Vlákno názorů k článku Ověření pomocí SMS je nebezpečné, banky tlačí klienty do aplikací od Carnifax - Já si naopak myslím, že pokud by bankám...

Já si naopak myslím, že pokud by bankám šlo o bezpečnost, budou zásadně proti spojování všeho do jednoho zařízení.
Pořád mi připadá, že je vytvořeno falešné dilema: nový způsob, který všichni používají samozřejmě správně, vs. starý způsob, který všichni samozřejmě používají špatně.
Jenže tak to zhusta není, je spousta lidí, co mají telefon prakticky s celou svou identitou chráněný banálním způsobem a v něm natahané bůhvíco, protože je jim to prostě jedno.
A pak tu máte lidi, kteří do bankovnictví vstupují výhradně z PC (a většina bank už je schopná identifikovat přihlášení z odsouhlaseného konkrétního přístroje) a třeba ani nemají chytrý telefon, ne proto, že by s ním neuměli a byli líní se učit, ale protože naprosto vědomě nechtějí a i z bezpečnostního hlediska jim dává větší smysl mít to tak, jak to mají. Navíc takoví lidé asi všeobecně přistupují k věcem na internetu s podstatně větší obezřetností než nějaká nanynka, která kliká bez rozmyslu na všechno, protože žije v iluzi falešného bezpečí, že když má tu apku, tak se jí nemůže nic stát.
Proč by se pak lidem, co mají zájem ověření přes sms udržovat, neměla tato možnost poskytnout, klidně za tu dvacku měsíčně, klidně s podepsáním "negativního reversu", že jsou si vědomi, že to není aplikace?

Ano, přesně tak to je, psal jsem to kdesi už před pár měsíci - spojování všeho do jednoho zařízení je obrovská bezpečnostní díra a ZHORŠENÍ bezpečnosti.

Původní verze - jeden kanál je PC s bankovnictvím a ověření chodí přes SMS mobilem, což je druhý naprosto nezávislý kanál = útočník musí bezpodmínečně ovládnout OBĚ zařízení, nestačí mu nakazit pouze PC nebo mobil, aby mohl škodit.

Nová verze - bankovnictví v mobilu, ověření jde do téhož mobilu = stačí ovládnout toto jediné zařízení a útočník má komplet přístup k vašim penězům.

> útočník musí bezpodmínečně ovládnout OBĚ zařízení

Nemusí. SMS může utéct i po cestě, protože se přenáší nešifrovaná.

> stačí ovládnout toto jediné zařízení

Jenže ovládnou mobil tak, abyste si mohl podepisovat přes TPM cokoli chcete je extrémně těžké, respektive nevím o žádném úspěšném reálném útoku.