Vlákno názorů k článku Největší hrozbou internetového bankovnictví není uživatel od ttt - Ano, banky mohou vice delat v ramci prevence. Ale...

Ano, banky mohou vice delat v ramci prevence.
Ale hradit vznikle skody nemuzou, protoze by se okamzite rozjela nova vlna tenktorkrat fingovanych kradezi.

Ale nevim jak chcete pomoci SW chranit klienta, ktery na cizi stranku zada prihlasovaci udaje a pote i potvrzovaci SMS.

Když budete jako banka chtít, tak klienta bez problémů ochráníte.
Web bude provozovat pod certifikátem, který ověřuje pravost stránek a uživatele o tomto "proškolíte".
Budete každou transakci potvrzovat SMS (nebo HW tokenem, čipovou kartou,...) a v případě např. těch SMS mohou chodit šifrované.
Dnes je problém hlavně v chytrých telefonech, když vše děláte na jednom přístroji.
Co kdyby Vám banka sama dala aplikaci pro Váš konkrétní přístroj, kde SMS dojde šifrovaná a jiný SW v telefonu si tak neškrtne?
Prostě ji nepřečte, když nezná privátní klíč, který není uložen čitelně v telefonu.

Telefon ktery ma v sobe typicky malware uz od vyroby je v tomto nepouzitelny. Zvlaste kdyz dodavatel nejrozsirenejsi platformy (Google) generuje prijmy jen z cileneho prodeje reklamy a tim nutnosti smirovani zakazniku. Tudy zkratka cesta nevede.

SMS casem stejne umrou, podobne jako dalnopis nebo telegram. Takze stavet neco na teto technologii nema smysl. Bohuzel v dnesni dobe musi byt vse "jednoduche" a nic nesmi vyzadovat u veci premyslet nebo je snad dokonce chapat, tak proto to ma takove vysledky. Tohle zadna technologie uz nespasi. Potvrzovat transakce by slo napriklad pres NFC prilozenim platebni karty a zadanim PINu. Jenze zadavat PIN do neceho jako Android, to uz ho muzete rovnou vyvesit na socialni siti :-/

"dodavatel nejrozsirenejsi platformy (Google) generuje prijmy jen z cileneho prodeje reklamy a tim nutnosti smirovani zakazniku. "

Jenze on cte data strojove a v jasne vymezenem rozsahu. Mate dukaz, ze to dela i nad tento ramec? Treba jako Microsoft, ktery smiruje vase e-maily RUCNE a ma na to povoleni v podminkach pouzivani?

http://computerworld.cz/securityworld/microsoft-a-spol-mohou-cist-vase-emaily-50932

Ha ha. Dobrý vtip. Klienti jsou tak pitomí, že si na základě mailu s mizernou češtinou klidně nainstalují "novou verzi aplikace od banky" z neautorizovaného zdroje i přes všechna varování co se na ně vysypou. Na takovou blbost fakt certifikát a proškolení nepomůže.

U HW tokenu / čipové karty je zas problém v tom, že do nich musíte nezávislým kanálem dostat parametry transakce, jinak prostě klient na žádost mallware opíše autorizační údaje kam mu ten mallware řekne a platba je potvrzená.

Speciální aplikace je o něco lepší, ale tam spoléháte na to, že dám OS telefonu zajistí oddělení aplikací.

Asi nejspolehlivější by byl vlastní HW s vlastní SIM kartou, ale to by bylo hodně drahé a pro klienta nepohodlné.

Žádám o přístup do IB, dostanu bezpečnostní příčurku a zvolím nějaký kód, pod kterým se vygeneruje aplikace pro můj mobil vázaná na konkrétní HW. Potvrzovací SMS chodí šifrovaná a zobrazí ji pouze tato aplikace pouze na daném telefonu/PC. Malware na pozadí má smůlu. I když obejde vše, tak potvrzovací SMS nepřečte.
Když odejde HW, tak se Vám vygeneruje appka nová pro nový telefon.
Kód pro stažení dostanu od operátora po ověření a potvrzení nových údajů online.
Nikdy to nebude 100% neprůstřelné proti lidské blbosti, ale s minimem změny uživatelského komfortu omezím škody.
Když někdo i takto poslanou SMS napíše na FB "kamarádovi", tak to už snad jen takovému uživateli přístup k IB zablokovat navždy.
Ale i zde by šla kontrolovat IP, HW klíč apod (zda je SMS zadaná na stejném zařízení, jako vlastní transakce)

Jak uz bylo zmineno, neco takoveho uz tu bylo a dokonce se to i pouzivalo a je to pouzitelne stale. CSOB sveho casu umoznovala (volitelne / ja to tak mel) posilat autorizacni sms kodovane a dekodovat je slo jen v sim toolkitu pomoci bpinu, coz lze i dnes. Jen by to museli nastavit vsichni vyrobci sw reseni. Do sim navic neni problem nahrat unikatni privatni klic, ostatne uz tam nejmene jeden je. Takova sim se pak da pouzivat v libovolnem telefonu a bezpecnost to silne povysuje.

Tak ono by to slo, predstavme si jednoduchou "krabicku" se SIM kartou a nekolikaradkovym monochromatickym LCD na zobrazeni cisla uctu, KS, VS, castky + kodu, ktery by si uzivatel poctive opsal do IB. Zadna klavesnice, zadna upatlana obrazovka, nic, proste jeste levnejsi vec nez ten nejlevnejsi dumbphone.

Jeste by to slo vylepsit tak, ze by to melo USB rozhrani a chovalo se to jako klavesnice pro prepis kodu (neco jako YubiKey).

Urcite to neni nic pro ucty vedene s nulovymi poplatky, ale za par desetikacek/mesic by to podle me slo, kdyby byl oboustranny zajem.

Tohle naprosto nic nevyřeší. Pro rozumného uživatele je to zbytečné složitý a blbce to nezachrání.
Exoty kteří jsou schopni přeposlat autorizační kód komukoliv a kdykoliv prostě nejde ochránit.
Banky stále dokola upozorňují, že žádná hesla, pin kódy a podobné nemá uživatel nikdy nikomu posílat.

Ty "chytre" telefony jsou vlastne jen navrat do doby pred potvrzovacima SMS kodama. Staci se dostat do jedineho zarizeni a utocnik ma vse. Tohle uz tu bylo.
Obecne me nejvice stve liknavy pristup bank - treba kdysi se na forech resilo nemoznost zakazat prevod penez pomoci sberneho boxu (co nepouzivam, mam mit zakazano), dneska se zase omezuje nutnost zadavani PINu platebnich karet. Proste na bezpecnost se v lepsim pripade kasle, v horsim se primo umyslne snizuje. Jedine, cemu se divim, je, ze se zatim neobjevuji opravdu velke a masove prusvihy.

Tak masové průšvihy se asi nemají jak objevit. Když Vám seberou bezkontaktní kartu a vyprázdní účet, tak Vás banka pošle k šípku a Vy se tím moc chlubit nebudete. Alespoň 99% lidí ne.
Zbytek buď mávne rukou, že mu ta částka za to nestojí a jen velmi málo lidí se začne soudit a banku zažaluje, že mu vnutila bezkontaktní kartu a nedovoluje mu tyto transakce bez PIN blokovat, nebo si omezit limit pro bezkontaktní platbu.
A když dojde na tento scénář, tak se s Vámi v tichosti banka mimosoudně vyrovná, aby se to nerozkřiklo, že tu odpovědnost má.
A většina je spokojená.
Bance nejde o bezpečnost, protože čím je to jednodušší, tím více méně inteligentních lidí to začne používat. Roste počet transakcí, rostou poplatky a příjmy bank. Proč jsme na špici v počtu bezkontaktních plateb?
Bezpečnost až na posledním místě.

Proč jsme na špici v počtu bezkontaktních plateb?

Neni to spise tim, ze nektere banky podminuji vedeni uctu zdarma prave uskutecnenim plateb kartou ?

> Jedine, cemu se divim, je, ze se zatim neobjevuji opravdu velke a masove prusvihy.

Tak schválně přemýšlejte, proč tomu tak je, třeba na to přijdete, já vám věřím ;)