Vlákno názorů k článku
Americký institut standardů a technologie chce zakázat dvoufaktorové přihlašování s pomocí SMS
od HB - Návrh:
Jeden triviální způsob pro PC.
2 portový "router".
ETHERNET konektor
WAN:...
-
HB (neregistrovaný)
Návrh:
Jeden triviální způsob pro PC.
2 portový "router".
ETHERNET konektor
WAN: do internetu
LAN: do PC.
Tlačítko "Banka":
Stisknuto:
Je možné spojení jen přes VPN vytvářený "routrem" na servery příslušné banky.
Každá jiná konektivita je blokována.
Nestisknuto:
Je to datová přůchodka.
SD karta v "routeru": Konfigurace spojení a uživatelských nastavení např. klentské číslo.Bylo by to bezpečné?
-
Filip JirsákStříbrný podporovatelVůbec by to neřešilo podvody s elektronickým bankovnictvím. Útočník by napadl váš počítač, vy byste se přes tlačítko spojil bezpečně s bankou, zadal byste příkaz k úhradě, útočník by v něm změnil číslo účtu za své, a pozměněný příkaz by se bezpečnou VPN poslal do banky.
-
HB (neregistrovaný)
1. Útočník by musel měnit číslo účtu naslepo automatizovaně pomocí offline skriptu (trojan) bez jakekoliv interaktivní zpětné odezvy.
Při zmáčnutém tlačítku by nebyl klient na internetu, ale na klientském intranetu.
2. Servery pro tuto komunikaci by nebyli na internetu.
3. Přes to že se v článku SMS "pomlouvá", jako doplněk této ochrany by mohla býti informační SMS o transakci a provedení zadané operace nejdříve za hodinu s možností včasného storna operace. (I trezory v bance mají časově zpožděné odemykání.)
4. SMS by se posílala vždy při první platbě na účet, na který platba ještě nikdy nebyla prováděna (nevhodné pro obchodníky pro nadměrnnou prudivost).5. Napadnout se dá vše ale tohle mnohem obtížněji.
-
Filip JirsákStříbrný podporovatel
Ad 1 - tedy úplně stejně, jako to dělá dnes.
Ad 2 - a jak by se k nim tedy uživatel připojil? To by každý klient banky měl extra dráty natažené do své banky? Navíc útoky na elektronické bankovnictví nejsou vedené proti serverům, ty bývají přeci jen zabezpečené dobře, ale proti klientům.
Ad 3 - to vůbec nesouvisí s vaším návrhem. Navíc by to nikdo nechtěl používat. Internetové bankovnictví lidé používají proto, že je to rychlé a pohodlné. Kdybych měl myslet na to, že musím transakci ještě za hodinu potvrdit - to bych to radši vyřídil v pobočce banky, bylo by to rychlejší. To časově opožděné odemykání trezoru má ten význam, že to zdržuje útočníka a dává čas na nějakou reakci ostraze banky. V případě útoku na elektronické bankovnictví to nemá vůbec žádný význam, protože tam o útočníkovi vůbec nevíte, takže pro něj není riziko déle trvající transakce.
Ad 5 - ne, tohle nijak neovlivní typický útok na elektronické bankovnictví. Útočník se tím vůbec nemusí zabývat, protože by dokonce ani nepoznal, že nějaké takové zařízení uživatel má.
Navíc kdyby už uživatel měl investovat do speciálního zařízení pro banku, tak to bude off-line zařízení pro autorizaci plateb. S takovýmhle zařízením začínala kdysi Expandia banka (pozdější eBanka a dnes Raiffaisenbank), teprve později se k tomu přidávaly šifrované SMS a obyčejné SMS. Vypadá to jako kalkulačka, zadáte tam číslo účtu, částku a měnu, a zařízení vypočítá jednorázový bezpečnostní kód (stejně, jako to dělá banka, když vám ho posílá SMS), kterým platbu potvrdíte. Takové zařízení je dokonce výrazně levnější, než speciální router, a na rozdíl od toho routeru opravdu zvyšuje bezpečnost (a to dost podstatně).
