Vlákno názorů k článku Mýty o bezpečnosti mobilního bankovnictví: jsou nutná dlouhá hesla a SMS? od Martin Kučera - Oslavnému článku bych věřil, kdyby ho napsal nějaký...

Oslavnému článku bych věřil, kdyby ho napsal nějaký hacker.

Ale když si ho napíše sám autor aplikace, ve stylu "podívejte se, jak jsme dobří, na všechno jsme mysleli a tedy je to neprolomitelné", to smrdí!

Už jsem takových velkohubých prohlášení slyšel mnoho a často se ukázalo, že autor ve své nafoukanosti udělal nějakou triviální botu, která zapříčinila obrovský průser.

Mít na účtu pár tisíc, vem to čert. Ale dát si na mobil třeba bankovnictví k firemnímu účtu s pár miliony, to bych se fakt bál.

Lepe bych to nenapsal. Navic ten zlovolny technik nemusi ani ten telefon drzet v ruce.
Jedna z technik socialniho inzenyrstvi je presvedcit zakaznika, aby si tu zakernou aplikaci nainstaloval sam. Nebezpecna a prekvapive efektivni technika ve svete PC (falesne antiviry, downloadery atd.)
V tu ranu ma neznamy utocnik mobil pod kontrolou a kdyz da dohromady pristup k zasifrovanemu klici a sledovani "tapu" ma vse co potrebuje.

PS: SMS ma smysl i dnes, pravdepodobnost ze utocnik dokaze uspesne kompromitovat pocitac, kde zadavam platbu i telefon je mala. Kdyz ale nekdo zada platbu v prohlizeci telefon, jsme zase zpatky u jedineho zarizeni.

Ale já s Vámi v podstatě souhlasím. :)

Co se stejného kódu týče: mohu Vás ujistit, že každá ze 4 bank, pro které jsme dělali mobilní banku, používá jiné, od začátku napsané schéma zabezpečení...

Bavíme se o mobilní bance. Tam SMS samozřejmě nemá smysl.

Pokud nemáte dva mobily :-)

(jsou takoví, například když zjistili, že jim smartphone na jedno nabití vydrží sotva den)

:) Ale nikoliv. Spíše byly kladeny jiné technické požadavky, např. na stavovost / bezstavovost schématu, na silnější ošetření zadávání hesla, na způsob uložení "hesla" na serveru, atd., které jsou dané tím, co banky měly "vzadu".

Děkuji Vám za reakci, Martine, a dovolte mi zareagovat. Ono to takto rozhodně nemělo vyznít - za mě se nejedná o chlubení, ale o sdílení zkušenosti s tím, jak ve věci postupujeme, protože s tím přeci jen máme nějaké zkušenosti. Nedělali jsme jednu mobilní aplikaci pro jednu banku - máme už pár zářezů. :) Prosím odhlédněme od konkrétní implementace, bavme se o obecném tématu.

Myslím, že prvním krokem k bezpečnějším mobilním aplikacím je otevřenost a diskuze. Jistě se spíš chyba objeví tak, že stručně popíšu, jak věci děláme a podívá se na to odborná veřejnost. Budu rád, když na cokoliv, co se Vám nezdá, upozorníte. A za článek k mobilním aplikacím od nezávislého hackera bych byl osobně velmi rád...

To je vcelku logické. On se při každé implementaci člověk poučí, že takhle to není úplně ono - a příště to udělá lépe... což vlastně znamená, že ta první banka má schéma zabezpečení nejslabší :)

Stejná firma, stejný tým, stejný kód, stejné chyby... pro několik bank?

No je to horší, než jsem myslel :)

Nedobytnou bezpečnost totiž jednoduše nemůžete postavit na jediném zařízení, nad kterým navíc nemáte plnou kontrolu. To je dané z principu a proto musíte udělat nějaký bezpečnostní kompromis.

A každý kompromis jde nějak prolomit. V bodu 4 třeba řešíte technika, který našel telefon. Co když ho nezačne kuchat, ale vrátí ho? Bude to tentýž mobil? Bude v něm tentýž software? Bude v něm vaše aplikace, nebo bude pozměněná?

Co když to neudělá technik s telefonem v ruce, ale falešnou či upravenou aplikaci podstrčí nějaký malware? Pak ani edukovaný uživatel není schopen poznat nic.