Vlákno názorů k článku mBank podcenila zabezpečení internetového bankovnictví od P2010 - Tady to vidite, ze je to jen zbytecny...

Tady to vidite, ze je to jen zbytecny opruz a zrejme lobby mobilnich operatoru. Podepsat transakci podpisovou aplikaci je daleko mene bezproblemove a funguje na celem svete jen za pomoci internetoveho pripojeni. Hrani si s predrazenymi telefonky nechte detem na fejsbuku ...

Dnes ty moznosti kompromitace vychazi nastejno, tvrdim ze v pripade telefonu s Androidem je ta pravdepodobnost dokonce mozna vyssi (a pro utocnika lakavejsi). Transakce lze dnes prece delat primo i z (napadeneho) mobilu, tak jakapak dve zarizeni.

Opet nemam nic proti moznosti volby, ale vadi mi to neustale vnucovat jako jedinou moznost. Pritom do hotoveho podpisoveho software uz neni prakticky treba nic moc investovat. Ze treba nevypada graficky "cool" typ zakaznika ktery jej vyuziva asi netrapi. Nejlevnejsi by bylo potvrzeni transakce kodem zaslanym na email, je to stejne "bezpecne" jako pres mobil. V pripade emailu na vlastni domene opet tvrdim ze bezpecnejsi nez nejaka SMS.

Ostatne banka tady stejne nikdy za nic neruci, tak ji to muze byt vlastne jedno a nechat to treba bez potvrzeni.

Tak tak, není nad to, když můžu zcela jednoduše odeslat příkaz z chytrého mobilu, vytasit místo toho noťas, narvat do něj flashku s certifikátem a ten příkaz poslat taky...

> Transakce lze dnes prece delat primo i z (napadeneho) mobilu,

Pouze pokud tam uživatel má bankovní aplikaci autorizovanou pro aktivní operace a pokud ji využívá. Když jsou tyto podmínky splněny pak ano, je to srovnatelně nebezpečné (záleží na konkrétní situaci) jako podepisování přes SW.

Do podpisového SW je samozřejmě třeba investovat - dělat mu podporu, aktualizovat ho o nové typy autorizace, testovat, zda stále funguje s novou verzí atp. Nejsou to moc velké náklady, ale okruh zákazníků, kteří jej využijí je malý, takže se to prostě nevyplatí.

Nemusíte na mobilu vůbec tu aplikaci mít. Doknce není nutné ani provádět ten útok pouze z mobilu. Vše co stačí je mít trojana, který kontroluje SMS. Když pak získáte klíče k účtu, tak je to hotové. A je jedno jak ty klíče dostanete.

Nebyl by nějaký odkaz? Dost by mě to zajímalo.

Podpisova aplikace Fio je ciste Java aplikace, takze veskere vytky ohledne pohadek o multiplatformnim kodu musite smerovat na Oracle :-)

Na Windows funguje bez zavad, problemem je ovsem vecne derave JRE, takze je treba pristupovat dusledne k zabezpeceni. Nastesti ta aplikace nepotrebuje bezet v ramci prohlizece, takze lze Java plugin deaktivovat. Stale to povazuji za 100000000x lepsi reseni nez predrazene telefonky vyzadujici SIM od ceskeho operatora, kde toto reseni neni stejne bezpecnejsi (v posledni dobe spise naopak).

Myslíte is, že v Javě je problém napsat program, který není multiplatformový.

Svatý Tondo kolenatej, viděl jsem už hodně argumentů, ale to, že Java aplikace musí být multiplatformní, protože je to Java, to jste hodně hloupě naletěl reklamě javistů.

V Linuxu jsem rozchodil starou podpisovou aplikaci pro windows, běhala ve Wine - zcela bez problémů. Starší podepisovací aplikace v Javě byla taky bez problémů. Od jara mají ve FIO novou podepisovací aplikaci, ta funguje taky bez potíží. Je potřeba nainstalovat nějakou knihovnu s lepším šifrováním (detaily už si nepamatuju), ale vše je podrobně popsané v manuálu. Prostě to funguje. Jediná věc, kterou jsem se vůbec nezabýval, je startování podepisovače přímo z prohlížeče.

Sám za sebe mám podepisování raději, než potvrzovací SMS. I s ohledem na bezpečnost - je velmi pravděpodobné, že kdyby se někdo dostal k mému heslu do IB (třeba útokem typu "maník uprostřed"), na heslem zašifrovaném klíči by si vylámal zuby. Mobilní telefon naproti tomu není chráněný prakticky vůbec. Odhadoval bych, že většinu "útoků" má na svědomí rodina, kolegové v práci... prostě nejbližší okolí, vůči kterému je člověk mnohem zranitelnější, než k neznámému lumpovi na internetu. Jen ten lump na internetu má mnohem lépe zpracované PR.

A ty na ten predrazeny telefonek nemas a je ti to moc moc lito, co?

Jasne.

Jenže je problém, když se dostanete na místo, kde tu SMSku nemůžete přijmout. I u nás je spousta míst, kde cesta za signálem znamená hodinový výšlap na kopec, a než se člověk vrátí k notebooku, tak heslo expiruje. A je stále spousta zemí, se kterými naši operátoři nemají roamingové smlouvy.

kde v ČR jsou místa s dostupným internetem a současně nedostupných GSM signálem operátora?

Vsude tam kde neni signal ale je aspon ADSL vedene draty, ktere vybudoval jeste osklivy komunista. Staci mensi vesnice v udoli. Vim minimalne o jedne takove.

U nás doma, město cca 3000 obyvatel,signál v polovině baráku nemám ovšem třeba na půdě mi jde i 3G, ale i tam jsou místa kde jsem nedostupný.

Podepisovaci aplikaci u Fio pouzivam na Linuxu uz dlouho (puvodni i tu novou) a jediny problem je s dostupnosti sifrovacich knihoven. Pokud clovek sleduje navod k instalaci, tak se mu to musi podarit, po vice ci mene pokusech, na kazdem linuxu rozbehnout. Tady bych to videl na problem BFU, ktery se nevyzna v systemu (u Ubuntu zvlaste).

Jediny vaznejsi problem byl v konverzi certifikatu na novejsi (bezpecnejsi) format, ktery uzivatel musel pomerne slozite pregenerovat a to jeste v sibenicnim terminu. To mne celkem vytocilo. Ale jinak si stale myslim, ze pokud je certifikat chranen dalsim heslem v separatni aplikaci (jejiz spusteni navic muze byt chraneno dalsim opravnenim), tak se to v urovni zabezpeceni temer blizi zasilani SMS - ale pri mnohem vetsim komfortu :)