Vlákno názorů k článku Dvě banky končí s SMS, klienti musí přejít na autorizační aplikace. Ale přesto budou výjimky od KW - Vývojář aplikací pro Android a iOS podal následující...

Vývojář aplikací pro Android a iOS podal následující doporučení:

Používat autorizační SMS na hloupém mobilu a současně na SIM zablokovat roaming. V české síti nelze vnitrostátním roamingem přesměrovat SMS. A zablokování roamingu u operátora neumožňovalo přesměrování SMS. Podmínkou je mít takový telefon trvale zapnutý, aby se zamezilo použití klonované SIM.

Pro platby, když jste fyzicky v zahraničí, používat platební karty. Ne proto, že by byly bezpečnější, ale proto, že jsou pojištěné a banka umí neoprávněnou platbu vrátit.

Důvod:
veškerý kód, který se dostane do paměti mobilu v systému Android, lze přečíst jinou aplikací a je technicky nemožné tomu zabránit. Je to z důvodu, že zabezpečení Androidu je hardwarově nedostatečné a dobří programátoři jej umějí obejít.
V případě iOS je situace složitější, nicméně ani iOS není bez chyb a ve světě existuje pár skupin excelentních programátorů, které umí zabezpečení iOS prolomit. Ale pokud nejste prezident korporace, nebo vývojář hypersonických zbraní, tak vám iPhone nejspíše nenapadnou, protože náklady na napadení jsou příliš vysoké k poměru k zisku.
A do nákladů se počítá jak vytvoření aplikace, která telefon napadne, tak i hledání nových bezpečnostních děr, protože s každým dalším napadeným telefonem roste pravděpodobnost odhalení toho, že byla využita nějaká neošetřená bezpečnostní slabina, případně, že existují zadní vrátka (ve skutečnosti více zadních vrátek), které využívá přímo sama společnost Apple.

Pokud nevěříte, tak si spočítejte, kolik existuje antivirů pro iOS. Já zatím vždycky spočítal nulu.

Asi nejbezpečnější autorizace vzdáleného přístupu do banky je přes HW token s úrovni zabezpečení vysoká. Možností je více, jednou z nich je například eObčanka a čtečka s hw klávesnici (tu vyrábí např. fy. Gemalto).

veškerý kód, který se dostane do paměti mobilu v systému Android, lze přečíst jinou aplikací a je technicky nemožné tomu zabránit.
O tomhle silně pochybuji, že by tohle platilo obecně u aktualizované verze Androidu na nějakém normálním zařízení (např. telefon od renomovaného výrobce).

Navíc ty podepisovací aplikace používají k podepisování požadavku klíč uložené v bezpečné části paměti, kam se nedostane ani aplikace ani OS. Tam jenom přijde požadavek na podpis dat a jejich podpis zajistí HW. K napadení autorizační aplikace by tedy nestačilo umět číst její paměť, ale bylo by potřeba umět jí podstrčit data k podpisu, tedy do té paměti i zapisovat.

Pořád může SMS uniknout od operátora nebo z mobilní sítě - problém je v tom, že prostě chodí nezabezpečené a jsou tak designované. Všechny tyhle věci jsou jen rovnáky na velký ohýbák.

Abych si přečetl kód aplikace, na to nepotřebuju složitě hackovat Android, stačí si stáhnout APK balíček. A je mi to stejně celkem k ničemu.

Reálně jsou prostě úspěšné útoky na potvrzení mobilní aplikací naprosto výjimečné a to je to podstatné.

U těch HW tokenů je problém, že typicky nevidíte, co podepisujete (podobný problém, jako např. s Google Authenticatorem, co jsem rozebíral nahoře). Aby byla tahle metoda bezpečnější, než podpis mobilem, tak by musela mít displej, který by zobrazoval podepisovaný payload a AFAIK takovouhle integraci zatím nikdo nemá.