Nejste přihlášen/a.
Bohužel v takové době žijeme. Na jedné straně neoddělitelná víčka a vracení nedeformovaných obalů a na druhé straně nucené vyhazování stovek milionů funkčních mobilů a baterií. Globalizace funguje jen tam, kde z toho má někdo prospěch.
Ono totiž "dvoufaktorové ověření" s pomocí SMS je technologie z devadesátek, která se stala populární před cca 15 lety a je bohužel nejméně zabezpečená.
A úplně nějvětší krávovina z hlediska bezpečnosti je používat pro ostrý provoz emulátor na počítači. Emulátor slouží pro vývoj.
@gotrekzagary dnes 12:53: Ono totiž "dvoufaktorové ověření" s pomocí SMS je technologie z devadesátek, která se stala populární před cca 15 lety a je bohužel nejméně zabezpečená.
Na to jste přišel jak? U internetového bankovnictví se připojujete ze svého PC a SMS přijde třeba úplně přes jiného poskytovatele a jinou cestou, přes jiné servery na zcela jiný přístroj. Jediné spojení mezi SMS a PC je ten člověk za klávesnicí.
@vibe2: asi Vám nic neříká například SS7 hack, že? Ve zkratce, hackem tohoto protokolu se může útočník bez problémů přijímat SMSky a volání, které jsou jinak určené pro Vaše tel. číslo aniž byste se o tom vůbec dozvěděl. Starší, hůře zabezpečené Androidy a aplikace, které nebudou přijímat další aktualizace pro zabezpečení se pak dají také jednodušeji hacknout. Takže ve výsledku se někdo pak může dostat na Váš účet i přes 2FA zabezpečené SMSkou a ani o tom nebudete vědět.
No a když Vám pak někdo s pomocí hacku účet vybere, tak koho budete žalovat? Ano správně - banku, že si řádně nezabezpečila x verzí aplikací a tím někomu umožnila úspěšně napadnout Váš účet. Takže to je ve zkratce důvod, proč se starší verze OS dostávají na ban list.
Jako můžete namítnout, že na účtu máte tak málo peněz, že by se to tomu útočníkovi nevyplatilo. Ale proč by to banka měla riskovat? Soudy a ztrátu reputace...
Jistě, pokud se útočník dostane ve správný čas do té správné BTS. Mobil si BTS střídá.
Všeobecně to není tak snadné, jak se vám zdá.
Pro lepší zabezpečení pak už zbývá jenom nějaký HW token.
@vibe2 Trošku jsem citoval odsud: mobilmania.zive.cz/...
Nicméně podstatné je to, že SMS komunikace není šifrovaná. USA prohlásilo ověřování SMS jako nebezpečné už v roce 2016 - zive.cz/...
Ano, to jsem četl. Od dob 2G/3G doznal změn i přenos SMS.
SMS lze posílat přes data (4G/5G), kde je zapouzdřená do SIP protokolu v síti VoLTE.
No a čo to dokazuje? Len to,že základné veci bezpečnosti neboli dodržané. Jedná šetrila mobilné dáta a pripojila sa k verejnej wifi a druhý platil dopredu neoverenej firme telefónom.
Vrátím se na začátek, k SMS. Co by v tomto konkrétním případě hacker získal, kdyby se vlámal do potvrzovací SMS?
Skoro nic. Ta SMS je jenom potvrzení, že odpovídá ten telefon, který je zaregistrovaný u banky.
Vlastní zadání transakce probíhá jinde a jinak, na PC se zabezpečeným HTTPS kanálem a s heslem pro přihlášení (u internetových plateb z platební karty ještě e-PIN).
... končí s podporou SB pro mobily s Android 6 a výše, nově od A9
... jak Android 6 a výše, nově od A9 - snad myslíte že Android 6/9 a níže = Android 6/9 a níže nebudou podporovány, ne?
P.S.
To je záměr. Každý rok nebo dva musíte kupovat nový mobil, aby se kola průmyslu točila.
Jo, jo - jenže já nepíšu konkrétně o W95 - jen o internetovém bankovnictví.
Windows 10 a Edge vydrží ještě hodně dlouho.
Proč je přístup přes mobilní aplikaci bezpečnější - kromě toho, že banka iniciativně upozorňuje, jak velká vaše uhlíková stopa?
Věděli jste, že váš domácí wi-fi router může přispívat k vaší uhlíkové stopě? Ve skutečnosti wi-fi router v průměru vyprodukuje přibližně 380 g CO₂ za rok. Celkově používání internetu představuje 3,7 % celosvětových emisí (což je více než veškerá letecká doprava na světě) ...
... proč by zpravu musel nekdo odposlouchavat rovnou na bts ... protože tam byl plaintext SS7. Dnes se už zprávy doručují jinými způsoby.
... bloatware, ktery dokaze precist (ověřovací) sms a potlacit notifikaci ... k čemu vám to bude? Máte to ve špatném pořadí. SMS je až druhá fáze, po zadání transakce. Jméno / heslo vám může přečíst bloatware i na nové verzi Androidu - když mu dáte práva.
Nikdo není tak blbý, aby přistupoval do bankovnictví přes web na mobilu a na tentýž mobil směroval i SMS. Znáte snad někoho takového? Proto píšu o dvou zařízeních. Co je na tom nepochopitelného?
Protokol HTTPS zajištuje ověření identity certifikátem serveru a samozřejmě je to komunikace šifrovaná.
A že vaše banka nepoužívá postupy ESG (environmental, social & governance) ani DEI (diversity, equity and inclusion)? Buďte rád.
vibe2: Vy si opravdu myslíte, že nikdo nepoužívá web na mobilu pro přístup k internetovému bankovnictví? Tak to asi žijete opravdu ve své bublině. Třeba i já občas použiji Chrome v mobilu pro přístup do internetbankingu a nikdy neřeším, že bych 2FA šel přes jiný mobil. A takových lidí bude mnohem, mnohem více.
V dnešní době je to sice řešeno SW klíčem, ale není to tak dávno, kdy se 2FA řešila výhradně SMSkou..
Smysl celé této konverzace je dokázat, že bezpečnost systému dvou zařízení :
intenetové bankovnictví na PC (jedno zařízení, první kanál) + potvrzovací SMS na mobil (druhé zařízení, druhý kanál nezávislý na prvním, jiné servery, jiný operátor).
je minimálně stejná nebo lepší než vše v jednom mobilu.
To snad pochopíte i vy, bez ohledu na vaše tvrzení "Sms je proste zastaraly a nevhodny zpusob, ktery jde lehce zneuzit".
I kdyby bylo (coz neni) - napište, proč si myslíte, že to takto není.
... nejde nijak smysluplne zajistit, ze to takto bude kazdy pouzivat - naopak. Myslím si, že stejně, jak jsem popsal, používá internetové bankovnictví většina uživatelů, jak ostatně plyne i z diskuze výše.
Doufám, že alespň pro vás nebyla debata o ničem.
Protoze zjistit prihlasovaci udaje a precist sms jde relativne jednoduse, nezavisle na poctu zarizeni. Obejit autorizacni / bankovni aplikaci uz takova sranda neni.
Bankovní aplikace má také přihlašovací údaje. Obejít jedno nebo druhé vyjde na stejno. Nechám vás ve vaší pochybné jistotě.
A jak bankovnictvi pouziva vetsina uzivatelu si muze myslet kazdy libovolne, ale je to irelevantni. Ochrana musi byt validni pro vsechny, a pro ty nejmene zdatne a nejhloupejsi predevsim. Takze jak to chcete vyresit? Prikazem?
O tom nemá cenu diskutovat.
Vyjde na stejno? Coze? Jo, webove rozhrani na libovolnem zarizeni bez znalosti co tam dalsiho bezi a bez jakekoliv kontroly nad cimkoliv krome velmi omezenych moznosti samotneho browseru ...
Webové rozhraní má samozřejmě dvě strany - nejen browser jako klient, ale serverová aplikace.
Mobil s možností "sledovani hromady metrik" je vám úplně k prdu, když jej ztratíte, někdo vám jej ukradne nebo prostě nefunguje.
Ještě sem dejte pár příkladů.
@re4zon 04.02.25 21:19
Jiste, ovsem bezne na strane serveru neni vyzadovano nic nez jmeno a heslo. A to se jaksi da odposlechnout uz na strane klienta a pak pouzit kdekoliv. A kdyz je totez mozne vzdalene provest i s tou sms, tak je to cele zranitelne. To je fakt jak mluvit do zdi.
Tak ještě jednou od začátku. Podstatné je, že k ověření totožnosti je potřebné mít:
1) něco co znáte (jméno, heslo)
2) něco, co máte (certifikát, otisk prstu, pozadí oční sítnice, jiný HW token ...)
3) kombinace obojího.
Je jasné, že internetové bankovnictví na PC s potvrzovací SMS na nezávislý mobil je varianta 3 - stejně tak bankovní aplikace s otiskem prstu.
Tak o co vám jde?
U klienta nemusí být jen prohlížeč. Znáte Citrix?
Telefony si nekupuju, dekuju za optani.
Moment - vy dostáváte telefony přidělené jako pracovní? To je ovšem něco jiného.
A i kdyby, 8 let mi neprijde tak kratka doba, abych se musel podelat, ze ho musim vymenit v zajmu pokroku a zabezpeceni. Pokud si nekdo ale koupi vybehovy cinsky kram s davno neaktualnim os, pochopitelne ho musi vymenit driv. To je pak jeho blbost. Telefon ktery zvladne aplikaci banky s jistotou i za pet let stoji od 2500, fakt hruza.
Ano, souhlasím.
Kdyz mi ho nekdo ukradne, tak se do nej nedostane. Nebo se do nej dostane, ale pokud nejsem uplny jantar, nedostane se do autorizacni aplikace. V tom je cela pointa, takze diky za potvrzeni. Podvodniku kteri nejdriv vytahnou prihlasovaci udaje, pak si cloveka vystopuji, fyzicky mu ukradnou telefon nebo token, tech jsou vsude davy. Treba kapsari v metru jsou zaroven spickovi hackeri.
A tady je podstatné, že PC se zas tak často nekradou ...
Ještě @re4zon 04.02.25 21:19
Tady rozšířili autentizaci až na 5 faktorů, kromě těch dvou, které jsem už uvedl ...1) Co uživatel zná; 2) Co uživatel má;
+ 3) kdo / co je uživatel; 4) Lokalizační faktor (kde je uživatel); 5) Časová závislost (uživatel ve specifickém čase) - což má význam jenom v některých případech.
Neneseme odpovědnost za správnost informací a za škodu vzniklou jejich využitím. Jednotlivé odpovědi vyjadřují názory jejich autorů a nemusí se shodovat s názorem provozovatele poradny Poradte.cz.
Používáním poradny vyjadřujete souhlas s personifikovanou reklamou, která pomáhá financovat tento server, děkujeme.