Vlákno názorů k článku Raiffeisenbank mění ceny. Přes poplatky tlačí na používání online služeb od JaPepa - Všude se jen píše, že jsou SMS nebezpečné,...

Všude se jen píše, že jsou SMS nebezpečné, ale proč to tak je a v čem je aplikace bezpečnější, to nikde není. To co jsem někde četl, to připomíná spíš začarovaný kruh: SMS jsou nebezpečné na "chytrých" mobilech, tak chtějí, abych přestal používat svůj mobil a pořídil si ten "chytrý" a na něm právě z důvodu bezpečnosti používal aplikaci.

Ona je to poměrně odborná záležitost týkající se zabezpečení mobilní sítě a OS telefonů. Zkusím to velmi přibližně a zjednodušeně vysvětlit:

Jednak SMS nejsou nebezpečné jen na "chytrých" mobilech. Celé SMS jsou dobastelné do GSM protokolu a chodí po mobilní síti v otevřeném tvaru. Samotný rádiový signál je sice šifrovaný, nicméně ta šifra byla už dávno prolomena. A hlavně i SS7 protokol, kterým spolu ústředny komunikují je nezabezpečený. Takže kterýkoli operátor z celého světa může říct "přihlásil se ke mně tenhle telefon, posílej mi jeho SMS" a síť to bude dělat. Operátoři se tomu sice brání nějakými heuristikami, blacklisty atp., ale jsou to jen pokusy o ucpávání sítě děravé jak cedník a úspěšné útoky na bankovní účty tímto přesměrováním už byly zaznamenány. Netřeba dodávat, že zde váš telefon vůbec nehraje roli, můžete mít sebehloupější, stejně budete zranitelný.

Pak je tu samozřejmě možnost přesměrování / přeposlání SMS při vyhackování vašeho telefonu. Ano, zde vám "hloupý" telefon pomůže, ale nic není stoprocentní a hlavně banka nemůže spoléhat na to, že máte "hloupý" telefon.

No a v neposlední řadě je tu sociální faktor, útoky typu "omylem jsem si poslal kód na tvůj telefon, můžeš mi ho, prosím, přeposlat" už tu taky byly a setkaly se s částečným úspěchem.

SMS byly fajn před patnácti lety, ale teď už jsou za zenitem a uživatelé jejich rizikovost často dost podceňují. A naopak přeceňují možnosti útoku na bankovní aplikaci v "chytrém" telefonu. Často si představují, že stačí, aby omylem spustili nějaký mallware nebo byla v OS malá chybka a už budou mít všechny peníze pryč. Ale to není pravda.

OS telefonu jednotlivé aplikace odděluje (sandboxuje) a data jdou až do aplikace šifrována silnou šifrou, tedy ani odposlouchávání síťového provozu útočníkovi nepomůže. Jediná šance je, když by se mallware dostal na telefon s tak velkou zranitelností, která by mu umožnila překonat oddělení mezi aplikacemi a navíc by mallware musel být uzpůsobený na konkrétní aplikaci. Pak by tady byla určitá šance na úspěch. Ale zatím jsem úspěšný útok tímto způsobem nezaznamenal.

A další faktor je, že u mobilní aplikace má banka kompletně pod kontrolou šifrování a také aplikace sama se může bránit (když detekuje nějakou nepravost), může odmítnout fungovat na telefonu se zastaralým / děravým systémem, atp. U SMS nemá pod kontrolou nic, ani dokonce vůbec netuší, jak je (detailně) zabezpečená mobilní síť a váš telefon.

Naprosto bezpečná aplikace na naprosto děravém telefonu? Stačí se podívat na ty seznamy kritických chyb, nehledě na to, že na naprostou většinu telefonů chodí bezpečnostní aktualizace možná pár měsíců po zakoupení, na některé ani to ne, ale používají se pak roky bez záplatování.

Ale OK, jestli tomu banka tak věří, tak ať to dá do podmínek, že nahradí veškeré škody, které vznikly případným napadením té aplikace. Co jsem se ale zatím do podmínek díval, tak vy jste povinni zajistit bezpečnost telefonu,, aktualizace, antivir a nevím co ještě a ručíte za bezpečnost svého mobilu, zatímco banka v podstatě neručí vůbec za nic. 'A o prachy tady jde.

Tak logicky banka nemůže ručit za věci, které máte ve své moci vy. Když si napíšete PIN na kartu, tu pak někde ztratíte a někdo z ní vybere peníze, tak vám taky nikdo nic nedá.

Mimochodem, při SMS autorizaci banky hradili veškeré škody, když je údajně tak bezpečná? ;-)

Ne že bych si dělal iluze o bezpečnosti SMS, ale vy zase silně podceňujete otázku bezpečnosti smartphone aplikace. Zkuste si třeba odpovědět na otázku, jak vlastně banka může poznat, že aplikace, se kterou komunikuje, je opravdu ta "její" a ne nějaká mírně upravená kopie (třeba tak, že místo ověření otisku prstu prostě jen řekne, že to udělala). Když to řeknu jednoduše: ověřování biometrik "na dálku" (po síti) je už z principu nesmysl a stavět na tom bezpečnost přístupu k bankovnímu účtu je nezodpovědnost.

A samozřejmě se také zapomíná, že SMS a smartphone aplikace nejsou zdaleka jediné možnosti, jak druhý faktor implementovat. Je to trochu paradox... jak píše Patrik Chrz, banky běžně nabízely různé formy bezpečné autentizace v době, kdy to v praxi vyžadovalo zapůjčení speciálního hardware a použití jednoho konkrétního OS, jednoho konkrétního prohlížeče a jedné konkrétní verze Javy (to v lepším případě, někdy rovnou ActiveX); dnes, kdy jsou autentizační klíče relativně levné, snadno dostupné a použitelné prakticky všude, tuto možnost opouštějí i banky, které to dosud neudělaly. :-(

> Zkuste si třeba odpovědět na otázku, jak vlastně banka může poznat, že aplikace,
> se kterou komunikuje, je opravdu ta "její" a ne nějaká mírně upravená kopie (třeba
> tak, že místo ověření otisku prstu prostě jen řekne, že to udělala).

Bože, vy si asi opravdu myslíte, že vývojáři jsou tak hloupí, že je tohle nenapadlo, zatímco vy jste hned na první pohled zpozoroval problém. No, sebevědomí vám nechybí, to musím přiznat.

Používá se na to kryptografie, samozřejmě. Otisky neověřuje aplikace ale OS, který v případě úspěchu podepíše transakci (login je také transakce) dobře schovaným privátním klíčem. Prakticky jediný realizovatelný vektor útoku, který si dovedu představit, je nějak přesvědčit uživatele aby nainstaloval "novou" falešnou bankovní aplikaci a nově ji spárovat. Což vyžaduje jeho intenzivní spolupráci. Zhruba jako útok "omylem jsem si poslal SMS kód na tvůj telefon, můžeš mi ho přeposlat".

Certifikáty přes Javu / ActiveX bych radši nezmiňoval, KB si s tím užila svoje a dobře ví, proč to už nikdy nechce vidět :-D

Co se týče dalších možností, tak telegraficky:

- Tokeny generující OTP, například klasický RSA token: Zas tak levné to není. Velká nevýhoda je, že nevidíte, co podepisujete. Klidně vám může napadený prohlížeč zobrazit, že posíláte transakci Petrovi a ve skutečnosti to bude transakce Pavlovi. Plus buď omezíte možnost podepsat kódem jednu transakci, takže uživatel bude muset chvíli čekat, než může zadat další, nebo se dá udělat útok s podepsáním jiné transakce odposlechnutým kódem.

- Tokeny kde se zadávají údaje a-la starý eBank token: Hodně bezpečné, ale velmi, velmi nepohodlné. Tohle jsou schopni používat pouze skalní paranoici a těch je tak málo, že se to nikomu nevyplatí řešit.

- Tokeny se spojením do banky (WiFi / GSM), transakce se jen potvrzuje. Prakticky vlastně mobil, na kterém běží jen ta bankovní aplikace. Nevím, že by to někdo používal, je to dost drahé, a nešikovné (další zařízení), pokud by to mělo fungovat i mimo Wi-Fi, tak musí mít GSM datovou kartu...

- SMS toolkit: Bezpečnostně docela slušná možnost. Bohužel relativně nepohodlná (nutnost chodit do banky kvůli párování, přepisování kódu, než se k němu člověk vůbec prokliká...). A také dost novějších telefonů už SMS toolkit neumí, protože jeho jediné rozumné využití jsou tyhle bankovní SMS.

- Certifikáty na počítači: Pokud jsou jen na disku (není na ně specializované zařízení, které zvyšuje cenu), tak nejsou moc bezpečné. Problematicky přenosné, nutnost aktualizací atp.

Proč výše zmiňuji pohodlnost: Člověk je tvor pohodlný. Lidí, kteří jsou ochotni obětovat pohodlí za trochu bezpečnosti je minimum. Pokud banka bude nabízet nepohodlnou cestu autorizace, budou jí lidé utíkat jinam, kde to tak nepohodlné nebude. Absolutní bezpečnost neexistuje, celé je to o vyvážení rizika a nákladů / pohodlnosti, nejde říct "nejbezpečnější je nejlepší". I proto vznikla PSD2 směrnice, která stanovuje nějaký základ bezpečnosti, aby se banky moc "nepodstřelovaly" v oblasti bezpečnosti.

Bože, vy si asi opravdu myslíte, že vývojáři jsou tak hloupí, že je tohle nenapadlo, zatímco vy jste hned na první pohled zpozoroval problém. No, sebevědomí vám nechybí, to musím přiznat.

Podle přezíravého tónu a nezadržitelného proudu urážek, kterým se tu prezentujete, vašemu sebevědomí to moje nesahá ani po kotníky.

Otisky neověřuje aplikace ale OS, který v případě úspěchu podepíše transakci (login je také transakce) dobře schovaným privátním klíčem.

A v OS snad nikdy žádná bezpečnostní díra nebyla? Tak kde se pořád berou ta CVE, která v práci neustále řešíme?

Certifikáty přes Javu / ActiveX bych radši nezmiňoval, KB si s tím užila svoje a dobře ví, proč to už nikdy nechce vidět

Jenže to už právě dnes vůbec není potřeba. Proto jsem mluvil o paradoxu, že v době, kdy bylo potřeba používat takhle problematické nástroje, banky tuto možnost nabízely, zatímco dnes, kdy to jde bez nich, od toho upouštějí.

Pokud banka bude nabízet nepohodlnou cestu autorizace, budou jí lidé utíkat jinam, kde to tak nepohodlné nebude.

Když banka ke dvěma možnostem, které nabízí teď, nabídne navíc ještě třetí alternativu, začnou jí najednou hromadně utíkat klienti ke konkurenci jen proto, že tu třetí možnost nechtějí používat? To myslíte vážně?