Názory k článku Útoky typu SIM swap nepolevují, převzetí čísla je cestou k identitě
-
Jan HrachStříbrný podporovatelTo je zajímavé, že v třeba v ČR už umřelo víc než 0.16% populace a to ještě nejsme na konci.
-
nil nil (neregistrovaný)
A jste si tím jistý? ČR hlásí 28k, třetina by byla 9000+ což je méně než 0.16% populace
"
Přímo na covid zemřela jen třetina z vykázaných obětí, připustil BlatnýZdroj: https://www.idnes.cz/zpravy/domaci/otazky-vaclava-moravce-ministr-zdravotnictvi-jan-blatny-sef-lekarske-komory-kubek.A210124_110502_domaci_vank,
24. ledna 2021 12:30, aktualizováno 13:39
" -
Jan HrachStříbrný podporovatel
Ano, jsem si tím jistý. Ve skutečnosti ČR hlásí 40k (excess mortality), tj. ti „mrtví pozitivní“ jsou ještě podhodnocení. Vy tvrdíte, že zrovna náhodou zemřelo o 30k víc lidí (než všechny předchozí roky) na něco nesouvisejícího?
-
nil nil (neregistrovaný)
Vy tvrdíte, že zrovna náhodou zemřelo o 30k víc lidí (než všechny předchozí roky) na něco nesouvisejícího?
?
COVID‑19: Přehled aktuální situace v ČR
Úmrtí: 27 808
https://onemocneni-aktualne.mzcr.cz/covid-1911. 4. 2021, 15:22 editováno autorem komentáře
-
Jan HrachStříbrný podporovatelTo je počet lidí, kteří umřeli do 14 dní (nebo něco takového, to číslo se myslím v průběhu měnilo) po pozitivním testu. Může být chybně oběma směry:
- Může být nadhodnoceno, pokud je covid velmi rozšířený v populaci a není smrtelný - takže například započítáme člověka, který zemřel po nesouvisející autonehodě, ale byl pozitivní, jako oběť covidu.
- Může být podhodnoceno, protože někteří nakažení zemřou bez testu, případně déle než 14 dní po posledním testu.
-
nil nil (neregistrovaný)
@Jan Hrach
Oficiální číslo, pokud z odkazu vidím, je ~27k. Když se podíváte do těch excelů na které odkazujete, tak to tam od oka nasčítáte z těch zvýšených hodnot 2021. Když se podíváte na ten odkaz který jsem připojil už v první reakci, tak tam Blatný ríká, že celkové číslo (pozn. ~27k) by mělo být poděleno třema, protože se tam započítávají např. i ty "pověstné" autonehody s covidem. Ale možná jenom polovinou. Kdoví.
Já ale nevidím dvě možnosti. Vidím více méně ta samí čísla
1. ~27k zemřelých (údaj ministerstva) a
2. Vámi dodané počty zemřelých, kde rozdíly oproti minulým letům nasčítají zhruba těch ~27k (viz. 1) nebo méně. Ale tam bude podle mne průnik, protože např. covid hodně postihuje starší lidi, ale někteří z nich by pravděpodobně museli zemřít i tak v některý rok, takže to není pouze "buď a nebo".11. 4. 2021, 20:53 editováno autorem komentáře
-
Jan HrachStříbrný podporovatel
Pozor že ta data jsou měsíc zpožděná, takže ~27k je do konce února (kdy bylo „oficiálně“ mrtvých 21k). Od té doby zemřelo dalších 7k „oficiálně“, pokud by pokračoval stejný trend, tak to bude 27+7*27/21 = 36k. Nicméně máte pravdu v tom, že těch 40k jsem netrefil, upřímně jsem ta čísla poslední dobou moc nesledoval.
> Ale tam bude podle mne průnik, protože např. covid hodně postihuje starší lidi, ale někteří z nich by pravděpodobně museli zemřít i tak v některý rok, takže to není pouze "buď a nebo".
Tak tohle je započítané v tom průměru za předchozí roky (kdy taky byli nějací starší lidé, kteří museli zemřít v nějaký rok). Ale je pravda, že obecně jsou staří postiženi mnohem víc a tak to není „taková tragédie“ jako kdyby to zabíjelo náhodně všechny (a současně pokud je vaše hypotéza pravdivá, tak bychom každou chvíli měli vidět naopak pokles úmrtí oproti normálu). Ale tím už se posouváme dost od toho, na co jsem původně reagoval, a kdyby izak psal třeba "nemoc se smrtnosti 0.16% ve věkových kategorích čtenářů roota", tak by měl pravdu, ale namítal bych něco jiného.
-
Zase až tak absurdní představa to není - a vůbec to nemusí být náhodou. Už přes rok žijeme v šílených podmínkách, míra frustrace a stresu je abnormálně vysoká, lidem chybí běžný sociální kontakt (když už to leze na nervy i asociálovi jako já, jak to mají zvládat normální lidé?), omezil se pohyb, zanedbává se prevence a často se ignorují i zjevné příznaky, spousta lidí se kombinací opatření a přístupu vlády ke kompenzacím dostala do existenčních problémů.
Na to ani nemusíme být Japonci (pozornosti doporučuji zejména první větu hned pod nadpisem a fotografií), aby se to na úmrtnosti projevilo.
-
nil nil (neregistrovaný)
@Michal Kubeček
Tak japonci zrovna s tímto mají dlouhodobé problémy a když se podíváte na odkazovný článek [1] (první neočíslovaný graf [2]), tak v 2015 bylo sebevražd ještě více. Seznam není kvalitní zdroj. Ve finále po všech těch bombastický větách někde v polovině píšou "od 2015", jinými slovy bylo poměrně nedávno hůř i bez covidu.
Zpět do ČR. Že to má dopady, o tom asi nebude sporu. Otázka je jaké, kolik a jak to počítat. Lidi zase shodí, ale ta zanedbávaná prevence, to mne zlobí snad ze všeho nejvíc. Slyšel jsem od přímého účastníka o případu z Kanady, kde podezření na rakovinu odmítli řešit protože covid a tak si rodina vzala půjčku a jeji to vyřešit do USA. Pokud vím, zatím to vypadá dobře ... a to není jediný případ. A z ČR slychám podobné historky. Např. záchraná služba nechtěla přijet k infarktu.
[1] CNN, In Japan, more people died from suicide last month than from Covid in all of 2020. And women have been impacted most, https://edition.cnn.com/2020/11/28/asia/japan-suicide-women-covid-dst-intl-hnk/index.html
11. 4. 2021, 20:25 editováno autorem komentáře
-
Jan HrachStříbrný podporovatel
Část těchto úmrtí bych normálně započítal jako oběti covidu - to nemusí být jenom akutní infekce, ale pokud budeš mít epidemii nesmrtelné nemoci, která vyřadí nějaké důležité systémy ve společnosti (např. přetíží nemocnice, které pak přestanou zvládat péči o ostatní pacienty), tak to je přece taky vina té infekce.
Zbytek jsou, bohužel, také oběti politiků.
(poměr těchto dvou kategorií lze odhadnout tak, že si nakreslíš přes sebe několik křivek - počet mrtvých, „intenzitu opatření“ a intenzitu epidemie - a podíváš se (nebo ideálně nějak zanalyzuješ), kolik z úmrtí jde vysvětlit jedním a druhým)
-
Zbytek jsou, bohužel, také oběti politiků.
Řekl bych, že ze všech "obětí covidu" to je dost podstatná část, ne-li úplně zásadní. Teda dobře, k politikům bych přidal ještě média. Protože žít v neustálých omezeních, většinou naprosto nesmyslných, v silně polarizované společnosti a v atmosféře uměle vyvolaného strachu, to se sakra musí někde projevit, i kdyby přímo na tu infekci třeba neumřel vůbec nikdo.
-
Jan HrachStříbrný podporovatel
Já bych třeba nesouhlasil s tím, že je ten strach „uměle vyvolaný“ (ve smyslu že je to v pohodě a ve skutečnosti se to nemělo nijak řešit).
-
Jan Hrach: To máš tak. Na jaře z toho všichni šíleli a dalo se to celkem chápat - byla to nová věc, nikdo nevěděl, jak závažná a jaké to bude mít následky. Ale to, jak se proti tomu bojuje, je absurdní a třeba zrovna těm médiím se to hodí náramně. Přecejenom bohužel dobré zprávy netáhnou tolik jako ty špatné a hezky to zvyšuje sledovanost a stále je o čem psát.
Jinak bych se klidně vsadil, že pokud by se tomu nechal víceméně volný průběh s tím, ať lidi na exponovaných místech nosí roušky nebo respirátory, víc si myjí ruce a pokud nemusí, tak zbytečně nelezou mezi houfy dalších lidí a pokud to lze, pracují z domova a hlavně v první řadě chrání sebe a své blízké, tak by situace horší nebyla. Zásadní rozdíl by ale byl, že by lidi nežili v permanentním strachu, naštvání a hádkách a takto ušetřený stres by měl mimo jiné velice pozitivní vliv třeba na jejich imunitu. Další pozitivum by bylo, že by nedocházelo ke zcela zbytečnému rozvratu společnosti a ekonomickým dopadům, které se zatím kupodivu tak nějak daří držet na uzdě, ale řekl bych, že jen krátkodobě a je jasné, kdo to pak zaplatí.
A abys mě špatně nepochopil, tím vůbec nechci říct, že bych se vykašlal na rizikové skupiny nebo že je jedno že někdo z nich umře, nebo že se jedná o úplně neškodnou chřipku. To ani v nejmenším, ale každý by v první řadě měl začít u sebe a měl by respektovat, pokud na to má druhý jiný pohled. Namísto toho, aby se to zveličovalo a lidi často zcela nesmyslně volali po větších represích s vidinou toho, že se o ně hodný stát postará a zajistí jim pocit sucha a bezpečí.
-
Jan HrachStříbrný podporovatel
> pokud by se tomu nechal víceméně volný průběh s tím, ať lidi na exponovaných místech nosí roušky nebo respirátory, víc si myjí ruce a pokud nemusí, tak zbytečně nelezou mezi houfy dalších lidí a pokud to lze, pracují z domova a hlavně v první řadě chrání sebe a své blízké, tak by situace horší nebyla
Přesně takhle se to dělalo loni od června do října, a kam to šlo v říjnu jsme viděli.
> Zásadní rozdíl by ale byl, že by lidi nežili v permanentním strachu, naštvání a hádkách a takto ušetřený stres by měl mimo jiné velice pozitivní vliv třeba na jejich imunitu.
Myslím, že kdyby se zahrnovaly mrtvoly buldozerama a přestala existovat zdravotní péče, tak by to docela stres a ekonomické problémy působilo taky.
> že bych se vykašlal na rizikové skupiny [...] s vidinou toho, že se o ně hodný stát postará a zajistí jim pocit sucha a bezpečí
Jenže ono to nejde moc dobře na někoho pustit a na někoho ne, pokud se ty skupiny mají byť i jen minimálně stýkat. A stejně tak nejde moc dělat „ať se chrání kdo potřebuje/chce“, když to na něj roznesou ti ostatní.
-
Přesně takhle se to dělalo loni od června do října, a kam to šlo v říjnu jsme viděli.
K tomu bych snad jen dodal, že to až podezřele korelovalo se změnou teplot, stejně jako na jaře se situace lepšila a přes léto byla celkem pohoda, bez roušek a nějakých větších omezení a žádný konec světa nenastal. Oproti tomu na podzim se rozběhla vlna pseudoopatření a nouzový stav a situace se navzdory tomu zhoršovala. Je to samozřejmě jen můj dojem, ale řekl bych, že to potvrzuje mou hypotézu, že opatření ničemu moc nepomáhají a můžu si pomoct nanejvýš sám - vhodnou stravou, pohybem, klidnou myslí, nenavštěvováním exponovaných míst apod.Myslím, že kdyby se zahrnovaly mrtvoly buldozerama a přestala existovat zdravotní péče, tak by to docela stres a ekonomické problémy působilo taky.
Samozřejmě. Jenže taková situace by pravděpodobně nenastala.Jenže ono to nejde moc dobře na někoho pustit a na někoho ne, pokud se ty skupiny mají byť i jen minimálně stýkat. A stejně tak nejde moc dělat „ať se chrání kdo potřebuje/chce“, když to na něj roznesou ti ostatní.
Tak dá se to omezit hodně, minimálně u lidí, kteří nemusí chodit do práce. Druhá věc jsou pak dopady sociální izolace, ale zase - stávající situace tomu taky nepomohla, ani zdaleka. A riziko se nikdy nedá zcela eliminovat, je potřeba s tím žít (ne, neberu to na lehkou váhu). Jen mi připadá, že dneska mají někteří lidi dojem, že je třeba za každou cenu chránit úplně všechny, ať chtějí nebo ne a je třeba to dělat, i kdyby je to mělo zabít (to není směřované na tebe, ale spíš je to takové obecné povzdechnutí). -
Jan HrachStříbrný podporovatel
> K tomu bych snad jen dodal, že to až podezřele korelovalo se změnou teplot
A odeznění té vlny, vlna po Vánocích, její odeznění, a vlna od poloviny února, to také bylo způsobeno počasím? Mi nepřišlo že by se počasí nějak moc měnilo.
Mimochodem, podle některých ukazatelů jsme nejhorší na světě. Když na to opatření nemají vliv, čím je to podle vás způsobeno? Máme nejhnusnější počasí?
> Samozřejmě. Jenže taková situace by pravděpodobně nenastala.
OK, kolik tak očekáváte mrtvých v průběhu kolika měsíců? A zatížení nemocnic, které nebude vyšší než teď? (kdy už k rušení péče dochází)
> Jen mi připadá, že dneska mají někteří lidi dojem, že je třeba za každou cenu chránit úplně všechny, ať chtějí nebo ne a je třeba to dělat, i kdyby je to mělo zabít
K zamyšlení, tady je rozebráno jak nějaké naivní přístupy můžou selhat.
13. 4. 2021, 18:37 editováno autorem komentáře
-
Kdo? Tak třeba já. On ten průběh toho COVIDu moc příjemný fakt být nemusí, i když neumřete.
Stejně byste mohl argumentovat, proč se nechat očkovat proti klíšťové encefalitidě, na ní v ČR přeci také nezemře moc lidí. Proč očkovat ženy proti zarděnkám? Na ty přece také většinou neumřou. Možná pak můžou mít postižené děti, ale ty ženy samotné většinou neumřou...
Proč nechat děti očkovat proti třeba černému kašli, když na něj také v dnešní době umírá minimum dětí? No a neumírá těch dětí dnes u nás tak málo právě proto, že jich je většina oočkovaná?
Ale fajn, proti COVIDu se nenechávejte očkovat, povinné to není a nejspíš ani nebude, ale aspoň zbudou rychleji vakcíny na ty, co se očkovat chtějí... :-)
-
Ondřej CaletkaZlatý podporovatelMůže za to poměrně silně nastavené ověřování uživatele.
Spíš bych to tipoval na nezájem útočníků o český trh.
Vlastní zkušenost: otevřu (anonymní) chat u operátora Kaktus s dotazem: "Vaše aplikace po mě chce PUK2, kde ho mám vzít?"
Odpověď: "Jaké máš telefonní číslo"
Já: <posílám telefonní číslo>
Odpověď: "Tvůj PUK2 je <PUK2>"Znalost telefonního čísla a PUK2 pak umožňuje mimo jiné přenést číslo k jinému operátorovi.
-
ty případy se dějí i v českém prostředí, předloni jsme tenhle útok demonstrovali u TMO. U Vodafone se na infolince ptají na dvě čísla z hesla a umí ti pomoc, když se zrovna netrefíš, protože spousta lidí má problém z hlavy říct 3. a 5. číslo z hesla, které je mimochodem pouze číselné. Máš-li hodně času, může heslo zkoušet třeba rok a dostat se pak brute force do administrace účtu, po přihlášení již heslo nevyžadují a je možné si tam nechat zaslat novou simku na jakoukoliv adresu.
Docela efektivní obrana je firemní simkarta, to se u nás rozšířilo tak nějak kvůli výhodnosti tarifů poměrně hodně, tam nelze dělat změny jinak než přes autorizovaný kontakt. Škoda, že podobné zabezpečení nelze zajistit u soukromých účtů.
Spíše se takový útok u nás moc neděje než, že by nebyl možný, kvůli odpovědnosti operátorů.
-
Dalsi veci je overovani pri zmene cisla/smlouvy z osoby na osobu. Nezapomente. Ne vsude maji obcanky nebo dva doklady. Nebo pokud maji obcanky jsou dobrovolne.
Mne se takhle nepodarilo prejit s cislem ani s notarskym overenim :-P
Jsou zeme kde lidi maji max ten ridicak a jako dalsi doklad treba pouzivaji smlouvu i najmu.
-
A zabezpečení mobilní aplikace k bankovnímu účtu pouze 4 ciferným PINem, to je potom výraz bezpečnosti. Zadám 4 čísla a mohu s bankovním účtem provést naprosto cokoliv. Ale hlavní je, že komunikace mezi mobilní aplikací a bankou je naprosto bezpečná.
Místo znalosti čísla pro přihlášení do internetového bankovnictví, hesla a opsání PIN z SMS se bezpečnost redukuje pouze na znalost 4 čísel. -
Pletete dohromady autorizaci a autentizaci. V tomto případě je zařízení už autentizované a bankovní systém ho zná jako unikátní přístroj. Pro jeho obsluhu je třeba ho fyzicky držet v ruce. Navíc se ale obsluha lokálně autorizuje, aby potvrdila svou identitu.
Je to vlastně stejné, jako v případě platební karty. Ta se autentizuje pomocí vestavěného privátního klíče a opravňuje uživatele pracovat s účtem. Navíc ale se musí uživatel té kartě představit a autorizovat se.
-
Takže mi banka nařídila se autentizovat pomocí 4 čísel. Mohu jen doufat, že má aplikace nějaké mechanizmy proti autentizaci hrubou silou. Nebo jak někdo zmínil níže musím nějakým způsobem zabezpečit přístup k telefonu pomocí něčeho víc než 4 čísel. Co vím, tak otisk prstu nemusí být jednoznačný (https://www.svetandroida.cz/ctecky-otisku-prstu-bezpecnost/) a odemknout xichtem, to asi neumí jen tak každý telefon a otázkou je, zda jde obličej podvrhnout snadno, obtížně či vůbec.
Vlastně je to podobné jako PIN u platební karty a např. výběr hotovosti z bankomatu - byť tam je omezený počet pokusů na zadání.
Z mého pohledu bych se chtěl autentizovat nějakým silnějším heslem a to jen pokud chci pracovat se svým bankovním účtem.
-
Něco podobného už dlouho řeším u FIO. IB na PC vyžaduje SMS, nebo ověření z aplikace v mobilu.
Jenže když mám aplikaci na Androidu, *žádné další zařízení k ověření už není*. Takže mé peníze chrání otisk prstu, nebo 4 místný PIN.
Ptal jsem se hodně krát, zda bych mohl platbu zadanou na mobilu autorizovat na PC - ne nejde to.Takže mé peníze chrání mobil vyrobený v Číně, který nosím všude po kapsách. Xiaomi posílá aktualizace na android, ale ne zrovna často. O občasných uniklých hrozbách z Google Play radši nemluvit. A že si dost lidí instaluje kradené APK z uloz.to radši nezmiňovat.
Jenže mobilní aplikace se kvůli QR platbám vzdát nechci.
Dvoufázové ověření se tím úplně ruší.
-
-
Smazaný profil
Ale tak to trochu popíráte učel MB. Přece máte MB v telefonu, abys jste nemusel k počítači. To co chcete je podle mě totalní minorita.
Ale řešení tu jsou:
1. můžete si pořídit lépe podporovaný telefon, nestahovat apkčka z uloz.to apod.2. co vám brání mít 2 účty? Třeba hlavní jen přes IB a potvrzovaní na mobilu
a druhý na MB, kde budete mít menší obnos na to co potřebujete.Ale toto si musí každý vyjasnit sám co a jak chce.
-
Ja APK z uloz.to nestahuji.
Podle vaseho argumentu - proc kdyz mam IB v pocitaci, musim mit telefon na potvrzeni (sms/app)? To je prece to same.
Jenze ja neresim QR platby pro mensi obnosy a nechci to mit na jinem uctu, byly by s tim pak jen problemy.
Ja bych moc rad mohl pouzivat QR platby, ale autorizoval prikaz na jinem zarizeni. Jestli by to byl PC, nebo jiny mobil je asi jedno.
-
Smazaný profil
Chápu jak to myslíte, ale pointa je přece v uživatelské přívětivosti.
Mobilní bankovnictví je na mobilech proto, aby jste jej mohl použít kdekoliv, protože jej máte u sebe. To s PC nejde.Proto co chcete, by se hodil HW token/kalkulačka s bluetooth. Spojí se s mobilem a potvrzuje přihlášení a platby. Pak to máte mobilní a bezpečné.
Např. jsou i kalkulačky s foťákem pro čtení QR kódů v IB, ať se nic nemusí přepisovat.Bohužel banky v ČR na všechny tyto HW možnosti rezignovali. Kolem r. 2000 jsem měl u ČS klasickou HW kalkulačku a pak to zrušili, že to moc lidí nepoužívá a že SMS jsou taky bezpečný. Tak asi tak.
-
BobTheBuilderStříbrný podporovatelTu kalkulačku jsem měl taky, stála 900 nebo kolik a byl to neuvěřitelný opruz: opsat do ní číslo účtu, variabilní symbol a částku bez desetinné části... Vážně by to někdo chtěl zpátky?
SMS (tehdy) byly dost bezpečné zcela jistě: hacknout tlačítkový telefon je docela problém a napadnou protokol SS7 tak, abych dosáhl svého (mohl zneužít ukradené přihlašovací údaje do banky) taky není úplně snadné - ani dnes.
On je to vždycky kompromis mezi perfektním zabezpečením a snadností použití. Když to s tím zabezpečením přeženete, ve skutečnosti bezpečnost snížíte (třeba povinná změna hesla po měsíci a minimální délka 20 znaků - takové heslo si nikdo nebude pamatovat, bude ho mít někde napsané a lístek se bude někde povalovat, aby byl pěkně po ruce). -
Smazaný profil
Věřím, že existují lidé, co by to chtěli. Ona je to totiž ta nejbezpečnější varianta autorizace plateb. Je to trochu opruz, ale pokud máte jen pár převodů, tak to třeba akceptujete.
Navíc jsou varianty s modrým zubem či skenerem QR kódů. Už to sice není úplně oddělený a tak bezpečný, ale zase přívětivější. A dá se to používat i pro IB a MB.
-
Tak ono by dneska nebyl problém dodělat to načítání QR kódů do Internetového bankovnictví na PC, pokud by byla alespoň trochu rozumná webkamera (stejně ji většina lidí teď pořizovala), u některých bank už se tak fotí doklady při zakládání účtu.
Je to na pár řádků kódu a použití knihovny na dekódování QR kódu, jen to rozlišení je zatím na hraně, protože až na Chrome se to bere jako snímek z videa.
Ale proč by to banky dělaly, když tlačí všem mobilní bankovnictví.
-
L.Stříbrný podporovatel
A na notebooku s vestaběvou kamerou budeš muset použít zrcátko :-D
Ve skutečnosti AirBank umí, když jí nahraješ dokument s QR kódem ho přečíst a platbu na jeho základě vytvořit. To je mnohem praktičtější, ale používanost je prostě malá.
-
Jan HrachStříbrný podporovatel
> A na notebooku s vestaběvou kamerou budeš muset použít zrcátko :-D
Nechápu, jako že bys fotil obsah obrazovky, abys ho dostal do toho stejného počítače? Proč si neuděláš screenshot?
Zajímal by mě use-case pro QR platbu mobilem u předřečníka. Mně chodí snad všechny věci elektronicky, takže to mám v počítači. A koneckonců i kdyby to bylo na papíře, tak to můžu vyfotit právě tou webkamerou.
-
Nevím, nakolik je univerzální možnost automatického načtení faktury z PDF do IB, jak to umí třeba zmíněný "šanon" u Air Bank (který to ale umí docela spolehlivě i bez QR kódu). S jistotou můžu jen říct, že u ČSOB/PS jsem nic takového neměl. Takže bych se nedivil, kdyby existovaly banky, které to umějí ve své mobilní aplikaci, ale ne ve webovém IB.
-
J ouda (neregistrovaný)
> Ověřovací aplikace je výrazně bezpečnější než SMS! A o tom je článek.
V čem prosím pěkně? že jsou relativně nové, takže zatím proti nim moc útoků není, přestože kritické bezpečnostní chyby na mobilních systémech (pod kterými běží) se vyskytují pravidelně v intervalech pár měsíců (a o nepublikovaných/nenahlášených si můžeme nechat jen zdát, případně je koupit na darknetu)? A že donedávna byly používány v takovém malém objemu, že není divu že nikomu nestály za cílené exploity, což je ale přesně věc, kam jejich nekritické pushování směřuje?
Sorry, ale tohle mi spíš připadá jako security by obscurity než "výrazně bezpečnější".P.S. Článek jestli ho čtu dobře nic o ověřovacích aplikacích nepíše, pouze o riziku sim swap.
-
Před osmi lety tu o tom vyšel článek https://www.lupa.cz/clanky/myty-o-bezpecnosti-mobilniho-bankovnictvi-jsou-nutna-dlouha-hesla-a-sms/
Ty aplikace nejsou triviální. Narozdíl od SMS. -
Smazaný profil
SMS je problém, ale bohužel se jej nejde uplně zbavit. I banky to pořád komponují do oveřovaní či aktivačních procesů a nemáte možnost to zrušit.
Např. banka X umožňuje oveření/potvrzní plateb přes mobilní aplikaci.
Ale můžete si na IB přepnout na SMS a potvrzovat SMSkou. Takže celá bezpečnost v trapu. A nelze si toto chování ani nastavit.Nebo banka Y. Máte normálně IB a aplikaci na mobilu. Potud ok.
Ale pro aktivaci mobilního bankovnictví stačí přihlašovací údaje k IB a SMSka. Takže opět degradace zabezbečení v procesu aktivace.A myslím, že u většiny bank se najdou podobné problémy.
-
No já když jsem před lety řešil zprovoznění IB v KB, tak jsem musel fyzicky dojít na pobočku a předložit dva doklady totožnosti, po nichž mi nahráli certifikát na přinesenou flashku (sic!). Pak se do bankovnictví přihlašovalo kombinací certifikátu a hesla, plus samozřejmě ověřování transakcí přes SMS kódy. A pak přišla EU, nařídila 2FA u účtů a tak milá KB své certifikáty zrušila (prostě už je nešlo prodloužit) a přešla tuším na BUĎ ověřování přihlášení přes SMS, NEBO appku ve smartphonu. Třeba mi tu někdo znalejší vysvětlí, v čem je to tak úúúúžasně lepší.
-
Ondřej CaletkaZlatý podporovatel
Je to lepší, protože ty soubory s certifikáty se válely různě po discích a nebyla nad nimi kontrola. Navíc když se jich někdo zmocnil (pamatuju lidi, co je sdíleli přes DC++, ano až tak jsem starý :) ), mohl heslo crackovat offline, aniž by zanechal digitální stopu. Prakticky tedy ten certifikát na flashce byl slabší než kombinace jména a hesla (které se ověřuje online).
Proti tomu je ověřovací aplikace v telefonu mnohem silnější. Navíc u KB to funguje tak, že ztratíte-li k ověřovací aplikaci přístup, musíte pro nový aktivační kód s kartou do bankomatu. To je výrazně bezpečnější (a nepohodlnější) než jiné banky, kde se ověřovací aplikace může kdykoli reaktivovat ověřením pomocí SMS.
-
No pro mě to bylo optimální řešení. Měl jsem perfektní kontrolu nad tím, kde je certifikát. Ale to je teď už fuk, samozřejmě.
Jinak na DC++ jsme se také kdysi dááávno bavili tím, že člověk dal vyhledat - tuším - tcmd.ini nebo tak něco. Takovejch loginů na všechny možný FTP, co se tím posbíralo, to by člověk nevěřil :-). Léta páně řekněme kolem 2003.
-
Smazaný profil
Souhlas. To KB s těma certifikátama na disku byla katastrofa.
U banky Y to funguje podobně. Aktivací ověřovací aplikace již SMS nechodí
a nelze na ně přepnout pro přihlášení apod. Lze mít í více aktivovaných aplikací, takže pokud jedna umře, tak máte zálohu. V nejhorším lze získat kód v bankomatu či na pobočce.
Takže máte jméno+heslo do IB a ověřovací aplikaci.Ale pak narazíte na problém s aktivací mobilního bankovnictví jen přes přihlašovací údaje a SMS. MB nejde zakázat a ani to není nijak vázáno na aktivaci v IB apod.
To zase v bance X musíte MB aktivovat a povolit přes IB, jinak smůla. Ale zase problém se SMS co jsem psal výše.
-
To je řekl bych věc osobní odpovědnosti - bankovní aplikace na léta neaktualizovaném Androidu na telefonu od pochybnáho čínského výrobce taky nebude to pravé ořechové.
Mě teď štve, že Sberbanka opouští svoje RSA tokeny pro přístup do ebankovnictví a přechází na aplikaci nebo sms. A samozřejmě se zaklíná EU a PSD2, přitom hw token je jako druhý faktor v pohodě. -
L.Stříbrný podporovatel
Jako že byste se RSA tokenem autentikoval pro login a transakce podepisoval nějakou jinou metodou? :-O
-
L.Stříbrný podporovatel
Špatné je to, že ostatní lidi tou kartou na internetu platit chtějí. Stejně tak, jako chtějí odesílat odchozí platby. A designovat systém pro minoritu je obchodní nesmysl.
Mobilní aplikace vylepší bezpečnost tím, že je v ní vidět, jako transakci potvrzujete. HW token toho druhu, který popisujete, sice ověří, že jste opravdu chtěl "něco" udělat, ale už se nedá ověřit, jestli jste se chtěl přihlásit, nebo odeslat celý zůstatek svého účtu do Abu Dhabi.
-
J ouda (neregistrovaný)
A teď za 2 bludišťáky.
Mobilní aplikace na telefonu který má útočník plně pod kontrolou (root exploit, dejme tomu s vyjímkou SecureEnclave/androidí obdoby, aby to neměl tak snadné) zobrazí:
Transakci kterou potvrzuji, nebo transakci kterou útočník chce, abych si myslel že potvrzuji?
Až ja to, že u u relativně děravého SIM swapu musí vykonat fyzickou akci, takže to neudělá plošně, u těch mobilů si stačí počkat na vhodnou vulnerabilitu a spustit kampaň třeba přes reklamy. -
L.Stříbrný podporovatel
Dorovnávám a přebíjím otázkou za tři bludišťáky: Kolik takových útoků jaké popisujete už bylo reálně úspěšně provedeno?
-
Nezapomínejte, že tady na rootu jsme povětšinou technicky založení lidé.
Viděl jsem před časem dokument o tom, jak se v USA kradou peníze a "hackeři" tam na ferovku otevírali kopii stránky IB, kterou předtím upravili přes dev toolsy přímo v Chrome... V URL ještě bylo vidět přímo filé://c:/tmp...blabla.html. A ti lidi tam stejně napsali svoje údaje, že...
Takže jako, řešit tu, že někomu připadne nebezpečné, je úplně mimo, pokud ve výsledku masa stejně nemá tušení která bije:) -
Zrušení certifikátů v KB nebylo kvůli EU, ale kvůli vlastními rozhodnutí, bylo čím dál komplikovanější je používat bez dodatečného pluginu v prohlížeči, nefungovalo to dobře na telefonech, lidé si více a více stěžovali, bezpečnost zpracování v prohlížeči také pokulhávala s novou verzí bankovnictví se rozhodli to zrušit.
Požadavek na ověřování karetních online transakcí přes 2FA je také možné dělat formou osobního certifikátu nahraného na počítači.
U KB je teď nově jakékoliv změny přihlašování musí dělat na pobočce a je možné odstranit podporu přihlašování přes jméno a hesla a nechat pouze appku. To jiné banky neumí. KB ještě podporuje využívání čipové karty a čtečky, používal jsem to, když jsem pro ně pracoval, bylo to pohodlné, stejnou kartu jsem totiž používal jako vstupní do všech dveří a k přihlašování do počítače, takže to pro mě nebyla věc navíc.
-
L.Stříbrný podporovatel
Bohužel, tohle je častý trik - když je potřeba udělat něco nepopulárního, tak se to svede na EU. Třeba odhadem tak 95% věcí, za které údajně může GDPR s ním ve skutečnosti mají jen málo společného.
Když KB ty certifikáty provozovala, tak jsem na ně stále slyšel nějaké stížnosti, jak to nefunguje a je to nešikovné. Navíc to, myslím, vyžadovalo mít nainstalovanou konkrétní verzi Javy...
-
dříve to bylo implementované myslím jako java applet (nebo flash, teď už nevím) a mohl si na soubory na disku šahat dle libosti. Dnes se přešlo kompletně na Browser api pro práci se soubory a tady nastává právě ten krásný problém jak načíst certifikát a bezpečně před jinými procesy mu poskytnout heslo, když do stránky vidí všechny možné pluginy. To nelze jinak než využitím pluginu, které se jsou v prohlížečích sandboxované a nemohou si navzájem koukat přes rameno. Bez toho to zase není 2FA.
A ano, možnost louskat heslo k certifikátu offline byl velký kámen úrazu, šlo to dříve řešit uložením certifikátu na specializovaný prostředek, ale přechodem na browser api si tuhle možnost odřízli a zůstala jen možnost uložení na disk.
O konci certifikátu se rozhodlo asi před 4 lety, spojení s 2FA, EU a bankovní identitou je jen náhodné či funguje jako zástěrka.
-
Byly to jeste vetsi splasky. ActiveX a paralelne i java a v urcitou chvili to chtelo javu jen od microsoftu.
Na tom je nejhorsi ze v pozadi KB testovala multiplatformni webovou apku vcetne dodatecnych aplikaci na symbian a wap. Pak to cele odpiskali. Myslim ze to nastalo nekdy kolem akvizice ... coze ? s...ze. Tedy v dobe kdy jsem musel vykazovat kazdy prd na zachode.
Nikdy uz ceska firma... nikdy.
-
KB je v bezpečnosti nejspíš nejlepší, ale stále nechápu, proč nedokáže přes KB klíč ověřovat všechny odchozí platby. Nákup kartou na Google play projde, aniž by došlo k ověření přes KB klíč. Přitom technicky je to řešitelné, protože logicky ta platba vždy odchází z účtu v KB a tak by mělo jít vynutit ověření každé odchozí platby. Toto bezpečnostní riziko je v roce 2021 katastrofa.
-
No, ona směrnice PSD2 je ohledně webových plateb od základu pochybená v tom, že ignoruje princip, že posilovat bezpečnost je potřeba na tom nejslabším místě. Takže když máme v podstatě vůbec nezabezpečené platby v mimoevropských e-shopech a relativně slušně zabezpečené platby ve většině evropských, kde je 3DSecure v podstatě normou, tak chci-li posílit bezpečnost plateb, měl bych se v první řadě zaměřit na ty první.
Ale ne, ono se to udělá přesně naopak. Takže pak na jedné straně uděláme ty celkem bezpečné e-shopy ještě bezpečnější, ale ty americké, kde stála bezpečnost za starou bačkoru, necháme fungovat dál jak jsou. Včetně extrémů jako Amazon, kde se nejen nehraje na nějaký 3DSecure, ale některé zboží (třeba e-knihy) ani nelze nakupovat jinak než přes jejich "one click shopping", kde se vás ani nezeptají, jestli to opravdu chcete koupit, a nakonec ještě zjistíte, že ty údaje z karty ani nelze z profilu odstranit, dokud si tam místo ní neuložíte jinou.
-
Podstata mého příspěvku byla v tom, že nemá smysl dávat silnější mříže do malého okénka pět metrů nad zemí, když jsou dole dveře celou noc dokořán. Jestli a jak se dají ty dveře zabezpečit lépe, je podružné.
Ale přesto jeden námět k zamyšlení: proč je možné vynutit dodržování požadavků GDPR i subjekty sídlícími mimo EU, pokud chtějí poskytovat služby občanům EU, ale není to možné totéž u PSD2?
-
L.Stříbrný podporovatel
No, on ten dům má těch děr poněkud víc. Třeba offline bankomaty.
Ano, GDPR je hezký příklad. Spousta firem se na to vykašlala a služby EU zákazníkům prostě neposkytuje. A to je to poměrně malá formalita, ne poměrně velký zásah do systému plateb a uživatelského komfortu jak to vyžaduje PSD2.
Stejně tak EU zavedla, že burzovní fondy musí dávat informace v určitém rozsahu, který jde ale nad rámec US regulace. Výsledek není, že by se US fondy přizpůsobily, jak si evidentně představujete Výsledek je, že si spoustu ETF (mimo jiné slavné SPY), jako si jako občan EU u brokerů co dodržují zákony prostě nekoupíte.
A nějak tam ve vaší rovnici chybí, že pokud někdo provede transakci bez ověření dalším faktorem, tak v případě reklamace musí peníze ihned vrátit a nese důkazní břemeno.
-
Offline bankomaty se už nikomu nevyplatí. Nevím jak jste na ně prisel. A to hovořím i o rozvojových zemích kde uprostřed pralesa pokud tam není pevná konektivita tak je VSAT spoj na ověřování transakcí nebo baracek se samopalniky vevnitř a venku které vás po kontrole pustí si vybrat.
Riziko podvodu je příliš vysoké na to aby dnes někdo provozoval offline bankomaty.
To byl takový cesky kolorit devadesatek kdy nebylo možné roky zavést konektivitu k bankomatum díky katastrofální nedostupnosti linek i třeba po Praze. Až GPRS vyřešilo tento zásadní nedostatek.
-
L.Stříbrný podporovatel
No vidíte a já zrovna tak rok, dva zpátky četl o případu, kdy někdo zneužil klientovi (tuším) KB ukradenou kartu v offline bankomatu kdesi v US a kolik s tím bylo mrzení.
Že o něčem nevíte neznamená, že to neexistuje :-)
-
To bych rad vedel podrobnosti o pripadu. Protoze offline rezim ma typicky dost omezeni. Specialne jeste pro zahranicni karty a debetky vs kreditka.
V US je offline ATM vzacna vec. To spis clovek narazi na fake ATM nebo skimming.
Celkem caste je take zneuziti pres POS nebo pres zehlicku.
12. 4. 2021, 16:20 editováno autorem komentáře
-
Ne, neni to resitelne :-(
I kdyz je nove (prave kvuli EU PSD2-SCA) nastaven floor limit na 0,- a tudiz jdou vsechny transakce online v vydavateli karty (u Apple/Google pay jde virtualni cislo k nim a od nich az skutecne k vydavateli), cely proces je nastaven pro platby fyzickou kartou, tedy jenom overeni PIN a zustatku nekde v DB.
A podle toho jsou nastaveny i timeouty (tedy nekde kolem 5sec) - za tu dobu vam opravdu nestihne vase banka pres PUSH zpravu notifikovat aplikaci na mobilu, neco zobrazit a vy potvrdit (otisk prstu, pin, klikyhak, ...).
Navic vydavatel karty NEMA plnou informaci o prijemci platby (ucet a podobne) - ma vicemene pouze cislo terminalu a mozna adresu sidla obchodnika a nekdy ani to ne, treba pouze 'LIDL DEKUJE ZA NAKUP' ....
-
1. ICCID je neco jako vyrobni cislo SIMkarty/cipu. Neco jako VIN u auta.
2. IMSI je neco s cim se mobil prihlasuje do site. Tahle informace se da na simce zmenit. Tohle je neco jako poznavaci znacka.Ktere z cisel mas na mysli?
Parovani neni (ackoli je to technicky mozne od dob GSM, teoreticky i posledni verze NMT pokud budeme uvazovat SIS) protoze si muzes takhle prehazovat kartu mezi x mobily pokud tedy IMEI neni v DB kradenych/zakazanych zarizeni.
Protoze od jiste doby je zakazano u nas blokovat mobily na operatora to uz muze byt fakt dlouho 10-12 let v Evrope?
Pak jsou opove kteri si obhajili sim lockovani zarizeni pro WTTX ale to je uz jine tema...
-
Toto vravim uz vyse 10 rokov odkedy sa zacala pouzivat 2FA cez SMS, ze je to nebezpecne. Vtedy som bol pokladany za konspiratora ale aj vtedy sa uz dal prevziat telefon (cez OS) a samotna SMS je iba slabo sifrovana a tym padom obist 2FA. Radsej pouzivam pristup ala secureID, kde je na casovej baze vypocitavane pristupove cislo a ziadna komunikacia nie je potrebna.
-
J ouda (neregistrovaný)
Ale ano, souhlasím, SecurID je úplně někde jinde (teda pokud RSAčku neutečou špatně zabezpečené seedy a najednou se jich nemuí pár stovek rychle měnit jako onehdá), ještě lépe něco na bázi eKlíče blahé paměti.
Jenže lidi jsou pohodlní a chtějí mít vše v jednom tak jsme kde jsme.Za sebe mám dilema, slabin SMS jsem si vědom (i když mám firemní, kde klasický sim swap je vyloučený), šifrování do mobilu zase tak špatné jak bývalo už dávno není, ale spíš limity IB mám takové že by se podobný útok nevyplatil.
Co se týče "bezpečných" bankovních autentizačních aplikací běžících na notoricky zavšivených mobilech, nějak se mi nechce věřit jejich bezpečnosti, a zvlášť s jejich rostoucím užitím si myslím že jde o primární cíl kyberzločinců. (že existuje něco jako secure enclave tuším, jen ho beru jako překážku sice důstojnou, ale určitě ne neproniknutelnou nebo neobejitelnou. Navíc nevím o ničem, co by bránilo pro útočníka implementaci "proxy k secure enclave" v rámci kompromitovanému systému) -
Smazaný profil
Takže zavšivený mobil a SMS je teda OK? Nebo to chápu špatně?
Mobil můžete mít zavšivený mnoha věcmi a různě, ale ta autentizační aplikace je pořád lepší .1. úplně obejdete sms swap útoky a možnosti odchytu po cestě
2. i na vlastním telefonu je ta aplikace lepší. Jeden příklad.
Každá aplikace běží odděleně. Pokud si stáhnete jen pochybnou aplikaci a dáte ji omylem práva na čtení SMSek, tak je hotovo. Ale tato pochybná aplikace už nedokáže číst info z bankovní ověřovací aplikace.
Samozřejmě je to celeé složitější, ale ten benefit už i tady je.Navíc zaleží na vás jaký telefon si koupíte a jak se chováte. Telefony s aktualizacemi a podporou již existují.
9. 4. 2021, 21:24 editováno autorem komentáře
-
J ouda (neregistrovaný)
Ano, celá konstrukce platí, dokud je OS telefonu jako takový bezpečný a izolace aplikací funguje tak jak bylo zamýšleno (pomiňme pár detailů.)
Jakmile se Vám dostane do rukou 0-day exploit (nic levného, jestli se nepletu bavíme se o stovkách kilodolarů na černém trhu u remote exploitable, ale evidentně dostupné), tak se celá konstrukce sesype jako domeček z karet a můžete být hodně rád když budete v té dávce, kdy si toho už v bance všimli z fraudu že se děje něco většího a zarazili transakci včas. Přitom škálování útoku cena/počet napadených je proti SMS mnohem plošší (v podstatě hranicí je zůstat pod fraud detekcí dost dlouho, versus lineární náročnost individuálního útoku nejspíš po SS7 nebo sim-swapem, úspěšné odchycení SMS ze vzduchu a dešifrování než vyprši session bych si s dovolením nechal předvést na kterékoli síti u nás).
Plus k tomu drobný detail - u mobilního bankovnictví jde o jediný faktor, pokud někdo používá tu zatracovanou SMS, tak je to jen druhý faktor od něčeho dalšího (certifikát, dnes bohužel i heslo), což útok taky trochu komplikuje. -
L.Stříbrný podporovatel
Pokud tam neprobíhá žádná komunikace, tak neautorizujete obsah transakce, ale jen "chci provést nějakou transakci", což je slabší variata, než obvyklá.
Pokud tedy neopisujete do tokenu data transakce ručně.
-
To u nás mala nejaký čas Tatrabanka. Do offline čítačky sa zasunula normálna čipová platobná karta. Na čítačke sa zadalo cieľové číslo účtu a suma transakcie. Zašifrovalo sa to kľúčom z čipovej platobnej karty. Čítačka na displeji vypísala kód, ktorým sa transakcia v IB na počítači podpísala.
https://zaujimavosti.net/wp-content/uploads/citacka-tatrabanka.jpg
Bezpečné ale neskutočne otravné, zákazníci začali kvôli tomu aj meniť banku. Neskôr to zmenili na mobilnú aplikáciu. -
L.Stříbrný podporovatel
On ale o QR kódu nic nepsal. Psal o klíči na základě času, tedy například klasický RSA token.
-
Četl jsem nějaký průzkum a to v ČR,
kde bylo popsáno, že 70% uživatelů Androida vůbec nezkoumá jaká práva APP po instalaci vyžaduje a prostě je odsouhlasí.
Takže klidně dá APP práva na čtení SMS - krásný přístup pro kody k potvrzení bankovní transakce.
Osobně si myslím že je to mnohem více uživatelů. -
BobTheBuilderStříbrný podporovatel
Ono to je ještě horší. Na Xiaomi jsem narazil na to, že aplikace Počasí vyžaduje přístup k SMS a bez něj nefunguje - proč?!?
No a tak se uživatelé naučí, že práva musí odsouhlasit. -
J ouda (neregistrovaný)
Přesně tak. Můžeme to stokrát svalovat na uživatele, ale v oboru (mám na mysli celé IT, počínaje asi UAC v Windows, mobilní ekosystém je jen prohnilá třešnička na dortu) kde se v rámci "bezpečnosti" uživatel naučil, že musí potvrdit i když se jde vymočit, tak ta vina bude někde jinde.
Asi jako kdyby se IZS divil, že ve středu v poledne houkaj sirény a nikdo nikam neutíká hledat kryt ;-)
-
Nemyslím že tohle:
.....Stejně jako je možné v jednu chvíli vybrat 100 kun v bankomatu v Chorvatsku, aby útočník se čtečkou na tom bankomatu už o minutu později vyzvedával dolary někde v ArgentiněStejně jako je možné v jednu chvíli vybrat 100 kun v bankomatu v Chorvatsku, aby útočník se čtečkou na tom bankomatu už o minutu později vyzvedával dolary někde v Argentině....
Nemá globální platnost. Tyhle raketové přesuny karetní společnosti často právě blokují.
