Názory k článku Je šifrování českých bank bezpečné, nebo je to jen iluze?

Tak ten závěr mě rozesmál víc, než několik posledních komiksů dohromady:
„Přibližně za měsíc se bude test opakovat. Věřím, že banky na nastavení svých serverů zapracují a ty, které dnes nedopadly moc dobře, nás potěší změnou k lepšímu.“
To chci vidět, HAHAHAHAHA

Tak jsem si jen tak na zkousku klikl na v tabulce posledni CSOB a hle, maji s 88 body za A. Takze se neco deje nebo byla chyba jinde.

no tento test jsem u csob zkousel uz kdysi davno (rok, dva?) a byt si nepamatuju znamku, tak byla rozhodne v zelenem..

Tak ono před lety se třeba ještě nevědělo o tom renegotiation útoku, případně jiných.

Nechci podceňovat situaci okolo šifrování, ale pořád mi připadá mnohem snazší odchytit přihlašovací údaje přímo na stanici potenciální oběti. Nepochybuji o tom, že lidé mají často heslo stejné třeba jako do pošty na seznamu. Když někdo píše heslo do banky, tak mám dobrý zvyk se otočit, ale podle způsobů psaní různých lidi už tak nějak „vyslyším“, jakou složitost píšou a často je ten velmi krátké slovo bez „paznaků“.
Typicky nechávají čtečky s čipovou kartou stále v počítači, když se hlásí certifikátem, tak typicky ho máji buď na výměnném médiu zasunutém stéle v PC nebo pro jistotu rovnou na disku, …
Jinak kdyby někdo útočil na mou SSL komunikaci s v testu ne zrovna 2× dobře dopadlou s Českou spořitelnou, tak pořád nemá druhý kanál, což je zde snad povinná SMS jako minimální zabezpečení.

Pri utoku „man in the middle“ druhy kanal nepotrebuje, staci tvoje nepozornost. Prijde ti SMS s kodem, kde si nevsimnes, ze nesedi cislo transakce nebo kdyz se posila i castka, tak bude jedna nula navic…atd. a potvrdis. Misto tvoji platby tim ale potvrdis prevod penez na ucet utocnika.

Jediný problém, který jsem z článku o WWW serverech českých bank zjistil, je to, že obdrželi málo bodů od automatického testu vytvořeného kalifornskou společností, jež se problematikou zabývá už poměrně dlouho. Není to na odborný server málo informací?
Zkoušel jsem test na serveru, který jsem kdysi instaloval: průběžně aktualizovaný Debian Lenny, SSL v „továrním nastavení“, zakoupen nejlevnější certifikát od Thawtisignu SSL123: výsledek 85 bodů. V kategorii certifikát jsme obdrželi plných 100 bodů, přestože bych sobě už třeba kvůli SHA1 plný počet nedal ;-)

Jo, to mi taky chybí. Spousta řečí okolo, ale vysvětlení, co to skóre vlastně znamená nikde. Co jsem pochopil, tak to asi nějak souvisí s tím, jaké šifry server podporuje (zda nepodporuje nebezpečné), ale to je tak vše.

treba sa len poriadne pozriet. pod kazdym vysledkom aj na uvodnej stranke maju svoju metodiku. https://www.ssllabs.com/downloads/SSL_Server_Rating_Guide_2009.pdf

Z čehož vyplývá, že banky hodnocené F (0) můžou mít také jediný problém v tom, že mají certifikát vystavený od někoho, koho SSL labs nezná a nepovažuje za trusted, i když tato CA může být v prohlížečích přítomna (mimo I.CA, která je dost lokální záležitostí a v prohlížečích nebývá jsou to i Equifax, Globalsign):
We first look at a certificate to verify that it is valid and _trusted_. A server that fails this step is always
assigned a zero score.
Tady už je otázka, nakolik je pak taková hodnota vypovídající, a kdo za SSL labs stojí.

Tak beru zpet, u detailnich vysledku se zda, ze Equifax a Globalsign jsou trusted a chyba je spise v cipher suites.

To je jednoducha otazka. Za SSL Labs stoji Ivan Ristic, autor modulu mod_security pro Apache (mimo jine) :)

„… V ostatních měřených disciplínách (než je důvěryhodnost certifikátu) dosáhla tato banka dobrých výsledků.“ A ty ostatní disciplíny jsou jaké? A jejich výsldky jsou jaké? Buď jsem pomalejší nebo jsem příliš velký laik na tento odborný článek.

1) Jednak Fio Banka zatím neposkytuje bankovní služby, jen brokera. Bankovní služby poskytuje Fio záložna. Ale předpokládám, že nastavení serverů bude stejné.
2) AXA má možná v tomto testu „A“, ale potvrzování SMS má tak zmršené, že je prakticky k ničemu.

V SMS posílají jen číslo platby a kód – nic víc. Takže vůbec neověříte, jakou platbu (cílový účet a částku) potvrzujete. Přitom to je hlavní smysl potvrzování nezávislý kanálem. Tak, jak je to udělané, to zajistí pouze nemožnost libovolného opakování platby.

Nemáte pravdu. Zajišťuje to, že člověk sedící u počítače a provádějící platbu má zároveň v držení Váš mobilní telefon. Tj. že pravděpodobnost toho, že nejde o útok, je mnohem vyšší.

Souhlas.
SMS potvrzuje identitu toho, kdo posílá…
SMS by neměla rozptylovat dalšími prkotinami, chci poslat platbu a ne donekonečna něco kontrolovat.
Číslo účtu si snad každý dokáže ověit přímo v prohlížeči a tam také vidí číslo transakce a číslo transakce vidí také v sms. Pokud by byla komunikace odposlouchávána, pravděpodobnost že by měl útočník ještě telefon je mizivá :-).
Když získá heslo a přihlašovací jméno nebo certifikát, tak se bez telefonu neobejde, musí ho mít fyzicky, nebo čekat až udělám převod, musí vidět co zadávám (přes vzdálenou plochu nebo přes nějaký typ keyloggeru, který by mu stisknuté klávesy předával například přes jabber…
Pak by mu skutečně stačilo udělat transakci s nějakou podobnou částkou a musel by mne předběhnout, aby mi jeho sms přišla jako první a já jí potvrdil v domnění, že se jedná o mojí transakci. Pokud bych však potvrdil, nesouhlasilo by číslo transakce s kódem, takže by se platba stejně neuskutečnila :-), musel by kód přenést k sobě a potvrdit platbu u sebe…
Navíc předpokládám, že snad není možné se k jednomu bankovnímu účtu přihlásit z dvou různých ip adres současně nebo mohou bránit duplicitnímu spojení…

Učinil jsem před pár měsíci dotaz na ČSOB, zda jimi provozané IB mi poběží na kombinaci Linux+FF. Musím konstatovat pokrok: před pár lety se mi dostalo odpovědi zhruba ve smyslu „Co je to Linux? Firefox?“. Už to vědí, to je pokrok. Nicméně po asi dvacetiminutové diskusi jsme se shodli na tom, že mi sice vnucují IB, ale „nevědí jestli mi to bude fungovat“, ale „jsou lidi kterým to takhle funguje“. Takže na poněkolikáté zopakovanou otázku „Dpobrá, tedy se shodneme na tom, že nabízíte něco, o čem nevíte jestli funguje…“ jsem získal vyhýbavé „ANO dalo by se to tak v tohhle případě říct“ a rozhovor jsem ukončil s tím, že jim možná zase za pár let zavolám; ale v případě, že se pokusí mě poplatky sankcionovat za to, že IB nepoužívám, budu se bránit… Je otázkou, zda by nebylo na místě přitvrdit, když tu tabulku vidím…

To je sice fajn, ale jak to souvisi s clankem? Clanek se nezabyva funkcnosti internetoveho bankovnictvi v OSS softwaru.

Děkuji za upozornění. Všiml jsem si. Možná že úroveň zabezpečení souvisí s úrovní podpory?

Jo, potvrzuju, ubuntu+chrome jde cajk

tak k tej tabulke a CSOB:
najskor som sa docela polekal :) ale kedze pouzivam IB len pre vypisy a nic ine, tak ma to zas tak netrapi. Lenze pozrel som sa na tu stranku kde to testuje a ked som tam zadal stranku pre IB ktora je https://ib24.csob.cz (nevim ci to autor vie), tak mi to vyhodilo 88 bodov. tak teraz neviem ci v clanku nebola nahodou testovana www.csob.cz ktora je v podstate len web. Ak mi ale nieco uniklo, rad sa poucim.

V tom linku na ssllabs je jasně uvedené ib24.

Tady si totiž někdo plete server Poštovní spořitelny s ČSOB. (i když se tyto banky tváří jako jeden subjekt)
Poštovní spořitelna
https://maxibps.postovnisporitelna.cz/
ČSOB
https://www.ib24.csob.cz/

V článku mi chybí lepší vysvětlení, jak se bodovala konfigurace SSL/TLS. Například mám dojem, že bodové hodnocení snižuje fakt, že server umožňuje použít slabší algoritmus, ačkoliv při vyjednávání algoritmu s klientem je obvykle zvolen jiný, silnější.
Zajímalo by mě, proč I.CA není v seznamech kořenových certifikačních autorit, když je to česká kvalifikovaná certifikační autorita a její certifikáty mají u nás úřední platnost.

Kriteria jsou z pohledu aktivniho MITM utocnika (ktery umi menit traffic). Protoze utocnik muze „vyjednat“ nejslabsi protokol nebo ciphersuite dovolen serverem (i klientem), bude si vybirat nejslabsi, ktery by umel prolomit. Tady dostavaji nizke hodnoceni ciphersuites se slabym klicem nebo anonymni key exchange (kde nedochazi k autentizaci, neochrani pred aktivnim utocnikem).
Plnou metodika jiz tady nekdo zminoval: https://www.ssllabs.com/downloads/SSL_Server_Rating_Guide_2009.pdf
BTW celkem pekny addon k Firefoxu je Perspectives (http://www.cs.cmu.edu/~perspectives/firefox.html), ktery slouzi k „overeni“ napr. self-signed certifikatu. Overeni v uvozovkach proto, ze overuje ze SSL certifikat nejakeho stroje je viditelny z ruznych mist internetu stejne jinymi stroji (tzv. notaries). Tudiz kdyz se neco lisi, tak je spatne (jasny znak aktivniho MITM); ovsem neplati nutne, ze kdyz jsou stejne, pak je vsechno v poradku.

Díky. Přehlédl jsem, že průměrují nejsilnější a nejslabší algoritmus. To co říkáte je pravda, ale to kritérium se mi stejně nelíbí. V klientovi právě bývají ty největší hrůzy zakázány, takže k jejich použití nedojde. Samozřejmě byla by stejná (nebo i větší chyba) hodnotit jen ten nejsilnější. Současné kritérium sice pěkně ukazuje, jak pečlivě se v bance věnovali nastavení SSL/TLS, ale nedá se z něho vyčíst bezpečnost vašeho spojení.
Perspectives používám. Kromě toho, co popisujete, to sleduje, jak dlouho se certifikát nezměnil, což umožňuje upozornit i na situace, kdy útočník sedí mezi serverem a internetem.

Jj, mate pravdu, kriteria jsou ad hoc, nicmene at by si zvolili libovolne bodove ohodnoceni, tak to proste „jednorozmerne“ nelze vyjadrit. Velke podstatne plus pro fakt ze maji pristupnou metodiku – muze se to zdat jako samozrejmost; nehlede na to mnoho „vyzkumu“ je bez zmysluplne metodiky (vysledky bez metodiky me zvedaji ze zidle)

ICA neni v seznamu korenovych CA protoze asi nechce
https://bugzilla.mozilla.org/show_bug.cgi?id=484171

Popis bodování je tam někde v PDF. A třeba když web při použití slabé šifry spojení neodstřelí, ale přesměruje uživatele na nějakou infostránku, tak to tento autotest vyhodnotí jak? Obávám se, že jako podporu slabé šifry a tedy body dolu, čili je to celé šaškárna.

Sice to nema nic spolecneho s prihlasovacimi udaji, ale mam ucet u Lloyds TSB a pred par tydny zavedli novy system autorizace pro provedeni platby. Platbu muzu provezt pouze tak, ze si nove cislo uctu pridam do seznamu ulozenych uctu. To lze ale udelat az po telefonickem overeni, takze abych mohl poslat penize nekomu cizimu, tak mi nejdrive z banky musi zavolat, overi si, ze jsem to opravdu ja a pak az muzu penize poslat. Na jednu stranu je to docela bezpecne, na stranu druhou hrozne komplikovane.

A admin pracuje zadarmo?

Vysvětlí mi někdo, z čeho plyne ta zmiňovaná bezpečnostní hrozba?


Nejsem žádný velký znalec SSL, ale z mého pohledu to, že server podporuje vedle bezpečných šifrování i starší, potenciálně slabé, ještě neznamená, že toto slabé šifrování bude použito. S přihlédnutím k tomu, že snad všechny současné prohlížeče slabá šifrování nenabízejí…


Takže ano, slabá šifrování v nastavení serveru nemají co dělat, jsem rád, že na to autor článku upozornil, ale jinak je bezpečnostní riziko de facto nulové a článek lehce ztrácí smysl.

Utocnik muze vyjednat slabsi sifrovani – viz nekdo vyse.

Kdyz jsem rozkliknul CSOB tak se ukazala znamka A s 88 body. Tak proc ma znamku F?

Pravděpodobně zrovna na kritiku zareagovali a chyby napravili. Před chvílí ještě měli F.

Tak rychle? :D. To se mi ani nechce verit. Za dalsi s jakou periodou se provadi to testovani?

U FIO je to samé; rychlá změna:
SSL Report: www.fio.cz (194.228.44.198)
Assessed on: Thu Jul 08 06:04:27 UTC 2010
Overall Rating: A 85

Těžko si lze myslet, že ihned po přečtení nějakého článku na nějakém rootu poběží správce serveru přenastavit bezpečnostní nastavení tak klíčové aplikace jako je IB, aby zlepšil hodnocení v nějakém testu. Za tu dobu by nestihl ani zorganizovat video míting s Belgií. Navíc podle rylís kalendáře se budou další změny aplikovat v listopadu… :-)

Mám pocit, že spíš testéři přidali GlobalSign mezi „trusted“ a tím skóre najednou vyletělo z nuly na 8×…

Podle screenshotu výše to tím není (GlobalSign byl „trusted“) a přesto dostala CSOB pětku.

Tak nevim – mam pocit ze EV certifikaty jsou jen dalsi pokus tahat lidem (firmam) penize z kapes do kapes certifikacnich autorit, ostatne stejne jako cele tohle X.509. Prilis nechapu proc bych mel verit nejake certifikacni autorite. Nebylo by jednodussi, aby mi banka dala rovnou pri zrizovani uctu fingerprint sveho verejneho klice? Samozrejme s tim, ze bych si mohl treba na nejakych keyserverech overit, ze jeste nekdo dalsi si mysli, ze toto je verejny klic me banky.
-Yenya

99 ze 100 útočníků si myslí, že tento klíč náleží vaší oblíbené bance :-D

https://www.ssllabs.com/ssldb/analyze.html?d=https%3A%2F%2Fcz.mbank.eu%2F

Dobry den,
jako Vas cim dal vice nespokojeny klient zadam vyreseni bezpecnostni chyby MITM na Vasich strankach „www.servis24.cz“
viz.:
https://www.ssllabs.com/ssldb/analyze.html?d=www.servis24.cz
Tato chyba umoznuje za jistych okolnosti ziskat jmeno i heslo.
Take prosim o zamysleni nad urovni zabezpeceni Vaseho online bankingu
- viz predchozi link – „Overall rating“
Dekuji Josef Prokop
…
Dobrý den, pane Prokope,
těší nás důvěra, se kterou jste se obrátil na klientskou schránku České spořitelny, a.s.
Děkuji Vám za Vaše upozornění.
Naše internetové bankovnictví je dobře zabezpečené. Vámi uvedená chyba v protokolu SSL nebyla v praxi využita, protože jejímu zneužití brání technicky náročný způsob provedení. Naše internetové bankovnictví není zabezpečeno jen šifrovacím protokolem SSL, ale celou řadou dalších opatření (povinné autorizační SMS, volitelné přihlašovací SMS a další), které účinně brání zneužití.
Samozřejmě situaci kolem nově objevené slabiny protokolu SSL stejně jako další poznatky v oblasti bezpečnosti pozorně sledujeme a jsme připraveni naše zabezpečení aktualizovat, jakmile to bude nutné.
V případě dalších dotazů a námětů jsme Vám samozřejmě nadále k dispozici.
S přáním příjemného dne
Barbora Adámková
Klientské centrum České spořitelny
<mailto:csas@csas­.cz>

pozn. V případě, že se rozhodnete reagovat na tento e-mail, ponechejte, prosím, veškerou dřívější komunikaci.
…
Dobry den,
dovolim si s Vami nesouhlasit v nekolika smerech.
Dekuji za informaci, ze Vase IB je dobre zabezpecene. Nyni muzu klidne
spat a jiz se nikdy nemusim obavat.
Bohuzel nejsem jediny, kdo o urovni Vaseho zabezpeceni ma pochyby.
(viz ssllabs z predchozi komunikace)
Nemate pravdu v tom, ze mnou uvedena chyba v protokolu SSL nebyla v
praxi vyuzita.
http://msmvps.com/blogs/alunj/archive/2009/11/09/1738717.aspx
http://msmvps.com/blogs/alunj/archive/2009/11/11/1739148.aspx
http://msmvps.com/blogs/alunj/archive/2009/11/18/1740656.aspx
Tento argument by mohl obstat u lokalniho webservru domaciho vyuziti.
Take argument „jejímu zneužití brání technicky náročný způsob
provedení.“ je vice nez usmevny.
O tom, ze SSL neni jedinym zabezpecenim jako uzivatel servis24.cz
samozrejme vim.
Jsem rad, ze situaci kolem nove objevene slabiny protokolu SSL stejne
jako dalsi poznatky v oblasti bezpecnosti pozorne sledujete a jste
pripraveni Vase zabezpeceni aktualizovat ihned pote, co tento bug bude
uspesne vyneuzit proti Vasim zakaznikum.
Josef Prokop
…
Dobrý den, pane Prokope,
děkuji Vám za Váš čas, který jste věnoval sepsání této připomínky.
Mohu Vás ujistit, že nepodceňujeme žádné nebezpečí a že zabezpečení služby SERVIS 24 Internetbanking nezaostává za novými poznatky a doporučeními v oblasti bezpečnosti.
Naše internetové bankovnictví není zabezpečeno jen šifrovacím protokolem SSL, ale celou řadou dalších opatření, a proto není možné využít tento nedostatek pro neoprávněné nakládání s prostředky klientů.
Pane Prokope, o situaci víme, monitorujeme ji a řešíme. Děkuji Vám za Vaše postřehy, které jsem předala kompetentním kolegům jako podání č. 1–3912470209.
Pevně věřím, že nám zachováte přízeň a že budete s našimi službami nadále spokojen.
V případě dalších dotazů jsme Vám nadále k dispozici.
S přáním příjemného dne
Barbora Adámková
Klientské centrum České spořitelny
<mailto:csas@csas­.cz>

pozn. V případě, že se rozhodnete reagovat na tento e-mail, ponechejte, prosím, veškerou dřívější komunikaci.

Koukám, to se tu vyrojilo expertů…Když chce někdo dokázat, jak je něco nezabezpečené, tak provede a zdokumentuje útok, ne?
Tyhle oblbující řečičky se sice hezky čtou, mohou vyvolat zdání, že na zabezpečení se kašle…ale v praxi provést útok, to tihle experti nedokáží…

Já to pochopil tak, že autorovi příspěvku který popisuje komunikaci s ČS asi nešlo o to udělat ze sebe „bezpečnostního experta“ ale o to ukázat jak na problematiku zabezpečení Spořitelna „háže bobek“. Co se týká vlastního „ostrého testu“, kdy by se pokusil uskutečnit útok, pravděpodobně by tímto pokusničením porušil zákon.
K autorizační SMS ČS – například při převodu peněz z debetního na kreditní účet není toto zabezpečení vůbec využito. Věřím že podobných výjimek by se našlo víc a ke zneužití by dojít mohlo.

moje komunikace s Ceskou sporitelnou nema s clankem nic spolecneho. Jen jsem si pri cteni clanku vzpomnel na usmevnou vymenu mailu s pani Adamkovou a tak jsem se podelil. Do Ceske sporitelny jsem psal z ciste sobeckych pohnutek, protoze u nich mam stale ucet. Bohuzel mbank, ktera je mou primarni bankou, nema mezinarodni identifikaci, takze by mi nemela kam chodit vyplata. Navic jsme museli MITM problem resit s nasim zakaznikem a na stole z pocatku bylo i pozastaveni IB a navic jsem byl zvedavy, jak se k problemu postavi konkurence.

Dobry den,
Zastupujem Saxo Bank a chcel by som podotknut na neuplnost informacii v tomto prieskume:
- Saxo Bank nerobi online bankovnictvo
- Zo Saxo Bank si moze vybrat peniaze iba na vlastny ucet a teda 3 osoba si nijako nemoze prist k Vasim peniazom ( funadamentalna zabezpeka je lepsia ako akekolvek sifrovanie;) )
- Na individualnej baze ponukame sifrovanie cez tzv grid kartu ( O com Root.cz nemoze nic vediet, pretoze to je dostupne len na poziadanie ). Od aprila 09 sme mali 0 poziadaviek na takuto sluzbu…
Dakujem za pozornost.

Toto je samozrejme vtip, ze? Nepouzivate diakritiku (ja take ne, ale nechvastam se, ze zastupuji banku, ktera by mela vypadat duveryhodne), zato pouzivate smajliky. A slysel(i) jste uz o tom, ze utajeni nerovna se zabezpeceni?

Zajímavé řešení na komunikaci s klienty má Hypoteční banka. Klient dostane PIN – 5ti místné číslo. Tento PIN slouží k ověření identity při volání na infolinku. Zároveň se tento PIN používá na „šifrování“ výpisu z hypotečního účtu, který je posílán e-mailem. Výsledek? Každý, kdo se k e-mailu dostane a PIN rozlouskne (stáhnutí dema passwordcracku + spuštění na zip soubor – 10 minut práce) se dostane nejen k výpisu z hypotéky, ale i k PINu, s kterým může provést majiteli účtu nějakou neplechu …
Nevěříte, stačí když mně svůj výpis pošlete ;-)

Přidávám informaci, že HB nepoužívá při předání mailu poštovnímu serveru SMTP+TLS…
Co je možné přes infolinku provést aktivního (nepěkného)?

Zajímavé, FIO má dnes najedenou známku a s 85 body, jak je to možné?

Videli clanek a zapracovali aby meli lepsi skore? :o)

poslal jsem jim email s linkem na článek a napsali mi
„Výsledek testu pomocí nástroje společnosti Qualys v žádném případě neodráží celkovou bezpečnost internetového bankovnictví ČSOB. ČSOB věnuje zabezpečení svých internetových aplikací dostatečnou pozornost, mimo jiné například simuluje útoky hackerů. Nedostatky, které v rámci těchto testů identifikujeme, jsou podle míry závažnosti postupně odstraňovány. Článek o bezpečnosti ELB jednotlivých bank náhodou vyšel v době, kdy ČSOB prováděla úpravu zařízení, takže se bezpečnost spojení mohla zdát narušena. Bezpečnostní standard elektronického bankovnictví ČSOB však dlouhodobě dosahuje velmi vysokých hodnot, není se tedy třeba obávat žádných výpadků“

Pro pobavení posílám vyjádření ČSOB:
Dobrý den,
děkujeme Vám za důvěru, s kterou se obracíte na útvar podpory Elektronického bankovnictví ČSOB.
„Výsledek testu pomocí nástroje společnosti Qualys v žádném případě neodráží celkovou bezpečnost internetového bankovnictví ČSOB. ČSOB věnuje zabezpečení svých internetových aplikací dostatečnou pozornost, mimo jiné například simuluje útoky hackerů. Nedostatky, které v rámci těchto testů identifikujeme, jsou podle míry závažnosti postupně odstraňovány. Článek o bezpečnosti ELB jednotlivých bank náhodou vyšel v době, kdy ČSOB prováděla úpravu zařízení, takže se bezpečnost spojení mohla zdát narušena. Bezpečnostní standard elektronického bankovnictví ČSOB však dlouhodobě dosahuje velmi vysokých hodnot, není se tedy třeba obávat žádných výpadků“
S pozdravem
…

Českomoravská stavební spořitelna internetové bankovnictví zatím nemá, takže tohle hodnocení bych nepovažoval až za tak relevantní… :)

Pokud by někdo hledal nějaký nástroj který umožní ověření šifrovacích algoritmů služeb běžících na jiných portech tak může zkusit SSL Cipher Enumeration and Scanning Project – http://code.google.com/p/ssl-enum/
Děkuji za upozornění na oblast kterou jsem trochu přehlížel.

Moc nechápu jak někdo může vypublikovat tu tabulku s hodnoceníma a neověřit si správnost výsledků. Několik z nich je očividně nesmyslnejch (viz ČSOB) a autor to klidně vypustí do světa. To mi přijde jako amatérismus, vážně by někdo uvěřil, že tak frekventovaně používaný bankovnictví od tak velký společnosti má 0? Nevim co dodat…

hlavne ze ty jsi expert…

Něco podobného už se diskutovalo: https://www.abclinuxu.cz/blog/jenda/2009/8/man-in-the-middle-nyni-jeste-primovejsi
Ad SMS: http://www.dsl.sk/article.php?article=9511 :-P

Stačí sniffovat GSM provoz někde, kde chodí bankovní SMS často. Centrum města například.
Osobně odhaduji, že alespoň třetina Windows počítačů v sobě má nějakého červa. Pak je pravděpodobnost, že jsem chytnul SMS a zároveň je počítač, na kterém je vykonávána ta transakce, děravý, docela vysoká.
Ale přiznám se, že kdybych chtěl rychle nelegálně získat peníze, tak radši napíšu nějaký phishing, který bude konečně správně česky a vůbec vypadat důvěryhodně.

Tak jsem si klikl na odkazy Volksbank a Royal Bank of Scotland, které mají v tabulce shodně 52 bodů, a obě se mi vrátily s výsledkem 85 bodů. Ehm .. neudělali náhodou soudruzi z NDR někde chybu? :)