Banka přátelská k open-source softwaru

[r223]

Vzhledem k shitstormu a arogantnimu jednani FIO banky, ktere me v poslednich tydnech potkalo, hledam nahradu nejak rozumne fungujici banky.
V zasade jeden z mala pozadavku - zadny vnucovany Android nebo Apple ekosystem. Idealne podpora FIDO2, tokenu, smartcard etc.
Nekolik firmenich a osobnich uctu.

[Reklama]

[Exceptions]

fido2 pro bankovní přístup? Tvoje požadavky se neslučují s zabezpečením bank.

Pokud se odprostím od tvých požadavků a zůstanu v kategorii firemní účty. Tak KB má podporu čipových karet, osobních certifikátů (můžeš mít i na HW tokenu), vše ale pracuje s jejich SW, nepotřebuješ mobilní apku. ČSOB a jejich CEB, jen pozor na to, že ČSOB je obecně technicky velmi zaostalá. UniCredit má vlastní HW bezpečnostní klíč.

U ostatních jako je Fio (sms otp šílenost), ČS (george i pro firemní agendu), Moneta (něco lze bez appky, ale stejně ti jí natlačí). Rajfka to tolikrát měnila, že asi ani napobočce neví, co teď podporují. U Airbanky jsme dělali podporu pro HW tokeny již předloni, ale myslím, že doteď to nemají venku, to se chce zeptat.

[🇺🇦 GPU]

Fio jako jedna z mala zachovala otp sms a neplanuje jejich zruseni. Takze se clovek obejde bez apky a n3musi resit platformu.

[r223]

fido2 pro bankovní přístup? Tvoje požadavky se neslučují s zabezpečením bank.

Pokud se odprostím od tvých požadavků a zůstanu v kategorii firemní účty. Tak KB má podporu čipových karet, osobních certifikátů (můžeš mít i na HW tokenu), vše ale pracuje s jejich SW, nepotřebuješ mobilní apku. ČSOB a jejich CEB, jen pozor na to, že ČSOB je obecně technicky velmi zaostalá. UniCredit má vlastní HW bezpečnostní klíč.

U ostatních jako je Fio (sms otp šílenost), ČS (george i pro firemní agendu), Moneta (něco lze bez appky, ale stejně ti jí natlačí). Rajfka to tolikrát měnila, že asi ani napobočce neví, co teď podporují. U Airbanky jsme dělali podporu pro HW tokeny již předloni, ale myslím, že doteď to nemají venku, to se chce zeptat.

K uctu u Bank of America FIDO2 mam.
Aplikaci nejsem schopen provozovat. Navic jsem si skoro jisty, ze jeji vynucovani je compliance problem s nekterymi EU acty, protoze de facto nuti k souhlasu s podminkami dalsi, mimoevropske strany s tim, ze nemaji naprosto zadnou kontrolu nad tim, co tyto strany delaji. 

[Exceptions]

K uctu u Bank of America FIDO2 mam.
Aplikaci nejsem schopen provozovat. Navic jsem si skoro jisty, ze jeji vynucovani je compliance problem s nekterymi EU acty, protoze de facto nuti k souhlasu s podminkami dalsi, mimoevropske strany s tim, ze nemaji naprosto zadnou kontrolu nad tim, co tyto strany delaji. 

bank of Amarica ale není česká, resp. EU banka, že jo. Jde o jinou věc, ve FIDO2 např. není vůbec nijak rozumně řešitelný prompt and approve aneb řečeno nevíš důvěryhodně co potvrzuješ.

Tady se bavíme o firemních účtech. Zásadní problém u Českých bank je, že z nějakého důvodu nechtějí nasazovat věci, které použije promile jejich klientů.

A jen tak mimochodem, české banky jsou už dnes velmi daleko pokud jde o IT bezpečnost a standardy, proto se poslední dobou velmi rozmáhá sociální inženýrství, protože už snadno tady nelze hromadně napadnou účty, což se ale nedá říct o americké. Zrovna zmiňovaná BofA je často na pranýři.

[Reklama]

[RDa]

A jen tak mimochodem, české banky jsou už dnes velmi daleko pokud jde o IT bezpečnost a standardy, proto se poslední dobou velmi rozmáhá sociální inženýrství, protože už snadno tady nelze hromadně napadnou účty, což se ale nedá říct o americké. Zrovna zmiňovaná BofA je často na pranýři.

To bych prave nerekl. Napr FIO melo zavest EU legislativu na kontrolu jmena majitele u SEPA/IBAN a varovat kdyz bude nezhoda. Ale udelali to tak lamersky, ze to pokazde vyhazuje varovani. Duvod? Majitel ma ve jmenu hacky a carky, a je jedno zda vyplnim policko bez hacku, nebo s hackama - vzdy to porovnani skonci spatne! Jako nechapu, proc to neporovnavaj AS-IS (v unicode), ale delaji nejaky normalizacni harakiri ktere maji vyslovene spatne a vzdy to skonci nezhodou..

Podle me tam maji toto:

Kód: [Vybrat]

if ( AccountHolderName != normalize(UserFormInput) ) show warning

[Karol Bujaček]

To bych prave nerekl. Napr FIO melo zavest EU legislativu na kontrolu jmena majitele u SEPA/IBAN a varovat kdyz bude nezhoda. Ale udelali to tak lamersky, ze to pokazde vyhazuje varovani. Duvod? Majitel ma ve jmenu hacky a carky, a je jedno zda vyplnim policko bez hacku, nebo s hackama - vzdy to porovnani skonci spatne! Jako nechapu, proc to neporovnavaj AS-IS (v unicode), ale delaji nejaky normalizacni harakiri ktere maji vyslovene spatne a vzdy to skonci nezhodou..

Podle me tam maji toto:

Kód: [Vybrat]

if ( AccountHolderName != normalize(UserFormInput) ) show warning

Fio, minimálne pobočka na Slovensku, nedovolí zadať diakritiku, ale v niektorých prípadoch napíše správny účet s diakritikou. Logiku som v tom nenašiel, zdá sa, že išlo o účty inštitúcií.

[tester3274]

Ale Android je opensource. Stačí si vybrat ten "správný" např. Graphene OS:

https://grapheneos.org/

https://privsec.dev/posts/android/banking-applications-compatibility-with-grapheneos/

A některé české banky jsou dokonce ochotné se s váma o tomto normálně bavit, např. když reportujete chybu/nesmyslné chování jejich appky na tomto OS.

[lordrak]

Nevím, co Tě potkalo, ale naopak Fio bylo schopné rychle zareagovat, když vydali aplikaci, která nefungovala na čistém opatchovaném androidu, ale ne ofiko FW (třeba když si ho sestavíš sám). Stačil "týden" (původní apka ještě snad i fungovala) a nová aplikace už jen od té doby upozorňuje (někdy otravně), že se jí něco nelíbí, ale pustí tě, protože si přeci pánem svého účtu.

[ja.]

To bych prave nerekl. Napr FIO melo zavest EU legislativu na kontrolu jmena majitele u SEPA/IBAN a varovat kdyz bude nezhoda. Ale udelali to tak lamersky, ze to pokazde vyhazuje varovani. Duvod? Majitel ma ve jmenu hacky a carky, a je jedno zda vyplnim policko bez hacku, nebo s hackama - vzdy to porovnani skonci spatne! Jako nechapu, proc to neporovnavaj AS-IS (v unicode), ale delaji nejaky normalizacni harakiri ktere maji vyslovene spatne a vzdy to skonci nezhodou..

Podle me tam maji toto:

Kód: [Vybrat]

if ( AccountHolderName != normalize(UserFormInput) ) show warning

Fio, minimálne pobočka na Slovensku, nedovolí zadať diakritiku, ale v niektorých prípadoch napíše správny účet s diakritikou. Logiku som v tom nenašiel, zdá sa, že išlo o účty inštitúcií.

No, Fio je na tom zaujímavo/f***upovo aj tým, že obmedzuje dĺžku názvu účtu, ktorý je možný zadať, ale neosekne reťazec, s ktorým porovnáva. Takže názov účtu je napríklad "Sociálna poisťovňa, pobočka Bratislava", ale tak dlhý string zadať nemôžem (bez ohľadu na diakritiku), takže nikdy nebude sedieť a vždy bude na to upozorňovať.

No a samozrejme, všetky banky nazvali osobné účty "Meno priezvisko", len Fio "Priezvisko meno". Do hromadnej šablóny si zadať číslo účtu môžem, názov účtu nemôžem. Jednoducho srandy kopec pri každom výplatnom termíne.

[Exceptions]

To bych prave nerekl. Napr FIO melo zavest EU legislativu na kontrolu jmena majitele u SEPA/IBAN a varovat kdyz bude nezhoda. Ale udelali to tak lamersky, ze to pokazde vyhazuje varovani. Duvod? Majitel ma ve jmenu hacky a carky, a je jedno zda vyplnim policko bez hacku, nebo s hackama - vzdy to porovnani skonci spatne! Jako nechapu, proc to neporovnavaj AS-IS (v unicode), ale delaji nejaky normalizacni harakiri ktere maji vyslovene spatne a vzdy to skonci nezhodou..

Podle me tam maji toto:

Kód: [Vybrat]

if ( AccountHolderName != normalize(UserFormInput) ) show warning

Jsi si vybral jednu z nejhorších českých bank . Mluvil jsem obecně, většina našich bank je na tom technicky velmi dobře, výjimky nebo konkrétní nedostatky se najdou.

Fio je i za mě divná.

[RDa]

No, Fio je na tom zaujímavo/f***upovo aj tým, že obmedzuje dĺžku názvu účtu, ktorý je možný zadať, ale neosekne reťazec, s ktorým porovnáva. Takže názov účtu je napríklad "Sociálna poisťovňa, pobočka Bratislava", ale tak dlhý string zadať nemôžem (bez ohľadu na diakritiku), takže nikdy nebude sedieť a vždy bude na to upozorňovať.

Jo, tenhle problem s delkou retezce maji i v poznamce k prevodu z terminovaneho uctu. Jsem tam hezky vypsal co to je a ono se to useklo na nejakou smesnou delku ze z toho skoro nic nezustalo (nevim zda 16 znaku ale bylo to fakt do oci bijici).

A dalsi problem byl, kdyz poplatky z predcasneho vyberu nauctovali podivne - mena uctu je v eur, cenik rika 40e. A poplatek byl tam strzen nejak 41,neco ... protoze to asi prevadeji na CZK a pak zpet - pritom zdroj/cil byly eurove ucty. Tohle jsem reklamoval skrze in-web support a odepsalo mi nejake nemehlo ze vsechno je v poradku. Tvl, jsem myslel ze tam prijdu nekoho umlatit - protoze kdyz jim dam dve ruzna cisla: cenik a realne strzeny poplatek a oni reknou ze to je to same, tak tvl, neeee.

Ale jinak spokojenost (pac si taham pres API historii a paruji s ucetnictvim.. tohle je u jinych bank imho horsi/nemozne).

[Petr Soukup]

Fio nic moc, ale všechny banky jsou na tom ještě  hůř. Tedy není kam chodit.

Fio android aplikaci nepoužívám, posílají mi při potvrzování každé platby SMS.

Používal bych ji, kdyby bylo možné omezit výši plateb při použití mobilní aplikace třeba na 10 tisíc korun na den. Nejde to a nechtějí s tím nic udělat. Tak si platí banka za SMS.

[r223]

U Airbanky jsme dělali podporu pro HW tokeny již předloni, ale myslím, že doteď to nemají venku, to se chce zeptat.

Tak jsem se ptal, pouzivaji to interne, pro zakazniky ne.

[r223]

Ale Android je opensource. Stačí si vybrat ten "správný" např. Graphene OS:

https://grapheneos.org/

https://privsec.dev/posts/android/banking-applications-compatibility-with-grapheneos/

A některé české banky jsou dokonce ochotné se s váma o tomto normálně bavit, např. když reportujete chybu/nesmyslné chování jejich appky na tomto OS.

Vetsina toho je zavisla na google stacku a nektere na google play integrity , coz je neresitelne. GOS v tom nepomuze.