Vlákno názorů k článku George klíč končí, bankovnictví George Česko už v emulaci nespustíte od Bez Podezdívky - Škoda, že dnes už se moc nenosí chovat...

Je to tak. Je vidět, že se v problematice opravdu vyznáte, záblesk naděje v moři zmaru :-)

Ono by bylo mnohem lepším řešením některé věci prostě neřešit.
Uživatel musí mít nějakou vlastní zodpovědnost, nemůže čekat, že za něj všechno zařídí někdo jiný (banka).
V důsledku to vede k tomu, že se k mým penězům spíš (velmi těžko!) dostane (všeho)schopný hacker a lump, než já.

Jsou tady dva rozměry. První je legislativní, banka je ze zákona odpovědná, že udělá maximum, proto aby účet byl v bezpečí, za pochybení ručí. Pokud existuje zranitelnost, musí se k tomu postavit čelem a najít řešení, důsledkem je pak i tenhle článek.

Další je, že uživatel sice s tím logicky nechce mít žádnou práci, ale zase očekává, že peníze na účtu bude mít bezpečné a nikdo mu je nevezme nebo si nikdo jeho jménem nevezme úvěr.

Je pravda, že uživatel by měl mít určitou opatrnost a obezřetnost, ale tady se bavíme o situaci, kdy řada zneužívaných zranitelností jsou zero-day a systém může být napaden bez interakce uživatele a jeho vědomí.

Přenášet odpovědnost na uživatele je za mě vhodné pouze v situaci, kdy uživatel ví, že pochybil, existuje jednoznačné pravidlo (jízda na červenou/zelenou a nikoliv obecný nesmysl typu nechodit na podezřelé stránky - jak je vlastně poznám?). Dneska plně aktualizovaný systém se může nakazit reklamou, která se zobrazí třeba tady na rootu, banka tomu musí jít naproti.

Jedna věc je nákaza reklamou díky zero-day zranitelnosti, druhá je instalace pochybného doplňku do prohlížeče.
Ostatně: stále se mi stává, že při řešení problému je mi doporučeno: přihlaste se s administrátorskými právy a pak....

A opět, co je pochybný doplněk? Jak ho poznám? Historicky se už několikrát stalo, že legitimní mnoho let používaný doplněk s dobrou historii je autorem prodán a doplněk začne šířit nebezpečný kód.

To jsou takzvaná bezbarvá doporučení, je to pouze alibismus, protože nikdo dopředu nedokáže určit kritéria rozpoznání pochybného doplňku.

Současné systémy se musí stát bezpečnějšími, musí být idolné i proti instalaci pochybných doplňků/aplikací. Např. u iOS zařízení je ta odolnost historicky poměrně silná a existuje jen málo případů, kdy instalace aplikace nabouralo bezpečnost těch ostatních. Android to začíná vážně řešit od verze 8. Desktop a internetové stránky takové řešení nemají, nemohu si vynutit, že na dané stránce nesmí být žádné spuštěné pluginy, správce hesel nemůže zajistit, že jiný plugin nepřečte heslo, které jsem při přihlašování vyplnil (vč. toho 2FA) a nepřihlásí se na pozadí rychleji místo mě. Webauth tohle poměrně solidně řeší, ale jeho podpora teprve nastupuje.

Tak zase, co je to pochybny doplnok prehliadaca? Dnes Google, Mozilla aj Apple kontroluju vsetky doplnky, side-loading v podstate neexistuje (vo Firefoxe len v developer edicii, v Chrome je dev-mode, co zase bezny pouzivatel neda), tak ako by sa taky doplnok do prehliadaca beznemu pouzivatelovi dostal?

.... Tak kliknete na pokracovat... Banka v situaci, kdy ma expirovany certifikat na webu, a klient ma ve smlouve vyslovne uvedeno, ze ma certifiakt kontrolovat.

Velmi dobře shrnuto, díky.

Není to argument kruhem. Je to věc, před kterou je coby klient banky zkrátka postaven. Má nějakou potřebu (chce používat vzdálené bankovnictví), kterou může uspokojit za splnění jistých technických podmínek stanovených bankou (musí mít smartphone odpovídající nějakým - vcelku nenáročným - požadavkům). Tyto podmínky ale nehodlá splnit s tvrzením, že je splnit nepotřebuje. Což je ve zjevném rozporu s tím, že zároveň chce používat to bankovnictví.
Ano, banka by mohla být v těch požadavcích méně striktní, ale zkrátka se rozhodla, že raději půjde cestou "better safe than sorry" a nepovolí provoz aplikace v prostředí, které považuje za nějak rizikové. To mi přijde jako legitimní rozhodnutí, které má navíc v tomto konkrétním případě dopad jen na naprosto bezvýznamnou množinu lidí posedlých touhou dělat všechno jinak.
A co se týká případné aplikace pro Windows, ale ne pro Linux, v čem by mělo spočívat to vydírání? Že se banka vykašlala na podporu OS, který na desktopu používá minimum lidí? To by bylo naprosto pragmatické rozhodnutí, které s žádným vydíráním nemá nic společného. Linux desktop je okrajová platforma a je hloupost předstírat, že tomu tak není.
V každém případě platí, že pokud klient není spokojen se službami své banky, může odejít jinam. Ale představa, že banka bude investovat prostředky do rozmaru pár klientů, je směšná, pokud to zrovna nejsou klienti typu Škoda Auto.

To se ale v kruhu tocime kolem toho, ze nekteri lide ocekavaji uspokojeni svych potreb (znacka levne), ktere jsou ale statisticky vzato z pohledu poskytovatele minoritni a poskytovateli se jednoduse nevyplati tou jejich konkretni potrebou zabyvat. A urcite by kriceli, kdyby poskytovatel sluzby rekl ano, ja to udelam - ale bude vas to stat tisicovku mesicne navic.

Tisícovka měsíčně je asi trochu moc, ale pokud by mi banka garantovala, že tu autentizaci udělá nějak rozumně (rozuměj nebudu mít jedinou proprietární možnost, a to použití patlafounu), dalo by se o tom uvažovat.

> Není to argument kruhem.

Tzv. důkaz úporným tvrzením. Pořád jsem neslyšel jediný důvod, proč by to měl být zrovna smartphone než "a basta".

> Tyto podmínky ale nehodlá splnit s tvrzením, že je splnit nepotřebuje. Což je ve zjevném rozporu s tím, že zároveň chce používat to bankovnictví.

V některých případech nechce, ale ze zákona musí.

> nepovolí provoz aplikace v prostředí, které považuje za nějak rizikové

To, že si nainstaluju správce souborů z f-droidu je rizikové? Přesto tím ale porušuju podmínky banky, pokud mám na stejném telefonu bankovní aplikaci (ČSOB).

> A co se týká případné aplikace pro Windows, ale ne pro Linux, v čem by mělo spočívat to vydírání?

Že by se banka chytila závislosti na konkrétním systému, přestože existují dostatečně rozvinuté standardy pro to, aby na systému nezáviselo.

> V každém případě platí, že pokud klient není spokojen se službami své banky, může odejít jinam.

Ten trh tady silně kulhá na obě nohy, protože a) zákon za některých okolností ukládá povinnost bankovní účet mít (není svobody použití bez svobody neužívat), b) zákon určuje dost těžké podmínky pro vstup na trh.

ZATÍM je kam jít. Klíčové slovo je v tomhle případě "zatím".

> Ale představa, že banka bude investovat prostředky do rozmaru pár klientů, je směšná

Banky investují prostředky to snahy AKTIVNĚ BRÁNIT těm pár klientům provozovat ty aplikace na strojích, které z nějakého důvodu nevoní.

To, že si nainstaluju správce souborů z f-droidu je rizikové? Přesto tím ale porušuju podmínky banky, pokud mám na stejném telefonu bankovní aplikaci (ČSOB).
To je nějaké divné - z F-Droidu mám většinu aplikací (a díky Tiborovi Kaputovi se mi teď potvrdilo, že je to daleko bezpečnější varianta než používat Google Play...) a mobilní bankovnictví ČSOB ani RB neprotestuje.

Chodí, ale porušuju tím podmínky služby - smlouvu s ČSOB.

Tzv. důkaz úporným tvrzením. Pořád jsem neslyšel jediný důvod, proč by to měl být zrovna smartphone než "a basta".
Nemusí to být zrovna smartphone, ale v tomto případě (i mnoha jiných) to zkrátka smartphone je. A je to nejjednodušší a nejpřímočařejší řešení. Chytrý mobil vlastní kdekdo, není problém mít ho vždy po ruce, většinou má nějakou možnost pohodlné biometrické autentizace atd. Lidi jako ty nebo Uwe se tady točí kolem v podstatě ideologického problému, který takřka nikdo nemá. Nebo je to možná mentální problém. Ale to spíš ne, protože člověk, který se takhle panicky bojí šmírování, by vůbec nepoužíval internet.

V některých případech nechce, ale ze zákona musí.
Opravdu musí ze zákona používat vzdálené bankovnictví? A ty případy jsou nevyhnutelné?

To, že si nainstaluju správce souborů z f-droidu je rizikové? Přesto tím ale porušuju podmínky banky, pokud mám na stejném telefonu bankovní aplikaci (ČSOB).
To je pochopitelně věcí té banky, zda to považuje za rizikové.

Ten trh tady silně kulhá na obě nohy, protože a) zákon za některých okolností ukládá povinnost bankovní účet mít (není svobody použití bez svobody neužívat), b) zákon určuje dost těžké podmínky pro vstup na trh.
Pokud nechceš mít bankovní účet, tak se vyhýbej okolnostem, za kterých by sis ho musel založit. To nakonec platí obecně. Pokud se chceš vyhnout povinnosti, která je něčím podmíněna, tak se tomu něčemu vyhni. Nechceš-li dodržovat předpisy pro řidiče aut, neřiď auto.
A fakt ti přijde divné, že zrovna banku, která se stará velkému množství osob o majetek, jehož hodnota jde v úhrnu do desítek až stovek miliard, si nemůže založit jen tak každý hejhula, ale je to přísně kontrolovaný sektor?

Že by se banka chytila závislosti na konkrétním systému, přestože existují dostatečně rozvinuté standardy pro to, aby na systému nezáviselo.
Což samozřejmě není tak docela pravda, jak ví každý, kdo někdy vyvíjel netriviální multiplatformní aplikaci. Ale i kdyby byla, tak nevím, proč by volba řešení specifického pro konkrétní OS měla být nějakým vydíráním. Jsou třeba autoři Remminy vyděrači, protože ji vyvíjejí jen pro UNIX-like systémy a já ji chci na Windows?

Banky investují prostředky to snahy AKTIVNĚ BRÁNIT těm pár klientům provozovat ty aplikace na strojích, které z nějakého důvodu nevoní.
A ten důvod je podstatný. Zamést to pod koberec vágním "z nějakého důvodu" je snahou ten důvod bagatelizovat. V tomto případě se podle všeho jedná právě o to, že ta zařízení banka zkrátka nepovažuje za bezpečná. A jde o technické požadavky, ne o nějaký vendor lock-in. Ta aplikace poběží bez problémů na zařízeních spousty různých výrobců.

Nemůžeš v jednom příspěvku mávat tržním prostředím a hned v následujícím do nebe vychvalovat regulaci. Měj se fajn, a doufám, že se nepotkáme. Tohle si klidně ber osobně...

Problém je v tomto případě ten, že je to amorální. Banka si usurpuje právo rozhodovat, jestli je MÉ prostředí bezpečné. To přitom vím já, zda je, nikoliv ona. Ano, legální to je, ale amorální. Bance po tom prostě nic není.

Ale banka to dělat musí. Spoléhá na to, že OS poskytuje bankovní apliack ochranu a pokud je rootnutý (nebo má známé neopravené bezpečnostní chyby, které tu ochranu narušují), tak jí tu ochranu poskytovat nemusí, takže se to pokouší detekovat.

Ať si to třeba snad i detekuje, ale rozhodnutí nechť laskavě nechá na uživateli.

To nemůže, protože 99.999% uživatelů nedokáže rizika posoudit.

12. 12. 2023, 18:38 editováno autorem komentáře

Zajímavé že tady to vadí, a když ti samí uživatelé nedokáží naprosto stejně posoudit rizika předvánoční půjčky, tak najednou to nevadí, a to jde (v porovnání s obvyklým zůstatkem na jejich účtu) o mnohem větší peníze.

A stejně tak, jako 99.999% uživatelů nedokáže posoudit, že platební kartu bez elmag. stínění jde nádherně odrelayovat pro bezPINové transkace (kde jde, než to vyblafne request na PIN, o zhruba stejně srovnatelné částky) a přesto to u sebe vozej...

Proto banky (ze zákona) posuzují bonitu lidí, kterým půjčují.

Proto taky bezpečnostní parametry tohohle řešení nsatvuje banka, ne uživatel. (A vy jste dal hezkou ukázku, jak uživatel nedokáže posoudit rizika toho řešení.)

Ale samozřejmě, že může.

Ne, nemusí.