Nabízí ještě nějaká banka normální internetbanking?

[j]

Spousta bank ma APi uz drahne let, jen kazda jiny, takze kdyz si to sam naimplementujes, muzes si to pouzivat. Samo se svejma uctama.

To o cem tu mluvite ma byt o tom, ze nekdo ... bude provozovat nejakej uni web na kterej se jednou prihlasite a muzete spravovat vsechny ucty u vsech bank === pouzivat neco takovyho muze leda magor.

A mimo jiny proto na to je treba uzavirat vsemozny sileny smlouvy.

[Reklama]

[Yokotashi]

noname: zkus hadat, jaky mam asi problem se jmenem a heslem.

Kde mam zacit?

1. musim si to pamatovat misto toho, abych mel token a vyrazne jednodussi pin
2. musim si davat bacha z jakeho pocitace to pouzivam, zatimco eBanku slo pouzivat klidne treba z internetove kavarny s kamerou namirenou na klavesnici, zavirovanym systemem a keyloggerem

- Jsi si uplne jist, ze tvuj pocitac neni nicim napaden?
- Instaloval jsi balicky pouze z oficialnich repozitaru? A nemohou byt napadene i tam?
- Odkud jsi vzal instalacku? Nemohl ji nekdo behem stahovani modifikovat? Zvlast pokud nemas nejake minoritni bratwurstbuntu, ale neco bezneho (Debian/Fedoru/Ubuntu/OpenSUSE)?
- Jsi si jist, ze tvuj browser neni napaden nejakym javascriptem? Samozreme, ze by pomohlo bankovnictvi v lynxu, ale to nikdo nenabizi (a ted nebudu zkoumat, jestli lynx umi https).
- Jsi si jist, ze tvuj nahodny generator je dostatecne nahodny? (CVE-2008-0166)
- Jsi si jist, ze nemas naflashovany nejaky kentus v ringu -2 (SMM)?
- Jsi si jist, ze nemas nejaky kentus v ringu -3 (Intel MEI)? Ten ani nemuzes nahradit, tam je to, co tam dal intel. Ale kde to vzal intel a kdo mu tam dokazal co vnutit at uz s vedomim intelu (FDI, CIA ...), nebo bez vedomi intelu (KGB/FSB, Cinani, jine hackerske skupiny)? A pokud tvrdis, ze tyto skupiny nebudou utocit na tvuj ucet - jsi si jist, ze ten backdoor udelali dobre? Nejake vulnerabilities uz v tom nalezeny byly.

Takze na jedne strane je HW token, klid a pohoda.

Na druhe strane je strane nizsi uroven bezpecnosti, nez s HW tokenem i pote, co clovek pouziva vyhrazeny pocitac s cistym OS pouze a vyhradne na bankovnictvi pripojeny do site oboustrannym firewallem (fw, ktery filtruje i odchozi spojeni jinam, nez do banky). Pokud mozno dost stary, aby nemel intel ME. Hromada zbytecne prace.

Trocha pocteni o intel ME: http://rayer.g6.cz/romos/romos.htm (ME zacina od: 'Moderní BIOSy a jejich součásti (ME)')

Na dverich do bytu mas zamek s vlozkou, nebo jenom diru, ve ktere je spinac, ktery je odemkne pote, co se do ni strci libovolny klic a spolehas na to, ze si toho nikdo nevsimne?

[L.]

Takze na jedne strane je HW token, klid a pohoda.

Asi tvé beznadějně paranoidní mysli způsobím několik bezesných nocí, ale nedá mi to: Jsi si jistý, ten tvůj HW token není také napaden / nemá backdoor? Opravdu? OPRAVDU?

[Zelenohlav]

Kdo mohl napadnout muj token? Vyrobce. Srovnej s heslem, kde je to vyrobce MB, CPU, autor OS, browseru, kdokoliv po ceste pri stahovani, hacker ...
Jakou rychlosti ma utocnik pristup k tokenu, aby to overil? Takovou, jakou jsem ochoten psat to, co mi posila.

Ano, slo by to zabezpecit jeste lepe. Ale to neni argument k tomu nemit zabezpeceni prakticky zadne, jak to banky provozuji ted.

Nechci si dat chleba s belgickym maslem, ktere lezelo 2 roky v mrazaku ve statnich zasobach a s vysocinou, protoze to je druhorady salam. Lepsi nemaji. Namazu si tedy chleba hovnem, sezeru ho a budu u toho mlaskat?

[noname]

Zaujima ma jak ten hw token funguje. Mas niekde popis jak to fungovalo u tej eBanky?

[Reklama]

[noname]

Je to nejaky usb klic?

[smutny klient]

Ne, to je nezavisla baterkova kalkulacka s OTP, nadatloval se request a prepsal z displeje response.
Nektere verze mely opticke snimani, takze se to precetlo z obrazovky.

Je pravda ze soucasne RB IB je des a hruza, jak funkcne, tak ergonomicky. To predchozi Expandia style bylo prvni a nejlepsi IB na trhu. Budis mu lehka zem.

[xhamsterr]

...

2. musim si davat bacha z jakeho pocitace to pouzivam, zatimco eBanku slo pouzivat klidne treba z internetove kavarny s kamerou namirenou na klavesnici, zavirovanym systemem a keyloggerem

...

Logickou otázkou ovšem je, proč někdo v době internetů všude leze do internetových kaváren. Já při cestování používám smarta a wifi je všude hafo.

[Yokotashi]

Vraci ta nahodna wifi spravne odpovedi na DNS dotazy?

Internetova kavarna je priklad nejhorsiho a nejnezabezpecenejsiho mozneho pripojeni k IB. Kdyz to jde z kavarny, jde to i ze zavirovaneho androida, kde kada apliakce chce prava k uplne vsemu, z testovaciho systemu, kam si clovek nainstaloval vsechno, co nasel na githubu a podobne.

[qwertz]

Tak děcka. Už jste viděli nejnovější 2FA přihlášení v podání ČS do George?

Zadáte uživatelské jméno, datum narození a potvrdíte v aplikaci na mobilu. 

Silné heslo bylo zrušeno. No to si snad dělají zadek?

[qwertz]

to si snad dělají prrdel. (Jděte už s tou cenzurou někam, prrdel neni sporsté slovo)

[Zelenohlav]

qwertz: tim chces rict, ze, kdyz nemam smartphone, tak se do george nepripojim? Nebo se tam pripojim uz po zadani jmena a data narozeni zcela bez hesla ? (pro stouraly - nechci zadny telefon a android uz ani za kokot: http://punktopia.cz/pseudopokrok-1-android/ )

Tak nevim, jestli maji bankovni managori v hlavach nasrano, nebo jestli se jedna o nejaky sikovny zpusob, jak zaridit, aby nikdo nemel bezpecny ucet a kazdeho slo snadno okrast. Otazkou samozrejme zustava cui bonobo.

[qwertz]

George stale nabizi puvodni zpusob prihlasovani pomoci hesla a autorizace plateb pres SMS kody, ktere jsou nove povinne i pri prihlaseni. Vedle toho ovsem zavedli novou metodu autorizace pomoci aplikace George klic, ktera nahrazuje SMS. On by to mohl byt krok spravnym smerem, protoze komunikace je sifrovana a vazana na konkretni zarizeni. Jenze ti pitomci pri tomto zpusobu zrusili heslo pri prihlaseni.

Takze zatim co u puvodniho 2FA způsobu musel utocnik ovladnout pocitac (username + heslo) a soucasne telefon (autorizacni SMS), u toho noveho zpusobu staci utocnikovi ovladnout telefon s George klíčem. Heslo se pri prihlaseni nezadava.

OK, muzete zustat u hesla + SMS, bohuzel vyssi transakcni limiti 200k+ muzete mit jen George klicem, coz je ponekud absurdni, kdyz je to nakonec mene bzepecna metoda.

[wsh]

Autentizace transakcí pomocí SMS není považována za bezpečnou a nesplňuje podmínky PSD2. Proto od ní banky upoští a nahrazují to mobilní aplikací. Viz https://blog.vasco.com/application-security/psd2/

[qwertz]

ale samozřejmě, jen ať nahrazují.

Jenže ono je podstatny rozdíl nahradit metodu heslo+SMS pouze aplikací na chytry telefon a nebo heslem + aplikací na chytry telefon.