Vlákno názorů k článku Co vám chybí v českém bankovnictví? od P2010 - V soucasne dobe poskytuje (asi) uz jen Fio...

Pravděpodobnost kompromitace dvou fyzických zařízení (počítač, mobil) je menší než u jednoho (jak by to bylo u e-mailu).

Kdo rika ze to musi byt jedno zarizeni. Dulezite je, ze pouzity komunikacni kanal funguje vsude na svete (Internet).

to by me fakt zajimalo kdo bude ty maily cist na jinem zarizeni nez na kterem brousi to bankovnictvi.

Jo, email jako druhý kanál je naprostá hovadina, ale P2010 tady píše hovadiny skoro pod každým článkem, si říkám, jestli je "blbej nebo navedenej".

Ano mobil a SMS je taková obezlička, ale poměrně chytrá a šikovná, má to prakticky každý a tak si klienti nemusí pořizovat žádný další token. Další bezpečné možnosti jsou už zmíněná "kalkulačka" nebo certifikát na čipové kartě, ideálně s vlastním PINpadem. Některé banky to poskytují, ale je to další krám, něco to stojí a čtečku je potřeba připojit k PC což u různých náhodných PC může být komplikace.

Kontrolni otazka, vite vubec jak funguje email ? Ne, to neni HTTP protokol. Mam pocit, ze vam ve vasi tezi "ale P2010 tady píše hovadiny skoro pod každým článkem" neco chybi, ale to uz se nekdy stava.

Vite take, jak banka dosahne toho, ze se pak "bezpecna" SMS objevi na displeji vaseho zbozneho mobilu ? Pokud na obe otazky mate kladnou odpoved, vite uz ze mam pravdu.

Nikdy jsem netvrdil, ze vlastni internetove bankovnictvi (provozovane pres web na https protokolu) je nebezpecne. Pouze tvrdim, ze ty "bozske" potvrzovaci SMS jsou stejne nezabezpecene a nespolehlive jako email. Proto neni zadny duvod vnucovat lidem pouze sms, email by poskytl naprosto stejnou sluzbu.

Ze si nekdo zaviruje pocitac a druhy potvrzovaci kanal emailem je tim kompromitovan (stejne jako v pripade pristupu k internetovemu bankovnictvi ze zavirovaneho mobilu) je jeho problem. Kvuli tomu snad neni treba tento kanal hned zatracovat.

Opet je usmevne cist pohadky o tom jak nekdo neobdrzel email. Email na vlastni domene mam uz deset let, za tu dobu nemam jediny pripad, kdy by se email ztratil ze zhruba sto tisic prijatych emailu. Nejde o garazovy hosting za 10 Kc mesicne.

SMS muzete obdrzet take az za nekolik dnu, ze to vetsinou spise funguje neni podstatne. Z principu je to stejne nespolehlive jako email, byt u obou kanalu je prakticky prokazano, ze zprava je dorucena typicky behem nekolika sekund. Nebavim se tu samozrejme o freemailu, tam je spolehlivost nulova z principu. Ostatne ten slouzi jen jako reklama na provozovatele (kterou jim zdarma plno lidi rado dela), jiny smysl nema.

Reseni pitomosti se sms samozrejme existuji, takze nakonec stejne zadny nesmyslny telefon pouzit nemusim. Jsou ovsem zbytecne krkolomna.

Samozrejme existuji jine potvrzovaci kanaly, ty ruzne "kalkulacky" a podobne. Ty jiz predstavuji odlisnou, vyssi uroven, zabezpeceni. Pokud nekomu staci nesifrovana sms, staci mu i email.

Dale existuji jeste primitivnejsi zpusoby zabezpeceni, ktere se hodi pro mensi pocet transakci. Napriklad predem vygenerovany seznam potvrzovacich kodu, ktere se postupne zadavaji. Chapu ze to opet "nejde", protoze by nebyl ve hre zcela zbytecny mobilni operator se svymi 2g sluzbami z vyprodeje :-)

To že e-mail je stejně spolehlivý, rychlý a bezpečný je prostě blbost, zjevně o těch technologiích víš naprosto kulové.

Pokud je někomu napaden počítač je právě ta situace o kterou tu jde, v případě napadení PC má útočník přístup i k mailu, k SMSkám ale ne.

Je mi jasné, že krmím trolla nebo spíš trotla, ale když někde vidím bláboly presistentního blba, tak si prostě nemůžu pomoct.

Kontrolni otazka, jak tedy podle vas funguje email ?

MUA odesilatele odešle mail na SMTP server svého poskytovatele. Ten na základě MX záznamů najde SMTP server příjemce a pokusí se mu ho předat. Ten si podle nastavení projede blacklisty, zkontroluje SPF a DKIM, aplikuje různé antispam filtry, případně aplikuje graylisting a podle toho ho možná přijme, možná přijme a hodí do spamu, možná přijme a úplně zahodí a možná odmítne s dočasnou nebo permanentní chybou. MUA příjemce se pak připojí na mail server a zprávu stáhne.

Při tom všechen software v řetězci může být od různých výrobců naprosto nedefinované kvality často bez jakýchkoliv testů kvality a interoperability bežící na server nedefinovaných parametrů a kvality. A to vše jed přes veřejný internet kde jednotlivé části trasy mohou být ve správě mnoha různých provozovatelů opět s neznámým přístupem k dostupnosti a kvalitě služeb. Navíc na tomto veřejném internetu může kdokoliv z různých důvodů kterýkoliv prvků trasy přetížit nebo vyřadit z provozu.

To je prostě s prostředím mobilní sítě prostě naprosto nesrovnatelné.

Druhy odstavec plati presne i pro telekomunikacni technologie.

S posledni vetou souhlasim, je to nesrovnatelne. V prostredi internetu se totiz protokoly (presneji receno RFC doporuceni) dodrzuji. Jinak by se nikdo mezi sebou nedohodl. Pokud mate predstavu ze totez plati ve svete telekomunikaci, tak Vam mohu rici, ze v zadnem pripade :-) Ostatne jsou zeme, kde lze (slo) zasilat SMS pouze v ramci daneho operatora, ale ne jinam.

Timto tedy moje debata konci, protoze je jasne, ze sms nemohou byt technicky spolehlivejsi nez email. Neni pro to jediny duvod. Ostatne jak uvadim jinde, ani po sto tisicich emailech nemam zpravu o zadnem, ktery se ztratil.

Jasně, internetový mail, kde se používá nesourodý software, polovina z toho je opensource bastl bez jakékoliv garance, dodržení RFC je na libovůli autora software je úplně stejně spolehlivé prostředí jako centrálně spravovaná mobilní síť s technologiemi od firem jako Nokia Siemens Networks, Kapsch (Nortel), Huawei, Ericsson s garancemi a SLAčky. Nech se vyšetřit.

Ano, velke firmy, sla, garance, iso certifikaty. Vsechny tyhle pohadky konci v okamziku, kdy chcete takova "garantovana" zarizeni mezi sebou propojit a ono to nefunguje. Pak nasleduje prestrelka kdo z koho a hleda se nekdo, kdo opravdu rozumi tomu, co se presne mezi temi zarizenimi deje.

O tom se uz ale v managerskych priruckach nepise.

Vyhoda SMS je v tom, ze to dostanu do jineho zarizeni. Nemusim tedy napriklad z IB preskakovat do mailu a zpatky. Muzu jednoduse zkontrolovat, ze udaje v mobilu a v IB se opravdu shoduji.
A mobil mi nikdo infikovat nemuze, neb mam starou dobrou hloupou Nokii a jsem s ni spokojen.
A mobil ma v dnesni dobe skoro kazdej. Pokud ne a nebo pokud mu to nevyhovuje, muze si zvolit jiny zpusob potvrzovani, nebo treba behat se slozenkama na postu.

No to je opravdu vyhoda.

Ve srovnani se "slozitym" postupem s prepnutim do jine aplikace pomoci Alt+Tab, Ctrl+C, Alt+Tab, Ctrl+V a mam potvrzovaci kod vyplneny je nutnost opisovani kodu z jineho pristroje velke usnadneni, chapu.

Jeste jste zapomnel na nutnost se do toho mailu prihlasit.

Ale delejte si to podle sveho, klidne se pokousejte banku presvedcit, aby to nabidla, treba se Vam to povede. Ale to rozhodne nezmenite tady na foru, spis byste se mel ozvat primo bance.

Prihlaseni za mne resi emailovy klient, ten samozrejme bezi porad.

To uz jsem zkousel v momente, kdy se pred lety tato doposud volitelna blbost s SMS stala najednou povinnou. Timto mi prakticky znemoznili pouziti internetoveho bankovnictvi. Ve smlouve k internetovemu bankovnictvi bylo, ze je pro provoz potreba pocitac s internetovym pripojenim a parametry (verze) prohlizecu. O nejakych pitomych SMS ani slovo. Se stiznosti jsem nakonec jak jinak neuspel a protoze tuto debilitu nakonec zavedla vetsina bank (krome Fio, ale ta tehdy jeste nebyla bankou), vytvoril jsem si vlastni technicke reseni, kterym jsem se nutnosti mit nejaky nesmyslny telefon a z neho cosi opisovat zbavil a k provozu staci nadale jen pocitac. Proc to delat jednoduse ... :-/

Něco vám řeknu: Mně osobně potvrzovací SMS naprosto vyhovují. Svého času jsem měl jeden z účtů u banky, kde byla zapotřebí tzv. potvrzovací kalkulačka. K nepoužití, i když uznávám, že jsem měl možná smůlu na kusy, neb první dvě nefungovaly a třetí, kterou jsem obdržel, jsem už nikdy nepoužil, protože záhy jsem se s touto bankou rozloučil.
Potvrzovací SMS používám velmi často. Dosud se mi nestalo, že by mi někdo ukradl z účtu byť jen desetník. Mobil mám k dispozici neustále, takže, protože nejsem schízák, nevidím jediný důvod, proč bych měl chtít potvrzování transkací v INTB prostřednictvím mailu. Považuji to za nesmyslné a zbytečné. Osobně jsem rád, že žádný z mých účtů nemá u INTB takovou obezličku.
Jo, pane, znáte ještě někoho, krom sebe, kdo by upřednostňoval potvrzování transakci v INTB mailem před SMS? Já se tedy přiznám, že mám celkem dost známých a ještě jsem nenarazil na nikoho, kdo by něco takového chtěl. Pro mě jste celkem exot a docela rád bych vás viděl v reálu.

Podle ankety na Lupe je nas 'exotu' zhruba 1% - "Ne, jelikož nemám žádný mobilní telefon"
http://www.lupa.cz/clanky/obejdeme-se-jeste-bez-antiviru-v-mobilu-ci-tabletu-malware-utoci-hlavne-na-android/

Stejne tak nevim kolik 'exotu' pouziva u Fio banky podpisovou aplikaci, ale vzhledem k tomu ze ji stale provozuji a aktualizuji to asi nebude zanedbatelne procento. Pro mne to byla pri rozhodovani ta nejdulezitejsi vec.

To je sice pravda, ale ne kazdy je takto nezodpovedny.

Možná je důvodem fakt, že mail nemá zaručeno doručení. SMS ano.

No, to fakt nema. Ale je pravda ze moznosti kde muze mail po ceste beze stopy a duvodu zmizet nebo se zdrzet je podstatne vic.

SMS má zaručeno doručení? Muhehe...

No rozhodně více než e-mail.

To je opravdu naivni predstava :-)

Ano, doručení je zaručeno, přijímající terminál doručení potvrzuje a pokud nepotvrdí nebo není dostupný, SMS centrum pokusy o doručení opakuje po dobu platnosti zprávy, což, pokud se něco nezměnilo, jsou v našich sítích tři dny. A pokud se zprávu doručit nepodaří třeba pro nedostupnost trvající déle než 3 dny a odesílající terminál je správně nastaven, tak se o nemožnosti zprávu doručit dozví.

Zejména dnes v době protispamových opatření jako různě debilně nastavené filtry, blacklisty a graylisting je doručení emailu věc poměrně nejistá

To jak jiste je doruceni emailu nechte laskave na prijemci. Je to stejne "spolehlive" jak SMS.

Z principu SMTP protokol předpokládá, že existuje nějaký server, který se vyslaného mailu "ujme". Pokud je v poruše, nebo prostě má problém, odesílatel se nedozví kde zůstal viset.

SMS je odesíláno přímo do centra operátora a ten je přeposílá příjemci. Samozřejmě, může je i blokovat, ale činí vždy dohledatelný subjekt.

SMS se posila do centra operatora ODESILATELE, to ji posila do centra PRIJEMCE (pricemz tato cesta nemusi byt uplne prima) a to ji teprve posila prijemci. Zvlaste na te ceste mezi centry se muze stat lecos.

Jen pro upřesnění. Bavíme se o potvrzovací SMS banky. Banka má přímý kanál k operátorovi, typicky ke všem, Takže cesta je opravdu operátor->příjemce. Samozřejmě může dojít k tomu, že zpráva bude přeposlána přes jiného operátory, nicméně opakuji, jde o identfikovatelné body. Lze dohledat body, kudy zpráva prošla, U mailu to tak není.

"U mailu to tak není."

Videl jste nekdy jak vypada cela emailova zprava ve zdrojovem tvaru ?

Ano, o tom jak vypadá mail vevnitř představu mám :-) Principiálně mi šlo o to, že u SMTP protokolu nelze ovlivnit kudy mail půjde, že bude doopravdy doručen. Předpokládá se, že bude existovat nějaká server, který se mailu "ujme".

Byl jsem v týmu, který připravoval chod nové zahraniční banky v ČR. Znám poměrně dobře technické spedifikace. Ale nechci nikoho poučovat :-) Jen jsem chtěl vysvětlit důvod, proč mail jako identifkace nepoužívá. A taky je to důvod, proč se musely zavést DS místo mailu.