Vlákno názorů k článku
Google omezuje sideloading aplikací do Androidu, bude vyžadovat povinné ID od RRŠ - Mně na tom primárně vadí, že jsem zvyklý...

Kdyz ono z pohledu beznych uzivatelu je holt jednodussi sahnout po tom mobilu, nez nekde lovit ctecku cipovych karet. Mate specificke (minoritni az okrajove) potreby, ktere se holt nevyplati zadne bance implementovat... i kdyz takovy FIDO2/Passkey by se mi libil take, ale to jsou zas veci vcelku "nove" a urcite takove masove pokryti nemaji.... zatimco mobil coby i jen jako ten druhy faktor ma skoro kazdy.

Je celkem škoda, že banky zcela ignorují TOTP. Přitom je to jinak celkem rozšířený faktor ověření a hlavně bezpečnější než SMS.

TOTP je davno mrtvy kun. Bezpecnejsi nez SMSky je jen o malinko, porad se bavime o sdilenem klici, ktere drzi obe strany (a zbytek se odvodi z casu), ten klid kdyz z jakekoliv strany utece, tak je prusvih, zeano...

Dobre to bylo pred ctrnacti roky, ale dnes jsme uz fakt nekde jinde. V roce 2025 uz fakt.. nein, danke! :)

TOTP je dnes víc než dost relevantní a jako náhrada za SMS ideální, protože na rozdíl od těch ostatních je technologicky nenáročné, klienti to má prakticky pro cokoliv. A jestli to je pořád good enough pro naše IT, tak si myslím, že je to i dostatečně bezpečné.

Ze to je good enough pro vase IT nic neznamena. Pro takovy NUKIB je good enough buzerovat uzivatele s periodickou zmenou hesel, i kdyz ve svete se davno vi, ze to je blbost delat a rikaji to i takove autority jako NIST :-) Ono holt IT casto funguje s nejakou setrvacnosti...

Implementovat na necem nove TOTP v roce 2025 nedava smysl. Utika se od nej stejne jako od tech SMS. Krom jineho treba mojeid to komplet pohrbilo, uz pred asi trema rokama. Jako druhy faktor pro prihlasovani ke sluzbam statu to jako good enough povazovane nebylo a nikdy ani pouzit neslo.

TOTP se ale třeba neumí bránit MitM útokům, velmi snadno se dá zcizit a používat odkudkoliv, jako provozovatel systému pak nejsi schopný ověřit autentičnost, prostě jsi dostal "číslo" a nikdo neví, jestli ho náhodou už neumí generovat půlka internetu.

TOTP je ovšem jen jiné heslo. Banka ale potřebuje potvrzovat konkrétní transakce – potřebuje odlišit, zda schvalujete přihlášení, převod peněz na účet X nebo převod peněz na účet Y. To s TOTP nejde udělat.

Nevím, co potřebuje banka, ale podle evropské směrnice, která to reguluje, je AFAIK TOTP je povolený způsob autentizace. Že není dokonalý, je jasné, ale to není ani SMS.

Ona banka ani nepotřebuje dokonalý způsob ověření. Žádný není 100% a vyřešit ty poslední procenta do plného sta je dražší než interní fond pro kompenzaci poškozených zákazníků. Banka chce, abyste účet používali a peníze utráceli. Takže nabízené možnosti ověřování jsou kompromis mezi pohodlností pro zákazníka a bezpečnosti, kterou banka finančně utáhne.

Krom jineho PCI DSS v aktualnim zneni TOTP uz take povazuje za legacy vec. Neni to phishing-resistant multifaktor... stejne jako ty SMS. Realne PCI DSS hazi SMS i TOTP do stejneho pytle.

Ano, ale je to jen autentizace. Jenže banka potřebuje i autorizaci jednotlivých transakcí. A díky/kvůli BankID je dobré umět i rozlišit, kam se přihlašuju – zda do banky, k NIA nebo ke komerčnímu BankID.

Scénáře, kdy mi u banky bude stačit TOTP, jsou velmi omezené.

SMS vůbec neřeším, to je prostě dávno prolomená technologie.

která směrnice prosímtě dovoluje TOTP v případě bank? :)

V rámci PSD2 se pro na TOTP vztahuje "to, co drží pouze uživatel", což u TOTP dnes již není považované za platné. Přechází se na biometrii nebo vlastní bezpečné klíče v mobilní aplikace.

3D Secure 2.0 pak stanovuje TAN (jako transakční číslo), které ale musí doručit banka a není možné ho vygenerovat offline. Na offline ověření je potřeba mít patřičný kryptografický HW.

DORA pak stanovuje, že si banka musí pravidelně dělat audity bezpečnostních metod a pokud u nějaké odhalí, že již není dostatečně bezpečná, musí provést upgrade.

Jestli si dobře vybavuji, žádná z 10 největších bank v ČR dnes už nemá TOTP v provozu. Odkud čerpáš, že TOTP je u bank OK? V bankovních systémech se pohybuji pracovně a bezpečnost je obor, v kterým podnikám a dodávám.

A proc tedy nikdo nepodporuje FIDO2?
Komplet vsichni radeni nuti problemove aplikace na monopolni mobilni OS.

Pritom v USA s tim problem namaji, normalne pouzivat FIDO2 token s Bank Of America.
Pritom bezpecnost je jednoznacne vyssi, token se da ukrast pouze fyzicky.

protože to je jejich interní rozhodnutí, prostě chtějí prosazovat svoje aplikace a tak trochu si s tím přihřívat píseček.

FIDO2 neumožňuje snadno zobrazit informace o transakci, kterou potvrzuješ, může být tedy náchylný k řadě útoků. Jsou tady hlasy, aby se interní CTAP protokol rozšířil o možnost zobrazit rozumně informace. Němci to teď aktivně řeší, https://die-dk.de/media/files/GBIC_Recommendations_on_FIDO2.pdf, české banky vyčkávají.

S Fido2 koketuje Airbanka, ale zatím to není dostupné, viz i problémy výše.

Jednak ta čtečka je součástí notebooku, takže nic lovit nemusím, a druhak je ta banka podporuje už kvůli firemnímu bankovnictví, kde se to používá vcelku často. Jediný zádrhel je tedy v tom, že kombinace čipovka + Linux je minoritní...

Já osobně bych bral i možnost přihlášení pomocí tokenu a MojeID - když to stačí eráru, mělo by to stačit i bance.
Jenže to už tuplem nechtějí implementovat, protože je pro ně lepší lidem vnutit svoji bankovní identitu a mít přehled o tom, kam se jim klienti hlásí...

Tak to je spis uz byznys. Stejne jako prihlasovani pomoci jinych identit typu Google, AppleID na webu. I banka touzi po datech, stejne jako ostatni. A ono eraru MojeID mozna staci, ale na ruzich take ustlano zrovna nema. A ten enrollment neni uplne uzivatelsky... ne az tak pratelsky, clovek proste musi "neco dalsiho", aby tu identitu rozpohyboval. Zatimco diky legislative tu identitu z banky dostane bez nutnosti (zase) nekam chodit.

Já osobně bych bral i možnost přihlášení pomocí tokenu a MojeID - když to stačí eráru, mělo by to stačit i bance.
Jaký by to mělo smysl? Přihlásil byste se tokenem nebo přes MojeID – a pak byste potřeboval autorizovat platbu, takže byste stejně musel jít do mobilní aplikace nebo použít něco jiného, co dokáže autorizovat konkrétní transakci. Nebo se do banky přihlašujete tak často jen pro čtení?

transakci můžeš autorizovat naivně tím, že jsi použil silné přihlášení. Dříve třeba KB podepisovala transakce přihlašovacím certifikátem, dnes si můžeš třeba odvozovat klíč od sezení. Možné to je třeba i mobilních aplikací, kde je technicky velmi těžké obsah modifikovat nebo překrýt, u desktopu je ale velmi snadné překrýt a pozměnit stránku, tak je pořád potřeba potvrzení jiným kanálem.

No, mainstreamove implementace dokazuji relevantnost meho nazoru a naopak irelevantnost vaseho komentare :-)

V dnešní době např tlačítkový mobil vs smartphone s předem povoleným OS je docela rozdíl.