Vlákno názorů k článku
Americký institut standardů a technologie chce zakázat dvoufaktorové přihlašování s pomocí SMS od qwertz - No to je fakt vysoce Yntelygentni. Výhoda dvoufaktoroveho...

Vypadáto, že máte jistou obcesi normálními SMS a není to poprvé. Nevím proč nedokážete přijmout, že existují lepší varianty než SMS.

To co vy popisujete není bankovní kalkulačka ale něco jako generátor kódu pro transakci a ten je napadnutelný. Toto používá třeba Unicredit bank. Navíc zušili i heslo pro přihlášení pokud máte ten jejich token (SW nebo HW).

Jak funguje správná kalkulačka jsem poisoval níže -> zadáváte do ní informace o transakci a na záladě toho to generuje kód!

Ale já je přijímám. Viz postup s podepisovací aplikací ČSOB, který popisujete níže. To je názorný příklad, jak se to má udělat tj. využití výhody použití telefonu jako druhého zařízení pro OOB, jen se místo SMS použije výhodnější způsob komunikace.

Tak třeba mBank AFAIK posílá (nebo posílala) jen SMS typu "Potvrzovací kód pro operaci č. 1 je 12345", tím taky podvržení transakce nezabráníte.

A slušná kalkulačka samozřejmě OTP počítá na základě údajů transakce které do ní vložíte nebo které vám zobrazí, takže zuby mají docela slušné :D

Lepší varianty dle mého názoru:
1. HW kalkulačka pro transakce (princip popsán jinde)
2. jako 1 ale SW varianta
3. Aplikace ala ČSOB smart banking (tam jsme se shodli, že to je dobrá varianta)
4. bankovní SMS (šifrováno, SIM toolkit)
5. samozřejmě čipové karty. Tady může být problém s tím, že nevíte co podepisujete. Ale to je problém varianty, protože existují i čtečky karet s displejem, které dokáží zobrazit podepisovaná data.

Obecně cokoliv jako SW na mobilu je problém, pokud se používá i k něčemu jinému. Může dojít k napadení bankovní apliakace, ale i k pozměnění SMS. takže osobně preferuji HW.

U těchto variant se dá vyhnout útokum na SMS:
- odposlech ze vzduchu
- falešná BTS
- voip
- odposlech na systémech operátora (někdo uvnitř)
- systém předání SMS od banky operátorovi (hodně často v clear textu).

Ad 1: Drahé a pro lidi co nechtějí přistupovat k IB striktně jen z jednoho místa nutnost tahat s sebou další zařízení => nepříliš použitelné.

Ad 2: Jak se liší od varianty 3?

Ad 3: Dobrý poměr cena / výkon, jen ne všichni klienti mají chytrý telefon, tedy je potřeba k tomu mít ještě nějakou variantu.

Ad 4: Jak jsem psal, technologie je spíš na ústupu, protože bankovní SMS jsou asi jediné v současnosti rozumné využití té technologie a to je málo. Navíc je nepohodlná na ovládání (z mojí zkušenosti).

Ad 5: Souhlas, je nutný displej, je nutný přístup k té kartě přes API a obecně je nutná funkčnost v klientském počítači a pokud to klientovi nefunguje, vy mu moc nepomůžete...

ad 1:
To je Váš subjektivní názor.

- jsou lidé co spravují svůj účet jen z jednoho místa
- pár sto korun pro někoho nemusí být drahé . S ohledem na možnou výši prostředků a úroveň bezpečnosti jako HW kalkulačka poskytuje je zandebatelný obnos
- kalkulačka může být velikosti kreditní karty, i když o něco tlustší. Opět pro někoho to nemusí být problém

ad 2: kdysi jsem tuto variantu zahlídnul, ape ne u nás. Ale fakticky s existencí varianty 3 ztrácí význam

ad 3: nikdo netvrdí, že má toto má být jediná varianta ani že se mají SMS zrušit. problém může být v momentě kdy banka nic jiného nenabízí.

ad 5: ano, je to komplikovanější ale jako varianta validní

ad 1: To není žádný můj subjektivní názor, ale zkušenosti z reálné praxe. Lidé, kteří

a) jsou ochotni HW klíč zaplatit a zároveň
b) jsou ochotni do něj přepisovat při každé platbě údaje a zároveň
c) jsou ochotni si zařídit, aby ho měli kdykoli potřebují podepsat transakci

jistě existují, ale je jich málo, takže se moc nevyplatí to provozovat.

Souhlasím s Vámi, že je důležité VIDĚT informace o transakci. Ale v tomto případě je SMS jen nejpohodlnější varianta pro banky. A souhlasím, že hlavní problém je ochota bank nabidnout lepší varianty než normálni SMS.