Poslední příspěvky

61

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od bmn kdy 04. 01. 2025, 08:56:17 »

Jestli si někdo myslí, že bankovní aplikace běžící na mobilu je v bezpečí před jinými aplikacemi, doporučuji se podívat na statistiky CVE Androidu/iOS, třeba tohle:
https://www.cvedetails.com/product/19997/Google-Android.html?vendor_id=1224

Představy, že všichni mají telefony stále podporované výrobcem a mají nainstalované poslední aktualizace, jsou úplně mimo. To, že se zatím masivně neútočí na aplikace našich malých bank neznamená, že se někdy někomu neoplatí tomu čas věnovat.

Ohledně kontroly rootu na telefonu, tak třeba aplikaci od Fio to nevadí, není třeba root maskovat. Pokud bych neměl možnost si zkontrolovat jaké data posílá v PCAPdroidu, tak ji nepoužívám (pouze jako druhý faktor samozřejmě).

62

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od Filip Jirsák kdy 04. 01. 2025, 08:49:06 »

A "nejlevnější mobil" není nějaký backdoornutý Android který dostal poslední aktualizaci rok před tím než jste si ho koupil? Dříve jste tu na tento argument psal, že mobil je jenom druhý faktor, tak je i taková věc v pohodě, ale od té doby se situace změnila: naprostá většina bank již mobil nepoužívá jako druhý faktor, ale jako jediný faktor (i.e., nemají zvlášť "jen autentizační aplikaci pro internetbanking" a plnohodnotné mobilní bankovnictví, ze kterého jde dělat všechno).

Pokud byste se opravdu bál, že Čína prodává backdoornuté mobily zaměřené na české bankovní aplikace (a neví se o tom), můžete ten mobil používat bez připojení k internetu. To potvrzování bankovních transakcí bude sice trochu méně pohodlné, ale riziko napadeného mobilu to řeší.

Mimochodem, nejlevnější noname mobil s Androidem na Alze je jakýsi Infinix Smart zlevněný na 1 790 Kč, základní cenu Alza uvádí 1 890 Kč. Nejlevnější značkový mobil s Androidem mají Motorola Moto E14 za 1 888 Kč. Takže druhé možné řešení vašeho problému je to, že si nekoupíte ten nejlevnější mobil ve slevě, ale připlatíte si stovku za normální značku.

63

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od _Jenda kdy 04. 01. 2025, 02:33:49 »

a bylo by to podstatně dražší, než nejlevnější mobily

A "nejlevnější mobil" není nějaký backdoornutý Android který dostal poslední aktualizaci rok před tím než jste si ho koupil? Dříve jste tu na tento argument psal, že mobil je jenom druhý faktor, tak je i taková věc v pohodě, ale od té doby se situace změnila: naprostá většina bank již mobil nepoužívá jako druhý faktor, ale jako jediný faktor (i.e., nemají zvlášť "jen autentizační aplikaci pro internetbanking" a plnohodnotné mobilní bankovnictví, ze kterého jde dělat všechno).

A "Možnost načtení QR kódu ze souboru" mi pride tiez divne, kedze to je urcene pre mobily.

Já to chápu, nechce se mu copypastovat X políček. Používá nejspíš nějaké desktopové prostředí, kde je snadné, když má otevřenou třeba PDF fakturu, ten soubor "dropnout" do okna prohlížeče.

Tak klasika, Fio.

Už se taky kazí. Teď třeba poslední věc (na konci roku) zavedli, že už ti také mohou nutit předschválené půjčky online - AFAIK jediná banka která to ještě neměla. A od kamarádů slýchám, že ten jejich javový podepisovač už v podstatě přestali podporovat.

Pobavilo. Na vině jsou spíše samotné prohlížeče a to jak fungují. Banky by mohli provozovat desktopovou aplikaci a splnili by veškeré nároky, ale její instalace je značně nepohodlná, vývoj příliš drahý a ještě by to nemuselo fungovat na všech počítači kvůli potřebě mít HW uložiště klíčů.

Nerozumím, můžete dát příklad útoku, který umožní kompromitaci bankovnictví v prohlížeči, ale ne desktopové aplikace?

Prosím, prosím, méně spekulací. I FIDO2 umožňuje challenge&reponse. Yubikey k tomu má pak appku, která vstup zobrazí. Mícháš dvě věci dohromady, někde potřebuješ mít uložený tajemství (teď se používá zabezpečná enclava uvnitř telefonu), pak aplikaci, která ti zobrazí výzvu a po tvém potvrzení jí skombinuje s tajemstvím a doručí bankce. Ty přepisovací kalkulačky jsou už historie.

Já myslel, že se bavíme o vyhackovaném počítači, kde ti pak ta aplikace může zobrazovat cokoli.

64

Hardware / Zkušenosti s LILYGO T-Watch S3

« Poslední příspěvek od veskotskujehnusne kdy 04. 01. 2025, 01:11:46 »

Ahoj, má někdo nějaké zkušenosti?

zatím o tom nemám nic načteno a ten firmware, se kterým to přišlo mi nedovolí ani nastavit WiFI, takže nevím, jestli se předpokládá, že to hned něčím flashnu? Mám tam pár watchfaců swipováním nahoru a dolů, test rádia, zvuku a tak, ale vlastně tam nic jiného není, co vidím online to má normálně nějaké GUI pro nastavení a podobně.

65

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od 𝑾𝑰𝑭𝑻 kdy 03. 01. 2025, 21:39:51 »

• Možnost načtení QR kódu ze souboru

Tak pardon, u AirBanky jsem možnost načtení QR kódu ze souboru ve webové aplikaci nenašel (to neznamená, že tam není, já to ale nenašel). Mobilní to samozřejmě má a anžto jinou nepoužívám, tak mi tohle nedocvaklo.

66

Software / Re:Zjištění názvu filmu a zápis do tagu

« Poslední příspěvek od Vietnanka kdy 03. 01. 2025, 21:09:29 »

No on to je možná obecný problém "lze do souboru" připojit nějaký info aniž by se musel celý překopat? Například úprava exif přes NAS taky přenáší 6MB , což mě štve (a asi to dělá i při lokální úpravě na C:)

CO když ty nástroje dělají iluzi, že výsledný soubor je stejný ? (běžně nástroj zapíš to .tmp souboru a přejměnuje zpět)?

co vlastně ten filebot dělá? nějak komunikuje s internetem a zjistí "správný název"? nebo nějak uploaduje název nebo screenshoty filmu (jak se tomu "filmstripu říká - pár políček z filmu?) a to vrátí název?

nestačilo by skriptem spustit for i in *.mp4 ; do $hodnota=$(detekuj_($i)); ffmpeg -i $i -c copy -metadate title=$hodnota $input_.mp4 ; mv $input_.mp4  $input;
(možná ale uplně míjím záměr)

67

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od uwe.filter kdy 03. 01. 2025, 20:43:34 »

Doporučuji kouknout na Fio. Upřímně nevím, jestli umí to propojení účtu a načítání údajů z QR kódu, ale obecně je ze všech bank, které používám nebo o kterých mám povědomí, nejpřátelštější, bez nějakých zákeřností nebo házení klacků pod nohy. K tomu (subjektivně) velmi přehledné webové bankovnictví, rovněž zákaznická podpora reaguje rychle a ochotně. Přesně tak si představuji, že má banka fungovat.

68

Hardware / Re:Redukce USB-C na USB-A

« Poslední příspěvek od Jiří Poucha kdy 03. 01. 2025, 20:25:08 »

Já bych čekal, že mezi VBUS A a VBUS C je vodič, pak to totiž bude fungovat jako redukce mezi A a C. Sice to bude nabíjet a přenášet data pomalu, ale furt lepší, než koukat s C-C kabelem v ruce na A díru. Naopak bych nečekal, že se to umí chovat jako PD 1.0 sink na áčku a jako PD>2 source na céčku, muzeum propojující áčko a céčko už máme jedno na Václaváku.

Ale zpět mimo téma, háček je v tom "pokud umí dodat dost wattů" -  zas těch cihliček postupně koupím několik, protože ty dosavadní budou mít málo wattů, aby nabíjely efektivně a rychle.
RPi je levný výukový počítač a většinou ho lze napájet z libovolného adaptéru. USB-C konektor snese 5 A. Nedává smysl dávat PD čip a měnič do každýho RPi, když těch 5 A je  potřeba jen někdy. Někdo má shit na stole, někdo ho nosí v hlavě.

69

Odkladiště / Re:Zkušenosti s internetovým bankovnictvím

« Poslední příspěvek od Vietnanka kdy 03. 01. 2025, 20:01:26 »

Nebudu zabředávat do diskuse nebezpečných  desktopových prohlížečů a vyhypovaně ultrabezpečných mobilních aplikací, jak to líčí Jirsák. Takovéhle reklamní strašení používají i banky a další šiřitelé zla. Má to jeden háček, který jaksi zamlčují, když se vám ztratí telefon, tak jste s nějakou aplikací uplně v čoudu, pokud si nějak obskurně propojíte nějaká zařízení. a úplně se zamlčuje, že ty aplikace nechtějí chodit na rootovaných telefonech, protože jsou plné šmírování a hlídání a těžko se kontroluje, co mobilní aplikace dělá na rozdíl od konzole browseru. (druhá strana bude tvrdit že to tak je správně, že aplikace se aktivně brání nekalostem)

Ano, odhlašování na fóru je legendární, například se to stane  i minutu potom, co v druhém refresnu stránku.

 a Mohu přihodit zkušenost s moneta. Sice taky tlačí aplikaci (dokonce nešly termínované vklady  na webu zrovna náhodou v létě, kdy byl úrokkolem 5%), přes ten desktopový prohlížeč je to taky jako když běží javascriptový reaktor, dokáže úplně zpomalit 4jádrový CPU.
Ale naštěstí pořád , neoficiálně, s autorizačními SMSkami funguje i pro ostatní než pro pozitivně diskriminované důchodce nad 65 let, akorát je to pain in hell, každé příhlášení přes webovou konzoli smazat varovné výhružné okénko, že autorizační SMS byly zrušeny v roce 2023 a když používáte ty autorizační SMS, tak vám ti zlí hackeři mohou se nabourat do účtu.

(právě díky příchozí SMS uvidím, kdyby někdo náhodou si našel mé login údaje)
Taky nejsem z SMSek nadšený, protože kód má kulervoucích osem číslic, snad víc má jen RB, 10. Přitom je to totální úlet, webpage nedovolí vložit víc než 100 pokusů kódu. bohatě stačí i 4místný jako kdysi měly banky. Kdyby třeba banky nabídly nějaký OTP způsob nezávislý na operačním systému, což není nějaká obskurní aplikace z nějakého nestažitelného než jinde google play nebo nějakého obchodu s jablky

Jediné co je potřeba, je aplikace na čtení SMS

70

Server / Re:Jak na deploy Python aplikace na Roští.cz

« Poslední příspěvek od Vietnanka kdy 03. 01. 2025, 19:47:29 »

spustitelná příkazem "python3.13 -m app", tedy že nevzniknou problémy s importy závislostí atp.

 Tento software potřebuje, aby se v mém kořenovém "app.py" souboru vyskytovala globální proměnná
 přenasazení (tedy alespoň mi jo)

>matt.sh : __ini__.py, pyproject.toml
Wow, tak to je ještě horší bolilerplateismus java. Aneb vítejte v GDD. (Generator Driven Development)
Ještě mi tam chybí podmínka, aby index.py měl velikost dělitelnou  3130 bajty a project.toml součet číslic datu vzniku souboru 88 a aby existovala funkce uštknutí_pythonem()