Vlákno názorů k článku Elektronický podpis zdražil. Tip, jak za něj neplatit od Martin Soušek - Cituji: "Klíč na kartě je tou nejbezpečnější variantou....

Cituji: "Klíč na kartě je tou nejbezpečnější variantou. Klíč se z karty nikdy nedostává do počítače a nemůže být proto odcizen. Veškeré podepisování a šifrování probíhá přímo na kartě, ve které je zabudován miniaturní šifrovací počítač. Ten je jen požádán o podepsání, to na kartě proběhne a vrátí se výsledek. Kartu není možné nijak zkopírovat"

Bohužel problém je v tom, že kartu můžu strčit do zavirovaného počítače a virus si ji požádá o podepsání čehokoliv ho napadne.

A zavirované počítače - to je dnes standard! Proto je ověřování pomocí SMS v mobilu bezpečnější. Pravděpodobnost zavirování mobilu i počítače najednou se (zatím) blíží nule. Samozřejmě si lze představit "chytrý mobil" jako je Android nebo iPhone, který po připojení do počítače chytne virus a bude zobrazovat falešné SMS.

ne, na kartě lze nastavit, že je při každém použití certifukátu nutno zadat PIN. Takže virus sice požádá o podepsání, ale já mu to musím potvrdit zadáním PINu.

Dokud ten PIN nezadávám na HW klávesnici přímo na kartě (ano, i takové existují), pak to je jen iluzue bezpečí...

I dialog se zadáním PINu je jen software a chytrý virus si s ním poradí. Nezapomeňte, že musíme počítat i s virem na míru, který nainstaluje šéfovi na počítač jeden ze zaměstnanců a podobně.

Co když malware data zmodifikuje těsně před odesláním do karty k podpisu? To nepomůže ani PIN-pad. Něco vidím na monitoru a něco jiné se podepíše a odešle. Například na jiné číslo účtu a nějaká "0" navíc.
Tohle by řešil jedině PIN-pad s displejem, který by zobrazil obsah toho co podepisuji, než to podepíši zadáním pin na PIN-padu. Tohle by umožnilo internetové bankovnictví i v internetové kavárně v Zambezi.