Internetno bančništvo

Klik ze povprecno, proklik dober.

Za varnost pa moras tudi sam poskrbet.

Raiffeisen Krekova banka. Zdaj ko je BS uvedla potrebo po digitalnem podpisu, sem ga namestil po navodilih, a ne dela. Klicem tehnicno pomoc, in mi smrtno resno recejo nas si instaliram Windowse. Trenutno jim se kar ne dela in mislim da jih to popolnoma nic ne moti.

nkbm, abanka

brez pripomb...

abanet...varnost zadovoljiva in dokaj dobro deluje...jst sm zadovoljen

skb.net

Klik od NLB nikoli nisem uporabljal, ker so nesramni packi in jim na spletni strani pise, pozor:

- za varnost je poskrbljeno z najsodobnejšimi spletnimi tehnologijami,

Bedarija. Isto bi bilo, ce bi napisali, da je za varnost poskrbljeno s svezim sadjem. Spletne tehnologije niso namenjene zagotavljanju varnosti.
 
- dostop je mogoč z vsakega računalnika, ki je priključen na internet.

Se ena bedarija. Ker njihova storitev temelji na tem da na racunalnik, s katerega bos uporabljal banko, namestis svoj certifikat, je uporaba vec ali manj omejena na zaupanja vredne racunalnike. Taka racunalnika imam jaz dva, vecina ljudi pa enega. Ker nikjer ne pise, da je tako pocetje nevarno, je ocitno, da je banki v interesu, da njeni komitenti ne razmisljajo o varnosti. Seveda je v pogodbi za Klik zapisano, da so za vse transakcije odgovorni komitenti sami, in da ne sprejemajo reklamacij.

V svoji triletni karieri sistemca sem nabral 90 certifikatov za Klik, najverjetneje od ljudi, ki so nasedli gornjima izjavama. Key logger bi lahko itak instaliral na vsako masino. Smesni so, ko govorijo o varnosti, ko je pa OCITNO, da je njihov sistem dejansko nevaren, saj kar klice po zlorabah. Nikjer tudi nimajo jasno dokumentiranih rizikov poslovanja s certifikati, ki niso shranjeni v ustreznem hardveru, ampak zgolj v shrambi browserja, kar je blazno nesramno tako do komitentov kot do vseh, ki bodo to sele postali.

Vse banke, ki niso popolnoma nesposobne, uporabljajo za vsakega komitenta resno varnostno resitev: gesla za enkratno uporabo ki se generirajo skozi sinhronizirano uro, certifikate spravljene v pametnih karticah ali pa kak challenge response mehanizem. Vsaj pri nas se nihce ne dela norca iz ljudi, razen NLB.

NLB ima torej nek certifikat, ki ga namestiš na računalnik, dobiš pa ga na disketi (če prav razumem )?

Lp!

Taki certifikat ima namreč Abanka, pri kateri sem trenutno tudi jaz.

Problem je torej, če izgubiš ta certifikat.

skb mi je vsec. Nic jebe s certifikati. Samo tist kalkulatorcek in vse dela. Samo username bi lahko bil kaksen bolj cloveski namest 9 mestne cifre :>

Bil na Kliku NLB, potem pa sem zamenjal banko in sem šel na SKB.net.

SKB mi je mnogo bolj všeč, ni zajebancije s certifikati, zmeraj dela, pa še nadzor nad mastercardom imaš zraven.

To, da certifikat izgubis, ni tako hudo. Gres v banko in placas nekaj malega in dobis novega.

Resna in niti ne majhna nevarnost je pa kraja certifikata. V slabem dnevu lahko iz kakega od tisocev virusov/crvov naredis predelavo, ki belezi pritiske na tipke in poslje geslo in certifikat za klik na dani naslov.

Zato se mi zdi skrajno neodgovorno delat reklamo za tak sistem kot da je zelo varen in da lahko do online banke skozenj dostopas s kateregakoli racunalnika, povezanega v internet. To je grozno.

Ja, pametne kartice so minimalna varnostna resitev. Uporabnisko ime pri skb.net je 6mestna cifra, ne 9, ampak vseeno je malce zoprno. No, s ponavljanjem si jo itak tolk vtres v mozgane da cez cas to ni vec problem.

Mene zanima iz kje vam ideja, da so certifikati oh in sploh najslabsa resitev. Sicer pa itak boste pocasi vsi na certifikate presaltali, ker bo digitalni podpis pocasi povsod.

jype: ko si ravno tak naspotnik NLB si dejstva malce uskladi. Na NLB lahko tudi activcard vzames, ce ne zaupas certifikatu na racunalniku in tudi stavek glede spletnih tehnologij ni ravno napacen po mojem mnenju (digitalni podpis).

SKB.net, nobene pripombe. Deluje zgledno, in brez njega mi vec ziveti ni...

Certifikat si lahko vedno das na pametno kartico, ki jo kupis sam in imas zasebni kljuc le na kartici.


Toda potem pa moraš nekako iz pametne kartice "povedati" browserju, naj uporabi tisti certifikat. Kar nadalje najbrž pomeni, da potrebuješ čitalec kartice, ki ga priključiš na kišto. Kar je spet bolj nerodno od rešitve banka@net, kjer ni certifikata, ampak samo kartica.

Mi lahko kdo, prosim, razloži razliko med splošno položnico in plačilnim nalogom? V katerih primerih uporabim katerega izmed teh obrazcev?

Hvala in lp

gazda je ze povedal: splosne poloznice ni vec.

Generatorji bodo ostali tudi po elektronskem podpisu. Nobena banka ne odgovarja za transakcije, vendar nobena banka ne pise o tem da so certifikati sami po sebi varen nacin za delo z banko (razen NLB). Veliko bank naklada o bitih in najsodobnejsih varnostnih tehnologijah, seveda, ampak vse to je pac marketing talk. Ni nevaren, ker banke poskrbijo za varnost v vecini primerov (razen v primeru Klik NLB). Poznam veliko komitentov, ki so uporabljali Klik in nihce od njih ni vedel, kaksne varnostne luknje ga obdajajo. Za to seveda ni kriva banka, vendar bi od nje pricakoval, da vsaj poskusa seznanit svoje komitente z nevarnostmi, ce se ze aktivno ne trudi dopovedat ljudem, kaksne navade krepijo njihovo varnost.

Dejstvo, da sem do zdaj dobil v roke samo certifikate Klik NLB in nobene druge banke vsekakor prica o tem, da banka premalo naredi za varnostno osvescenost svojih strank.

Digitalni podpis je seveda povsem drugacen kriptografski problem kot dokazovanje istovetnosti in ja, generator gesel ti tega problema sploh ne more resiti.

Pametne kartice niso enako varne kot generatorji iz dveh razlogov: PIN vpisujes v strojno opremo, ki jo napadalec veliko lazje uporabi sebi v prid (recimo osebni racunalnik) in seveda zato ker z ukradeno pametno kartico in PINom lahko napadalec pravnomocno oponasa zrtev, saj se lahko v njenem imenu elektronsko podpisuje. Ce napadalcu uspe kartico vrniti, preden jo lastnik lahko pogresa in prijavi izgubo/krajo ustrezni uradni osebi, se lahko lastnik znajde v resnih tezavah in zelo tezko na sodiscu dokaze svojo nedolznost pri transakciji, ki jo je izvedel napadalec. Res je, da je odgovornost deloma lastnikova, ker bi moral pametno kartico in PIN dovolj varovati, vendar je to tezje, kot varovanje generatorja gesel in pripadajocega PINa.

Viriana, verjetno misliš na razliko med posebno položnico in plačilnim nalogom. Posebno položnico izpolnjuješ le v primeru če jo je podjetje izdalo. Podjetje mora biti vključeno v poseben sistem izmenjave podatkov o nakazilih med bankami (to so predvsem podjetja, ki izdajajo veliko število položnic - npr. Telekom, Komunala, Elektro). Pri podatkih je edina razlika to, da je sklic pri nalogu dvodelni.

Nasel nisem nobenega certifikata, ki ne bi pripadal Klik NLB. Ker sem jih nasel 90, od tega pa 100% od NLB, to pomeni da delez dalec presega trzni delez storitve Klik, prica pa o tem, da banka premalo pouci svoje komitente o tem kaj je varno in kaj ni. Iz tega lahko sklepamo da banka prakticno vzpodbuja zlorabo svojih storitev.

Tule je tekst z njihove spletne strani:

Osnovne informacije

 
prek Klika NLB lahko preverite stanje in promet vašega računa, plačujete obveznosti, prenašate sredstva med računi, več ...

 
vpogled v stanje in promet na računih je možen do 22. ure. Plačila položnic in prenosi med računi se izvedejo v okviru urnika plačilnega prometa, vnos le-teh pa je mogoč do 24. ure. Vnos položnic in prenos med računi z valuto vnaprej sta mogoča vsak dan, 24 ur na dan. Več...

 
za varnost je poskrbljeno z najsodobnejšimi spletnimi tehnologijami,

 
dostop je mogoč z vsakega računalnika, ki je priključen na internet.


S prvima dvema tockama nimam tezav, opis storitve kot se spodobi.

Stavek "za varnost je poskrbljeno..." ne pove nic o varnosti in dejansko zavaja uporabnika.

Stavek o tem da je dostop mogoc z vsakega racunalnika, prikljucenega v internet dodatno spodbuja uporabnike k ravnanju, ki povecuje tveganja za zlorabo.

In se njihov FAQ:


Kaj potrebujem za uporabo Klika NLB?
Za uporabo Klika NLB potrebujete le:

 
osebni računalnik z dostopom do interneta,

 
priporočamo uporabo spletnih brskalnikov Microsoft internet Explorer 6.0 sp1 ali Netscape Communicator od verzije 4.73 do verzije 6.x. Višje verzije tega brskalnika ne omogočajo dostopa do Klika NLB.

Najnovejše različice brskalnikov si lahko prenesete prek interneta: Internet Explorer ali Netscape Communicator.

Če se boste odločili za uporabo kartice Klik NLB, mora vaš računalnik izpolnjevati naslednje pogoje.


Banka spodbuja uporabo zastarelih in/ali varnostno oporecnih programskih paketov za dostop do svojih storitev (IE6sp1, Netscape 4.73).

Povezava na stran o zahtevah za pametno kartico je napacna in vrne napako 404.


Kako lahko svoj osebni digitalni certifikat shranim ali prenesem na drug računalnik?
Svoj osebni digitalni certifikat morate v brskalniku najprej izvoziti (export) v datoteko, nato pa ga v drugem brskalniku uvoziti (import). Podroben postopek je opisan v Priročniku za uporabo Klika NLB.

Če uporabljate Internet Explorer 5.0, morate pri izvozu izklopiti opcijo "Enable strong protection".

Banka spet spodbuja uporabnika k opravilu, ki mocno poveca tveganje za zlorabo, hkrati pa nikjer ne omenja varnostnih implikacij takega pocetja.


The error '438' occured. Your certificate could not be generated.

 
Napaka je nastala pri prevzemu osebnega digitalnega certifikata. V brskalniku mora biti omogočena uporabo ActiveX kontrol. (Tools - Internt Options - Security - Custom Level - Reset custom settings - reset to Medium)

 
V brskalniku si nastavite srednjo (medium) stopnjo varnosti. Na ta način boste vklopili uporabo 'ActiveX' kontrolnikov.


Spodbujanje k spremembi nastavitev, ki omogoca kontrole ActiveX. Spet manjka stavek o tem da lahko po koncanem generiranju certifikata varnostni nivo dvignemo in da storitev sama deluje tudi brez ActiveX kontrol.


Na kakšen način lahko uporablja Klik NLB na enem računalniku več uporabnikov?
Na istem računalniku je lahko več uporabnikov Klika NLB. Možnosti so naslednje:

1.)  
Če uporabljate Internet Explorer, priporočamo, da se vsak uporabnik prijavlja v okolje Windows s svojim uporabniškim imenom in geslom. Na ta način bo digitalni certifikat vsakega uporabnika shranjen pod posameznim uporabniškim imenom. Pri uporabi Klika NLB se je treba v okolje Windows vedno prijaviti s tistim uporabniškim imenom kot takrat, ko ste prvič prevzeli svoj digitalni certifiat.

2.)  
Če uporabljate Netscape Navigator, lahko v brskalniku nastavite več profilov (User profile manager) - za vsakega uporabnika ustvarite nov profil, s katerim se bo uporabnik prijavil ob zagonu brskalnika

3.)  
Če uporabljate kartico Klik NLB, si zagotovite nemoteno uporabo Klika NLB ne glede na to, kako se prijavljate v računalnik oz. brskalnik.


Nasvet ne omenja varnostnih implikacij, ki jih prinasa delo s prvima dvema tockama in pozabi omeniti da je tako pocetje smiselno le, ce zaupate vsem ostalim uporabnikom racunalnika.

Zadnje poglavje FAQ, cisto na koncu, da ga ja ne bi kdo prebral, govori o varnosti Klik NLB. Tam pise, da je treba na certifikate paziti in pise, da naj uporabniki IE kupijo programsko opremo, ki certifikate ustrezno zasciti. Pise tudi o tem da imajo nekateri brskalniki ustrezne certifikatne shrambe, ki otezujejo dostop do certifikata tretjim osebam. Svetujejo tudi uporabo antivirusnih in podobnih programov. Skratka, povejo, da storitve Klik NLB brez pametne kartice ni varno uporabljati nikjer, kjer racunalniku ne moremo zaupati (in pri varnosti osebnih racunalnikov je to precej resen problem).

Narobe je seveda to, da bi varnost komitentov morala biti na prvem mestu in da bi besedilo na prvi strani, ki ga prebere vecina ljudi, morali spremeniti tako, da bi jasno dali vedet vsakemu uporabniku, da je za varnost poskrbljeno samo do dolocene mere in kako naj uporabnik postopa, da bo zmanjsal varnostna tveganja. Sploh pa ne bi smelo pisati tisto o "s kateregakoli racunalnika prikljucenega v internet".

jype: mislim, da se ze malce prevec obesas na malenkosti trenutno. Zdaj se pritozujes, ker je kot zadnje poglavje sele napisana kako varujes certifikat. Mislim, da tvoje sovrastvo do NLB malce presega tvojo objektivnost. Ampak to je samo moje mnenje.

Kopernik: ja, VSA elektronska bancnistva bodo imela digitalni podpis. klik NLB ga trenutno se nima. Od poslovanja z obcani ima trenutno samo gorenjska banka digitalni podpis in krekova banka (vsaj oni tako pravijo, je pa nekako vprasljivo, vendar nisem se videl aplikacije), kmalu sledijo pa postna banka in skb (ce malce pogledamo njihove strani).

Hvala za odgovore. Mislila sem posebno posebno položnico (in ne splošne) - malo sem zamešala pojme.

Lp!

Digitalnega podpisa ne mores ponarediti oziroma ga zelo zelo tezko. Lahko ga pa nekomu ukrades. Lastnorocni podpis pa lahko precej lazje ponaredis, ukrades ga pa zelo zelo tezko ;)

Digitalni podpis te sciti pred skuljevimi trojanci in pred marsikatero zlorabo. Edina skrb je ce ti certifikat ukradejo. Zato se ga pa zasciti z geslom, vstop v bancno aplikacijo se zasciti z geslom (po moznosti razlicna gesla ). Verjetnost kar pada, da ti nekdo ukrade certifikat se logira in se logira v aplikacijo. Ce se to zgodi seveda nima banka kaj naresti, tu ni njena krivda vec (kot ni krivda proizvajalca vhodnih vrat, ce ti pustis odprta). Uporabniki se bodo pac morali pouciti o varnosti.

Sicer pa elektronski podpis v bancnistvu itak streznik podpise potem. To je cisto po definiciji, kaj si pa dokazal ti ce si sam podpisal dokument. Banka ga more tudi podpisati. Potem imas vnos kode, ki se zgenerira preko slike (onemogoca skuljevega trojanca, razen ce ima res izpopolnjen OCR, kar pa mocno dvomim), izbiro certifikata s katerim podpisujes, sam podpis, ... to zagotavlja varnost (podpisa se ne da ponarediti, vsaj v zglednem casu ne ). Ok no zagotavlja zadovoljiv nivo varnosti. Na uporabnikih je pa skrb za digitalno potrdilo (da uporabljamo se malce slovenske izraze, ce jih ze ravno imamo)

Hm.. sam uporabljam Abanet ze zelo dolgo (se od takrat, ko je bila zadeva se hudo sveza ) in sem z uporabnostjo zelo zadovoljen. Sicer je Abanka pred nekaj dnevi posodobila strani in se moram še navaditi na novo postavitev strani ampak brez Abaneta ne bi mogel normalno živeti. Mislim, da sem bil nazadnje na banki kakšno leto nazaj. Certifikat odlično deluje v IE, z Mozzilo in njenimi novimi variantami se ne razume najboljše, v Operi tudi "brejka". Problem se pojavi tudi v Avant browserju kjer se lahko zgodi, da bo java zablokirala.

Uporabljam tudi Prosplet, ki je mogoče na videz manj pregleden, vendar mi omogoča, da si dnevno preglejujem vse borzne posle... To mi na Abanetu še ne omogočajo.

LP
J.

Sicer še razmišljam o tem ali bi se spustil v internteno bančništvo.

Glede na to, kar se piše tukaj me je že kar malo strah ampak...
Na primer če imaš čitalec pametnih kartice ter kartico si dokaj varen ( če sem prav razumel )
Strinjam se s tem, da če maš certifikat shranjen na računalniku ni ravno najbolje.

No tisto kar je nekdo prej napisal da ti lahko ukradejo kartico in pin naj mi odgovori na tole:
Sigurno uporabljaš BA Kartico al pa kako drugo bančno kartico. Kaj je večja verjetnost,
da ti bojo ukradli pametno kartico ali BA kartico. Pa še nekaj a boš mel PIN napisan na kartici, tko
kot vidiš kake stare mame? Torej če ne boš sam poskrbel za varnost potem ne bo nihče.
Tko kot je nekdo napisal če pustiš vrata odprta...

JYPE: Itak da ne bojo oglaševali na veliko kakšne luknje ma, ker potem noben ne bi uporabljal teh storitev.
Ampak bi morali biti uporabniki, ne samo osveščeni ampak tako pametni, da se sami pozanimajo o tem. Če se pač na zadevo ne spoznaš najdeš koga ki se. Jaz se vsekakor ne bi spuščal v to z zavezanimi očmi, pa tudi
ne bi verjel, če mi nekdo reče da je stvar dovolj varna s tem, da imaš digitalno potrdilo zaščiteno z geslom in potem še vstop v program z geslom. Tko da se tukaj čisto strinjam s teboj.

Pa še nekdo je z digitalnim podpisom mel neki. Mislim, da s svojim osebnim digitalnim potrdilom lahko podpisuješ elektronske dokumente po mili volji, saj ta certifikat vsebuje tvoj privatni ključ. Ker je ta privatni ključ en in edini to pomeni, da si bil lahko samo ti sam tisti, ki je enkriptiral dokument ( oz. ga digitalno podpisal ). No seveda če ti ga kdo ne ukrade, potem si pa mrzel ker maš sigurno minus na računu saj se lahko tisti izdaja zate. Tko da mislim, da tole z digitalnim potrdilom ni ravno slabo, čeprav je res, da potem nisi tolk fleksibilen pa tko naprej. Itak verjetno ne boš iz vsakega CyberCafeja gledal, če so ti že trgal za kavico, ki si jo plačal glihkar.

Seveda lahko uporabljas se internetno bancnistvo pri drugi banki. Vsak certifikat pripada tocno doloceni spletni strani. Zatorej ni strahu, da bi se kaj prekrivalo, ker so to pac razlicne datoteke.

lp, D.