Vlákno názorů ke zprávičce Americký institut standardů a technologie chce zakázat dvoufaktorové přihlašování s pomocí SMS od Vladki - No ono taky s pribyvajicim vyuzitim bankovnich aplikaci...

je možné, že si to vynutila sama VPN, občas nějaká pravidla je možné propašovat a android s tím koketovat, na jiných platformách je třeba možné vynutit whitelist/blacklist aplikací, šifrování atd.

Ono je ale už i nebezpečné na ten mobil za jízdy šahat, bez ohledu na to, jestli má pin nebo ne ;)

Dobře uživatelsky to má vyřešený iphone, kdy integrovat sken otisku prstů do hlavního tlačítka. Kolega vezme do ruky telefon, stiskne přirozeně jediné tlačítko a má telefon odemčený, já vezmu jeho telefon, stisknu tlačítko a chce to po mě pin, který jsem ho nikdy neviděl zadávat a jsem nahraný...

PIN na androidech se dá snadno obejít a dostat se k datům, samozřejmě s dostupným počítačem a kabelem, bohužel.

Pokud se na ten jizdni rad tramvaje divate pomoci internetoveho spojeni routovaneho skrz tu VPN...

Treba to tak hloupe nakonfigurovane nemate - potom byste ale musel mit chytreho VPN klienta, ktery rozlisi kdy se chystate VPN pouzit a vybafnout na vas PIN az ve chvili prvniho pouziti po "odemceni" telefonu.

třeba protože odemčený telefon je napadnutelný občas i navštívením patříčné internetové stránky a poté může dojít k odposlouchání, MitM atd.

Heslování bankovní aplikace je zase kvůli dětem či jiným "záškodníkům", kteří mají tvůj telefon z nějakého důvodu v ruce a nechceš, aby mohli úplně všechno jen tak kliknutím...

o MitM jsem si přečetl na novinkach.cz, takže mám o něm dobré povědomí.

Teď vážně, každý rok se objeví několik zranitelností v prohlížečích, které umožňují únik ze sandboxu, ať už přes render písma, pdf, obrázky či jinou komponentu, k tomu pár zranitelností na androidu a člověk má najednou roota. Nemluvě o starých již ne dobře aktualizovaných zařízeních. Tvrdit, že to je úplná blbost je mimo realitu, spíše bych se bavil jak taková situace je pravděpodobná a jak je její zneužití obtížné.

Příspěvek jsem hodně zkrátit, chtěl jsem jen naznačit, že odemčený telefon je velice zranitelný. MitM se dá spáchat připojením telefonu na wifi (Android ani iOS nevyžaduje heslo při přidávání nové wifi sítě, btw) a tím přesměrovat komunikaci přes svoje zařízení. Výhoda je, že takovou síť bude telefon v budoucnu preferovat a oběť se to ani nemusí dozvědět. Pokud oběť zůstane v mém dosahu, mohu již podvrhávat obsah. Šifrované weby jsou samozřejmě další překážka, ale opět ne nepřekonatelná.

asi si nerozumíme. V kapse mám svojí záškodnickou wifi (třeba provařený pineapple nebo jiné svoje zařízení) a přesně na tuhle wifi ho připojím a veškerá data půjdou najednou přes mě a kdykoliv budu v okolí, mobil se na mě připojí, easy.

Kritických chyb, které umožňují jednoduše utéct ze sandboxu a získat vyšší práva se objevuje pořád hodně každý měsíc (viz za červen https://source.android.com/security/bulletin/2016-07-01.html).

Linuxový kernel nezajišťuje na androidu jeho sandbox, v linuxovém kernelu se objevuje opravdu málo chyb, nám stačí ty tuny chyb v user space, on stačí jeden děravý proces s vysokým oprávněním a jsem doma (viz loňský průser s neošetřeným IPC volání na Admin interface na Androidu). Bezpečnost androidu nestojí pouze na sandboxu, ale na bezpečné komunikaci mezi aplikacemi, jejich podepisování a kontrola uživatelem schválených práv atd.

Nabourání SSL komunikace není neřešitelný problém, je to pouze další bariéra, nikoliv neproniknutelná zeď, viz chyby za poslední dobu. Stejně tak jsou hodně zranitelní korporátní uživatelé, kteří mají v mobilech firemní CA autoritu a její privátní klíč není dostatečně chráněn. Chce také brát v potaz, že řada lidí bezpečnostní upozornění na neplatný certifikát prostě odklidne a jde dál, protože přesně takhle přistupují na řadu webů, které na to kašlou.

Defacto to jedno není, pokud je mobil připojený přes neautorizovanou a kompromitovanou síť, je několik vektoru útoku a https není všemocné, co když podvrhnu DNS odpověď a donutím aplikaci komunikovat přse svůj server a a až můj server naváže https spojení s bankovním api, ale v té době už budu mít pod kontrolou data, která tečou oběma směry? Můžeme si o tom tématu někdy pohovořit, pokud máš zájem.

Linuxový kernel a obecně bezpečnost na Androidu vidíme jinak a s tvým laickým pohledem nesouhlasím, rád svůj postoj osvětlím, ale nechci tady zanášet zbytečně moc "spamu". Mluvím třeba o rok a půl staré chybě, ale je jejich více http://seclists.org/fulldisclosure/2015/Aug/57

Podobné věci je výhodnější cílit masově než na konkrétní miliardáře, dav lidí s účtem po pár tisícovkách bývá zizkovější než se snažit vsadit na jednu kartu.

já vám rozumím, ale nechci se opíjet rohlíkem. V androidu je řada dost pochybných CA, nedají se bez root telefonu vůbec odstranit. Https je poslední dobou dost pod palbou a chyby přibývají velice často, aktualizace klientské a servové části hodně pokulhává, rozšířenost starých již neaktualizovaných telefonů je vysoká atd. Pokud jsem na nedůvěryhodné síti, https je jen malá berlička.

Těch kritických chyb je každý měsíc pořád velká spousta, tuhle jsem dal jen jako příklad, protože si pamatuji, že jsem jí řešil.

Ano, máš pravdu, pro masové použití to není moc vhodné, spíše pro hromadné nebo lokální. Není nad to podvrhnout wifi na koncertě...