Názory k článku Podivné bankovní bezpečí

Navíc mají certifikáty ještě další nevýhodu a tou je to, že pokud chci "své" bankovnictví používat na "nesvém" počítači, tak mám buď smůlu, nebo musím nosit certifikáty s sebou, případně k nim mít přístup odkudkoliv, ale každopádně je musím do každého cílového počítače opět importovat, což trvá cenné minuty.

Ze by autor clanku pouzival Netbanku od Zivno? ;-)

Když už autor článku píše o netovém bankovnictví, měl by se alespoň porozhlédnout po produktech, které jsou na českém trhu k dispozici a ověřit si, zda náhodou nějaká banka nenabízí služby, které on hledá.

Protože já jako klient eBanky nepoznal nic z toho, co autor článku popisuje. K provádění všech operací používám elektronický klíč, což je jakási malinká kalkulačka, k níž stačí znát čtyřmístný PIN. Není potřeba nic importovat do počítače, žádné certifikáty, stačí mi pamatovat si čtyři čísla, která se nemění, do banky mám bezpečný přístup z libovolného počítače na světě a dokonce i kdybych odešel od počítače a zůstal přilogován v systému banky, tak se nic nestane, neboť bez onoho elektronického klíče nejde provést žádná bankovní operace a nikdo by to tedy nemohl zneužít. Maximálně by mi mohl změnit oslovení a prohlédnout si moji bankovní historii.

Elektronický klíč může být i jako software v mobilním telefonu, takže nakonec nemusí být ani nutné sebou nosit onu kalkulačku. No a kdo chce používat zastaralý systém certifikátů na počítači, tak i to je u eBanky možné.

Další netové bankovnictví, se kterým jsem přišel do styku, je zjednodušená verze bankovnictví Komerční banky (Expresní Linka Plus) a i tam mi stačí čtyřmístný PIN a osmimístné heslo, které se nemění (systém mne pak vyzve k zadání jen určitých písmen z hesla). Nepoužívám "plnohodnotnou" verzi netbankingu Komerční banky, takže to nemůžu plně hodnotit, nicméně i takto jsem spokojený, základní operace mohu pohodlně provádět i bez certifikátů z libovolného počítače.

Nicméně nadále mojí hlavní netovou bankou zůstává eBanka, se kterou jsem navýsost spokojený už od dob eCity. 8^)

Zminovany elektronicky (nebo take opticky) klic je dneska uz malokdy pouzivana ve sve podstate zastarala metoda, ktera je z hlediska bezpecnosti velmi pofiderni a abych se priznal divim se, ze ji Ebanka davno nezrusila. Myslim, ze ze strany Ebanky je to docela hazard zalozit na necem takove posilani velkych financnich castek.

První zarážející věc je že autor říká, že internetové
bankovnictví je bezpečné. Není tomu tak. Stačí, když vám
někdo do počítače podstrčí trojského koně, který bude fungovat jako odposlouchávač hesel a ftp server. Děr
we windows je hodně, takže je velká šance že se to někomu podaří (ale nejspíš někomu úplně anonymnímu)-
Dozví se tak brzo hesla a stáhne si i vaše superbezpečné certifikáty.

Tohle se dá řešit nepříklad zasíláním přístupových hesel
na mobil, nebo generátorem kódů v podobě kalkulačky.

Další způsob, na který ale naše České a arogantní banky nepřišli je prostě vygenerovat tabulku kódů a při každém přihlášení použít jiný. Použitý kód si škrnout. Jednoduché,
účinné a mnohonásobně bezpečnější. Takto to provozuje třeba norksá banka Nordea.

Dále by se přihlašování sestávalo i z části hesla, které
si musí každý pamatovat. Takže aby se někdo dostal na účet,
musel by se dozvědět vaše stálé heslo, které není nikde napsané, a navíc mít onen papír s hesly... Takže kromě trojského koně musí mít i fyzický přístup k vašem věcem, což
je dost špatně splnitelné podmínka nějakého anonymního hackera ...

Důvodem proč k zneužívání moc nedochází je především to,
že peníze nelze vybrat v hotovosti, ale musí se převést na jiný účet, který by musel být založen s falešnými doklady, nebo na bílého koně.
Dohle je složitější, než se dozvědět nečí přístupové
údaje a stáhnout si jeho certifikát ....

Bankovnictví je u nás složité a často nebezpečné, protože
zdejší bankéři jsou hloupí a arogantní. Je to jednoduché. Tonelovat banky už nejde, tak okrádají klienty.

p.s. Např. ve Velké Británii je zvykem, že všechny základní služby jsou pro klienty úplně zdarma. Téměř to stejné ve Finsku - vlastní zkušenost.

Certifikáty bych rozhodně neuložil trvale do svého počítače. Pro trošku zkušenějšího hackera není problém vysledovat veškeré stisky kláves na cizím počítači (tedy zjistí heslo atd. k účtu) a pokud mám certifikáty uložene v počítači, tak mi ten hacker účet v pohodě vybílí. Takže certifikáty mám na disketě a do počítače disketu s certifikáty dávám jen při "podepsání" platební operace.

Muzete uvest ta slaba mista prosim? At se poucime.
Dekuji
ast

Pridam take vlastni zkusenost - pouzivam nemeckou Postbank a jeji internetove bankovnictvi nemuzu si stezovat (nehlede na dalsi sluzby, ktere nabizi oproti nasim bankam standardne zdarma :-). Je to podobny system. Tabulka kodu pro potvrzeni operaci, jeden kod jedna operace. Jednodussi to byt snad nemuze. Jakmile spotrebujete vsecky kody banka posle dalsi. Prihlaseni prostrednictvim PINu a cisla uctu, vse samozrejme pres SSL.

...na odborný článek ubohé, toť můj verdikt, neboť o i-netovém bankovnictví vím stejně jako před přečtením článku, zatímco jsem obohacen strastiplnými zkušenostmi jednoho autora serveru Lupa.cz s eBankou, které mě vůbec nezajímají....

při níž dostanete ID kód + PIN, obé zadáte do prohlížeče (pochopitelně přes https) a máte PASIVNÍ přístup ke svým účtům. Pokud chcete provádět jakékliv operace, systém vygeneruje pro každou jednotlivou transakci nový klíč, který je zaslán formou SMS na mobil zákazníka. Po provedení transakce je zneplatněn.Případný defraudant tedy musí znát moje ID, PIN a ještě mi musí ukrást SIM kartu (pochopitelně i znát číslo účtu a mé jméno).No a pak možná bude zklamán, když zjistí, že si moc nepřilepšil :))

Podle meho nazoru jedine bezpecne IB pouziva ebanka. Ta vam pro kazdou transakci vygeneruje novy kod jez prijde kodovanou SMS na mobil (rychle/bezbecne/pohodlne}. Certifikat a heslo si da na pocitac jenom ignorant. K tomu abych je nekomu zkopiroval mi staci pouze dva male programky a jeden z nich je dokonce standartni soucasti WINDOWS XP prof. kterych si bezny uzivatel ani nevsimne, a pak VAM vysaju ucet treba z druhe strany polokoule a pak at me nikdo honi. Divim se takove ustavy jako je ČS a KB, si dovolí svým klientům něco takového vůbec nabídnout.

Zdá se, že většina diskutujících snadno zaměňuje či směšuje pojem "certifikát" s pojmem "privátní klíč".

Proto bych chtěl upřesnit, že certifikát je veřejný - přístup k němu může mít kdokoli, bez újmy na bepečnosti.

To, co je třeba chránit, je privátní klíč.
Některé banky provozují internetbanking, který podporuje uložení privátních klíčů (a certifikátů) na čipové karty.
Privátní klíč je tak chráněn proti zneužití a elektronická identita držitele je mobilní (kartu můžete mít stále s sebou).

system jednoho PINu a zasilani autentizacnich kodu na mobil sifrovanou SMS je absolutne nejjednodusi...
ikdyz ted ty kurvy zase zdrazili zatim menit nebudu...nevim kam bych sel...:-/

"naše České a arogantní banky nepřišli je prostě vygenerovat tabulku"

Nechci se bank zastávat a tato výjimka se netýká přímo internetu. GE před časem zavedla telefonické bankovnictví, kde se mohly kromě stálého hesla používat jednorázové autorizační kódy. Jestli si správně pamatuju, říkali jim TAN. Za vygenerování tabulky TANů si účtovali nějaké peníze, nebylo to v ceně služby. Kódy z jedné tabulky se daly používat v náhodném pořadí. Když jste náhodou měl víc než jednu tabulku, použití kódu z novější tabulky zneplatnilo všechny dosud nepoužité kódy ze starších tabulek.
Nevím jestli to ještě funguje, nebo jestli mají obdobu pro internet.

Taky by mě zajímalo, čím je to pofidérní. Máte na mysli to, že při vyzrazení algoritmu klíče je ten systém ohrožen?

Asi nerobite vela transakcii na den. Ak mi banka vygeneruje trebars 100 takychto kodov a ja denne spravim v priemere 35 bankovych operacii (niekde sa robi aj 10x viac) tak to aby som behal do banky pomali raz do tyzdna, resp. raz do tyzdna bezal na postu, lebo ta postarka - potvora leniva mi do prace na 9-te poschodie nic doporucene nedonesie. Ked vie banka z urcitostou, ze nadisiel ca mi poslat nove kody? Dnes spravim transakcii 40, zajtra iba 10, pozajtra 20 a popozajtra ak mi bude treba 50 tak mam smolu, lebo musim cakat na kody od banky...

Uprimne takyto system mala na slovensku svojho casu Postova banka a rychle som od nich zutekal. Skrtat kody kvoli pseudobezpecnosti?

Uprimne, kto sa bude snazit zistit moje heslo, pripadne kombinacie mojej gridkarty, pripadne spominanej "kalkulacky" kvoli tomu, aby mi z uctu ukradol kolko 1.000.000 korun? Myslite si niekto, ze sa najde blbec, ktory to riskne s tym, ze ho do 4 hodin od takejto cinnosti zavru? Len co spravi transakciu, dojde mi SMS o zmene stavu na ucte, pripadne e-mail (ten niekedy este skor) a ja hned kontaktujem banku ohladom neautorizovej zmeny na ucte.

Uz sa mi stalo raz, ze vdaka nejakej "sikovnej" zamestnankyni mojej banky odisla nejaka suma na iny ucet. Niekto dal hromadny prikaz a pri jeho prepisovani zle zapisala cislo uctu, z ktoreho sa stahuju prostriedky. O zmene som vedel okamzite a do hodiny som mal peniaze spat na ucte.

medzistatne transfery nejaku dobu trvaju min. den sa peniaze do zahranicia nepohnu, takze uspesnost vycucania uctu do zahranicia je velmi miziva, kedze vacsina bank informuje klienta online o pohybe na ucte. dalej je tu den dva, kym dojdete do zahranicnej banky, kde uz na Vas bude niekto cakat a na kreditku zabudnite, tu vam bloknu hned po avize z banky, ze transakcia bola nelegalna.
okamzite vase udaje dostava interpol, takze sa okruh krajin uniku zmensuje

a to vsetko kvoli dennemu limitu 1.000.000 KC, nebudte blazon..

Muzete prosim napsat, co tim zdrazenim myslite? Tedy jestli chapu vasi reakci spravne, ze zdrazenim myslite eBanku.

:))) No ne ze by v tom byl nejak extra velky rozdil. Udelat trojan, ktery pri bankovni operaci zachyti heslo/PIN psany na klavesnici a zaroven si stahne certifikat z momentalne pouziteho uloziste je vpodstate stejne slozite, takze vase metoda je uplne k nicemu.

Jedine smysluplne bezpecne pouziti certifikatu je s kryptokartou, kdy certifikat kartu nemuze opustit a naopak vlastni podpis dela karta (tj, poslete na ni data, ktera se maji podepsat a ona vrati podpis).

Honza

Ano mate pravdu. Tolik transakci denne jako Vy pres internet neprovadim. Pro me a troufnu si rici ze i pro kazdeho normalniho bezneho smrtelnika (Vy asi nebudete tento pripad :-) je uvedeny zpusob naprosto vyhovujici.

Pridam jeste dalsi svou zkusenost, a to ze pokud delam transakci vice, tak zajdu do banky osobne za svym bankerem, kde vse v klidu vyridim. Za to mi to stoji. A pokud i toto by na Vas bylo mnoho (cas jsou prece penize), pak si musite poridit duveryhodnou sekretarku :-).

nechci Vám kazit radost, ale selhání lidského faktoru z řad zaměstnaců může podobně postihnout i klienty bez elektronického bankovnictví ;o)

také bých rád věděl o jaké zdražení se tady jedná, pokud jsem si stihnul všimnout tak od 1.3. můžu vesele vybírat z jakéhokoliv bankomatu v ČR jen za 9,něco Kč. Jinak mám vše zdarma. Platím nějaké kačky jen z bankovních převodů, vše ostatní mám zdarma :-D

Problem je v tom, ze jde o symetricke sifrovani. Tj. banka dokaze vygenerovat spravny klic bez vasi ucasti. Je treba si uvedomit, ze vetsina bezpecnostnich incidentu je zavinena zamestnanci napadene spolecnosti. V pripade teto "kalkulacky" je uvnitr Ebanky jiste mnozstvi lidi, kteri znaji algoritmus a jsou schopni vygenerovat klic i bez vas. Pak je pro ne extremne trivialni zalozit do databaze transakci, ktera bude zcela k nerozeznani od te vasi a vy budete velmi tezko dokazovat ze jste ji neprovedl (a banka vam ze jste ji provedl). Oproti tomu pri pouziti asymetrickeho sifrovani neni zadny sebeznalejsi zamestnanec banky schopen vyrobit spravny podpis. V pripade nejasnosti lze pak snadno zjistit jestli jste to byl vy (nebo nekdo kdo se dostal k vasim privatnim klicum) kdo podal spornou transakci.
Pro banky je asymetricke sifrovani tudiz mnohem vyhodnejsi metoda, protoze je mozne velmi rychle prokazat vinu klientovi, zatimco u "kalkulacky" hrozi zdlouhave dohadovani.

Nechci vam brat iluze a branit ceske banky. Nicmene pres vsechny sve chyby maji ceske banky internetove bankovnictvi zajisteno na vyssi urovni nez je bezna v Zapadni Evrope nebo v USA. Diky tomu, ze u nas internetove bankovnictvi bylo zavadeno pozdeji, bylo mozne se poucit z chyb a rovnou nasadit asymetrickou kryptografii se soukromymi klici. Oproti tomu na Zapade zacali pred lety s obycejnymi plain hesly tak jak byli zvykli treba z telefonnich center. Kdyz se ukazalo, ze to nemusi vzdy stacit, bylo uz pozde, protoze klienti si zvykli na pohodlicko a odmitali nechat se prudit se soukromymi klici. U nas byli klienti bank k tomu nuceni hned od zacatku, takze jim nic jineho nezbyvalo a zvykli si. Pamatuji si jak pred par lety jsem se zucastnil vyberu noveho IT systemu pro banku a kdyz v ramci specifikace zadani jsme dodavateli rekli, ze vsechny transakce pres inet bankovnictvi jsou podepisovany certifikaty, tak se dost divili a rikali ze zadny z jejich dalsich klientu (velkych EU bank) to takhle nema a kvuli klientum, ze se bezne akceptuji milionove castky prevadene jen heslem.

No ja teda nevim. Mam ucet u Nordey, a ze by se mi to zdalo bezpecne, to snad ani ne. Veskere informace, ktere potrebujete k operacim na uctu mate na dvou papirech v supliku. Zadne heslo potreba neni. A pokud chci provadet operace odjinud, pak nezbyva nez tahat ty papiry s sebou, protoze pamatovat si vsechny ty posloupnosti cisel je nemozny.

To ze jsou vsechny sluzby zdarma je temer pravda. Prevod penez z uctu na cipovou kartu neco stoji. Ale jinak vse zdarma, svata pravda.

a to pouzivas tatrabanku???

Chapu, ze glosa je trochu o necem jinem nez clanek v hlavnich rubrikach Lupy, ale tohle je snad uz trosku moc. Nekonkretni, bez souvislosti, bez znalosti problematiky, hazi vsechno do jednoho kose. Kdyz ma Lupa v podtitulu "server o ceskem internetu" a snazi se byti odbornym serverem, pak i glosa by podle toho mela vypadat. Tento grafomansky vylev pana Miklika by se snad snesl na jeho soukromem blogu, ale tady ... Asi by to chtela trochu vice sebekritiky a autocenzury. Nebo snad bylo za kazdou cenu potreba napsat clanek? Ja osobne davam prednost kvalite pred kvantitou.

Ale to není odborný článek, to je glosa.

Vyber ze vsech bankomatu je nyni 6,90 a povazuji to za velke plus, kdyz vezmu, ze take neplatim zadne mesicni poplatky a platim pouze transakce, ktere jsou o 1Kc drazsi nez napr. v CS, tak je to skvely produkt.

Bezpečnost internet bankingu je pěkná, ale první by se měly banky zamyslet nad optimalizací pro vyhledávače. Jak můžu řešit bezpečnost, když se s mojí Operou na účet vůbec nedostanu? A IE používat nebudu. Kvůli tomu jsem skončil u KB, teď mám účet u eBanky a ČS a plná spokojenost. U eBanky si myslím, že je bezpečnost dostatečná, u ČS mi přijde ochrana pouhým heslem málo, ale zase tam nemám tolik peněz, abych to nějak moc řešil.

Jo, a navíc to není o eBance :-) Čti dřív než píšeš, chytrolíne.

No mel jsem asi pred dvema lety zkusenost s Komercni bankou a byly dost desuplne. Musel jsem povolit veci jako spousteni nepodepsanych ActiveX modulu a jine zasahy proti bezpecnosti a zdravemu rozumu. Fungovalo jen v IE (a to jen v nekterych verzich). Nevim zda se to zmenilo -- s KB uz jsem nemel tu smulu.

Jinak obecne je problem, ze vetsina uzivatelu naprosto nechape zakladni principy pouzite technologie (asymetricka kryptografie, podpisy ...) alespon na urovni "lzi-BFU" a z toho plyne i vetsina problemu.

Mě to tedy příjde docela ukázková glosa. Je to zajímavý a pravdivý postřeh a jedná se spíše o přístup k bezpečnosti než o konkrétní implementaci. K tomu není zapotřebí rozebírat technické detaily. Ovšem kdyby je tu nějaký odborník rozebral, se zájmem bych si to přečetl, ale to už by asi nebyla glosa. Což?

Pro IB je z prohlížečů podporován asi jen IE.
Zkoušel jste někdo provést transakci něčím jiným?

Myslím, že v kalkulátoru je symetrický klíč.
Také předpokládám, že se používá veřejně známý šifrovací algoritmus.

Ale jinak je Vaše mínění správné, heslo je MAC (kryptogram, šifrovaný blok dat) aktuálního času a možná nějaké výzvy serveru nebo něčeho podobného (pořadí transakce?)

Nemám pocit, že by to bylo příliš na úkor bezpečnosti.
Váš klíč znáte jen Vy (Váš kalkulátor) a banka.

No, sifra. Ja bych tomu rikal spise hash, anzto desetimistne cislo zachycujici vsechny detaily transakce mi jako prilis silna sifra neprijde.

Nicmene stejne nemate pravdu : kalkulacka je chranena PIN, ktery pracovnici banky neznaji. Bez zadani PINu se nevygeneruje nic. A pochybuji o tom, ze by ActivCard zverejnoval detaily svych algoritmu, to by svuj byznys mohl asi dost rychle zavrit. Takze na znalost zpusobu vypoctu pracovniky banky bych nespolehal. Pokud by totiz temito znalostmi skutecne disponovali, mohli by si lukrativni nabidky black hats prehazovat vidlema.

Pokud ma zamestnanec pristup k databazi, kalkulacku nepotrebuje a transakci na vas ucet zapise stejne. To uz ale nema s elektronickym bankovnictvim nic spolecneho.

PIN neni pro generovani klice relevantni informace. PIN slouzi jenom jako jednoduche blokovani zneuziti ztraceneho "kalkulatoru". Zamestnanec banky ho tudiz vubec znat nemusi. Princip overovani pomoci kalkulacky je ten, ze kazdy kalkulator ma nejake rekneme seriove cislo, ktere se pouziva pro generovani prislusnych kodu. Toto seriove cislo je ulozeno pro kazdeho klienta v databazi, kde ho pouziva overovaci rutina pro porovnani se cislem zadanym. V bance tudiz musi byt algoritmus znamy, lze samozrejme pouzivat ochranne technologie typu closed source DLL prilinkovana do aplikace, ale na zaklade svych zkusenosti si troufnu odhadnout, ze ten algoritmus bude v bance znam alespon nekolika lidem.
Samozrejme, ze tu transakci zapsat muze kazdy kdo ma pristup do databaze (radove desitky lidi), ale v pripade asymetricke kryptografie to lze nasledne snadno dokazat. S "kalkulackou" nedokazete nic.

Zajimalo by mne, odkud vite, ze autentifikacni kalkulator pouziva symetrickou sifru. Osobne jsem to nikde nenasel a tak nejak implicitne jsem predpokladal, ze v hlubinach te kalkulacky je ukryty nejaky tajny privatni klic, ktery se neda z te kalkulacky rozumnymi technickymi prostredky precist a kterym se vsechny ty hashe podepisuji. A ze v bance maji nekde v databazi muj verejny klic, kterym to jenom zkontroluji.
To jsem vazne takovy idealista ? Ochranu pomoci "utajeni" sifrovaciho algoritmu totiz nepovazuji za ochranu.
Taky jsem si myslel, ze prihlasovaci heslo je digitalne podepsany hash z aktualniho casu +- nejakych 10 minut a ze serioveho cisla poradi transakce. Na tuhle myslenku mne privedlo varovani osobniho bankere, ze po urcitem poctu autentizaci na kalkulatoru, ktere nezadam do formulare musim prijit na pobocku zesynchronizovat kalkulacku s jejich databazi.

Jo, fascinující je hlavně při první návštěvě eBanky, jak je od každého počítače vidět na každý jiný a úřednice chce od vás kontrolní otázku a odpověď, kterou slyší a vidí každej okolo.

Naopak, v tomto mám dobrou zkušenost s ČMSS, kde jdete do zasklené kukaně.

Takže eBanku fakt ne (že sídlí na Václaváku ještě neznamená, že to tak musí vypadat i uvnitř)...

Já mám zkušenosti s eBankou, ČS a KB. U eBanky jdou ostatní prohlížeče bez problémů, u ČS to na záčátku píše hlášku, že nepoužívám vhodný prohlížeč, přesto to bez problémů funguje. U KB jsem neměl s mojí Operou vůbec šanci a taky jsem kvůli tomu u nich skončil.

Problém to zas takový není. Povolíte to pouze v zóně důvěryhodných serverů a do této zóny si přidáte https://www.mojebanka.cz.
Problém je pokud nepoužíváte Windows, pak se do KB nedostanete :-(

Zivno jede skoro na vsem: IE,FF,Opera. OS: Lin. i Win, MacOS take, ale s posledne uvadenym nemam primou zkusenost

Prominte, ale to vsechno vite, nebo jde o domnenky? Vase veta ze pouzivani klice ActivCard je zastaralou a pofiderni metodou mne doslova rozesmal.

Nemam konkretni zkusenosti s ActivCard, ale mam relativne velke zkusenosti s ACE/Server, coz je produkt obdobneho typu. Muzu vas ujistit, ze se tam nepouziva ani symetricka, ani asymetricka sifra. Pouziva se hashovaci funkce.

Dale jiste neplati, ze v bance existuje mnozstvi lidi, kteri znaji algoritmus. V bance ho nezna nikdo. Pro banku je naprosto nemozne vyrobit podpis ktery by odpovidal podpisu vasemu.

Predstavte si to tak (jde o hruby nastin), ze existuje stroj/program/cerna skrinka (zalezi na konkretni implementaci), ktere se poslou vsehny udaje (zdrojovy ucet, cilovy ucet, castka, seriove cislo klientovy ActivCard a desitimistny digitalni podpis transakce. Odpovedi je ANO nebo NE, podle toho jestli digitalni podpis odpovida parametrum.

Ta skrinka je v bance koupena od ActivCardu. Nikdo v bance nevi jak ta skrinka uvnitr funguje.

Jenomze problem je v tom, ze na to jak presvedcit MSIE ze ma stranku zpracovavat jako duveryhodnou existovalo nekolik metod a nemam duvod predpokladat ze neexistuji dalsi (i kdyz je neznam). Krome toho neni problem podvrhnout DNS zaznamy (lokalne, nebo kdekoli na lince) tak, aby www.mojebanka.cz byl uplne jiny pocitac. Pokud klienta (90% klientu = BFU) naucim, ze ma odlikavat nepodepsanou aplikaci mam zadelano na problem. A to ze se aplikace instalovala nejakym podivnym zpusobem (pres activeX) na pocitac, je pravda. Momentalne uz funguje bankovni aplikace jako java applet, bezi na java o M$ i od SUN, ale stejne nejde spustit na nicem jinem, nez MSIE.

V nemecku to funguje podobne. Https, zvoleny PIN a papir s 50ti TAN (transaction numbers) kazde na jedno pouziti. Bezpecne a pohodlne.

No, asi mame ruzna kriteria... Ja mam eBanku s mobilnim klicem (jak to funguje uz tu bylo popsano). Zadny papir, ktery bych odskrtaval, nepotrebuji. Pritom je to +/- stejne bezpecne (kombinace znalosti PINu & vlastnictvi mobilu), jako ten TAN. Mozna i bezpecnejsi, pokud nekdo okouka PIN pri zadavani a TAN kdyz papir nekde zapomenete.

TOMU rikam bezpecne a jednoduche. A navic je to podstatne pohodlnejsi. Jo, a nemam problem, kdyz chci udelat 5 operaci a mam jen 4 zbyle TAN kody ;-)

Nemyslím, že nemáte pravdu.

Neznám sice Vámi popisovaný produkt, ale předpokládám že takový produkt vyžaduje kryptografii.
Ve Vašem případě typicky symetrickou.
Zabezpečení může používat hashování, ale aby skutečně fungovalo, musí "do děje" vstoupit symetrický klíč a vyrobit (kryptograficky) z hashe MAC.

Černá skříňka může obsahovat Master klíč,
od nějž jsou derivovány klíče jednotlivých kalkulátorů,
aby nemusela existovat DB symetrických (uživatelských) klíčů, ale aby si je mohla "černá skříňka" kdykoli rekonstruovat.

Jestli ActivCard používá svůj (proprietární) šifrovací algoritmus, anebo veřejně známý algoritmus, je celkem jedno.
Ale není důvod použít neveřejný algoritmus; bezpečnost systému je jinde.

Prijde mi, ze banky v Cesku delaji z e-bankovnictvi uplne science fiction! Mam ucet v LBBW (www.lbbw.de) a krome toho, ze funguje v jakemkoli prohlizeci (odzkouseno v IE, Firefox a Safari pro mac) je vse az roztomile jednoduche.

Internetove bankovnictvi je pres HTTPS, mam jen cislo uctu (naco nejake username) a petimisne PIN (ktere muzu volit abych si ho pamatoval) Rekl bych, ze uz ted je to rozumne bezpecne a VELMI pohodlne. Ale to neni konec, tahle kombinace (kterou nosim jen v hlave) je jen pro pasivni operace, prohlizeni, historii, tvorbu prikazu, aktivace ruznych periodickych oznameni, atd......

Kdyz by mela prijit operace, kde se HYBE PENEZI je poslednim krokem zadani TAN (transaction number) coz je petimistne cislo ze seznamu, ktery jsem dostal na pobocce. Kazde muze byt pouzito jen jednou, pak si ho na seznamu skrtnu. Nechavam ten seznam klidne v praci na stole,(nebo kopii doma) protoze bez PIN z moji hlavy je to car papiru k nicemu, stejne tak odposlechnute PIN je k nicemu bez ukradeneho seznamu TAN. Kdyz mam na seznamu min jak 3 TAN tak mi postou posle banka novy seznam TAN.

Je to bezpecne a jednoduche, ale v cesku to holt musime delat slozite ne?

Jiste - muj financni ustav mi "read-only" pristup dovoluje z kazdeho prohlizec, ktery umi HTML over HTTPS. Slozitejsi je to s autorizaci podaneho prikazu - ten se sice take zadava "beznymi" HTML formulari, ale nasledna autorizace podaneho prikazu probiha specialni aplikaci. Tu maji ve verzi pro Woknows v "okenkovem" provedeni (ale ani v tomto pripade to neni nijak vazano na IE). No a jelikoz ja Windows tolik nepouzivam, tak pro svoje FreeBSD mam aplikaci, ktera je ciste textova a spousti se z prikazoveho radku. Potvrdim, ze certifikat lezi stale tam, co minule, zadam nejaka ta hesla - ono mi to ukaze podane pokyny, ja zmacknu jako, ze jo a je to. Uvazim-li, ze to je zadarmo vcetne mesicnich poplatku (ovsem, pravda, musim mit na uctu alespon tisicovku) tak se da rict, ze jsem s pomerem "cena/vykon" docela spokojeny ...

Podobný princip měla KB před x lety u BBS. Už tenkrát mě desně prudilo hledat v bordelu na stalo nějaký papír.

Na stole. Hlavně, že to odesílám 2x ;-)

me tech 50 TAN vydrzelo vic jak rok, navic mne nikdo nehnal na postu, je to normalni, nedoporucena posta....

Zajimalo by mne jestli inzenyri z nejmenovane banky v cesku co pouziva 2 certifikaty, asymetricky sifry, elipticke mega-giga hesla co se sama meni po mesici nekdy zkusili takzvany B-test.
Tedy nechat to pouzit vlastni babicku :) Vite ono neni umeni udelat neco megabezpecne, ale tak jednoduse aby se to dalo pouzivat. To je umeni.

Podivejte se na Mac OS X, jo je sytem jakym se windows leta marne snazi stat. Byl jsem v apple store a byl tam duchodce z Floridy, clovek ktery nikdy pocitac nemel, prvni si koupil v sedesati. Na prezentaci OS X se ptal co je to kurzor a proc je v v editoru jako carka a v okne jako sipecka....proste nedotcen pocitaci. Za dalsi tyden, kdyz jsem si vyzvedaval iBook se byl ptat jak si ma udelat www stranku, ze si mailoval ze synem co je v Aglii u letectva a chce mu ukazat ze to zvladne. Tomu rikam HUMAN USER INTERFACE.

Nerikam, ze nevydrzi. Ale situace, kterou jsem popsal, je realna.

S tema certifikatama je to slozite, to nepopiram. Taky jsem psal o eBance a mobilnim klici. Proste zadate PIN a opisete cislo. To je jeste jednodussi, nez opisovani cisel ze seznamu a jejich skrtani. To totiz vyzaduje kazen (opravdu to cislo skrtnout) a s tou ma hodne uzivatelu problemy.

Míním, že pokud zaměstnanci banky chtějí vytunelovat něčí konto - je pro ně nejjednodušší napodobit podpisový vzor (k tomu má přístup stovky lidí) na poctivém papírovém plaťáku, a platební příkaz fláknout do sběrného boxu.

Tak udelam trojana, ktery te kryptokarte podstrci co mu bude libo. :-)

> (nebo nekdo kdo se dostal k vasim privatnim klicum)

A to je ten klicovy problem, toto je totiz extremne snadne.

Toto není nic jiného, než velmi primitivní forma principu použitého u kalkulátoru (zde ty kódy generuje přímo kalkulátor) nebo mobilního klíče u eBanky, kde jsou šifrovaně zasílány po jednom do mobilu na vyžádání, čili popisovaný systém je sto let za opicemi.

no já nevím, ale velké firmy provádějící takovéto množství transakcí používají spíše homebanking, tj. speciální SW na PC, příkazy tam naimportují z ekonomického SW a posílají hromadně jako jednu dávku, tj. "spotřebují jeden kód za den"

no rozhodne je to bezpecnejsi, nez X.509 v jakekoliv podobe. U OeK a MeK eBanky by Vám museli zjistit PIN a "kalkulačku" nebo mobil ukrást, což velmi snadno zjistíte a účet zablokujete, riziko použití doma nebo v kvárně je stejné.

U certifikátů lze domácí PC lze pomocí sociálního inženýrství nabořit trojanem, který odposlechne heslo ke klíčům, ty získá a odešle, kdo by importoval klíče do prohlíže v kavárně je hazardér, tam může být komp nabořen předem třeba obsluhou. Klíče v HW tokenu jsou o něco lepší, trojan je z tokenu nemůže vydolovat, nicméně si stále může nechat podepsat libovolné věci.

"Kalkulačky" používají i jiné banky, přínos eBanky je v tom, že narvali podbný mechanizmus do mobilu (mobil kódy negeneruje, ale posílá mu je banka), takže člověk nemusí tahat další vercajk a platit za něj poplatek.

Zdravim,

internetovym bankovnictvim se tak trochu zabyvam a neda mi to nepridat par poznamek:

Jak uz ostatne nekdo podotyka v diskuzi vyse, take bych si tipnul, ze autor pouziva Netbanku od Zivnostenske banky ;).

Je mi jasne, ze jde o glosu, presto: instrukce pro bezpecne pouzivani v bance moc casto nedoziskate, tedy abych byl presny, skoro nikdy. Znate nejakou banku (krome Citibank), kde vam explicitne reknou o tom, abyste bezpecne kontrolovali treba SSL certifikat? Oddelena hesla pro certifikacni autoritu a pristup rozhodne stoji za otravovani uzivatelu (vzdyt do CA tak casto nemusite a navic se tam daji generovat/zneplatnovat certifikaty ;o)); delka platnosti 30 dnu byla v Netbance vec, ktera me dost stvala take, ale maximalnich tusim 180 dni je celkem dostatecnych. To, ze vam bylo zmeneno heslo bez identifikace je ale dost ostuda. Konkretne u teto banky jsem si pro zaktivneni jednorazoveho hesla pro prvni prihlaseni k CA (na rozdil od jinych bank je fakt jednorazove ;)) musel projit standardnim overenim totoznosti -- chrlit sve osobni udaje, veci za smlouvy a podobne ;).

no me to zni spis jako silny opruz. U eBanky proste pri prihlaseni, kazde aktivni operaci ci rekonfiguraci uctu kliknu, na mobil mi prijde cislo, to opisu a je to. Papir s kody mi prijde adekvatni tak pro phonebanking. Zadne obstaravani noveho lejstra s kody, chozeni na postu, ja sem ve sve bance byl pouze pri zakladani uctu.

Patrne se jedna o jinou banku, na GSM se silne orientuje GE, je zde zmineno, ze podobny system ma i CSOB. U eBanky je to opravdu zadarmo, repsktive Internet a GSM bankovnictví je v základní ceně programu.

No jedno jsme uživatelce celkem s laborováním rozchodili MojeBanka. Pak bylo třeba na to PC naistalovat Javu od Sunu a to byl konec pro MojeBanka, nezvratný, nakonec se to muselo rozchodit na jiném PC.

ne, neni to bezpecne, ziskat konstantni heslo pres nejaky keysniffer instalovany pres diru ve windows nebo pomoci socilaniho inzenyrstvi neni takovy problem, sebrat nekde ten papir (at uz u vas v kanclu nebo po ceste) jeste mensi. Pohodlne to take neni, tri kody mohu vypotrebovat mnohem rychleji nez dojde papir z banky. Reseni eBanky s mobilnim klicem je bezpecnejsi a pohodlnejsi, ovladat mobil zvladne i desetilete dite. TAN na papire je mechanizmus adekvatni pro telefonicke bankovnivtvi, nemci ho zcela nepochopitelne prenesli i do ery pocitacu, u nas se to nsatesti nestacilo tolik zazit.

je to podstatne bezpecnejsi, PC lze totiz naborit podstatne snaze nez mobil.

Moje řeč, papír s TANy by pro mně byl hodně velký problém. :-)))

Pro IB používám Firefox a jsem naprosto spokojena. Dříve jsem používala IE.

Navic papir s TANy se da take okopirovat, takze ztratu nezjistite. Naproti tomu zkopirovat SIM kartu (v realnem case) nejde tak lehce a kopirovani "kalkulacky" jeste hur.

hmmm, tohle ale pokud je mi známo právě u eBanky nejde. Vše se podpisuje klíčem - i při osobním jednání v bance.

Stejný postup uplatňuje i ČSOB. Jedinou nevýhodou je, že si musíte stáhnout aplikaci "Singer" a tedy obsluhovat jen z domova. ČS jsou diletanti.

Hmm, a co že je tou kontrolní otázkou zabezpečené? Jestli to není náhodou něco jako zablokování karty.

Máte dojem, že bezpečnost by měla záviset na tom, zda vidět od jednoho počítače k druhému?

Osobní klíč ("kalkulačka") u eBanky je v principu o třídu jinde - podepisuje i obsah transakce (číslo protiúčtu, atd.). Takže i když budu zadávat příkaz z cracklého počítače, pořád jsem v relativním bezpečí.

Jistě, ale zvýšení bezpečnosti prostým uložením na čipové kartě v nebezpečném prostředí domácích počítačů je iluzorní. Útočníkovi stačí zachytávat kromě psaní na klávesnici i čtení z karty.

Aby to bylo k něčemu, musela by externí karta provádět kryptografické operace.

To, že veškeré operace s privátním klíčem se provádějí v čipu, jsem bral jako samozřejmost.
Privátní klíč nesmí opustit kartu a posílat se do SW anebo do OS.

Hmm... nojo... to by v zasade slo, jenze pak to je jeste potreba podstrcit tomu systemu. Musel byste tedy udelat trojana, ktery za vas prostrednictvim https udela cely postup transakce z napadeneho pocitace vcetne podpisu te transakce pres kartu. Coz by samozrejme mohl pouze v okamziku, kdy je ta karta pritomna ve ctecce.

Ziskat privatni klic a PIN k nemu je velmi jednoduche a operaci pak muzu provest odkudkoliv rucne hezky pres webove rozhrani, docela anonymne napriklad pres GPRS na predplacnee karte a kartu i telefon hned potom hodit do reky. Trivka

Napadnout neci pocitac pomoci trojana, ktery ziska pristup ke karte a pak sam autonomne provede pozadovane transakce za predpokladu pritomnosti karty je docela komplikovane uz proto, ze to znamena detailni znalost komunikace daneho internetbankovniho systemu. Znamena to tedy velmi uzce cileny utok s velmi narocnym provedenim.

Honza

To je s prominutím blábol.

Bezpečnost zde nezávisí na tom, jestli je tajný algoritmus, ale na tom, jak jsou uložené klíče. Naposled jsem se o zajímal před hodně lety, mlhavá vzpomíka bez záruky je, že kalkulačky počítají 3DES.

Banka negeneruje žádný klíč, s vámi nebo bez vás. Kalkulačka a jakési zařízení v bance sdílí (tajný, symetrický) klíč.

Při transakci kalkulačka spočítá MAC z dat o transakci, času a pořadového čísla, a samozřejmě s tajným klíčem.

Na druhém konci v bance je jakási velmi dobře hlídaná krabice, která skladuje klíče a počítá. Když opíšete z kalkulačky autorizační kód, propracuje se přes celé rozhraní za devatero firewally a devatero servery "podepisovana zprava (nebo nejaky vytah) + cislo kalkulacky + MAC" do té krabice. Krabice odpovi v zásadě ANO/NE.

Bezpečnost nezávisí na utajení algoritmu, ale na síle použitých algoritmů a bezpečnosti té krabice. Představa, že dovnitř krabice vidí a klíče si můžou prohlédnout desítky pracovníků banky, je nesmyslná. V podstatě stačí, aby se každá kalkulačka jednou "bezpečně setkala" s krabicí, a dál jsou klíče zavřené uvnitř.

Rozdíl oproti asymetrické kryprografii provozované uvnitř banky není velký. U asymetrické kryptografie je v bance podobně dobře hlídaná krabice, která v sobě ukrývá kořenový klíč CA. Pokud vycházíte z předpokladu, že zjistit podobně věci je extrémně triviální, tak se znalostí toho klíče je možné rozvrátit bezpečnost velmi podobně. K výrobě správného podpisu útočníkovi postačí si podepsat falešný klíč. Když pak budete dokazovat, že vám něko účet vykradl, budete muset ukázat, že klíč není váš. Nakonec se to stejně redukuje přinejlepším na podpis na nějakém lejstru.

Prakticky je externí "kalkulačka" o mnoho řádů bezpečnější, než digitální podpis na běžném domácím počítači! Tam je především vůbec problematický vztah mezi tím, co vidiíte, a co podepisujete. Bezpečnost klíčů je obvykle mizerná a bezpečnost hesel ještě horší.

A tim se dostavame k puvodnimu problemu, jestli existuji jine osoby (krome drzitele klice), ktere dokazi spocitat spravnou a potrebnou hodnotu overovaciho retezce. Tedy to, jestli jde o nejakou formu "podpisu" (ktery se overuje bez znalosti privatnich dat) nebo o nejakou symetrickou metodu (kde se overuje tak, ze spocitate totez co klient a overite rovnost vysledku).

Databaze symetrickych klicu existuje. Videl jsem ji na vlastni oci. Proste tabulka uzivatelu vlastniku karty a v ni prislusne hodnoty. Za predpokladu znalosti algoritmu (coz nebude az takovy problem) ma zamestnanec banku vsechny informace potrebne ke zfalsovani transakce.

Problem je, ze vetsina utoku pochazi zevnitr banky a proti tem kalkulacka ani mobil nechrani.

Rozdil oproti asymetricke kryptografii je velky v tom, ze se vsemi informacemi co banka ma nemuze nikdo zfalsovat vas primarni klic, muze ho pouze nahradit novym. Ovsem vy mate (nebo byste mel mit) otisk stareho klice jimz muzete dokazat autenticitu vaseho klice nemluve o faktu, ze by dotycny zamestnanec musel zmenit vsechny vase podpisy ke vsem transakcim, ktere jste kdy s vasim klicem provedl, protoze jinak by tezko uslo pozornosti, ze se najednou z niceho nic klic zmenil. A tuto zmenu by musel provest na vsech x-mistech kde se elektronicke transakce zalohuji, archivuji ci reportuji.
Co se tyce tech desitek lidi s pristupem k overovacimu engine, vychazim ze svych osmiletych zkusenosti s ceskymi financnimi institucemi a implementaci bezpecnosti v nich. Kazde sebevetsi tajemstvi je vzdy sdileno nemalou skupinou lidi (at uz oficialne nebo neoficialne).

Me mojebanka s Javou od SUNu funguje a to jenom dokresluje situaci, k jake tady v tom dochazi -- obcas to je tezka magie :).

To mate stesti. Prusvih je, ze to obcas (KB, CSOB, ...) nejde :|

Java, jazyk vzyvany vsemi odborniky na prenositelnost! Ultimatni odpoved na vsechny hnusny komercaky (=microsoft)!

Hura!

no proti utokum zevnitr nechrani samozrejme nic, to je zalezitost vnitrnich ochrannych mechanismu, banky, coz je celkem mimo tuto diskusi.

To ale u dobre utajenych TAN taky, problem s kompromitovanym kompem je u klíčů importovaných do počítače

Predpokladam, ze petr andrs ma na mysli toto:
Dnes sice mojebanka od KB funguje se sunovskou javou (a zadnou jinou), ale drive naopak fungovala jenom s tou microsofti. A pokud jste na svuj pocitac musel z nejakeho duvodu nainstalovat tu od sunu, tak byl dotycny pocitac pro mojibanku ztracen.

At tak ci onak, chovani KB ma stale za nasledek, ze treba uzivatele operacniho systemu Linux se k internetove bankovnictvi nedostanou :|.

BTW: KB zrejme povolila prihlaseni se SUN javou jenom kvuli tomu, ze MS oznamil, ze prestane "svou" javu dale podporovat.

Zdravim, nedari se mi rozchodit ib24.csob s kartou cryptoplus ve Firefox. Po kliknuti na "prihlasit cipovou kartu" se objevi ramecek s textem "Chyba As Error:", to je vse. Budu vdecny za radu. TG

Opravdu? Zadávám převod peněz, cracklý počítač zobrazí číslo protiúčtu 123456789/0100 a částku 2000, správně, to jsem chtěl. Ale do banky se správným TAN putuje číslo účtu 987654321/0200 a částka 2000000.

A proč by to prováděl zpětně? Pro vykradení stačí váš klíč revokovat. A vystavit si nový falešný. Vy byste pak musel dokazovat, že jste žádný nový klíč nechtěl.

Víceméně s vámi souhlasím, že pro banky je autorizace digitálním podpisem velmi pohodlná, protože za zneužití i podle zákona ručí klient atd. Naopak pro běžného domácího klienta je to katastrofa, protože prostě na svém domácím počítači nemá ani náhodou bezpečné prostředí pro podpisování, banka bezpečnost nechýává zcela na něm, a v případ vykradení účtu se mu vysměje.

Jestli ono to spíš není odlišnými obchodními modely západních bank a odlišným způsobem jejich chování k zákazníkům. Ano, vystihl jste to, že západní trh je naladěn jinak, než ten český, takže na západě musí banky (i za cenu vysšších rizik, jdoucích na jejich vrub) vycházet vstříc svým "zhýčkaným" zákazníkům, zatímco frustrovaný a odevzdaný český zákazník si v našem prakticky nekonkurenčním bankovním prostředí nechá (s prominutím) srát na hlavu. Otázkou pak zůstává jen to, co kdo považuje za lepší. Já osobně rozhodně to první.

Mimochodem, totéž tvrzení se dá aplikovat i na nehorázné poplatky, které si banky v ČR účtují - jedná se opět o důsledek arogance českých bank, jejich de facto kartelu na malém českém trhu, atd.