Google chce omezit dvoufázové ověření přes SMS

"SMS komunikace má ve většině případů mizerné zabezpečení a hrozí tak odposlechnutí autentizačního kódu." - to maji pravdu, nicmene tento problem se tyka pouze jejich androidu .......

"Pokud se použije speciální mobilní aplikace, data jsou samozřejmě přenášena patřičně šifrovaným kanálem." - takze opet stejny problem, pokud se jedna o jejich bugdroid. Pokud se jedna o iphone a windows, tak jim to usetri za SMS. Vlastne i na tom lagroidu, preci jen je to jedno a overeni v aplikaci bude levnejsi.

to maji pravdu, nicmene tento problem se tyka pouze jejich androidu .......

Tak určitě...

A5/1 je dneska s dostupností velkého výpočetního výkonu totální trapárna.
Realtme sice vyžaduje lepší stroj, nicméně těch pár papírů za odposlech není takový problém.
Jenda Hrach o tom má perfektní přednášku:
https://www.youtube.com/watch?v=IA3NaCoA_v4

Ještě jsem neviděl, že by chodila nějaká zašifrovaná zpráva přes SMS. Ale i kdyby chodila, tak by to byla jen komplikace, jelikož SMS jsou dostupné z mnoha aplikací, tak stačí zachytit a přeposlat útočníkovi na jiný stroj a ten by si s tím už nějak poradil. Klasický MITM. Chvilku by asi trvalo, než by se tomu útočníci přizpůsobili, ale nakonec by vše fungovalo úplně stejně jako doteď. Smyslem například https je to, že právě MITM by tam neměl připadat v úvahu a o to se asi Google teď snaží.

Jo ale tohle (certifikát) by si ta cílová aplikace měla dokázat ohlídat a řvát na uživatele, že systém je zkompromitovaný a dát stopku. U SMS to z principu nejde.

Jmenuje se to Sim Toolkit a žádné komplikace s tím nebyly.

Jo tak to je pravda, až na to že byl člověk rukojmím poskytovatele resp. operátora, páč to bylo nahraný na simkartě. Naprosto překonaná záležitost, odsouzená k nezdaru, podobně jako WAP a jiné proprietární náhražky.

Je fakt, že v dnešní době rozšířenosti wifi a internetu obecně je to překonaná věc. A pro pár lidí, kteří by to využili, nemá smysl to udržovat.

Ale jo, musel se "nahrávat" na SIM na prodejně operátora (klíč?). Nebylo to úplně špatné řešení, ale šifrované SMS bylo jediné, co by dnes z něj mělo smysl a to je málo na udržování takové technologie.

Tak to už spoustu let není, kdysi jsem skutečně musel vyndat SIM kartu z telefonu a dát bankéřovi do jeho čtečky, ale s další SIM kartou stačilo pouze nahlásit číslo a operátor mi vše potřebné na SIM kartu poslal vzduchem (OTA). Když už ten mobil stejně mám tak mi to připadá jako velice dobrý komunikační kanál s bankou. První telefony s Androidem měly velkou nevýhodu že potřebnou technologii (SIM toolkit) nepodporovaly, ale s novými telefony to už není žádný problém.

No aplikace muze bezet primo na simkarte a byt pristupna pinem .... takze se k te sifrovane zprave nikdo nedostane

No tak to je řešení, nejhorší z možných. Dávno překonaná proprietarní technologie. Tudy cesta určitě nevede, nechápu proč furt někdo vykopává mrtvé kobyly a myslí si že poběží dostihy? Operátoři jsou out, je jen otázka času než například Elon Musk se satelitním internetem nebo Eutelsat nahradí poskytovatele připojením z kosmu. V té době bude normální VoLTE a přes satelit to pojede podobným způsobem, nebude mít už žádný smysl pořizovat si fyzickou simkartu a spoléhat na pozemního operátora. Tím neříkám, že skončí, ale budou se muset od základu transformovat.

To co se dneska děje, je jen vývoz zisků z dojné krávy, získat co nejvíc na lukrativním trhu, dokud se nezmění podmínky. Game changing období nastane za 4-5 roků.

"bude normální VoLTE a přes satelit to pojede podobným způsobem" - fyzika nejspíš není vaším koníčkem, tak si prosím aspoň vygooglujte co to je latence a pak pochopíte proč telefonování přes satelit lidi nikdy nebudou mít moc rádi. A až ještě k tomu navíc zjistí jak rychle se jim při telefonování přes satelit vybíjí baterka...

Nesmysly. SMS putuje interními systémy operátora i mobilní sítí v otevřeném textu. A při GSM přenosu do mobilu je šifrována jen velmi slabou šifrou. Navíc SS7 signalizace mezi ústřednami nemá by-design žádné zabezpečení, takže klidně operátor z Ugandy může říct "SMSky pro číslo +420 603 XXX YYY posílej teď mě" a ústředna by mu je měla posílat. Reálně to tak jednoduché není, protože operátoři mají určitá bezpečnostní opatření proti podobným útokům, ale stejně se nedávno podobný útok povedl v Německu. A takový útok nevyžaduje žádnou součinnost uživatele.

I v mobilu jsou SMS nezabezpečené a pokud si uživatel stáhne a nainstaluje útočníkovu aplikaci a dá jí přístup k SMS, tak ho má, to je pravda. Nicméně tady v 99% případů stačí nebýt debil.

Když je přenos až do aplikace šifrovaný, tak je úrok velmi obtížný, protože by se útočník musel nejenom dostat do mobilu uživatele, ale musel by i prolomit oddělení aplikací v systému, což je už jiný level. A unesením SS7 si nepomůže vůbec.

Proto je vlastní aplikace s šifrovaným spojením významně bezpečnější, než prosté SMS a navíc se nemusí platit ty SMS :)

O A5 sa pochybovalo v casopise CHIP uz okolo roku 2000, okrem ineho aj tu:
https://www.youtube.com/watch?v=0fTaEXA-EtU

Fajn, tak už aspoň Google nemusí somrovat telefonní číslo a vymlouvat se na zabezpečení. I když mu jde jen o další dílek do skládačky s názvem metadata.

G už všechna čísla ma tak nač dal platit za sms.

pochybujem ze google za tie sms plati.

To myslíš, že mu operátoři ty SMS odesílají zdarma pro jeho krásné modré oči?

Aha takze bez moderniho smartphonu se na gmail nedostanu.Skvela vec.

a ked mas musis instalovat virusy od google...

To nejde ta dvoufázová autentizace vypnout? Gmail neznám, proto se ptám.

Když jsem naposledy chtěl u Googlu vytvořit účet, chtěli po mě číslo mobilu a protože mobil nemám, účet se mi nepodařilo vytvořit. Ať se jdou vycpat.

To by mohlo hodit dalsich par miliard pokuticky, protoze tohle porusuje i soucasnou legislativu, natoz gdpr ... ;D

Mně se líbí, jak si každý výstřední blb myslí, že různé organizace budou rády utrácet milióny korun na podporu okrajových procesů, aby si i tito blbové přišli na své. Mám na mysli blby, kteří nemají mobil a nebo mají deset let starý křáp a ani nikdo v jejich rodině jim na pár minut nemůže půjčit normální telefon, protože asi ví, co je to za blby. A ještě tito blbové pokládají za vhodné různé společnosti kárat, aby mohli dát na odiv svou výjimečnost.

Jasne, protože každý potřebuje mit v kapse nonstop blackbox s malware online a k tomu milion bezpečnostních der. Jo jo, pokrok nezastavíš. O fyzické kvalitě a odolnosti nemluvě.

Platí to i v případě, kdy se např. stát rozhodne udělat daňové přiznání nebo datové sránky Windows-only, protože kdo by řešil ty okrajové blby?

Účet u Google je základní lidské právo? Odkdy?

Kdyby SMS overovani chcíplo úplně, i v bankovnictví, jen dobre. Takhle furt musím platit za telefon, jen abych mohl cist mail, posílat peníze, atp.

V bankovnictví chcípe, akorát je nahrazováno aplikací v chytrém telefonu (jako tady u Google), takže ais nic pro tebe :)

Telefon není problem. Za SIM se musí furt platit.

Já bych řekl, že ten mobilní telefon bude fungovat i bez SIM. Akorát pro potvrzení platby budeš muset být na Wi-fi, ale to není až tak nepřekonatelný problém.

Bez SIM se blbe prijimaji SMS.

Ja bych rek, zes moc telefonu nevidel ... jabkofoun bez sim ani nezapnes.

Na druhou stranu 50 Kč ročně není zas _tak_ strašné, možná tomu operátorovi uděláš větší náklady vůbec tím, že tu SIM vlastníš.

U kterého operátora? Platnost kreditu je většinou 6 mesicu a minimální dobiti 200, jinak mi seberou číslo.