Názory k článku
Aplikace z Google Play kradla peníze uživatelů, policie vyšetřuje pět případů

Byla jen otázka času, kdy debilitu mobilního bankovnictví někdo využije.
Pokud máte počítač, přijde Vám kód na ověřeni bankovní transakce na Váš mobilní telefon.
Kdysi, když s internetovým bankovnictvím Česká spořitelna začínala a mobily nebyly rozšířené, jsme doma měli generátor hesel pro ověření transakce.
No mobilní matlalové chtějí mít všechno v jednom ...
Možná časem bude mobil umět i řídit auto, pochopitelně se stejnými nechtěnými důsledky.

Ja si pamatuji, ze kdysi, pred snad 10-15 lety u CS stacilo jmeno a heslo a dalsi overeni zadne. Pak prisly SMS, coz dnesni smartphony vyrusily.
Jen by me zajimalo, zda vubec Google nejak kontroluje, co vsechno pridava do Google Play. Mam pocit, ze ve snaze mit co nejvic aplikaci zadnou konrolu nedela a tak se tam dostane cokoliv. Staci se podivat, co ktere aplikace vyzaduji za opravneni.

Presne tak, kolikrat je problem najit aplikaci (typu piskvorky), ktera nevyzaduje pristup k sms, volani, prekresleni ostatnich aplikaci, kontakty, vsechno... Kdyby to google jen minimalne kontroloval a evidentne nesmyslne pozadavky odmital, bylo by to mnohem lepsi.

test

Máte to pokažené. Mám nastavené zobrazování nicku a místo toho to sem dalo "jméno" (nesrat neřeknu) a navíc se to po úpravě "jména" ani nepřepsalo. Tak já reportnu sám sebe, můžete to pls smazat a hlavně opravit

A jak by to mel kontrolovat? Google sam nejlepe vi, ze cely byznys kolem Androidu je postaveny na spehovani a narusovani soukromi, to jsou zakladni funkce kazde aplikace, a to, jestli jsou zabalene do hry nebo instant messengeru, je uz jen takova omacka okolo.

Souhlasim, i minimalni kontrola by vyresila spoustu problemu.

Google uz tusim u nekterych aplikaci ukazuje neco jako "zkontrolovano" , ale samozrejme to nestaci. Problem je, ze kazde nouma dneska muze "naprogramovat" aplikaci pro Android. Podle toho to pak vypada, kdyz clovek neco hleda, tak najde X ruznych aplikaci pro jednu vec a kazda neco neumi. Misto, aby se tihle hlupacci dali dohromady a udelali jednu poradnou aplikaci, tak si kazdej bastli svoje - NIH syndrom. A kdyz si tihle hlupaci neco pro android pisou, tak nechteji hledat, jak se presne udela pozadavek na konkretni prava, ale proste pouziji copy&paste a zkopiruji nejakou sablonu, ve ktere je pozadavek na vsechny prava.

JJ kalkulačku stále mám , bylo to kolem roku 2000. Tehda jsem se ostatním smál jak to mají směšně zabezpečené. Myslím , že komerčka v té době to řešila přes heslo a telefon a tak stačil připoslech :D

> ... navzdory hacknutelnosti SS7, k tomu nějak nedochází.

Tím myslíš přesně co? Útok na bankovnictví přes hacknutí SS7 se občas povede, byť, pravda, u nás o žádném zatím nevím.

SMS nejsou dnes bězpečné právě kvůli SS7. Úspěšně případy existují a jsou zdokumentované.

Tak ono nemusis ani hackovat ss7, pokud jsi na te same vezi jako obet. V praxi sledujes den dva traffic na nejake vezi a vidis ktere telefonni cisla dostavaji textovky z banky. Pak tech moznosti jak se dostat k uctu uzivatele je bambilion. V dobe ledove jsme jezdili rano po Praze a sledovali traffic ve vzduchu se zajimavymi pohyby.

Spis asi toliko ke stadu debilu pracujicich v bankach.

Nevím, školy nemám, ale co je na IB v mobilu principiálně špatně?

z článku: "... pachatel získal zejména přístupové údaje k internetovému bankovnictví a SMS zprávám uživatele ..."

A nebo jinak:

a) Jak může na nerootnutém telefonu cizí aplikace zjistit identifikátor, pod kterým se IB (např. eKonto) ohlašuje bankovnímu serveru? To není viditelná informace, nikde se nezadává, jak to ta aplikace zjistí?

b) Jak může na nerootnutém telefonu cizí aplikace zjistit, jaké heslo zadávám? To bych jí přece na Androidu musel nejdřív v "accessibility options" explicitně povolit čtení hesel, ne?

Ani to, že jde o jedno jediné zařízení, není z pohledu SMS špatně, protože pokud na nerootnutém mobilu *nedám* aplikaci možnost číst autorizační SMSky, tak se k nim prostě nedostane, nebo se pletu?

Prostě mi přijde, že se tu zaměňují zásadní uživatelské chyby ("jo, záznamník chce povolit přístup k SMS ... tak mu ho přidám") s implicitním předpokladem že IB na mobilu je špatné vždy a za všech okolností.

Principielně nic. Zařizení jako zařízení. Ovšem v důsledku kombinací mnoha faktorů je běžný mobil ne zrovna bezpečný pro IB. Paušálně se to asi ale říct nedá ...

Ale přece jenom se dá jít té bezpečnosti naproti, že?

Jaktože nejsou? Jak Rumun provede ten první krok? Musí odněkud ukrást login a heslo - odkud a jak? Používal na to nějaký exploit na androidu?

IB v mobilu je upkne v pohode, stejne, jako IB v internetove kavarne. Pokud mate autentizacni kalkulator, kterym autentizujete transakce jednorazovym heslem.

Problem je pouze v tom, ze lidi v bankach nejak nezajima bezpecnost a tak resi autentizaci idiotskymi SMS, ktere jdou odchytit, u kterych jde ziskat nahradni SIM od operatora a ktere - v pripade IB v telefonu - skonci v tom samem zarizeni, kde bezi to IB, takze jsou jeste vic k nicemu, nez normalne.

Jedina banka o ktere vim, ze nabizi nejaky autentizacni token je Unicredit. Jejich bankovnictvi je dost priserne, ale lepsi nez SMS bullshit.

> ... lidi v bankach nejak nezajima bezpecnost ...

Jako člověk, co dělal pár let v bance na to můžu říct jen: :-D :-D :-D :-D :-D

Co vím, tak autorizovat jinak než SMS jde u ČS, AirBank ale určitě budou i další. (Sberbank má RSA token, což nepovažuju za úplně šťastné řešení.)

To nema smysl vysvetlovat, nekteri lidi nepochopi, ze bezpecnost neni jen absolutne nedobytny trezor, ale treba i (technicky naprosto nebezpecna) bezkontaktni karta, kde bezpecnost funguje na faktu ze limit 500 je pro banku naprosto marginalni riziko, a pripadnem vetsim zneuziti se vzdy da vynutit PIN.

Trosku problem je, kdyz se internetove bankovnictvi overuje SMSkou do stejneho mobilu ve kterem bezi, a nema primerene limity transakci nebo rozumnou detekci podezreleho chovani. To ze "neco" z takoveho bankovnictvi posle milion na naprosto neznamy ucet bez dalsiho overeni je jednoznacne chyba banky.

Jen si zapomel jeste na to, ze spousta tech uzasne bezpecny appek uz ani zadnou atorizaci sms nevyzaduje ... a az nekdo probehme metrem a stahne si petikilo od kazdyho mamlase s bezkontaktni kartou ... tak tu zase bude dalsi clanek.

Jakým prapodivným mentálním postupem jsi se dostal ke kartám, když se tu bavíme o IB? Ale jo, možná to někdo udělá a bude z toho článek. Něco jako "Mentálně slabší muž s bezdrátovým terminálem odcizil pár desítkám lidí po pětistovce, ale protože terminály jsou na jméno, tak ho policie rychle dopadla a teď si posedí pár let v chládku."

Zasadni uzivatelska chyba neexistuje, jen zasadni chyba v security designu.
To je jako tahat elektriku po byte neizolovejma dratama - to, ze si na ne nekdo sahne a zabije ho to taky neni zasadni chyba uzivatele, ale toho kretena, ktery nechal zive casti dostupne lidem bez kvalifikace.

Musím sa pridať. Celkom tomu nerozumiem. Niečo pridali do nahrávača a dostalo sa to cez ochrany na G Play. A to niečo potom získalo plnú kontrolu nad mobilom (asi skrz nejajú dieru)? Alebo je to len o tom, že používatelia všetky oprávnenia potvrdili a hurá?

lol ... ty ses probudil ze zimniho spanku? simtoolkit na spouste androidu nefunguje, na jabcich vubec, a rb ho prestala podporovat. Protoze se jaksi k ty sms nedostane nikdo.

A vazne netreba zjistovat co mas kde za policka ... staci sledovat kam lezes na web, a kdyz vlezes na adresu banky, tak co zadas jako prvni dva udaje? Pripadne kdyz spustis appku?

Licenci Sberbank nikdo neodebral, mela nekdy pozastavenou moznost poskytovat urcity typ uveru. V minulosti doslo k odebrani licence u ERB.

@Lojza .

To znamená co? Že když poškodí 100k klientů tak každý dostane 1 EUR?

Soucasti podminek bankovni licence je i zaruka statu v pripade krachu banky. Ta zaruka je 100tis EUR na 1 osobu u dane banky bez ohledu na mnozstvi uctu. Kdyz mas u banky 10x1M EUR a banka skrachuje, stat ti garantuje 100tis EUR, nic vic.

Android – systém pro pankáče, kde si aplikace můžou dělat co chtějí. A když má uživatel štěstí a má náhodou aktualizovaný systém (což není rozhodně většina), tak ho kolikrát od průseru dělí jenom jedno kliknutí na nicneříkající permission dialog.

Já si taky myslím, že je poněkud podezřelé, že prozatím všechna prohlášení o oné infikované aplikaci pocházejí pouze od lidí z ESET. No a ke všemu to nejsou žádné technické popisy, ale spíš PR vyjádření. Zatím jsem nezaznamenal žádný fundovaný názor od nezávislého odborníka. Kromě toho v článcích neustále pletou internetové a mobilní bankovnictví, což je velký rozdíl.

Přijde mi to dost divný. Mám účet u tří bank, ke všem mám v mobilu aplikaci a všechny fungují tak, že se to musí nejdřív v IB na počítači povolit, napárovat s konkrétním zařízením, nastavit heslo pro spuštění a pin pro ověření transakce. Všechny měly ve výchozím stavu nastavený limit v jednotkách tisíc, případně pouze povolený převod mezi vlastními účty. I kdyby teda útočník získal heslo (které je jiné než do IB) a pin, tak je mu to stejně k ničemu, protože by k tomu ještě potřeboval na dálku kompletně ovládnout můj telefon tak, aby si mohl spustit bankovní aplikaci a ovládat ji. I tak by si přišel maximálně na pár tisícovek.
Jde tedy zase o lidskou blbost, kdy oběť lezla do banky z mobilu přes web.