Vlákno názorů k článku Raiffeisenbank mění ceny. Přes poplatky tlačí na používání online služeb od L. - Já naopak oceňuji, že Raiffeisen pečuje o bezpečnost...

Já naopak oceňuji, že Raiffeisen pečuje o bezpečnost uživatelů a snaží se je převést ze zastaralých, nebezpečných a nespolehlivých SMS na moderní, bezpečnou a spolehlivou metodu.

Jaký je to rozdíl například oproti takové Fio bance, kde přes léta neustálého slibování stále nebyli schopni moderní a bezpečnou autorizaci přes mobilní klíč implementovat, takže klienti stále musí používat předpotopní SMS, nebo ještě předpotopnější certifkáty :-(

SMS je na rozdíl od aplikace nezávislý kanál, který při vypnutých datech nebo v hloupém telefonu nemá šanci nikdo napadnout. Aplikace v děravém telefonu (a to jsou všechny) je zato dobrou cestou, jak obohatit šikovné programátory. Ale kdo chce kam - pomozme mu tam. On si totiž nikdo nepřečetl ty podmínky aplikací, kde banka de facto na nic neručí, veškerá odpovědnost za bezpečnost je na uživateli.

Tolik nesmyslů v jednom odstavci, to se tedy hned tak nevidí:

- Aplikace v telefonu samozřejmě je nezávislý kanál. Pro potvrzování transakcí zcela určitě.
- SMS lze napadnout i když máte hloupý telefon. Evidentně jste vůbec nečetl příspěvek, na který reagujete.
- Všechny telefony děravé nejsou a navíc pro ohrožení aplikace je potřeba, aby byly děravé specifickým způsobem - opět jsem to popisoval v příspěvku, na který reagujete. Ostatně pokud je to "dobrou cestou, jak obohatit šikovné programátory", tak jistě dokážete dát příklady reálného úspěšného napadení bankovní aplikace, že? ;-)
- Banka za bezpečnost právě ručí, viz PSD2 směrnice. Samozřejmě nemůže ručit za to, co není v její moci a co máte pod kontrolou vy. Stejně jako neručí za to, když vám někdo přesměruje SMS.

Plácáte nesmysly, protože se v problematice vůbec neorientujete:

1) První kanál je prohlížeč na PC, kterým se pokoušíte přihlásit do banky. Druhý kanál je spojení s mobilní aplikací. Autorizujete se (stále) na kanálu nezávislém na tom, po kterém se připojujete, tedy pokud máte napadený počítač, stejně útočník nepodepíše transakci (nebo se nepřihlásí).

2) Dosud jste se autorizoval pomocí dvou faktorů. Faktoru znalosti (heslo) a faktoru vlastnictví (vlastníte mobilní telefon, na který přijde SMS). Nově se také autorizujete pomocí dvou faktorů. Faktoru vlastnictví (vlastníte mobilní telefon s napárovanou aplikací) a faktoru znalosti (znáte PIN). Tedy bezpečnost je (plus minus) stejná.

3) Ty články jsou naprosto irelevantní k tomu co řešíme. První je čtyři roky starý a mluví o tom, jak mallware překrývá obrazovku bankovní aplikace. To dneska už není možné, protože to OS nedovolí. Druhý je úplně zmatený a plete páté přes deváté. Mluví tam o mobilních aplikacích, ale část zase vypadá, jako kdyby mluvili o přístupu přes web (překrývání stránky, zachycování a přeposílání údajů, a o tom, že pomáhá dvoufaktorová autentikace, což v kontextu bankovní aplikace nedává smysl).