzivat v intervetove kavarne nebo na cizim pocitaci. Coz je u reseni (jenom) s certifikatem opravdu bezpecnostni problem, ale tady ne.

A co třeba, kdyby dělali rovnou krabičku, která má z jedné strany RJ-45 connector na Ethernet, z druhé strany USB connector pro klávesnici a na sobě malý display?

CS timto nesmyslnym krokem vlastne zrusila internet banking. Sice nabizeji moznost overeni certifikatem, ale uz se moc nechlubi tim, ze to stoji navic 600 Kc a dale (zcela neuveritelnych) 320 Kc za vydani certifikatu rocne !

A jejich slavna SMS autorizace nejde zasilat ani na pevnou linku (presto ze na ni lze dorucit SMS).

Zabezpeční až tak moc nerozumím, ale co má spořitelna, je vždycky shit. Ta potřebuje ze svých konzervativních klientů tahat stále větší a větší peníze a jelikož pár nekonzervativních klientů bylo ochotno jít jinam, ubylo jim pár klientů a tak to musí vynahradit u toho zbytku. Je to asi jako se spotřebou vody - lidi, šetřete vodu, ušetříte své peníze. Když lidi začali šetřit a spotřeba vody byla menší, zdražila se, protože menší spotřeba = menší zisky. Nebo Telecom / telefonika 0 dvě: lidi odhlašují pevné linky, tak se musí stávajím zákazníkům zdražit, aby zisky neutrpěly.

Já jsem přešel od ČS k Živnostenské bance. Tam jsou u internetového bankovnictví 2 certifikáty. Jeden se dá do počítače, na kterém se dělá netbanka. Dá se kdykoliv smazat a nahrát zase do jiného kompu. A při provádění operace se tato stvrzuje druhým, tzv. podpisovým certifikátem, který je uložen na přenosném médiu. Oba certifikáty platí tuším jeden rok, dají se změnit či zneplatnit kdykoliv po čas platnosti a hlavně je to celé zdarma. Nevím ovšem, jak jsou napadnutelné, na www.stránkách Živnobanky se capí, jak je to bezpečné. Je fakt, že za těch pár let, co u ŽB jsem, se mi s účtem nic nepřihodilo.