Vlákno názorů k článku Potřebuji chytrý telefon, ale nechci ho, pouštím mobilní aplikace v Linuxu od Michal Smrž - A co takhle změnit banku? Také setrvávám u...
-
Potiz je, ze pomalu nebude banka, ktera by te nenutila do pouzivani nake "chytre" aplikace. Zrovna pred tydnem sem dostal mail ze taky moje banka v listopadu konci s potvrzovanim pres sms, a uz to pujde jenom pres apku.
Samozrejme, ohaneji se tam vyrazy jako bezpecnost a komfort, a ze je to jen pro moje dobro, ale ja opravdu nevim proc bych mel na kazdou ptakovinu mit zvlast dalsi aplikaci.
-
L.Stříbrný podporovatel
Jednorázové klíče jsou použitelné pro přihlášení, ale pro podpis platebních příkazů jsou nevhodné, protože nedokáží ověřit, co podepisuji (pokud malware příkaz zmodifikuje, tak to nezjistím).
Navíc není pravda, že nestojí nic - je to řešení jako každé jiné, které je potřeba vyvinout, otestovat a udržovat: Což se kvůli těm pár exotům, co by to byli ochotni používat, nevyplatí.
-
"Což se kvůli těm pár exotům, co by to byli ochotni používat, nevyplatí."
________
Exotům? Vždyť nejpoužívanější standard TOTP, je přímo od Googlu, a používají ho snad všechny kryptoburzy na světě a i některé banky (např. investiční Saxo bank). A tam jde o větší peníze, než má na účtu takový průměrný český internetbanker. -
panikaStříbrný podporovateldlouhodobe me stve rb(nejen kvuli nanuceni autentifikatoru, ale i dlouhodobe tragicka uroven uzivatelske podpory), tak jsem na zkousku vyrobil druhy ucet u fio a tam chodi pres sms a zatim nemam vyhrad vcetne urovne uzivatelske podpory.
-
L.Stříbrný podporovatel
Od Fia jsem málem odešel, protože hrozně dlouho nebyli schopni rozjet podepisování aplikací a stále jsem musel jak k*k*t opisovat kódy z SMS (nehledě na nižší bezpečnost).
-
Já na podepisování v aplikaci žádnou zásadní výhodu nevidím. Naopak to může být nepraktické. Když jsem před několika lety rozbil telefon, tak stačilo přendat akorát SIM do nového/náhradního a jedeme dál, SMS chodily stále stejně. S dnešní úžasnou jednoúčelovou aplikací bych kvůli tomu musel na pobočku.
-
Úloha CVV není ani tak v tom, co s ním dělá uživatel, ale v podmínkách, jak se s ním nakládá v platební bráně.
Potvrzování transakcí kartou má význam hlavně v tom, že uživatel dá najevo, že o transakci ví (a nejde třeba o použití kradeného čísla karty). Obchodníci to tlačí, protože u nepotvrzených transakcí tahají při reklamaci platby za mnohem kratší konec.
-
Jan HrachStříbrný podporovatelJeště k ověřování „3D secure“ SMS - nechápu proč mi mBank nutí SMS i když někde platím 50 Kč, tam by stačila autentizace přihlášením do internetbankingu. To stejné u běžných plateb z účtu: tam má alespoň Fio nějaký limit (řádově 1000 Kč) kdy to ověřit nechce (jde to zapnout/vypnout).
Na „3D secure“ je nejlepší že pořád potkávám implementace co jsou v iframe uvnitř webu obchodníka/brány - to mi neříkejte že by v iframe nešlo javascriptem tropit neplechu.
-
Na „3D secure“ je nejlepší že pořád potkávám implementace co jsou v iframe uvnitř webu obchodníka/brány - to mi neříkejte že by v iframe nešlo javascriptem tropit neplechu.
A jako bonus je ten iframe v polovině případů tak malý, že musím vodorovně rolovat už jen proto, abych se vůbec dostal k políčkům, která mám vyplnit.
-
L.Stříbrný podporovatel
Já v tom potvrzení mám jen výzvu "potvrďte transakci na mobilu", tak nevím, jak přesně by se tam dala tropit neplecha (ze které by měl někdo prospěch).
-
Brut4rStříbrný podporovatel
Nebo mít dva telefony, ten druhý klidně bez sim karty, někde zamčený s nainstalovanými aplikacemi. Fio umožňuje mít aktivovaných telefonů stejně jako jiné banky. Takže to není problém. Tudíž v případě, ztráty telefonu můžete být úplně v klidu.
-
Je to k vzteku. Já si před dvěma měsíci konečně zrušil účet u Equa, protože jejich okamžitý platby umožňovali zadat jen v aplikaci. A teď moneta, kam jsem přešel, vyhrožuje, že bez aplikace se brzo do bankovnictví prostě nedostanu vůbec.
Doteď jsem za největší aplikační buzeraci považoval box zásilkovny, který taky nemá žádný fallback.
-
Vztekáte se hezky. Jenomže ten box je díky tomu, že tam žádný terminál není provozně velice levný. Což je pro ekonomickou udržitelnost zásadní. Alzaboxy jsou extrémně ztrátová záležitost, kterou Alza dlouhodobě tvrdě dotuje. Ten box Zásilkovny tam tedy můžete mít právě proto, že tam žádný terminál není.
Ale chápu, kdo nic neví, tomu nezbývá nic víc, než nadávat.
-
Ok a nějaká tvrdá data? Zkuste mi vysvětlit přesně jak ten terminál sám o sobě drasticky zvyšuje provozní náklady ve srovnání s boxem ve kterém je úplně stejný hardware, jenom není připojený na dotykovou obrazovku. Nebo s box, ke kterému je zvenku přilepený nějaký průmyslový tablet, který udělá úplně stejnou práci jako telefon zákazníka.
15. 11. 2022, 22:40 editováno autorem komentáře
-
OK, box tam stojí.
Ale já si radši dojdu k Alzaboxu nebo do obchodu kde mají Zásilkovnu.
Můžu zaplatit kartou a nikdo po mě nechce, abych si něco instaloval do mobilu. Hlasovat nohama ještě furt můžu, tak to dělám.
Box Zásilkovny je prostě o třídu horší řešení než mají všichni ostatní.
16. 11. 2022, 09:51 editováno autorem komentáře
-
Taky by mě hodně zajímalo, v čem je tak zásadně (nejen provozně) dražší automat s dotykovou obrazovkou. Vzhledem k celkovému kontextu (výroba a doprava automatu, pronájem místa, obecný servis, doprava a uložení balíčků, elektřina na provoz, ...) je to podle mě zcela zanedbatelné. Snad jediná výhoda řešení s BT je, že to může být víc odolné proti vandalům, ale i tak si nemyslím, že to bude zásadní problém.
-
V takových případech je dobré jim dát zpětnou vazbu. Spousta lidí dnes žije v jakémsi podivném bludu, že úplně každý vlastní chytrý telefon, pořád ho nosí s sebou, pořád ho má nabitý a má k dispozici data, což jaksi není pravda. Z toho vychází i tyhle hlouposti jako bankovnictví přes aplikaci (vlastně skoro cokoliv přes aplikaci) nebo výdejní automaty Zásilkovny, a co hůř - i prachsprosté poslání balíčku přes Zásilkovnu.
Já jsem jim už asi dvakrát poslal dotaz, kdy budou umožňovat odesílání balíčků normálně přes web (logika jasně říká, že webovou stránku použiju kdekoliv, kde je prohlížeč, nějakou pitomou appku ani omylem) a podobně tak i kdy půjdou bez chytrého telefonu použít jejich výdejní automaty. Aspoň u toho prvního se asi blýská na lepší časy, prý už to připravují. Takže nemá smysl jen nadávat, ale je třeba jim dát vědět, že se mi to nelíbí - jinak jim to možná ani nedojde.
-
Kromě obligátních SMS (ne zcela bezpečných) a různých mobilních klíčů (trochu silou prosazovaných) existuje ještě možnost přihlašování pomocí čipové karty. Funguje to minimálně u ČSOB a KB, ale pravděpodobně i jinde (obvykle nabízené k firemním účtům, ale minimálně u těch dvou bank to lze použít i pro osobní webové bankovnictví.)
Nevýhodou je, že potřebujete čtečku karet a zpravidla to závisí na nějaké pomocné aplikaci do Windows - takže rozchodit to v Linuxu je práce pro odborníka, s nejistým výsledkem. :o( Ale pokud umíte "podat" čtečku do Virtualboxu.... - pak můžete mít jednoúčelový stroj jen na bankovnictví. -
ČSOB a čipová karta ;-) To takto vezmete bezpečnou čipovou kartu, vložíte ji do čtečky a pak počítači zdělíte potřebné autentizační údaje aby si pak s kartou mohl dělat co ho napadne a ČSOB tomu říká bezpečí. Pokud se pin nezadává přímo na klávesnici čtečky (a ta jej dá kartě přímo a ne přes počítač) tak je to v podstatě stejně bezpečné jako když se zabezpečení nepoužije.
-
Jan HrachStříbrný podporovatel
Moc si nedokážu představit situaci, kdy zná útočník mé heslo, a přitom není v mém počítači. Možná že by si ho zalogoval zaměstnanec banky na druhé straně HTTPS tunelu, ale ten pak může dělat i jinou neplechu.
> Ta karta funguje líp jak SMSka.
V SMS máš napsané "platíte z účtu 123 na účet 456 částku 789 Kč, opište kód". Čipová karta bohužel nemá displej a tlačítko accept, kde by se to schválilo - což je samozřejmě absurdní, kartu s displejem šlo udělat za pár korun už před 20 lety, případně by to mohlo být zařízení typu Bitcoin Trezor, kde hardware je MCU za pár dolarů + displej za dolar + krabička a USB port za dolar.
-
Také možnost, se svojí stávající bankou jsem ale jinak spokojen a nejsem si jist, jak se rozhodnou ty další - nepředpokládám, že by celkově v digitalizaci zůstávaly pozadu. V případě jakýchkoliv problémů s emulací, které by v budoucnu mohly nastat, se vždy mohu vrátit k SMS (nyní už placeným) nebo si nový chytrý telefon pořídit, bude-li to opravdu nezbytné.
Ano, IT oddělení banky mě také přesvědčovalo, že klasické SMS nejsou bezpečné a mají již i směrnici, takže jako uživatel nemohu nic dělat. Přiznám se, že tlačítkový telefon bez operačního systému, který přijme SMS, kterou se přihlásím do webové bankovní aplikace, mi alespoň z mého pohledu nepřijde nebezpečný, na druhou stranu vývoji se nemá smysl bránit, takže jdu cestou nejmenšího odporu.
5. 10. 2022, 11:53 editováno autorem komentáře
-
Přiznám se, že tlačítkový telefon bez operačního systému, který přijme SMS, kterou se přihlásím do webové bankovní aplikace, mi alespoň z mého pohledu nepřijde nebezpečný
Jde o to, že tady není slabé místo koncové zařízení, ale přenos. GSM je děravý protokol, komunikace je nešifrovaná. Útoky na něj se reálně dějí. Typicky to je "state actor", který vám asi účet vybírat nebude, ale není to jen on.
-
L.Stříbrný podporovatel
GSM není až takový problém, protože byste musel být poblíž uživatele, abyste to odchytil. Spíš jde o to, že SS7 protokol, který jede uvnitř sítě není (a nemůže být) nijak zabezpečený, takže útoky na SMS se dějí tak, že někdo jako falešný operátor vašeho operátora přesvědčí, že se vaše číslo k útočníkovi zaroamovalo a začne dostávat vaše SMS.
-
Aha, opět moc děkuji za vysvětlení, netušil jsem, že SMS útoky se provádějí právě takto (a zatím jsem o nich ani od známých neslyšel, že by se s nimi osobně někdo setkal). O to více mi dává smysl vyjádření IT oddělení banky, cituji:
"Ke zpoplatnění SMS zpráv jsme přistoupili po důkladné analýze jejich využívání a ve snaze dostat k co největšímu počtu klientů naši bezpečnostní aplikaci George klíč. Cílem je zbavit se závislosti na externích nákladech (SMS) a podporovat digitalizaci a bezpečnost. SMS je závislá na službě operátora, u George klíče je možnost využít nejen síť operátora, ale třeba i wifi připojení nebo offline režim (bez připojení k internetu), aplikace tak funguje i bez telefonního signálu. SMS je zasílaná přes nezabezpečenou síť operátorů. George Klíč používá přímou komunikaci s bankou, která je šifrovaná. Autorizační kód z George Klíče je předávaný do banky přímo a zašifrovaný. PIN není v telefonu uložen, takže jej není možné z telefonu získat, aplikace má svoji vlastní klávesnici."
Takže i když mnozí z nás zpoplatnění nebo absenci možnosti SMS nevidí rádi (což chápu), důvod zde rozhodně je. O to více jsem vděčný za možnost emulace na Linuxu.
-
Banka nejspíš myslí na zákazníky, kteří používají klasický stolní počítač a autentizují se pomocí mobilního telefonu bez bezdrátového nebo datového připojení s pomocí jednorázového PIN kódu:
https://www.csas.cz/static_internet/cs/Redakce/Ostatni/Ostatni_IE/Prilohy/up-george-klic.pdf
Uznávám ale, že toto využije jen minimum uživatelů, tak jako tak musím mít přístup k internetu z počítače.
-
Tohle je složitější, protože mezi Evropou a bankami je ještě jedna instance, takže banka se musí řídit tím, jak si tu instrukci vykládá "bankovní dozor".
Vtip je v tom, že není přesně stanoveno, jak mají být SMS nahrazeny, takže si to každá banka vykládá po svém a není jednotné řešení. Banky hledají procesně nejjednodušší ("nejlevnější") řešení - a aplikace do mobilu už měly připravené, uživatelé jsou na to zvyklí, a o problémové klienty ať se postará konkurence. -
Ono to nařízení AFAIK nemluví o nahrazení SMS, ale stanovuje minimální požadavky na ověření při přihlašování do IB. A to samotná SMS nesplňuje (z celkem zřejmých důvodů). Nicméně pokud doplníte druhý faktor v podobě třeba hesla, tak by to mělo ty požadavky splňovat. Myslím si, že za nahrazováním SMS je tak spíš snaha tlačit zákazníky do bezheslového přihlašování (ty mobilní klíče se považují za dostatečně bezpečné a nevyžadují druhý faktor).
