Vlákno názorů k článku Žádné internetové bankovnictví není zcela bezpečné od Jan Němec - Hm. Další "expert" na elektronické bankovnictví, který si...

Hm. Další "expert" na elektronické bankovnictví, který si plete certifikát a soukromý klíč a který neví, že z čipové karty NELZE (při správném navržení aplikace) soukromý klíč softwarovými prostředky exportovat. Lze jen v době, kdy je karta ve čtečce a uživatel ověřil PIN, například podepsat kartou jiný příkaz, než zadal uživatel. Samozřejmě jen pokud útočník plně ovládá klientův počítač a nainstaloval do něj opravdu geniální software.

Pokud vím, už asi před pěti lety byla navržena metoda louskání RSA šifry na základě analýzy, za jak dlouho šifrovací token dokáže zašifrovat předkládáné vzorky dat. Prakticky ale zatím takový útok nebyl zaznamenán. A pokud se nemýlím, moderní tokeny s tím počítají.

A co ty? Co tebe opravňuje k takovéhle kritice?

Mimo jiné v článku bylo uvedeno jedno důležité pravidlo: Je to jen otázka času a peněz. Osobně nejsem ani počítačový odborník ani žádná kapacita v oblasti kryptologie, ale přesto se domnívám, že skutečně neexistuje žádný absolutně bezpečný způsob zabezpečení a je jen otázkou, zda se útočníkovi vyplatí nabourat se přes určitý stupeň ochrany s určitými náklady, když potom zisk může být nižší než, co do toho sám vrazí. Nehledě ani na to, že čím vyšší bude nutný vstupní kapitál, tím menší okruh lidí k potřebným technologiím bude mít přístup atd. atd.

> A co ty? Co tebe opravňuje k takovéhle kritice?

Skutečnost, že jsem v článku objevil chybu. To snad stačí, ne?

"z čipové karty NELZE (při správném navržení aplikace) soukromý klíč softwarovými prostředky exportovat"
- na základě čeho tvrdíte, že to NELZE? Vzhledem k tomu, co všechno JE možné, bych se nedivil, kdyby stažení informací z čipové karty bylo pouze VELMI OBTÍŽNÉ. Se správným zařízením lze zjistit z kolísání odběru proudu, jaké procesy běží na počítači. Tak proč by nešlo zjistit, jaké procesy běží na čipové kartě?

> Se správným zařízením lze zjistit z kolísání odběru proudu

Se správným hardwarovým zařízením to jistě lze. Věřím tomu, že se správným hardwarovým zařízením je možné z čipové karty (velmi obtížným způsobem) vydolovat soukromý klíč. Softwarovými prostředky to ale nejde. (Nepodepisuje se v počítači, ale přímo na kartě, to je principiální rozdíl oproti řešení, kde je soukromý klíč uložený na běžném USB kolíčku.)

No, pokud vím, tak ty kryptografické tokeny jsou udělány tak, že při narušení obalu se čip s nahraným kličem zničí. A bez vyjmutí čipu to přečíst nejde (a i potom velice obtížně).

Stejně, jako kopírování důvěrných informací ze SIM Toolkitu SIM karty. O některých teoretických útocích na SIM Toolkitové bankovní aplikace jsem už slyšel, ale žádná nespočívá v tom, že bych ze SIM něco dokázal zkopírovat....