Zadaní telefonu při přihlášení do Komerčky

[hmmmw]

FIO presne tohle dela - jsem potreboval neco vyridit z telefonu mimo domov (nemam appku, kdyz jedu PC only) a nemohl jsem si vzpomenout na heslo (nemam hesla sdilene online), tak po asi patem pokusu se ucet zablokoval na nejakou dobu.

Takze pokud vite nekoho prihlasovaci login (email), jde mu znacne zneprijemnit zivot.

Zablokoval jste si přístup z jednoho počítače. Z toho bych ještě neusuzoval na to, že útočník z opačného konce Země by vám dokázal stejným způsobem zablokovat přístup. To je právě to, o čem jsem psal – že je potřeba rozlišovat útoky z jednoho zařízení a distribuované útoky.

Proc si zas vymyslite?
Blokace je zde na ucet, ne na IP adresu (prave z duvodu ze IP jde snadno menit - kdyz jste utocnik).

Klasický Jirsák. Tak ho nechte, ať si pindá, na to my jsme zvyklí. 

[Reklama]

[Filip Jirsák]

Blokace je zde na ucet, ne na IP adresu (prave z duvodu ze IP jde snadno menit - kdyz jste utocnik).

A to jste zjistil z jednoho počítače? Gratuluju, jak se vám to podařilo? Víte o tom, že banka k přihlašování přistupuje jinak, podle toho, odkud se přihlašujete? Že třeba při přihlášení odněkud z Asie po vás bude chtít vyšší stupeň ověření, zatímco když se hlásíte z počítače, odkud už jste se přihlašoval, bude po vás chtít nižší stupeň ověření?

Mimochodem, já jsem si nic nevymyslel. Já jsem napsal, že to tak může být. To vy tvrdíte s jistotou, jak to je – aniž byste měl šanci to ověřit.

[RDa]

Blokace je zde na ucet, ne na IP adresu (prave z duvodu ze IP jde snadno menit - kdyz jste utocnik).

A to jste zjistil z jednoho počítače? Gratuluju, jak se vám to podařilo? Víte o tom, že banka k přihlašování přistupuje jinak, podle toho, odkud se přihlašujete? Že třeba při přihlášení odněkud z Asie po vás bude chtít vyšší stupeň ověření, zatímco když se hlásíte z počítače, odkud už jste se přihlašoval, bude po vás chtít nižší stupeň ověření?

Mimochodem, já jsem si nic nevymyslel. Já jsem napsal, že to tak může být. To vy tvrdíte s jistotou, jak to je – aniž byste měl šanci to ověřit.

Jestli neco beres, tak to prestan brat. Jestli nic neberes, tak bys mel zacit.
Jsi zde opakovane upozornovan na to, ze si vymyslis jako male dite a nejsi schopen si to uvedomit.

Zde nema smysl rozvijet zadne co by kdyby a proc a odkud a kdo - protoze situace je velice jednoducha - pristup byl zablokovan cely.
O cemz slusne informovali vlastnika uctu emailem - ve kterem je presne 0% sance, ze by se dalo prihlasit z jine adresy pred uplynutim doby.

Nepotrebuji tedy overovat veci, ktere jsou mi sdeleny takto jasne, cerne na bilem.

Dočasné zablokování přístupu do Internetbankingu Fio banky

Vážená klientko / Vážený kliente,

píšeme Vám, protože jsme zaznamenali větší množství neúspěšných pokusů o přihlášení do Vašeho Internetbankingu.

V případě, že se do svého internetového bankovnictví nepokoušíte přihlásit Vy, neprodleně nás prosím kontaktujte.

Aktuálně máte přístup do internetového bankovnictví z bezpečnostních důvodů dočasně zablokován.

Po vypršení dočasné blokace se můžete pokusit o opětovné přihlášení. Na zadání správného hesla máte pět pokusů, zkontrolujte si prosím:
- zda máte aktivní českou či anglickou verzi klávesnice,
- zda pracujete ve správném režimu psaní velkých/malých písmen (klávesa "Caps Lock"),
- případně jestli máte zapnutou numerickou klávesnici (klávesa "Num Lock").

Pro zadání hesla je také možné použít grafickou klávesnici kliknutím na ikonku klávesnice hned vedle políčka pro zadání hesla.

Pokud jste heslo zcela zapomněli, můžete navštívit jakoukoliv pobočku Fio banky a požádat o vystavení nového hesla.

Přejeme Vám příjemný den.

Váš tým klientské podpory
Fio banka

Další pokus o přihlášení bude možný od:08.01.2023 20:52:10

[Logik]

Ohledně té blokace - jde to IMHO udělat i inteligentně - např. dát tři pokusy na napsání hesla. Pokud se člověk přihlásí, tak potvrzovací SMS. Pokud člověk neuspěje, tak poslat na mobil delší potvrzovací SMS, která po zadání umožní dalších X rozumných pokusů (10?). Teprve pak se účet na nějakou dobu blokne.

Tím se znemožní hádání hesla, i se tím odstraní to, že při náhodném překlepu v username se hned pošle SMS pravému uživateli. Zároveň se tím znemožní, aby člověk znající username úmyslně někomu blokoval přihlášení, max ho může otravovat těmi SMS.

[🇺🇦 GPU]

Nemyslím si, že je rozumné počet pokusů na zadání hesla navyšovat. Umožňujete tak hádání hesla, byť podmíněné. Ze stejného důvodu nemá IB funkcionalitu "Zapomenuté heslo" pro změnu hesla pomocí emailu/SMS/atd. Nepamatujete si heslo? Tak se holt budete muset stavit na pobočce, ono vás to pro příště vyškolí.

Pokud někdo zná vaše uživatelské jméno a chce vám zablokovat přístup zadáním špatného hesla, tak je to stejné, jako když někdo ví kde bydlíte, a strčí vám sirky do zámku... Je to nepříjemné, ale to je asi tak vše.

[Reklama]

[Filip Jirsák]

O cemz slusne informovali vlastnika uctu emailem - ve kterem je presne 0% sance, ze by se dalo prihlasit z jine adresy pred uplynutim doby.

Ať hledám jak hledám, tuhle informaci ve vašem komentáři nevidím. A nevidím ji ani ve vaší reakci na můj komentář, kde jsem tvrdil, že to nemusí být tak, jak jste napsal. Stačilo slušně odpověď, že jste to nejdůležitější ve svém prvním komentáři zapomněl napsat a doplnit citaci e-mailu. Místo toho jste mi začal podsouvat něco, co jsem nenapsal.

Jsi zde opakovane upozornovan na to, ze si vymyslis jako male dite a nejsi schopen si to uvedomit.

Vaše opakovaná upozornění jsou celkem k ničemu, když se ukázalo, že ten, kdo si vymýšlí, jste vy. Já jsem napsal, že to nemusí být tak, jak jste to vy popsal. Je to výmysl? Ne, není, opravdu to tak být nemusí a jiné systémy mají omezení hádání hesel implementováno jinak. Za to vy jste napsal, že já tvrdím, že je to implementované jinak. A to není pravda, já jsem nic takového nenapsal. Takže kdo si tu vymýšlí? No vy.

[Filip Jirsák]

Nemyslím si, že je rozumné počet pokusů na zadání hesla navyšovat.

Je to rozumné. Protože když po pár pokusech účet natvrdo zablokujete, je to pro útočníka velice efektivní způsob, jak udělat DoS na vlastníka účtu.

Pokud někdo zná vaše uživatelské jméno a chce vám zablokovat přístup zadáním špatného hesla, tak je to stejné, jako když někdo ví kde bydlíte, a strčí vám sirky do zámku... Je to nepříjemné, ale to je asi tak vše.

Není to jen nepříjemné. Může to znamenat, že něco zaplatíte pozdě a zaplatíte penále. Někdo je zvyklý zamykat platební kartu a odemykat ji jen pro konkrétní platby – takže nezaplatí kartou. A hlavně – tohle není o jednorázovém uzamčení. Útočník vám takhle může účet držet trvale zamknutý. Do té doby, než si změníte přístupové jméno – a to zase bude fungovat jen do té doby, dokud útočník nezjistí nové jméno.

[RDa]

O cemz slusne informovali vlastnika uctu emailem - ve kterem je presne 0% sance, ze by se dalo prihlasit z jine adresy pred uplynutim doby.

Ať hledám jak hledám, tuhle informaci ve vašem komentáři nevidím. A nevidím ji ani ve vaší reakci na můj komentář, kde jsem tvrdil, že to nemusí být tak, jak jste napsal. Stačilo slušně odpověď, že jste to nejdůležitější ve svém prvním komentáři zapomněl napsat a doplnit citaci e-mailu. Místo toho jste mi začal podsouvat něco, co jsem nenapsal.

Nepotrebuji fakta a osobni zkusenosti doplnovat dukazy - nejsme na Wikipedii. Napsal jsem jak to bylo a jak to je.

Vy jste ten, co rozviji ruzne teorie ze to tak nemusi byt, protoze rad postujete univerzalni odpovedi ve tvaru nekolika otazek, ktere vam poskytuji zadni vratka na dalsi zbytecne kecy. A tohle jsem rozporoval - ze si vymyslite, protoze zatimco ja ze sve zkusenosti vim jak to bylo, tak vy si muzete jenom vymyslet fantazijni scenare, odhadovat, tipovat, ci aplikovat teorii a buhvi co, ale realne postradate informaci o skutecnem stavu veci a zda se ze nemate ani zadnou konkretni zkusenost, o kterou by jste se podelil. Ale rad se podelite o fabulace na vsechny zpusoby, jen aby rec nestala, vid?

[.]

Nepamatujete si heslo? Tak se holt budete muset stavit na pobočce, ono vás to pro příště vyškolí.

Třeba v ČSOB se dá některé ověření řešit tím, že automat z banky zavolá na kontaktní telefonní číslo zákazníka a tím dojde k ověření. A samozřejmě obnovení a změnu hesla umí i Smart klíč nebo SMS klíč.

[Filip Jirsák]

Nepotrebuji fakta a osobni zkusenosti doplnovat dukazy - nejsme na Wikipedii.

Pak ovšem vaše komentáře nemají moc velkou hodnotu, protože spousta lidí naštěstí nevěří nepodloženým tvrzením anonymů v diskusi. A někteří si vás už pamatují a vědí, že vašim nepodloženým tvrzením není radno věřit.

Napsal jsem jak to bylo a jak to je.

Ne, napsal jste, jak si myslíte, že to je.

Vy jste ten, co rozviji ruzne teorie ze to tak nemusi byt, protoze rad postujete univerzalni odpovedi ve tvaru nekolika otazek, ktere vam poskytuji zadni vratka na dalsi zbytecne kecy. A tohle jsem rozporoval - ze si vymyslite, protoze zatimco ja ze sve zkusenosti vim jak to bylo, tak vy si muzete jenom vymyslet fantazijni scenare, odhadovat, tipovat, ci aplikovat teorii a buhvi co, ale realne postradate informaci o skutecnem stavu veci a zda se ze nemate ani zadnou konkretni zkusenost, o kterou by jste se podelil. Ale rad se podelite o fabulace na vsechny zpusoby, jen aby rec nestala, vid?

Protože ono to tak být opravdu nemusí. Dokonce i v případě Fio banky to může být jinak u jiných účtů, nebo při přístupu z jiné země, nebo kdyby to chybné zadání hesla bylo z různých sítí.

Váš problém je, že z jednoho velmi omezeného pozorování děláte dalekosáhlé závěry, ke kterým v tom pozorování nemáte žádnou oporu. Když si přečtete ostatní komentáře v diskusi, s praktickými příklady, zjistíte, že banky už řeší bezpečnost dynamicky, tj. v různých situacích budete pozorovat různé chování a různé požadavky. Takže to, co rozporujete u mne, je ve skutečnosti chyba na vaší straně. To vy si vymýšlíte, to vy ignorujete zkušenosti ostatních, to vy jednu svou omezenou zkušenost generalizujete na celý svět.

[256256]

Myslím, že RDa to napsal přesně tak, jak to do takovýho krátkýho příspěvku stačí a jasně tam řekl, že vychází z konkrétní zkušenosti. Jestli je to pro někoho kritické, stejně by si to měl ověřit v bance a nespoléhat se na anonymní prohlášení v diskuzi. Mě přesně totéž Česká spořitelna kdysi udělala taky a musel jsem prostě počkat (ale už je to dost dlouho zpátky, takže teď to můžou řešit jinak).

[🇺🇦 GPU]

Tak dokud nám někdo přímo z banky neřekne, jak to interně funguje (a že neřekne), musíme se spolehnout na své vlastní zkušenosti podložené vlastními pozorováními. Počet pozorování a odpovídající metodika testování, která by uspokojila pana Jirsáka, je zcela jistě na jiné úrovni, než lze střílizlivě očekávat od diskusního fóra.

Je opravdu možné, že se přihlašování pro uživatele třeba z Nigérijské IP bude chovat jinak. To nás ale, jako běžné uživatele místní banky, asi úplně trápit nemusí.

[Filip Jirsák]

Úplně stačí nedělat na základě jednoho pozorování nepodložené závěry, zejména když přispíváte do diskuse, kde jsou uvedena jiná pozorování. No a když už někdo ty nepodložené závěry udělá a jiný upozorní na to, že to tak být nemusí, dá se třeba mlčet a poučit se z toho. Ale vymýšlet si a dělat nepodložené závěry, a když na to někdo upozorní, tvrdit, že si vymýšlí on, to není dobrý způsob diskuse.