Názory k článku Nenechte se okrást: sedm skutečných příběhů internetových podvodů

A na co jsi jim teda skočil? Nebo jsi zapomněl něco zmínit a byl tam něco dalšího než "vysvetlovali ze je nekde problem a ze budou vypinat elektrinu" a "kecali a kecali", třeba že jsi jim něco podepsal?

Ja jim to veril a zacali jsme neco zapisovat az kdyz chteli videt FA dosli mi.

Co je „FA“???

Faktura, v tomto případě za elektřinu.

Aha, myslel jsem, že je to fakľa.

Naprosto souhlasím.

Nebo je potřeba upravit UX výpočetní techniky tak, aby lid její používání chápal. Lidé zvládnou řídit auta i je potkávat na ulici, zvládnou používat televizi, telefon, mikrovlnku – přitom jaká složitá technika je za tím.

Mnohí ani tú televíziu poriadne nezvládajú. Už dvakrát som bol nastavovať telku u matkinej sesternice, kde bolo treba na settopboxe znovu spustiť (automatické) nastavenie Skylinku, lebo nejako prehadzovali kanály alebo čo. Ale ona (pravda, má po 60-ke, ale to dnes nič nie je) tam zvláda len prepínať kanály a meniť hlasitosť...

S tímhle se zdráhám souhlasit.
Dokud měli k internetu (a obecně IT) přístup jen znalejší lidi, vědci, studenti, tak to bylo IMHO mnohem lepší místo, než když má dneska k IT a internetu přístup každý BFU.
To kvůli BFU se musí ladit UX. To kvůli BFU se musí řešit všemožná bezpečnost, protože BFU se o sebe neumí postarat. To kvůli jednoduchým BFU se všechno zjednodušuje, což vede k dalšímu zjednodušování mozků BFU.
(Ale takhle podobně je to i s tou televizí, telefonem, autem - jak už praví dokola omletá hláška - dříve v manuálu k autu byl návod jak seřídit ventilové vůle a jak si ošetřit prahy, dneska je tam varování abyste nevypili obsah autobaterie)

Pod to bych se podepsal, hlavně pod to zjednodušování. Všechno špatně, hlavně pak když kvůli cílení na nemyslící masu výrobky přicházejí o vlastnosti, které by využili ti znalejší či náročnější.

cílení na nemyslící masu
Na druhou stranu nemyslící masa dokáže do odvětví přitáhnout obrovské peníze na další rozvoj.

Akurát ten rozvoj ide niekedy takým smerom, že len tá nemysliaca masa je s ním spokojná.

Už roky na trhu nevidím (nový) mobil, ktorý by mi vyhovoval. A aktuálny firemný EliteBook je síce tenší a ľahší (a asi o trochu výkonnejší) ako ten predošlý, ale okrem výkonu sú to vlastnosti, ktoré sú mi na prd (ak sa presúvam, tak autom, a s notebookom na kolenách niekde v lietadle nepracujem). Ale má len dva USB-A porty (bez dokiny ma to štve) a nemá ani čítačku SD kariet. A na vybratie baterky treba odšróbovať celý spodný kryt (naštastie na rozdiel od najlacnejších domácich NTB aspoň nie sú šróbiky pod gumenými nožičkami).

Gregor Fefor: Tohle je velice dobrý příklad toho, na co narážím.

Gregor Fefor: Porovnejte to ale také s výkonem, výdrží a cenou. Vyjmenováváte totiž jen věci, o které jste přišel, ale ignorujete ty, které jste získal.

Mimochodem, psát o „nemyslící mase“ nebo „BFU“ myslím vypovídá něco především o tom, kdo tyhle fráze používá. Pokud by o mně třeba lékař říkal, že patřím do nemyslící masy nebo jsem „BFP“, byl by to pro mne signál, že mne nedokáže léčit tak nejlépe, jak je to možné – protože k tomu potřebuje moji součinnost, a tu nemůže mít, když nechápe, že kdybych roky studoval medicínu, jako on, věděl bych to, co on, ale pak bych ho nepotřeboval. A že jeho úlohou je především přetavit poznání současné medicíny tak, abych z toho měl užitek i já, medicíny neznalý. Mojí úlohou je naopak ten obrovský pokrok ve světě jedniček a nul zpracovat tak, aby z toho měl profit i ten lékař, který se věnoval studiu medicíny a ne IT.

Pokud by o mně třeba lékař říkal, že patřím do nemyslící masy nebo jsem „BFP“, byl by to pro mne signál, že mne nedokáže léčit tak nejlépe, jak je to možné – protože k tomu potřebuje moji součinnost
Ono to asi záleží na rozsahu té součinnosti. Nějaká součinnost být musí.
Jeden extrém: "Tady máte šití a zašijte si to břicho sám."
Druhý extrém: "Bral jste ty léky, které jsem Vám předepsal?", "Měl jste tu nohu šetřit a ne běžet maraton.", "Těžko Vám mohu léčit CHOPN když kouříte jak fabrika.". Podobné je to i s těmi uživateli.

Zřejmě se nechápeme. Já nechci žádným způsobem ponižovat BFU, myslel jsem to jen jako terminus technicus.

Pointa ale byla jiná, a tu jste zřejmě nepochopil - totiž že jelikož BFU dneska má přístup k takovým prostředkům ke kterým bylo potřeba kdysi alespoň základní vzdělání a nebýt idiot, kvůli tomu se ty prostředky vzdalují nám, lidem co nemají v hlavě nasráno.

Zkusím Vám to přirovnat na jiném hypotetickém příkladu - představte si, že někdo přijde se speciálním skalpelem, kterým si budou moci nelékařští lemplové jako já vyoperovat apendix, nebo někdo přijde se speciálním přístrojem na monitoring životních funkcí, který nabídne mase.
Masa to přijme, začne to používat, a výrobci začnou tyhle věci přizpůsobovat běžným lidem. Po pár letech se stane, že onen skvělý skalpel je skvěle využitelný pro lempla, ale expert s ním má problém něco udělat. Ale na samooperaci apendixu je to fajn, nemusíte na nic myslet, on ten skalpel udělá přesně to co chcete, i když nevíte jak. K tomu budete mít přístroj na monitoring životních funkcí, který bude umět přesně to co vy z 99 procent potřebujete, ale expertovi jeho funkce nebudou stačit, protože je přístroj značně zjednodušen pro používání nelékařem.

A to je přesně to co se dnes děje se smartphony, laptopy a obecně IT i SW - a to co mám od začátku na mysli (a spousta lidí tady taky). Nějakou dobu byla v IT možnost si vybírat - jste expert, kupte si profi laptop s profi možnostmi. Používejte expertní SW, instalujte si vlastní aplikace vlastní cestou, spravujte si své zařízení podle potřeba. Jste lempl - kupte si Apple a nechte se hýčkat, my vám řekneme co je pro vás dobré a co špatné, my řekneme co s tím zařízením smíte dělat a co ne. Jenže s postupujícím času se ty rozdíly smazávají a čím dál více se to přizpůsobuje tomu běžnému uživateli, a logicky firmy nebudou dělat něco jen pro nás, pro experty. Kdyby celý trh byl plný expertů tak samozřejmě ano - ale tak to není, do IT vstoupila právě ta masa, které se teď výrobci a celý marketing přizpůsobuje na úkor nás.
Sorry, ale mě tohle už dlouhou dobu neskutečně vadí a jsem z toho hluboce rozesmut.

Podívejte, pokud po těch expertních nástrojích je poptávka, tak je někdo udělá. To je zákon trhu. Pokud se vyplatilo ten expertní nástroj dělat jen pro odborníky před příchodem mas, vyplatí se dělat jen pro odborníky i po příchodu mas. A skutečně tam, kde ty profi nástroje potřeba jsou a je tudíž poptávka, se dál dělají.

V oblastech jako notebooky nebo smartphony "profi" řešení mizí, protože i většina těch expertů se chce nechat hýčkat a používat zařízení pro masy. V Red Hatu máme vzorek tisíců IT expertů a hádejte, po jakém notebooku na práci je tady největší poptávka. Po modelech typu Macbook nebo X1 Carbon, ne po nějaké workstation laptop krabici, která má všechny porty, na které si pomyslíte. A není to tak, že bychom neměli na výběr. Ty "profi" řešení pořád v nabídce máme, ale i v takto technologicky zaměřené firmě je po nich poptávka malá. Ano, před takovými 20 lety měli v takové firmy všichni ty "profi" řešení, ale především kvůli tomu, že nebyla alternativa. Nyní je a i velká část expertů volí nohama.

„Podívejte, pokud po těch expertních nástrojích je poptávka, tak je někdo udělá. To je zákon trhu.“

Ano, všemocnost trhu tu jistého času zaváděl jako náboženství jeden pán. Já si myslím, že jsme měli 30 let na to z takovýchto naivních představ vyrůst. Vy zmiňujete zákon trhu, ale ideálního, který ovšem... neexistuje. Jen jedním z příkladů je dnešní nedostatek čipů, další by se jistě našly.

Jen jedním z příkladů je dnešní nedostatek čipů, další by se jistě našly.
Vždyť trh ten nedostatek čipů řeší. Nikdo soudný přece netvrdí, že trh vše vyřeší hned. Některé věci je prostě mnohem rychlejší vyřešit netržním zásahem – což dělá třeba EU, z čehož se pak mnozí mohou pominout a argumentují úplně stejně, jako ten pán, co tu zaváděl vámi zmiňované náboženství.

Nedostatek čipů není moc dobrý příklad. To je zrovna komodita, kde trvá roky, než rozjedete novou výrobu. Chtít po trhu, aby na nedostatek zareagoval v řádu měsíců, je něco, co prostě nemůže splnit. A v dlouhodobém horizontu? Měli jsme tady za posledních 20 let trvalý nedostatek čipů? Nemám ten pocit.

„To je zrovna komodita, kde trvá roky, než rozjedete novou výrobu.“
No a? To zrovna zákazníky moc nezajímá.

Tahle diskuse asi nemá smysl. Já bych taky chtěl být z Prahy v New Yorku lusknutím prstu místo desetihodinového letu a mohl bych si stěžovat, že mi to trh nedá a tudíž nefunguje, ale jaksi musím akceptovat realitu, fyzikální zákony a tak.

-> Eisch.
Trošku si sobě lžete - dlouho se vědělo, že závislost na několika výrobcích, ještě k tomu kdesi v Asii, je hovadina, takže bych naopak řekl, že tu trh dlouhodobě selhal. To není nic o fyzice.

Lidi chtěli čipy s nejlepším poměrem cena/výkon, čehož dosáhnete koncentrovanou výrobou u těch nejlepších. Nikdo nebyl ochotný si příplácet za diverzifikovanou výrobu odolnější vůči dodavatelským výpadkům. Trh dodával, po čem byla poptávka. Po zkušenosti s covidem už očividně zákazníci jsou ochotní si připlatit za nižší riziko. Jen výroba čipů není pečení rohlíků a přizpůsobení se změnám v preferencích zákazníků trvá déle.

výrobou u těch nejlepších
Měl jste na mysli spíš u těch nejlevnějších, než nejlepších, ne?

Těžko srovnávat nabídku podle kvality na světovém trhu, když v jedné zemi se platí minimální mzda a v druhé pracují političtí vězni, v jedné se platí emisní povolenky a v druhé se nosí roušky, aby se lidi neudusili všudypřítomným popílkem, přes který není vidět na krok, natož až k úplně kalné řece plné chemického svinstva... A pak tu máme dotovaný export a obcházení poštovních úmluv fiktivním odesíláním balíčků z rozvojových zemí.

Já nechci žádným způsobem ponižovat BFU, myslel jsem to jen jako terminus technicus.
Jenže on ten terminus technicus to ponižování má už v sobě označené. Je mi jasné, že vy to nepoužíváte se záměrem někoho ponížit, ale už samotné používání toho termínu svědčí o vašem pohledu na uživatele. Já třeba pojem „BFU“ nikdy nepoužiju v diskusi jako první a i když reaguju na nějaký komentář s „BFU“, snažím se to nepoužívat. Použiji to jedině v případě, když by použití jiného termínu bylo matoucí, protože by nebylo jasné, že tím myslím stejné osoby, které protistrana označuje jako „BFU“ – a v tu chvíli se diskutuje úplně o něčem jiném a diskusi by narušilo, kdybych do toho začal tahat to, že BFU nejsou žádní BFU.

Pointa ale byla jiná, a tu jste zřejmě nepochopil - totiž že jelikož BFU dneska má přístup k takovým prostředkům ke kterým bylo potřeba kdysi alespoň základní vzdělání a nebýt idiot, kvůli tomu se ty prostředky vzdalují nám, lidem co nemají v hlavě nasráno.
Já tu pointu chápu a silně s ní nesouhlasím.

Po pár letech se stane, že onen skvělý skalpel je skvěle využitelný pro lempla, ale expert s ním má problém něco udělat.
To je ale dost nepravděpodobné. Pokud je expert lepší než lempl, měl by přece zvládnout i to, co zvládne lempl.

K tomu budete mít přístroj na monitoring životních funkcí, který bude umět přesně to co vy z 99 procent potřebujete, ale expertovi jeho funkce nebudou stačit, protože je přístroj značně zjednodušen pro používání nelékařem.
To je ale něco jiného. Expert potřebuje nějaké funkce navíc – pak ale bude potřebovat speciální zařízení. Které asi bude podstatně složitější (expert má větší nároky), prodá se ho daleko méně kusů – takže bude také podstatně (často řádově) dražší, než to řešení pro laiky.

Což je zrovna v té medicíně častý případ. Nějaké profi zařízení dělá skoro to samé, jako zařízení pro laiky. Jenom má spoustu razítek o tom, že výrobce ručí za to, že to dělá za všech okolností a dá se na něj spolehnout. A to zařízení pak stojí tisíckrát víc, než to pro laiky.

V medicíně často lékař nebo nemocnice nemá jinou možnost, než takové zařízení koupit. V IT expert řekne „přece za to nebudu vyhazovat peníze, když to dělá skoro to samé, jako to zařízení pro laiky, ale je to desetkrát dražší“ – a pak si stěžuje, že mu to zařízení pro laiky nevyhovuje.

To ale není žádné spiknutí výrobců, není to ani žádné spiknutí hlupáků. Problém je jenom v tom, že expert nechce zaplatit odpovídající cenu za nástroj, který bude přesně odpovídat jeho požadavkům – místo toho si pořídí levnou náhražku a pak se rozčiluje, že je to levná náhražka.

Nějakou dobu byla v IT možnost si vybírat - jste expert, kupte si profi laptop s profi možnostmi. […] Jenže s postupujícím času se ty rozdíly smazávají a čím dál více se to přizpůsobuje tomu běžnému uživateli, a logicky firmy nebudou dělat něco jen pro nás, pro experty.
Ty firmy by to logicky dělaly, a některé to dělají – tam, kde je poptávka. Ale logicky ty firmy nedělají něco, co experti nechtějí zaplatit.

do IT vstoupila právě ta masa, které se teď výrobci a celý marketing přizpůsobuje na úkor nás
Ne, to není „na úkor nás“. My si za to můžeme sami, protože nevygenerujeme poptávku. Firmy logicky vyrábějí to, co dokážou prodat. Když je o něco zájem u expertů, firmy to obvykle nabídnou. Podívejte se třeba na Turris Omnia. Experti chtěli pořádný nabušený router a byli ochotní za něj dát 10× víc, než co stojí běžný router. Poptávka byla vyslyšena, i když ne běžnou firmou. Na druhou stranu nemyslím si, že by Turris Omnia bylo něco světově úplně unikátního – ostatně některé Ubiquity a Microtiky míří stejným směrem, a to je vlastně masová produkce. A stejně jako o Omnii asi neví nic v Jižní Americe, my nejspíš zase nevíme o tom, že v Jižní Americe nebo v Austrálii je někdo místní, kdo tuhle tržní niku obsadil.

No a pak jsou samozřejmě také experti, kteří si stěžují, že běžné routery neumožňují to, co by si představovali. Ale když jim někdo řekne o Omnii, opáčí, že se asi zbláznil, že nebudou dávat za router deset tisíc, když se dá koupit router za padesát korun.

Sorry, ale mě tohle už dlouhou dobu neskutečně vadí a jsem z toho hluboce rozesmut.
Chápu, že vám to vadí. Ale jak jsem psal, za to nemohou ani vaši „BFU“, ani výrobci. Můžete za to vy, že nechcete výrobci zaplatit tolik, aby se mu vyplatilo pro vás tu věc vyrobit. Protože cenu porovnáváte s cenou těch „šmejdů pro BFU“.

Já třeba pojem „BFU“ nikdy nepoužiju v diskusi jako první
Já to mám jednodušší. Jsem BFU a nestydím se za to. Zjednodušování pro BFU chápu, ač se mi někdy nelíbí. Také se mi nelíbí, když se z BFU dělá zboží a ne zákazníci.

Dokud měli k internetu (a obecně IT) přístup jen znalejší lidi, vědci, studenti, tak to bylo IMHO mnohem lepší místo, než když má dneska k IT a internetu přístup každý BFU.
Tak je to ale se vším. A stejně, jako vy byste omezil přístup méně znalých k IT, ti lidé se zase vyznají v něčem jiném a omezili by přístup vám k jiným věcem, protože je využíváte nedokonale.

To kvůli BFU se musí ladit UX. To kvůli BFU se musí řešit všemožná bezpečnost, protože BFU se o sebe neumí postarat. To kvůli jednoduchým BFU se všechno zjednodušuje, což vede k dalšímu zjednodušování mozků BFU.
Ve skutečnosti z toho ale těží i ti zkušení uživatelé. Některé věci prostě mohou dělat jednodušeji, takže s tím stráví méně času. Některé věci ve skutečnosti dělal špatně i ten zkušený uživatel, protože to prostě bylo buď špatně navržené, nebo v dané věci zrovna nebyl expert. A hlavně spoustu věcí dnes zvládnou lidé s menšími znalostmi, a experti se mohou věnovat věcem, na které jsou skutečně potřeba experti.

Zkrátka díky tomu, že věci, které mohl dříve dělat jen expert, dnes může dělat kde kdo, se lidstvo posouvá dopředu.

> A stejně, jako vy byste omezil přístup méně znalých k IT, ti lidé se zase vyznají v něčem jiném a omezili by přístup vám k jiným věcem, protože je využíváte nedokonale.

Myslíte jako že by třeba auto už nemohl řídit kdokoli, ale člověk by musel předtím složit nějakou zkoušku z řidičských schopností a znalosti předpisů?

Myslíte jako že by třeba auto už nemohl řídit kdokoli, ale člověk by musel předtím složit nějakou zkoušku z řidičských schopností a znalosti předpisů?
Ve skutečnosti dnes řidičák dostane prakticky každý, kdo chce. Laťka toho, co je potřeba reálně splnit, aby člověk mohl řídit auto, se neustále snižuje. Dnes už je řízení auta málem považováno za základní lidské právo.

To s tím řidičákem je taky ale podobný případ. To je právě ono - dneska dostane řidičák - povolení kdekdo. S automatem umí řídit auto kdejaká slečna nebo třeba i důchodce, které je naprosto jedno jakou teplotu má olej nebo voda v motoru. Jo, je to fajn, že můžou.

Ale stalo se to, že postupně výrobci přestávali dávat do aut teploměry oleje, pak teploměry vody. Ale to je jen vrchol. Kamarádovo BMW už nemá v autě ani nouzový zvedák, žádné základní nářadí - nic. Nejede to? Rozsvítí se kontrolka a do servisu. A je jedno, že to auto řídí znalý servisák, dokázal by si to zdiagnostikovat pomocí analýzy budíků a kontrolek a opravit pomocí základního nářadí. prostě do servisu se vším, hotovo.

A tak mám dneska moderní sportovní kupé, u kterého nevím, kdy na to můžu šlápnout, protože prostě nemá ukazatel teploty vody. A firemní služebáky neumí zapnout dálkové světla, pouze přepnout na "automatické dálkové", které prostě ve městě dálkově nesvítí, protože senzor se rozhodl, že je venku světla dost. A tak bychl mohl ještě dlooouho pokračovat. A nejen v oblasti aut, ale i v té oblasti IT.

Nejede to? Rozsvítí se kontrolka a do servisu. A je jedno, že to auto řídí znalý servisák, dokázal by si to zdiagnostikovat pomocí analýzy budíků a kontrolek a opravit pomocí základního nářadí.
No jo, ale má si 999 lidí kupovat a vozit s sebou neustále v autě nářadí, které nikdy nepoužijí, jenom proto, že tisící by ho někdy použil? Není lepší, když si znalý servisák to nářadí koupí zvlášť a vozí si ho jen on?

Ale hlavně jste myslím minul jednu podstatnou věc. Jak často bylo něco potřeba opravovat v době, kdy tam ty teploměry oleje a vody byly, a jak často je potřeba něco opravovat nyní. (A také jak bezpečné bylo dříve odstavit auto na krajnici a běhat kolem něj a něco spravovat – a jestli byste si na to troufl dnes.)

Ona ta auta jsou dnes mnohem komplikovanější – ale díky tomu jsou také mnohem bezpečnější, spolehlivější a efektivnější. Na což se rádo zapomíná. (Na zlepšení si snadno zvykneme a připadá nám samozřejmé, zhoršení si ale pamatujeme dlouho.)

které prostě ve městě dálkově nesvítí, protože senzor se rozhodl, že je venku světla dost
Myslím, že to nebude pro to, že je venku světla dost, ale proto, že správně vyhodnocuje, že by mohl někoho oslnit. Takže to, že auto nedovolí ta dálková světla rozsvítit, je evidentně správně, když nějakého řidiče napadne rozsvítit dálková světla i tam, kde by mohl oslňovat.

A nejen v oblasti aut, ale i v té oblasti IT.
Ono to ale v tom IT je stejné, jako s těmi auty – abychom se mohli posunout o sto kroků vpřed, bylo potřeba udělat v něčem jiném jeden krok vzad. Něco omezit, aby se bylo možné celkově posunout hodně dopředu.

To je hodně zkratkovité vnímání reality...

V "dobách odborníků" byl internet v plenkách a jestli byl "lepší" se dá těžko zhodnotit. Je to jako ptát se, jestli je lepší být malé dítě, teenager nebo dospělý - všechno má své pro i proti... Prakticky nic na něm nebylo, to co bylo, nebylo nijak zabezpečené. Jen díky "BFU" se podařilo rozvinout věci jako je nakupování přes e-shop, e-banking apod. Jen díky BFU se snížily výrobní náklady na síťový HW.

Nemluvě o tom, že těžko lze za BFU někoho označit jen proto, že neumí HTML a nemá vůbec grafický vkus. Dělba práce je tu s námi už od dob opičích prapředků, kteří si v tlupě rozdělili úlohy, kdo bude kojit a kdo lovit. Proto je normální, že komplexní internet vyžaduje hromadu odborníků od hardware až po design a sociální marketing. Opravdový problém je spíš neochota odborníků tlačit potřebu vzdělávání na úkor svých ekonomických výhod z toho, že neodborníka oblbují líbivými marketingovými sliby, aby si vydělali.

Reálný problém není samotný BFU, ale společenský úzus vzniklý z reklam Microsoftu a podobných firem v 90. letech, že počítač je pro každého a není potřeba se nic učit. Do té doby byl ke každému osmibitu návod a člověk se musel naučit aspoň Basic. Tím získal aspoň trochu nějakou motivaci se vzdělávat a místo hledání vlastních cest ve stylu zatloukání hřebíku rohlíkem si raději přečíst, jak uchopit kladivo nebo objednat služby řemeslníka.

Pak si kde kdo ukradne na internetu cracknutý Word nebo ještě hůř používá free verzi Office365, kde ten jejich Word je horší než poznámkový blok, a bez elementární znalosti typografie prasí i blbý dopis. Za to ale může reálně marketing, který ho přesvědčil, že to zvládne bez učení, společnost v čele s "odborníky", kteří vydávají software ovladatelný bez potřeby vzdělání se a bez korekce chyb uživatele a celý systém vzdělávání, který stále nepovažuje v roce 2022 psaní na počítači za základní gramotnost a nechá učit pedagogy, kteří nevědí, co učí. I u nás na kvalitním gymplu máme kolegy češtináře, kteří učí studenty, že každý odstavec textu začínáme třemi údery do mezerníku pro odsazení textu a novou stránku nebo obtékání obrázku řešíme opakovaným stiskem enteru...

Gratuluji k dokonalosti :-). To je první krok k tomu, abyste na něco naletěl. Přesvědčení, že "mě se to netýká, já umím přemýšlet", já přece splňuji "stačí nebýt úplný id*ot" je první krok k chybě.

Pro ilustraci: Jen za poslední rok se mi povedlo hned dvakrát sám sebe hloupě nachytat během online výuky. Stačí prostě být pod tlakem, dělat běžné věci automaticky a přemýšlet nad něčím jiným.

První situace: online výuka, 30 studentů na meetu, zoufalá snaha naučit je přes meet rýsovat v Geogebře. Po 20 minutách vysvětlování toho, proč je nutné dodržet postupy a vztahy mezi objekty, mě napadlo, že mám na online účtu nachystaný rys, který by mohl pěkně demonstrovat, jak funguje rys s dobře a špatně udělaným postupem. Tak jsem se prostě přihlásil... Až dodatečně mě pobavení studenti upozornili, že ještě než jsem spustil záznam přenosu (aby si to pak mohli v klidu zkusit znovu), jsem jim také chtěl pomoci tím, že jsem spustil program, který vypisuje stisknuté klávesové zkratky a akce myší. Ten samozřejmě opakoval i stisknutá písmena během zadávání hesla...

Druhá situace: V maturitním semináři z informatiky jsem ukazoval, jak funguje SMTP protokol, předváděl jsem to na telnetovém spojení. Spěchal jsem, už jsem měl končit. Tak jsem se přihlásil na svůj soukromý mail. Heslo koneckonců přece zadávám zašifrované, že... Nojo, jenže base64 je reverzibilní, což člověku hned nedojde, když je zvyklý všude ukládat ireverzibilní hashe...

Já si to odůvodňuji takhle: že jsem zatím nenaletěl je jen proto, že nejsem jejich cílová skupina. A to platí i pro všechny reklamní kampaně. Až na mě opravdu zacílí, dostanou mě :-)

Pro začátek byla naprosto nezvládnutá komunikace. Například já jsem ještě v říjnu vůbec nevěděl, jak trh s energiemi funguje, kromě mlhavého tušení že jsem četl o nějakých podvodech a že mi jednou volala koktající scammerka. A nebylo úplně jednoduché to zjistit. Ten problém se týkal milionu lidí, čekal bych několik dní po sobě hlavní článek na titulce všech zpravodajských serverů.

(mě se to netýkalo, zdědil jsem PRE od předchozího nájemce a neřešil jsem to)

Já jsem tedy těch článků četl v té době dost. Navíc, o to se měli zajímat lidi už když k "alternativnímu operátorovi" přestupovali - já jsem třeba už před vlnou krachů věděl, že pokud k něčemu dojde, tak je tu režim DPI.

To nemusel být přestup, stejně jako já jsem při uzavírání nájemní smlouvy tak nějak defaultně vyfasoval PRE, tak jsem mohl dostat nějakého Frantu odvedle (to fakt existuje).

Já jsem četl články typu „XYZ krachlo“, ale žádný článek s vysvětlením jak to sakra funguje. Ty pak byly - a to spíš takové náznaky - asi po měsíci na Měšci.

Jistě, já jsem si to vyzkoumal, ale tohle optimalizuješ na milion lidí, jistě BFU.

Jinak se přiznám, že třeba dosud nevím, jak to funguje, když mám tarif bez fixace. Kdy můžou změnit cenu, a jak zaúčtujou co jsem odebral před změnou a po změně, když elektroměr chodí odečítat jenom jednou ročně? Nebo to při změně cen přijdou na extra odečet?

> Dosud nevím, jak to funguje...

To máte napsané ve smlouvě. Že vy jste ji před podpisem nečetl?

Můžete udělat a odeslat samoodečet, nebo to aproximují podle odhadované křivky spotřeby. A nevím jak u vás, ale u nás jsou odečty častěji, než jednou ročně.

Udelas samoodecet. Uz to nastesti vsichni maji. Nekde musis dat i foto. A kdyz to nema ten dodavatel pak u distributora:
https://www.mobilnisamoodecty.cz/dom/webmodom/account/login.rails
https://dip.cezdistribuce.cz/irj/portal/anonymous/samoodecet/autorizace

Ne ja tomu s DPI chapu. Ale vsichni nasim starym rodicum vtloukame: nikomu neotevirejte, nic nepodpisujte, neverte. A ted tam pride nekdo s "pohadkou" o DPI. Vzdyt presne takhle vypadaji podvody s prepisem energii.

To chápu, ale nechápu, jaké tedy navrhujete řešení.

Nemam reseni. Spis jsem narazel na to jak davam vsude doporuceni "nikomu kdo zvoni u dveri neverte" a ono to neni takove sablonovite.

8. 2. 2022, 15:00 editováno autorem komentáře

Jo, ale AFAIK oni jim říkají "podívejte se na stránky PRE". Nepodepsat / nevěřit je OK, ale pak je to nutné zkonzultovat s autoritativním zdrojem a/nebo někým kdo se v dané oblasti vyzná.

Přepsat energie na sebe a oni budou platit. Je to docela dobre pravidlo do fw.

Ten P.O.BOX je na smlouve, cimz nabyva jine dulezitosti.
Stejne jako "never nikomu" plati, ale kdyz do prohlizece napisu "kb.cz" a dostanu https zabezpecenou stranku, tak se muzu domnivat, ze jde o Komercku. Kdyz mi nekdo posle, ze mam neco delat na komercka.cz nebo neco co neznam, tak budu na pozoru.

a pak ti příjde email z webu kb-servis.cz nebo odkaz vede na mojebanka.cz. Naštěstí zrovna KB na tohle poslední roky pracuje a sjednocuje, jen dobře.

Zmiňoval jsi P.O.BOX a ne to, že máš každou adresu ověřovat podle nezávislých zdrojů (ideálně smlouva, ověřený kontakt, doména). To je pak správný postup.

Případně se hlásíte na mojebanka.cz - a ono to nejde, protože prohlížeč vyhodnotí přesměrování na login na kb.cz jako podezřelé... ;oD

S tím clem se mi něco takového taky stalo:
Čekal jsem balíček z Šyny (drobnost testující nové clení), balíček šel dlouho (přes 2 měsíce), tak jsem si říkal, že to už asi nejde posílat. Pak jsem našel v poště e-mail požadující platbu za clení. Odesílatel byl z Ruska! V minulosti mi už některé balíčky přišly třeba přeposláním z Tbilisi, ale nebylo mi jasné, proč by mělo Rusko řešit clení. Smrdělo to natolik, že už jsem to dál nezkoumal, nechal to smrdět a testovací balíček oželel. Ten pak přišel dobrovolně za 14 dnů nato. Doteď nevím, co se stalo.

Vždyť ten explicitní souhlas přece dal rodinný příslušník, když si zřizoval ten účet.

Asi ne, když byl "associated" účet zřízen na úplně jiné službě ;-) a a nemusel nic poslat ani schválit, protože platbou na tom prvním aktivoval k placení po uplynutí lhůty i ten druhý. Co jsem vyčetl, toto je "standardní" praxe u nekalých podnikavců na hranici zákona - něco podobného jako když souhlasíte už tím, že po zvednutí telefonu někoho zrovna nepošlete do ...

Ano, můžete to tady na mě hrát tak, že jako v těch pravidlech to někde nakonec, tzv. "malým pod čarou" na 155. straně najdete, za mě je to pěkná pras...kulišárna a s jakýmkoliv kalým podnikáním nemajíce společného ani za mák. Co víc k tomu napsat ...

To pak dost závisí na konkrétním případu. Nicméně z prstu si ty údaje pro karetní platbu nevycucali.

8. 2. 2022, 23:22 editováno autorem komentáře

Automaticke obnovovani je v businessu bezne i kdyz to neni pro zakaznika vzdy ferove. Treba idnes.cz neponouka moznost predplaceni premium bez obnovovani.

Jeste horsi to bylo u nekterych US novin, kde kdyz mate predplaceny treba 1 rok jako 9 mesicu + 3 zdarma. Po uplynuti 9 mesicu se vam ozvou, ze se vam obnovi predplatne na dalsi rok. Tak automaticke obnoveni zrusite a oni vam spolu s tim zrusi i cele predplatne. A je to "ferove", ty 3 mesice totiz byli zdarma.

Že to nevíte, že se to nesmí, je OK, že to neví banka, u které to ověřujete, už je celkem na pováženou.

Ale není to tak jednoduché. SMS se pořád za určitých okolností může používat. Pro autorizaci přihlášení/plat­by/převodu se musí použít dva ze tří faktorů: 1. něco, co vlastním, 2. něco, co znám, 3. něco, co jsem. SMS se pořád může používat pro faktor č. 1. Pořád to ale musí banka doplnit o další faktor, tedy třeba o PIN, který znáte jen vy, nebo o váš ověřený biometrický údaj.

Každopádně SMS je snad nejslabší z prostředků pro ověření faktoru č. 1, takže pokud ho některá instituce pořád používá bez alternativy, raději bych se od ní držel dál.

Já bych rád alternativu - ideálně asi HW token - ale celkem nikdo nic nenabízí (a nejlíp ani ne tak k účtu, ale k brokerovi (používám Fio a Degiro)). (nemám smartphone, a vzhledem k bezpečnostní historii ekosystému Androidu si myslím že i kdybych si ho kvůli tomu koupil, tak to nebude lepší - leda si koupit kvůli bance iphone, nebo nějaký hodně highendový Android přímo od Googlu(?), ale zas tak bohatý se necítím :)

> vzhledem k bezpečnostní historii ekosystému Androidu si myslím že i kdybych si ho kvůli tomu koupil, tak to nebude lepší

Tak to se mýlíte (pokud budete potvrzovat otiskem prstu / face id, PIN je samozřejmě o ničem).

To mi může pomoct s tím kolik transakcí potvrdím (budu věřit, že to TPM malware nedokáže nějak prolomit), ale ne s obsahem transakce (malware si může na displej kreslit co chce).

malware si může na displej kreslit co chce
Kolik takových chyb v Androidu bylo? Kolik jich tam je nyní?

řádka jich byla :). Bohužel člověk nemá čistý Android, nadstavby od výrobců jsou na tom hůře, stejně tak jejich HW, najít bezpečný Android není snadné. Apple to má zajímavější, má jen několik řadu výrobků a všechny splňují poměrně vysoké standardy (v rámci oboru).

Teď třeba ve vzduchu běhá CVE-2021-0968 a kolik myslíš, že Android telefonů už aktualizací má a kolik myslíš, že jí nikdy neuvidí? Bezpečnostní skeny u app storů zatím ne dostatečně fungují a prochází aplikace, které má pod kontrolou útočník.

Teď třeba ve vzduchu běhá CVE-2021-0968 a kolik myslíš, že Android telefonů už aktualizací má a kolik myslíš, že jí nikdy neuvidí?
CVE-2021-0968 umožňuje útočníkovi přepsat obsah obrazovky, když potřebuje? Nevylučuju to, ale z popisu podle mne nic takového patrné není.

Bezpečnostní skeny u app storů zatím ne dostatečně fungují a prochází aplikace, které má pod kontrolou útočník.
Ano, ale to ještě neznamená, že je možné takové aplikace použít pro únos potvrzovacích údajů.

Mne by právě zajímala nějaká chyba v minulosti (nebo aktuální), která by umožňovala zneužít ty autorizační aplikace. Protože to, že je v Androidu dost bezpečnostních chyb, to všichni víme. Ale pro zneužití autorizační aplikace je možné zneužít jen některé chyby.

No právě CVE-2021-0968 (nebo třeba CVE-2021-0918 či ještě CVE-2021-0930) ti poskytno dveře k využití třeba třeba CVE-2021-1048, získat vyšší práva a poté manipulovat s aplikací, která řeší bezpečnotní tokeny. Stejně tak CVE-2021-1048 můžeš získat s instalovanou aplikací, je app storu jich je ještě řada neopravených (a reportovaných do Googlu). To se bavíme o zranitelnostech z posledních měsíců a obě dvě jsou aktivně zneužívány a živé.

..., 11:56: Pořád v tom výčtu nevidím evidentní cestu, jak ty chyby zneužít k autorizaci falešné transakce. Netvrdím, že to nejde – a vím, že v bezpečnosti platí, že to, že já neznám konkrétní způsob, jak něco napadnout, neznamená, že neexistuje. Nicméně tady se bavíme o tom, co je reálně zneužitelné. Původní vyjádření jsem chápal tak, že existují známé způsoby, jak potvrzovací aplikace napadnout. Z uvedených příkladů mám ale dojem, že je to jen „nelze vyloučit, že kombinací různých chyb by se dalo docílit podepsání falešné transakce“. On je totiž výrazný rozdíl, jestli řešíme to, že útočník může nějak (jakkoli) v mobilu škodit – a když pak řešíme, jestli dokáže unést konkrétní potvrzení transakce, tj. jednu specifickou akci prováděnou v několika konkrétních aplikacích.

Reálná bezpečnost nezáleží jen na technické bezpečnosti, ale také na použitelnosti. Nepotvrzování transakcí zadaných na PC nebo jejich potvrzování pomocí SMS vůbec nebudu brát v úvahu, to je méně bezpečné, než chytrý mobil. Pak připadají v úvahu ještě šifrované SMS a aplikace v SIM toolkit – ale podpora SIM toolkit v tlačítkových telefonech nebyla úplně ideální, v chytrých mobilech ještě klesla k hranici nepoužitelnosti, takže dnes už to ani operátoři nepodporují. HW tokeny jaké se používaly před dvaceti lety (opíšu číslo účtu a částku do tokenu, opíšu kód z tokenu do PC) jsou pro běžné uživatele nepoužitelné a byly by dražší, než mobil. Kdyby měly být přívětivější, mít v sobě čtečku QR kódů a ovládat se dotykovým displejem, vyjde nejlevněji upravit nějaký existující mobilní telefon s Androidem. Lidé by pak ale oprávněně namítali, proč u sebe mají kvůli bance nosit druhý mobil, který jim k ničemu jinému není. A kdybyste lidem takhle internetové placení zkomplikoval, budou ho používat méně – což by se samozřejmě bankám nelíbilo. Případně budou víc používat věci jako PayPal a podobné, které mají horší zabezpečení, než internetové bankovnictví, takže tím si s bezpečností také nepomůžete.

Takže mi z toho vychází, že zabezpečení pomocí potvrzování v mobilu je nakonec docela vhodné řešení. Pro uživatele to není moc otravné, takže to používají (je to akorát tak na hraně „chce to po mně něco na víc, takže je to určitě bezpečné“) a neodchází k jiným ještě méně bezpečným systémům. Nenapadá mne, jak to prakticky udělat lépe.

v tomhle jsem také spíše uživatel, ale zrovna CVE-2021-1048 způsobil pěkný poprask, i decentní zpráva v Android Security Bulletin:

There are indications that CVE-2021-1048 and CVE-2021-0920 may be under limited, targeted exploitation.

Ukazuje, že reálně se používá. Umožní aplikaci získat systémová oprávnění a pak samozřejmě je možné komunikovat s jinými aplikacemi. Má dost vysoké score a tlak na její opravu byl značný.

„Komunikovat s jinými aplikacemi“ mi nepřipadá jako tak vážné riziko, zejména když potvrzovací aplikace nejspíš nebudou mít vystaveno moc komunikačních bodů, přes které by s nimi bylo možné komunikovat. Nejsem si jist, zda CVE-2021-1048 znamená, že je možné spustit libovolný kód s právy roota – tam by pak hrozilo, že to třeba přepíše data zobrazovaná aplikací. Nezpochybňuju závažnost CVE-2021-1048, nicméně ty potvrzovací aplikace dělají pár jednoduchých věcí, takže vektorů pro útok není mnoho.

-> Jan Hrach:
„To mi může pomoct s tím kolik transakcí potvrdím ..., ale ne s obsahem transakce (malware si může na displej kreslit co chce).“

Pane, takovéto kacířské poznámky sem nemůžete vkládat.

Ten HW token mi přijde jako jediná rozumná alternativa. Aby mi někdo nutil smartphone jenom proto, že si myslí, že ho má úplně každý, je dost zcestné a ten HW token je navíc s bezpečností ještě někde úplně jinde.

HW token má složitou použitelnost s mobilními telefony (přibývá lidí, kteří nemají počítač), stejně tak je složitá použitelnost na cizích počítačích jako např. v práci (nemá se, ale lidé se přihlašují k bankovnictví všude možně).

Další úskalí je cena, HW tokeny stojí pořád několik stovek a je otázka, kdo to bude hradit.

S bezpečnostní to nemusí být také nijak veselé, při ukradení/ztrátě peněženky zpravidla příjdu i o HW token, poté se dostat na účet může být pro útočníka snadné. HW token s pinem je další komplikace (buď pin zadávám na straně počítače, je to tedy zranitelné na MitM útoky a zároveň potřebuji SW na straně počítače nebo HW token má display a klávesnici, poté řeším cenu, přístupnost - pro lidi s horším zrakem, menší citlivostí prstů atd. a hlavně také řeším vymačkání kláves, protože pin je pořád stejný).

Není to jednoznačné, současná volba aplikací není špatná, škoda, že se zatím neprosadily moc univerzální aplikace, na trhu ani ten výběr není velký.

Abych to upřesnil - pro mě je zásadní možnost volby. A pokud mi bude někdo nutit autentizaci nějakou mobilní aplikací, tak pohoří.

HW token je s bezpecnosti jinde; ne vzdy lepe.

U potvrzeni platby prez mobil vidim cas, castku, cilovy ucet. Mozna mi nekdo hackne mobil, ale hacknout up to date PC a mobil a sparovat je z pohledu utocnika, to neni jen tak. Nevim o malwaru, co by to nekdy delal.

HW token nikdo nehackne, ale kdyz ziska pristup k PC, tak vam prakticky libovolne zablokuje vasi dalsi transakci nebo ji presmeruje jinam. Mozna i s jinou castkou. Zobrazeni jineho uctu a castky malware dela bezne.

Slovenská Tatra Banka mala kedysi dávno "kalkulačku", kam človek vložil platobnú kartu, zadal tuším číslo účtu (alebo nejakú jeho časť) a sumu (a PIN), a to mu vygenerovalo kód pre tú konkrétnu platbu. Bolo to prakticky nepriestrelné, ale užívateľsky otravné ako yperit.

Ďalší vývoj som nesledoval, lebo hneď po "zmene poplatkovej politiky" pred asi 10-timi rokmi som od nich ušiel.

HW token nikdo nehackne, ale kdyz ziska pristup k PC, tak vam prakticky libovolne zablokuje vasi dalsi transakci nebo ji presmeruje jinam.
Nepřesměruje. Když se bavíme o HW tokenu, bavíme se doufám o něčem takovém, s čím začínala Expandia Banka (později eBanka, pak ji koupila Raiffeisenbank). Vypadalo to jako kalkulačka – číselná klávesnice s displejem. Tam jste zadal číslo účtu, částku a konstantní symbol, na základě toho „kalkulačka“ vygenerovala jednorázový kód, který se opsal do bankovnictví.

Autorizace transakce, u které nepotvrzujete alespoň tyhle tři údaje, by byla k ničemu.

Výrobní náklady HW tokenu budou vyšší, než výrobní náklady na mobilní telefon. Navíc bude mít HW token nejspíš podstatně horší UX a tím i bezpečnostní funkci – asi nebudete mít na tom HW tokenu 5" barevný displej, na kterém se pohodlně zobrazí údaje o transakci.

Takže nedává smysl takové HW tokeny řešit. Pokud nemáte chytrý mobilní telefon, nebo ho nechcete používat pro potvrzování transakcí, pořiďte si levný chytrý mobilní telefon, nepřipojujte ho do telefonní sítě ani k WiFi (mimo úvodní instalace) a používejte ho jako ten HW token. Pořád to bude levnější a funkčně to bude to samé.

> nepřipojujte ho do telefonní sítě ani k WiFi (mimo úvodní instalace) a používejte ho jako ten HW token

To funguje offline?

> Výrobní náklady HW tokenu budou vyšší, než výrobní náklady na mobilní telefon.

Tak třeba Bitcoinové tokeny (Trezor, Ledger) jsou minimálně nastejno a to je v tom hromada vývoje v prostředí mnohem nepřátelštějším než banky; samotný HW (mikrokontrolér + displej) stojí úplný pakatel.

(ale jo, asi tuhle cestu zvážím)

To funguje offline?
Ty rozumné fungují i offline. Standardně fungují online (je to pohodlnější, uživatel nemusí nic přepisovat), ale dají se přepnout i do offline módu.

Tak třeba Bitcoinové tokeny (Trezor, Ledger) jsou minimálně nastejno a to je v tom hromada vývoje v prostředí mnohem nepřátelštějším než banky; samotný HW (mikrokontrolér + displej) stojí úplný pakatel.
Nejlevnější Terzor, který jsem našel, je Model One za 1750 Kč, a to nemá klávesnici. Nejlevnější nové mobily s Androidem má CZC za 1590 Kč, Alza má jeden kus za 1390 Kč. Právě proto, že levný mobil s Androidem stojí ještě o pár pětek míň, než úplný pakatel, nestojí za to vymýšlet nějaké jiné řešení.

Mně by to za to stálo.

Prosim vysvetlite mi co sa deje v kroku 4:

1. Prihlasim sa do IB
2. Spravim prevod danej ciastky na dany ucet
3. Prepisem kod z SMS danej ciastky na dany ucet
4. ???
5. Bol som podvedeny

Ze zásady se do bankovnictví nepřihlašuji z mobilu a nemám nainstalovanou aplikaci své banky. Proč by mě nemohli ověřovat přes SMS?

Mobil je jiný další prostředek, který mám (splňuje pravidlo 1) a je to nejspíš jediný prostředek z toho "co mám", co může banka použít... Jasně, že by bylo lepší použít kvalifikovaný osobní certifikát, ale tam je riziko velmi snadného kopírování, což u sim není tak žhavé (jo, jde to, ale neumí to každý). No a HW token jsem si chtěl pořídit už před delší dobou, ale dost mě odrazují ceny a nulový výběr.

Naposledy jsem o HW tokenu uvažoval v souvislosti se zabezpečením KeePassu, ale pak jsem dospěl k závěru, že mít jako povinný zabezpečovací prvek kus HW, který se snadno poškodí nebo ztratí a neexistuje způsob, jak ho "zachránit" nebo duplikovat při poškození/ztrátě, není dobrý nápad.

> Proč by mě nemohli ověřovat přes SMS?

Protože to není bezpečné. SMS se dají útokem na mobilního operátora přesměrovat k útočníkovi. A na rozdíl od AFAIK teoretických útoků na zabezpečení TPM v mobilu, takovéhle útoky už reálně proběhly.

Mobil je jiný další prostředek, který mám (splňuje pravidlo 1)
Jenže SMS neověřuje, zda máte mobil, ale zda jste schopen přečíst SMS zaslanou na dané číslo. A to bohužel kromě vás zvládne i spousta dalších lidí.

Jasně, že by bylo lepší použít kvalifikovaný osobní certifikát, ale tam je riziko velmi snadného kopírování
Ne, pokud je privátní klíč uložen na tokenu nebo čipové kartě, je prakticky nemožné zkopírovat ho.

což u sim není tak žhavé
Jenže pro přečtení SMS není potřeba kopírovat SIM. Za prvé mají k SMS přístup zaměstnanci operátora, za druhé není tak těžké přesměrovat SMS na jiné zařízení.

No a HW token jsem si chtěl pořídit už před delší dobou, ale dost mě odrazují ceny a nulový výběr.
Když se bavíme o potvrzování bankovních transakcí a HW tokenu, je to jiný token, než token pro „pouhé“ uložení privátního klíče.

Jenže pro přečtení SMS není potřeba kopírovat SIM. Za prvé mají k SMS přístup zaměstnanci operátora, za druhé není tak těžké přesměrovat SMS na jiné zařízení.
Víte o nějakém případu, kdy by zaměstnanci operátora zneužili ověřovací SMS? Jak se provádí to přesměrování SMS na jiné zařízení? Jde to udělat jen přes operátora nebo je nutné něco nainstalovat na mobil? Kdyby telefon nebyl připojen k internetu, tak by SMS byla přeposlána na nějaké anonymní číslo, jehož majitele nelze identifikovat?

k přesměrování sms, tady je popsaná jedna z technik https://attack.mitre.org/techniques/T1449/, probíhá to na úrovni samotného SS7 protokolu a v tomhle případě je nutné být na stejné buňce.

Naši operátoři mají dobře technicky vyřešený přístup k samotným sms, takže minimum lidí se tam dostane. Zprávy ze světa, ale tenhle typ útoků zmiňují často. Ale i u nás je poměrně častý útok "sim swap", kdy útočník donutí operátora vydat novou sms jemu do ruky.

Víte o nějakém případu, kdy by zaměstnanci operátora zneužili ověřovací SMS?"

Zneužití ve vlastním zájmu se asi tak často neděje, ale celkem běžné je to v součinnosti s policií, což v zemích, kde policie nejde jen po opravdových zločincích, není úplně příjemné. Např. Telegram varoval lidi žijící v takových zemích, aby si nastavili heslo jako další faktor, protože pozorují nabourávání do účtů skrze odchycené sms ve velkém rozsahu.

Jak se provádí to přesměrování SMS na jiné zařízení?

Těch způsobů je celkem dost. Operátoři to mají nejsnadnější, protože sms putuje přes jejich servery a sítě nezašifrovaná. Pak v některých zemích existují firmy, které nabízejí služby kolem sms a zajistí vám přesměrování po celkem směšné autorizaci z cizího čísla. Stojí to pár dolarů. Pak existují útoky, které dokáží zachytávat sms ve stylu MITM útoků (fake BTS apod), tam je ale omezení, že musí být v dosahu cílového telefonu. A pak jsou tu útoky přímo na zařízení. Když máte kontrolu nad telefonem, je přeposílání sms to nejmenší, rozhodně to je jednodušší než manipulovat s těmi mobilními klíči. Ty mají typicky zabudované mechanismy, jak různé napadení zařízení detekovat.

GSM je plný starých a děravých protokolů, které hackerům nabízejí velké pole pro kreativitu.

Taky nevím o tom, že by se to SMS nesmělo potvrzovat.
Mám účet u dvou bank - u jedné musím přepisovat SMS při potvrzování plateb, u druhé banky (KB) musím přepisovat SMS už jen při přihlašování do bankovnictví.
Já osobně to vyloženě nesnáším, musím hledat mobil pokaždé, když se chci podívat na zůstatek. Někdy když ho někde zapomenu nebo vytratím, tak se do banky nedostanu třeba několik dní.
Jo a několikrát už mi bankovnictví zablokovali, protože mi potvrzovací SMS chodily pozdě, a já přepisoval staré kódy.
(sranda je, že např. KB mojeplatba se dá tím SMS kódem shodit, mají nedokonale ošetřené vstupy)

U KB si můžeš nastavit jejich KB Klíč aplikaci a nemusíš opisovat sms.

No jo, ale jak mi to pomůže od toho, že musím mít zároveň u sebe PC i mobil? (navíc nemám smartphone). Do Android Emulátoru se mi KB klíč nepodařilo nahrát, stejně tak např. ani Revolut, kde mám peníze ke kterým se nemůžu už delší dobu dostat.

Nerozumím tomu. Do banky se se samotným telefonem zřejmě dá dostat, PC k tomu nepotřebuju. Naopak když se chci do bankovnictví dostat přes domácí PC, tak musím hledat ještě mobil.

Protože mobil má TPM čip, PC ne.

nepleteš si to? Spousta poučítačů má TPM a dnes to je již poměrně běžné, naopak neznám ani jeden telefon, který by měl TPM.

V rámci adroid světa google poskytuje SafetyNet API, které podporuje řadu HW uložišť bezpečnostních údajů, používá to třeba i Google Pay. Aplikace pak má k dispozici třeba i SafetyNet Attestation pro zjištění aktuální úrovně bezpečnosti a může si nějakou úroveň podmiňovat.

Nevím, jestli se tomu říká i u mobilů TPM, IMO ano. Prostě HW kryptografický modul. Má ho snad každý Android s čtečkou otisků prstů a iPhone s FaceID.

Je fakt, že PC má podobný čip, ale tam chybí to napojení na otisk prstu / face recognition, plus tam není zdaleka takové oddělení aplikací, takže tam se dostatečně bezpečný scénář bez dalšího HW udělat nedá.

Teď koukám, že podrobněji to rozebral kus pode mnou pan Jirsák.

chápu, jestli to myslíš takhle, tak ano, mobilní telefony mají často daleko lépe vyřešenou end to end bezpečnost pro bezpečné potvrzování čehokoliv než samotné PC.

Já se zarazil na tom termínu TPM, protože to je protokol, který je primárně pro PC a není vhodný pro multi aplikační použití v mobilech.

Je to paradoxní, ale dříve to bývalo přesně naopak, ale mobilní telefony prostě vyrostli a dneska z nich začínají být bezpečné pevnosti, což jsem rád.

To TPM má nějak samostatnou linku k displeji? (co jsem viděl útržky z různých článků tak mi přišlo že ne) Nebo jak se řeší aby OS nekreslil na obrazovku divadlo?

TPM není způsob, jak se chránit proti zlému OS. Je to způsob, jak se může proti útočníkům chránit OS.

Vyzkoušeno: VirtualBox + Android + SmartKlíč.
Funguje. Před potvrzením platby je dobré tu virtuálku nastartovat, někdy je to časově "na hraně".

Nerozumím tomu. Do banky se se samotným telefonem zřejmě dá dostat, PC k tomu nepotřebuju. Naopak když se chci do bankovnictví dostat přes domácí PC, tak musím hledat ještě mobil.
Protože hardware + OS mobilních telefonů umožňují to zabezpečit na dostatečné úrovni – mobil má bezpečný čip TPM, OS k němu nepustí každou aplikaci a aplikace si nemohou jen tak kreslit po obrazovce, jak chtějí.

Hardware PC + OS takové zabezpečení neumožňuje – není možné na PC udělat takovou aplikaci, která bude mít data uložená bezpečně tak, že se k nim žádná jiná aplikace nedostane, a navíc ještě zaručit, že žádná jiná aplikace nebude kreslit na obrazovku a vydávat se za tu bezpečnou aplikaci.

Ceho se bojite vic? Napadeni signalizace gsm/3g/SS7 nebo toho ze vam zakerna appka vyzere sms? To riziko napadeni ss7 je fakt uvnitr CR dost male.
Vtip je v tom, že k napadení českého čísla může dojít i mimo ČR.

Jasne, do kazdeho trezoru se da vloupat, ale do tech dobrych se vloupa jen malo zlodeju.

Pokud bude stat ucit, ze mame zadavat sve udaje na kazdy web co mi v odkazu prijde smskou, pak nelze ocekavat ze se lidi nauci neklikat na kazdou ptakovinu.

U karantény je nutné informaci doručit co nejdřív. V DS si tu zprávu můžete přečíst za dva týdny a to už bude poněkud zbytečná.

DS jde číst z mobilu, oznámení o příchozí zprávě chodí na mail. Člověku to tak může trvat maximálně o pár minut déle než u SMS. Kámen úrazu bude spíš v tom, že DS má u nás jen 300 tisíc fyzických osob, to není ani 5 % dospělé populace. Dokud to nebude mít skoro každý, nedá se to na tento typ komunikace použít. A když to chce stát DS zavést každému, tak se zase zvedne vlna odporu, protože a protože... Tenhle boj nejde vyhrát. :-)

> Člověku to tak může trvat...

Problém je v tom "může". Může se to dozvědět hned, ale jen když má nastavené upozorňování. SMS je přeci jen spolehlivější.

To chápu, já spíš poukazuji na to (pokud ten zákon chápu správně), že mohu být pokutován za to, za co nejsem vlastně právně postižitelný. U DS mohu, protože když mi nařídí ji vybírat, tak nemohu nic jiného (zřizovatel je stát), stejně jako další identifikace a vosery (tečka apod). Ale mít povinnej GSM a být povinen jej neustále vybírat a zodpovídat za funkci a přitom si jej platít z vlastní kapsy, to je neuvěřitelný. To je jako bych musel na vlastní náklady udržovat cestu, aby ke mě mohla poštovní doručovatelka s modrým pruhem...
Ale třeba ten zákon čtu špatně.

uživatelé by podle dosaženého vzdělání dostali přístupy k různým službám vyžadujícím danou úroveň.
Takže třeba pro přístup k elektronickému bankovnictví by uživatelé museli skládat nějakou zkoušku? To by se asi bankám nelíbilo...

„Takže třeba pro přístup k řízení automobilů by uživatelé museli skládat nějakou zkoušku? To by se asi automobilkám nelíbilo...“
Co dodat...

„Takže třeba pro přístup k řízení automobilů by uživatelé museli skládat nějakou zkoušku? To by se asi automobilkám nelíbilo...“
Já bych to přecejen oddělil. Banka to elektronické bankovnictví může udělat tak, aby nešikovný uživatel poškodil jen sám sebe. U auta však nešikovný řidič může poškodit spousty dalších řidičů i neřidičů a není tak jednoduché mu v tom zabránit.

„Já bych to přecejen oddělil. Banka to elektronické bankovnictví může udělat tak, aby nešikovný uživatel poškodil jen sám sebe. U auta však nešikovný řidič může poškodit spousty dalších řidičů i neřidičů a není tak jednoduché mu v tom zabránit.“

Jo, ale to tady řešit nechci, to mají řešit ty úrovně přístupu. A pozor, nepodceňoval bych lid, důkazem je tolik probírané vymýšlení ochran blbců.

a nepovede tohle jen k černému trhu internetových služeb? Není lepší prostě systémy tak zjednodušit, aby se nemuseli složitě školit? Zajistit takovou transparentnost, abych nemusel rozumět email hlavičkám, PKI a TLS atd.

Určitě, stejně jako např. se zbraněmi. Ale to už je mimo zákon a postižitelné.
Každá činnost má nějakou složitost, tudíž vyžaduje nějaké znalosti, jinak hrozí škoda. Až to bude tak jednoduché, aby lid nemohl nic zku*vit, pak to třeba půjde i bez vzdělání, zatím tomu tak zjevně není.

Co je „email hlavičkám“, netuším.

Každá činnost má nějakou složitost, tudíž vyžaduje nějaké znalosti, jinak hrozí škoda.
A opatření se stupňují podle toho jak velká škoda komu hrozí.

A mimochodem:
Pokud jsem si všimnul, svět se nezjednodušuje, ale komplikuje (často úplně zbytečně).

svět se nezjednodušuje, ale komplikuje
S úmyslem zjednodušování si svět komplikujeme.
A čím víc toho víme, tím víc vidíme, jak moc toho ještě nevíme :-)

Bohužel, pro spoustu lidí paradoxně do určité míry ano. Měli totiž dost ořezané svobody, což mimochodem znamenalo, že stát určoval, co je pro ně dobré a co jak budou dělat, takže nemuseli nic řešit, nic rozhodovat, nad něčím přemýšlet. Ač je to smutné, hodně lidem to tak vyhovuje.