Zkušenosti s internetovým bankovnictvím

[bmn]

[O představě, že všichni mají telefony stále podporované výrobcem a mají nainstalované poslední aktualizace, tu píšete jediný vy.

Vy jste tvrdil, že mobilní aplikace jsou tak bezpečné, že není potřeba druhý faktor. K tomu by minimálně byl potřeba bezpečný OS, ale to Android ani iOS není, jak ukazuje existence velkého množství závažných bezpečnostních chyb.

Když se nevyplatí útočit na aplikace našich malých bank, na aplikace velkých zahraničních bank se přes chyby v softwaru útočí? Na které banky například?

Třeba tady jsou nějaké vypsané:
https://www.tomsguide.com/news/dangerous-android-trojan-can-drain-your-bank-accounts-how-to-stay-safe

Jaká data tedy aplikace Fio posílá? A jak víte, že vždy posílá jen to, co jste odpozoroval? Že si se svou případnou záškodnickou činností nepočká třeba měsíc od instalace? A v čem by ta záškodnická činnost bankovní aplikace spočívala?

Narušení soukromí, třeba posíláním seznamu aktivit na telefonu, kontaktů, zpráv, jmen souborů na disku apod. Už si nevzpomínám co tam všechno bylo, ale nic podezřelého jsem tam neviděl, byly to velmi krátké zprávy. To mi stačilo na to, abych věřil Fio, že se nesnaží dolovat data ze všeho kde by to šlo a nahradil tou jejich aplikací SMS jako druhý faktor.

[Reklama]

[Filip Jirsák]

Vy jste tvrdil, že mobilní aplikace jsou tak bezpečné, že není potřeba druhý faktor.

Netvrdil. Například proto, že bankovní aplikace používají dva faktory – prokazujete jimi, že 1. něco máte (konkrétní mobil, ve kterém je uložený klíč) a že 2. někdo jste (otiskem prstu, skenem obličeje) nebo něco znáte (PIN).

K tomu by minimálně byl potřeba bezpečný OS, ale to Android ani iOS není, jak ukazuje existence velkého množství závažných bezpečnostních chyb.

Android i iOS jsou pro bankovnictví dostatečně bezpečné systémy. Ani existence závažných bezpečnostních chyb sama o sobě neznamená, že by ty systémy nebyly použitelné pro elektronické bankovnictví (např. pokud by systém umožnil bez vědomí uživatele aktivovat kameru, je to závažná bezpečnostní chyba, ale bankovnictví to nijak neohrozí). Statistika historických CVE navíc existenci velkého množství závažných bezpečnostních chyb neukazuje.

Třeba tady jsou nějaké vypsané:
https://www.tomsguide.com/news/dangerous-android-trojan-can-drain-your-bank-accounts-how-to-stay-safe

Nějak tam postrádám informaci o tom, jaké bezpečnostní chyby v systému ta aplikace zneužila. Naopak tam vidím zneužití funkce zobrazení překryvných oken, což je přesně to, před čím bankovní aplikace varují (a pak si tu někdo stěžuje, že nejdou používat na rootnotých telefonech – tohle je právě ten důvod).

Narušení soukromí, třeba posíláním seznamu aktivit na telefonu, kontaktů, zpráv, jmen souborů na disku apod.

Jak by se k těm datům aplikace dostala, když jí nedáte oprávnění? K čemu by bance takové informace byly?

Už si nevzpomínám co tam všechno bylo, ale nic podezřelého jsem tam neviděl, byly to velmi krátké zprávy. To mi stačilo na to, abych věřil Fio, že se nesnaží dolovat data ze všeho kde by to šlo a nahradil tou jejich aplikací SMS jako druhý faktor.

Takové práce to dalo a přitom taková blbost…

[MKzB]

Jsem v KB od roku 2010, co jsem začal pracovat dnes tam mám i podnikatelský účet. Táta je u nich od revoluce. A můžu potvrdit, že současné mobilní bankovnictví i webové KB+ splňuje současný IT trend - co funguje, musí se slušně řečeno zmrvit.
Třeba nechápu, proč se musím přihlašovat pro vygenerování QR kódu. Prý pro načtení čísla účtu. To si jako ta aplikace neumí zapamatovat jedno číslo off-line? Pracuji v terénu a občas jsem v místech, kde nemám signál a klient třeba ano a nebo má svou wifi.

A je zajímavé, že jejich business banka stále používá webové rozhraní z 90. let, v podstatě to úplně první, které používali i na osobních účtech někdo do roku 2011.

Možná by nebylo od věci na to upozornit deník Blesk a TV Nova. Pak by se možná ledy hnuly.

[Pavel...]

Netvrdil. Například proto, že bankovní aplikace používají dva faktory – prokazujete jimi, že 1. něco máte (konkrétní mobil, ve kterém je uložený klíč) a že 2. někdo jste (otiskem prstu, skenem obličeje) nebo něco znáte (PIN).

ked uz spamujete, tak aspon inteligentne.

To co pisete je mozne uplne bez problemov aplikovat na bezny IB na pocitaci: mate nieco na com to bezi (identifikovane konkretne domace PC) a nieco co poznate (PIN).
Fakt chcete niekomu nahovorit, ze to je 2FA v uspokojivej podobe?

Cela bezpecnost appiek na telefone je zalozena na jedinej veci: dovere v OS na ktorom to bezi. (ktory vam povie, ze otlacok prsta je v poriadku a ze kluc v ulozisku nie je skopirovany).

[Filip Jirsák]

ked uz spamujete, tak aspon inteligentne.

Příště si tohle blábolení nechte pro sebe. Na rozdíl od vás aspoň nepíšu o věcech, o kterých nic nevím.

To co pisete je mozne uplne bez problemov aplikovat na bezny IB na pocitaci: mate nieco na com to bezi (identifikovane konkretne domace PC) a nieco co poznate (PIN).
Fakt chcete niekomu nahovorit, ze to je 2FA v uspokojivej podobe?

Ne, nikomu to namluvit nechci. Také jsem nic takového nenapsal. Je to 2FA v neuspokojivé podobě, proto to také banky nepoužívají.

Cela bezpecnost appiek na telefone je zalozena na jedinej veci: dovere v OS na ktorom to bezi. (ktory vam povie, ze otlacok prsta je v poriadku a ze kluc v ulozisku nie je skopirovany).

Ne, důvěra v OS je podmínka nutná, nikoli postačující. Dále je potřeba například důvěryhodné úložiště klíčů, ze kterého nejde klíč získat s vynaložením rozumných nákladů. No a právě proto, že je potřeba důvěra v OS, obvykle se bankovní aplikace brání provozu na rootnutém systému, protože takovému systému důvěřovat nemohou.

[Reklama]

[Zopper]

To co pisete je mozne uplne bez problemov aplikovat na bezny IB na pocitaci: mate nieco na com to bezi (identifikovane konkretne domace PC) a nieco co poznate (PIN).

Chybí tam pár dalších prvků. Například TPM jako důvěryhodné úložiště, ze kterého si nemůže mýrnix týrnix zákeřná aplikace vytáhnout všechna tajemství a poslat je jinam. A když Microsoft trvá na tom, že pro Win11 je ten kus hardware podmínka nutná, právě kvůli takovýmto použitím, tak lidi frfňají. 

[uwe.filter]

Microsoft trvá na spoustě blbostí. Pro něco může být TPM nutné, pro vlastní běh OS ani omylem, tudíž není jakýkoliv důvod jeho přítomnost vynucovat. Ale to jsme trošku OT.

[XXX_Sam_XXX]

Jediné co je potřeba, je aplikace na čtení SMS

 
https://youtu.be/wVyu7NB7W6Y?feature=shared&t=1094

[miro simko]

Doporučuji kouknout na Fio... obecně je ze všech bank, které používám nebo o kterých mám povědomí, nejpřátelštější, bez nějakých zákeřností nebo házení klacků pod nohy. K tomu (subjektivně) velmi přehledné webové bankovnictví, rovněž zákaznická podpora reaguje rychle a ochotně. Přesně tak si představuji, že má banka fungovat.

Potvrdzujem a doporučujem z vlastnej skúsenosti.

Využívam len základné bankové služby a postupne som za 25r prešiel cez niekoľko bánk: ČSOB (študentský účet), ČS, RB (zvýhodnený účet od zamestnávateľa), MBank, Air Bank, Fio, KB (len kvôli hypo u MPSS).
Prvé štyri som po zavádzaní rôznych poplatkov zrušil, od Air Banky som odišiel k Fio kvôli podnikateľskému účtu.

Od KB som utiekol hneď pri refinancovaní. Problémy s KB+ a nemožnosťou prihlásenia do elektronického bankovníctva boli pritom len vrchol ľadovca. Tá banka vôbec nefunguje ako taká.  Omylom banky mi zrušili účet, z ktorého som platil hypo. Ani mi nepovedali dôvod a následne neboli dostatočne súčinní pri obnove. Na pobočke som musel posledný rok osobne stráviť niekoľko návštev a mnoho hodín svojho času, len aby mi opäť umožnili základné operácie (=splácať hypo). Posledná čerešnička bola, keď som po refinancovaní a zrušení účtu musel zaplatiť poplatok za výber zostatku na účte.

S Fio som veľmi spokojný.
Okrem iného používam aj QR platby, aspoň teda cez mobilnú aplikáciu. Autentikácia môže byť stále voliteľne aj cez esemesky.
A po refinancovaní mám u nich už aj hypo, pred pol rokom mi dorovnali vtedy najlepšiu ponuku, akú som dostal v inej banke.

[bmn]

Vy jste tvrdil, že mobilní aplikace jsou tak bezpečné, že není potřeba druhý faktor.

Netvrdil. Například proto, že bankovní aplikace používají dva faktory – prokazujete jimi, že 1. něco máte (konkrétní mobil, ve kterém je uložený klíč) a že 2. někdo jste (otiskem prstu, skenem obličeje) nebo něco znáte (PIN).

Takhle jsou ale oba přes jedno zařízení. Jedna bezpečnostní chyba stačí na to, aby si útočník převedl vaše peníze kam chce.

Android i iOS jsou pro bankovnictví dostatečně bezpečné systémy.

Ne, nejsou. Malware může získat root oprávnění a mít plnou kontrolu nad zařízením, třeba ukázat pozměněnou platbu v bankovní aplikaci. Ta se tomu obecně nemá jak bránit, její kod si útočník může libovolně měnit.

Zde máte popis konkrétního malware a přes jaké chyby umí získat roota:
https://www.lookout.com/threat-intelligence/article/lookout-discovers-global-rooting-malware-campaign

Určitě nechcete tvrdit, že všichni mají tyhle chyby už záplatované a žádné další nejsou. Pro představu jsem dával odkaz na CVE statistiky.

Banky dělají jen minimum nezbytné pro to, aby nepřišly o licenci. Skutečná bezpečnost je nezajímá, pracují s tím, jaké útoky se aktualně dějí. Klienti chtějí hlavně pohodlí. A útočníci nebudou ztrácet čas psaním root exploitů, když fungují mnohem jednodušší a levnější útoky. To ale neznamená, že bankovní aplikace jsou bezpečné. Jen to zatím není velký problém.

[Filip Jirsák]

Takhle jsou ale oba přes jedno zařízení.

Na počtu zařízení nezáleží.

Jedna bezpečnostní chyba stačí na to, aby si útočník převedl vaše peníze kam chce.

Takhle ale bezpečnost nefunguje. Bezpečnost se posuzuje podle dvou kritérií – závažnost chyby a její pravděpodobnost. Je spousta jiných případů „jedné chyby“, které mohou položit bezpečnost celého internetového bankovnictví. Třeba prolomení asymetrické kryptografie. Jenže riziko je tak nízké, že s ním banky dokážou bez problémů žít. A to samé se týká té vaší hypotetické bezpečnostní chyby v Androidu/iOS.

Android i iOS jsou pro bankovnictví dostatečně bezpečné systémy.

Ne, nejsou. Malware může získat root oprávnění a mít plnou kontrolu nad zařízením, třeba ukázat pozměněnou platbu v bankovní aplikaci. Ta se tomu obecně nemá jak bránit, její kod si útočník může libovolně měnit.

No, jsou. Shodují se na tom banky i odborníci na počítačovou bezpečnost. Vaše názory jsou irelevantní, když o počítačové bezpečnosti nic nevíte.

Pro představu jsem dával odkaz na CVE statistiky.

Ano, já jsem si na základě toho odkazu udělal představu, že o bezpečnosti nic nevíte.

Banky dělají jen minimum nezbytné pro to, aby nepřišly o licenci. Skutečná bezpečnost je nezajímá, pracují s tím, jaké útoky se aktualně dějí. Klienti chtějí hlavně pohodlí. A útočníci nebudou ztrácet čas psaním root exploitů, když fungují mnohem jednodušší a levnější útoky. To ale neznamená, že bankovní aplikace jsou bezpečné. Jen to zatím není velký problém.

Bankovní aplikace jsou natolik bezpečné, aby klienti používaly služby banky a zároveň to banku nestálo víc, než kdyby aplikace víc zabezpečila. Což je v pořádku. Vy si taky domů nebudete pořizovat trezor za 100 000 Kč, abyste do něj pak uložil 10 000 Kč.

[JmJ]

Fio je za me jednoduche a docela primocare.  Mame tam nekolik uctu soukromych i firemnich a zatim to nikdo neproklina.

Ovsem u Unicreditu, kde mam hypo, se na stav konta chodim radsi jednou rocne ptat do banky, protoze to bankovnictvi je HRUZA. To neprehanim, fakt chodim na pobocku.

[bmn]

Třeba prolomení asymetrické kryptografie. Jenže riziko je tak nízké, že s ním banky dokážou bez problémů žít. A to samé se týká té vaší hypotetické bezpečnostní chyby v Androidu/iOS.

Ehm, historicky se bezpečnostní chyby umožňující získání roota stávají mnohořádově častěji než prolomení běžně používané asymetrické kryptografie. Že se toho masivně nezneužívá neznamená, že to nejde. Jen jsou jednodušší způsoby jak krást peníze.

Ano, já jsem si na základě toho odkazu udělal představu, že o bezpečnosti nic nevíte.

Naprosto vůbec nic? No tak to bych si asi měl začít hledat novou práci, ach jo.

[Franta Kučera]

No a právě proto, že je potřeba důvěra v OS, obvykle se bankovní aplikace brání provozu na rootnutém systému, protože takovému systému důvěřovat nemohou.

Já zase nemůžu důvěřovat proprietárnímu softwaru a zařízení, které může na dálku ovládat někdo další (Google, Apple, tajné služby atd.).

[Franta Kučera]

A když Microsoft trvá na tom, že pro Win11 je ten kus hardware podmínka nutná, právě kvůli takovýmto použitím, tak lidi frfňají. 

Já tedy o používání jejich OS nestojím, takže vlastně čím horší ten jejich systém bude, tím líp. Nicméně: kdyby ta motivace byla taková, jak píšeš, tak to TPM může být klidně nepovinné - jen pro lidi, kteří ho potřebují - není důvod ostatním bránit v používání OS na počítači bez TPM - můžou tam třeba hrát hry nebo používat aplikace, které TPM nepotřebují (těch je většina). Je to asi jako si vynucovat přítomnost kamery nebo mikrofonu, i když uživatel tyto funkce nepotřebuje nebo jsou pro něj vyloženě nežádoucí.