Možná by měl "kamarád takyrád" přestat brouzdat po erotických seznamkách: http://pauza.zive.cz/viewtopic.php?f=61 ... p=11406911 ...a pak by neměl svrbení z toho, že si tahá breberky do počítače a mak by nepochybně měl příjemnější starosti, než vysírání s vláknami jako třeba:

http://forum.zive.cz/viewtopic.php?f=92 ... p=11064077
viewtopic.php?f=316&t=1217137&p=10213124
viewtopic.php?f=316&t=1251560&p=11201660

atd. atd. (btw. nechápu, k čemu je to dobré psát opět po stoprvé? )

Jinak za sebe, "nejbezpečnější" přihlašování co jsem nafasoval je od slovenské Tatra banky (kromě 7 místného nepřátelského neměnného číselného ID, které stejně musím mít někde poznamenané a hesla, které nemůže obsahovat speciální znaky - takže ona ta bezpečnost už začíná být tady sporná), autentizační kalkulátor Gemalto (nevím jaký model, propůjčím si obrázek z fóra, který tady někdy už hodně dávno postoval) - dobrovolně bych si to nepořídil, bylo to v ceně balíčku, tak dejme tomu.

Do toho zázraku se vloží karta (debetka k účtu), musí se vepsat PIN k ní, poté je nutno zvolit "režim" (podle druhu akce), v případě aktivních operácí vepsat z IB "otázku" (challenge) a kalkulačka vygeneruje "odpověď" (response). Je to tak bezpečné, že po úvodním nastavení alternativního kalkulátoru do mobilního telefonu a zprovoznění smartbankingu jsem ho již nikdy nepoužil a už dobrý čtvrťrok mi na to na stole sedá prach... Do IB se proto ani raději nepřihlašuji, jen v případě "krize", tedy snad jen kvůli transakcím ve "vyšších" objemech (nevím přesně, snad nad 3000 EUR?) je to nezbytné.



V každém případě za bezpečnější lze považovat právě challenge/response kalkulátor, pokud je to jen "hloupé" OTP jako třeba token od Sberbank CZ, tak klient ani neví co právě podepisuje a pokud v domnění, že podepisuje vlastní podvržený formulář v prohlížeči, přičemž právě podepsal úplně jiný příkaz, tak to už jsou lepší i ty SMS zprávy, kde je účet příjemce aspoň zpravidla uvedený.

Zatím jako nejrozumnější kompromis mezi bezpečím a pohodlím se mi osobně jeví rozumná implementace smart klíče, ten aspoň propojuje IB přímo s aplikací, která přímo na zadaný požadavek pošle push notifikaci bezpečnou cestou (narozdíl od SMS), je vidět přesně co se podepisuje, komunikace je obousměrná, zpravidla kombinuje ještě biometrii (otisk prstu) a znalost PINu, je to docela rychlé, přívětivé a bezpečné. Rozumně je to zatím implementované jen u ČSOB a Creditas, o stupeň horší pak u UCB (neexistuje online režim, pořád je nutno skenovat QR kód z obrazovky)...

Kamarad.michal a vrznul jsi si (se ženou) na amatérech.cz?

To co posílal freemantle používala i LBBW Bank, ovládání bylo pekelné. A stroboskop čtečka VR Bank je taky parádička.

Ještě bych sem zařadil generátor kódů od Sberbank.

Jinak ta čtečka od VR-bank je taky zajímavá, ale na jednom počítači mi nechce ani za boha fungovat. Na ostatních je to v pořádku.

Docela mi vyhovoval i dřívější systém u VR-bank, kdy poslali seznam kódů a aplikace si vždycky nějaká z toho seznamu vyžádala (a vyškrtl se).

Breberky se dají sehnat všude, stačí mít router s filtrováním paketů a hned vidíte, kolik útoků za den na každý počítač směřuje.

Nemyslím si, že by dnes ještě existovalo někde nebezpečné bankovnictví. Aplikace běžící jen na systému login/password jsou dávno minulostí a dnes jsou minimálně doplněny ještě SMS kódy pro aktivní operace. Při odpovědném chování uživatele by to měla být dostatečná ochrana, a to i v případě, že by počítač byl napadený. Sám o sobě škodu nenadělá.

Průšvih je, když někdo SMS kódy začne posílat po Facebooku. A spíš je tady namístě řešit otázku, jaké zabezpečení nabídnout hloupému a důvěřivému člověku. Na prvním místě bych mu nabídl možnost certifikátu na kartě a se čtečkou karet. Certifikát na kartě, co je mě známo, nelze zkopírovat ani nikam poslat. Doplnil bych to PINem na grafické klávesnici. Tak to má ČSOB u korporátních klientů. Další dobrou volbou je kalkulátor ve verzi challenge/response, tak to měla (možná ještě má) Citibank u korporátních zákazníků. To bylo dobře zabezpečené, ovšem vyvážili to průšvihem, že zabezpečení bylo jenom při přihlášení. Jak se někdo přihlásil, mohl dělat cokoliv. Takže stačilo zapomnět se odhlásit nebo na chvilku odběhnout a mohl být průšvih.

Systémů zabezpečení je celá řada, tyto dva bych považoval za blbuvzdorné.

Hloupému certifikát na kartě a čtečku? Ten to myslím ani nezprovozní.

No musel by si někoho asi zavolat. A myslím, že banky také už upouští od Javy, tak by to mohlo být trošku víc user-friendly. A pak už jen obnova certifikátu, tu by určitě v nejhorším zvládl i s pomocí hotline banky.

Pár let jsem certifikáty používal. Hezký opruz. Zlatá dneska.

Pár let jsem certifikáty používal. Hezký opruz. Zlatá dneska.

Ja to mel u MPU, byl to strasny opruz. Ale dali mi k tomu alespon zdarma flashdisk.

Ja to mel u MPU, byl to strasny opruz. Ale dali mi k tomu alespon zdarma flashdisk.

#sorrypako

U Unicreditu je pořád možnost tokenu, nebo ne?

Tam je asi take moznost za autorizacni SMS platit poplatky, idealni pro paranoiky, musi byt spokojeni, ze pro bezpecnost delaji maximum.