Višje sodišče potrdilo sodbo: NLB mora povrniti škodo zaradi vdora v e-banko

Invictus je 14. avg 2014 ob 10:40 izjavil:

Uporabniško ime + geslo je dovolj dobra zaščita.

Geslo je lahko naključno generirano s kalkulatorčki.

Druga opcija je pa uporaba virtualne tipkovnice, kjer se kode za posamezne črke spreminjajo glede na sejo. Če je random generator dovolj velik, potem ni panike ...

Certifikati so potuha. In definitivno se jih da prehitro ukrasti. Ves security software gor ali dol.

Če lahko ukrade certifikat, se enako enostavno namesti software, ki bo snemal kaj klikaš na vritualno tipkovnico, namesti napadalčev CA da nikoli ne boš vedel da nisi na originalni strani, in doda dns entry v hosts file da bo originalen url na katerem je tvoja banka kazal na napadalčev strežnik. Če napadalec dobi dostop do tvojega računalnika (kar za krajo certifikata mora storiti), ti noben varnostni mehanizem, ki ga izvajaš na istem računalniku, ne pomaga več. Kot sem že napisal, te lahko v tem primeru reši samo zunanja naprava na kateri potrdiš podatke v plačilnem nalogu.

Še enkrat, če je napadalec dobil tvoj certifikat, ti noben drug varnostni mehanizem ne pomaga več. Brez certifikata pa napad ni možen. Varnostnih mehanizmih brez certifikata si bolj ranljiv, ker napadalec ne potrebuje dostopa do tvojega računalnika.

celebro je 14. avg 2014 ob 10:57 izjavil:

Če lahko ukrade certifikat, se enako enostavno namesti software, ki bo snemal kaj klikaš na vritualno tipkovnico, namesti napadalčev CA da nikoli ne boš vedel da nisi na originalni strani, in doda dns entry v hosts file da bo originalen url na katerem je tvoja banka kazal na napadalčev strežnik.

Nisi prebral. Kode za virtualno tipkovnico so za vsako sejo drugačne.

Ko bo napadalec poskušal uporabiti kar je prestregel, bo to že zastarelo ...

thramos je 14. avg 2014 ob 09:59 izjavil:

Resno, to je slo-tech in bi pričakoval, da se bo debata razvila okoli podrobnosti sodbe in zakaj je takšna kot je.

Imaš pa visoka pričakovanja.

Koliko vem sodba (še) ni javna in ni kaj preveč za debatirati.

Senitel je 13. avg 2014 ob 15:00 izjavil:

Problem je ker je NLB sam svoj CA in so njihovi certifikati v bistvu self signed. Nepridiprav komot generira svoj strežniški certifikat in se izdaja za "ACNLB" ter postavi neko napadalno spletno stran, ki se izdaja za klik.nlb.si. Ko bo uporabnik priletel na tako stran ga bo seveda pričakalo opozorilo ala "The site security certificate is not trusted!" in user bo jasno kliknil "add exception" (ista procedura je, ko s clean browserjem prvič prideš na stran od klika). Napadalna stran nato lahko s pomočjo javascripta kriptira poljubne requeste (ki jih uporabnik jasno ne vidi) na uporabnikovi strani in jih posreduje naprej pravemu kliku.

Torej XSS? (beri: ranljivost spletne strani, ne klienta)

Glede CA NLB pretiravate. To je v namestitvenih navodilih omenjeno, da se ga namesti, citiram:

Za pravilno in varno delovanje spletnih storitev priporočamo, da namestite tudi digitalno potrdilo strežnika NLB.

(sledi link na https://elba.nlb.si/ac-nlb-identiteta-a... )

Pri SKBju so pa svoj cas imeli samo "kalkulatorcek" in PIN (brez kartice, pa PIN ni bil nujno isti kot PIN od kartice).

Ja sej Hypo Banka ima potem isto. Imas ta generator kode v katerega dostopas s 4 mestnim pinom (poljubno izbran). Prijavo na HypoNET naredis z usernamemom ter to 8-mestno stevilko, ki ti jo zgenerira "kalkulatrocek" in je aktivna mislim da minuto.

...kako pa je bilo se drugace misljeno?

Ni edina s certifikati.
Recimo Sparkasse ima tudi.

Kolega ima sparkasse pa ima kalkulatorcek in PIN. Dela po obeh variantah.

Kalkulator ti ne pomaga, če napadalec pridobi dostop do tvojega računalnika. Ti plačuješ položnico za telefon, napadalec izvede man-in-the-middle napada, v katerem ti spremeni znesek in št. računa na katerega nakažeš. Kodo iz generatorja si vnesel kar sam.

Razlika med generatorjem in certifikatom je ta, da če uporabljaš certifikat, mora napadalec nujno dobiti dostop do tvojega računalnika (in si v tem primeru pečen ne glede na varnostni mehanizem), če pa uporabljaš kalkulator, se da man-in-the-middle izvesti tudi brez dostopa do tvojega računalnika.

če pa uporabljaš kalkulator, se da man-in-the-middle izvesti tudi brez dostopa do tvojega računalnika

Kalkulator ne pomeni PlainText komunikacije, pomeni spremenljiv ključ kodiranja
Tip vmes je mrzu brez poznavanja trenutno veljavnega ključa za de/kodiranje.

Na Unicreditu moraš za potrditev transakacij še 1x vpisati kodo iz kalkulatorčka.

WarpedGone je 14. avg 2014 ob 13:26 izjavil:

Pomeni le, da implementacija ni vredna pol K.
Geslo se nima kaj prenašat sem in tja, bistvo generatorja je, da generira enako geslo pri tebi doma,kot se v tistem momentu zgeneriralo na banki. To kar banka pošlje tebi s pomočjo kalkulatorja znaš odkodirat neko časovno okno. Tisto kar pošlješ banki, pa s kodo prej zakodiraš. Banka ma pa drugi del ključa za odprtje paketa.

Tak način, da ti banka na spletni strani ponudi 'seme' s pomočjo katerega generiraš geslo, sem videl zgolj pri podpisovanju transakcij, ne pa tudi pri prijavi v sistem.

Realno gledano se mi zdi, da imajo naše banke stvari še celo dokaj dobro poštimano v primerjavi z nekaterimi tujimi.
Zadnjič sem tako moral v okviru beta testa ameriškemu product manager-ju slikovito ponazoriti (screen shot-i), da se pri nas poleg samega certifikata uporablja tudi dodatno geslo! Očitno niti to ni ravno standard v celem svetu...?!? Se je potem kaj za čuditi, če je phishing tako priljubljena tematika?

WarpedGone je 14. avg 2014 ob 13:26 izjavil:

Pomeni le, da implementacija ni vredna pol K.
Geslo se nima kaj prenašat sem in tja, bistvo generatorja je, da generira enako geslo pri tebi doma,kot se v tistem momentu zgeneriralo na banki. To kar banka pošlje tebi s pomočjo kalkulatorja znaš odkodirat neko časovno okno. Tisto kar pošlješ banki, pa s kodo prej zakodiraš. Banka ma pa drugi del ključa za odprtje paketa.

On vmes vidi samo garbage, vse zakodirano z njemu neznanim geslom. Edina šansa je, da si pridobi algoritem in si ga ustrezno sinhronizira z generatorjem na banki/pri tebi doma. Je simpl - če ti ukrade generator kar je enak problem kot kraja hranilne knjižice in ponarejanje osebnega dokumenta.

Pri uporabi kalkulatorja lahko napadalec izvede man-in-the-middle napad, npr. s ponarejenim ali neupravičeno pridobljenim certifikatom. Pri tem napadu se napadalec tebi predstavlja kot banka, banki pa kot ti. Lahko prestreže in poljubno spreminja vsebino komunikacije.

Ko ti opravljaš plačilo, boš v obrazec vnesel št. računa in znesek. To informacijo bo napadalec prestregel in zamenjal s svojim računom in zneskom. Banka ti v drugem koraku izpiše potrdilo vnešenega. Pošlje sicer napadalčev račun in znesek, vendar ju je napadalec ponovno zamenjal in ti še vedno misliš da plačuješ to kar si vnesel. Na tem mestu te banka prosi, da vneseš kodo iz generatorja, kar ti v dobri veri narediš. Napadalec tega ne spreminja, niti ne rabi gledati. Ti si odobril nakazilo na napadalčev račun, mislil pa, da plačuješ položnico. Z bankinega stališča si ti vnesel napadalčev račun in znesek ter potem še kodo s kalkulatorja - banka nima nobenega zagotovila, da si podatke nakazila, ki jih je prejela, dejansko vnesel ti, ne pa napadalec. Če uporabljaš certifikat, pa napadalec ne more delati zahtevkov v tvojem imenu, razen če ukrade certifikat.

Uporaba kalkulatorja se zanaša na zaupanja vredne strežniške certifikate, za kar sem podal linka, da ni ravno zanesljivo. Če pa napadalec pridobi dostop do tvojega računalnika (kar bi bilo potrebno za krajo tvojega osebnega certifikata), ti zelo enostavno namesti svoj CA, tako da sploh ne rabi ponarejati strežniškega certifikata. Tako s kalkulatorjem nisi čisto nič bolj varen kot s certifikatom, še manj, ker je možen napad iz prejšnjega odstavka.

Ali je kakšna razlika (kar se tiče phishinga), če do spletne banke dostopaš direktno z IP naslovom, ne z domenskim imenom?

Oberyn je 14. avg 2014 ob 19:38 izjavil:

Ali je kakšna razlika (kar se tiče phishinga), če do spletne banke dostopaš direktno z IP naslovom, ne z domenskim imenom?

V bistvu vedno pristopaš z IP naslovom, samo predvidevam, da ti misliš na IP naslov namesto domenskega v naslovni vrstici brskalnika.

Phishing deluje tako, da dobiš neko sporočilo, ki te vabi, da se prijaviš v nek svoj account. Pri tem ti link, kamor te bo poslal poskuša prikriti, ali pa ga prikaže kot zelo podobnega pravemu linku, tako da zlahka pride do zamenjave, če nisi res hudo pazljiv. Zato velja splošno pravilo, da se za strani, kjer se moraš prijavljati, nikoli ne gre po enostavni poti, da klikneš link v mailu. Čisto dovolj je, če odpreš brskalnik in v njemu klikneš na bookmark za vprašljivo stran.

Vpisovanje IP naslova (številke) namesto domenskega pa lahko na nekaterih strežnikih ne deluje. Kadar se gre za strežnike, ki na isti IP adresi gostujejo več različnih domen hkrati, strežnik potrebuje domenski del, da te bo lahko interno preusmeril na pravo spletišče.

Skratka sporočila preko elektronske pošte se vzame kot 'informacijo', pogledati pa se gre stvari 'ročno' in ne s klikanjem po linkih v sporočilu, pa si varen pred tipičnimi phishing forami.

Pri tem mogoče še velja omeniti, da phishingu ni vedno namen, da te zvabi na lažno stran, kjer ti bodo ukradli geslo! Phishing se pogosto uporablja tudi za to, da te zvabijo na spletno stran, ki je 'preparirana', da bi se na njej okužil z malware-om. Ti misliš, da gledaš reklamo - v resnici pa si si naložil trojančka, ki bo 'bdel' nad tvojimi datotekami, tipkanjem, si te ogledal preko webcam-a,.....

sisemen  je 14. avg 2014 ob 22:04 izjavil:

Torej: nalozim leatest and the greatest trojancka, ti iz moje masine izpraznis racun, deliva 50/50 potem jaz tozim banko. Pa bodimo se bolj zviti, vzamem laptop, grem v lokal, pustim ga prikljenjenga na mizo s prijavljenim nlb accountom, nastavljenim na prenakaziko 10k eurov. In potem tozim banko. Bodite no resni.

Saj sodišča so resna.
Ko bodo videli polovico manjkajočega zneska pri tebi bodo:
a) se praskali po glavi in vprašali na forumu, ali je boljši Linux ali Windows
ali
b) napisali bodo na papir v kateri zapor greš in za kako dolgo.

Kaj misliš?

Pri uporabi kalkulatorja lahko napadalec izvede man-in-the-middle napad, npr. s ponarejenim ali neupravičeno pridobljenim certifikatom. Pri tem napadu se napadalec tebi predstavlja kot banka, banki pa kot ti. Lahko prestreže in poljubno spreminja vsebino komunikacije.

Še vedno razmišljaš v okvirih polK ne-vredne implementacije. Ja, ta smrdi do neba.

Stvar katero opisujem NE uporablja nikakršnih certifikatov. Namesto tega imaš generator, ki si ga dobil na šalterju banke zato mu zaupaš. Banka ma svoj generator ki sočasno generira enaka gesla. ManInTheMiddle tega generatorja nima zato ne more niti odpret tvojih sporočil, niti banki pošiljat spremenjenih paketov brez detekcije oz. neuspele komunikacije. Koda je veljavna le kratko časovno obodbje oz. le omejeno število transkacij - idealno le eno samo ergo postane v principu nezlomljiva koda - OneTimePad.

Stvar katero opisujem NE uporablja nikakršnih certifikatov. Namesto tega imaš generator, ki si ga dobil na šalterju banke zato mu zaupaš. Banka ma svoj generator ki sočasno generira enaka gesla. ManInTheMiddle tega generatorja nima zato ne more niti odpret tvojih sporočil, niti banki pošiljat spremenjenih paketov brez detekcije oz. neuspele komunikacije. Koda je veljavna le kratko časovno obodbje oz. le omejeno število transkacij - idealno le eno samo ergo postane v principu nezlomljiva koda - OneTimePad.

Ti malo mešaš stvari med seboj. TUDI če se uporablja generator ali po domače rečeno 'kalkulatorček', se do bančne spletne strani pristopa preko https protokola, le da se v tem primeru samo banka identificira s certifikatom, ti pa se s pomočjo OTP gesla.

Sploh pa tak načrtovan napad ne rabi nujno prikazovati 'fake' stran - lahko celo prikazuje čisto ta pravo stran banke, če se napadalec poslužuje dekripcije in ponovne enkripcije https prometa.
Ko si v e-bančništvu, lahko po prijavi klikneš na možnost 'odpri v novem oknu'. Dovolj prebrisan in podkovan napadalec bi to teoretično tudi lahko izvedel na proxiju - le da se bo v tem primeru to 'novo okno' odprlo pri njemu in ne pri tebi. V tem oknu potem lahko počne, kar mu je volja. Lahko pripravi transakcije in 'v zasedi' čaka, kdaj boš ti v prvem oknu opravil plačevanje položnic. V trenutku, ko boš stisnil gumb za potrditev transakcije in bo sistem od tebe zahteval ponovni vnos gesla, pa lahko napadalec 'podtakne' še svoj paket plačil, ki jih boš potrdil poleg svojih položnic.
No, jaz upam, da je bančni software vendarle malenkost bolje spisan, tako da tisto 'seme' za generiranje gesla ob potrditvi transakcij bazira na vnešenih transakcijah, tako da ti bo v primeru 'podtikanja' to geslo postalo neveljavno. Vprašanje je le, če boš opazil, da se je prikradel še en paket, sicer bo naslednjič, ko boš vnesel geslo (verjetno boš mislil, da si se zatipkal), zadeva šla gladko čez in boš plačal še barabinu 'njegove položnice'...

Opisani scenarij po moje ni neka znanstvena fantastika, je pa po moje bolj omejen na 'lokalne barabine' - teško si predstavljam, da se bo nek ruski barabin to trudil izvajati na NLB-ju, da bi ves zafrustriran moral ugotoviti, da je vsak drugi račun že tako na limitu in omembe vredne transakcije niso možne.

Resni barabini, bodo najprej preučili žrtev, da se bodo prepričali, da se sploh splača ves trud. Istočasno bodo iskali takšno banko, kjer je čim več takšnih 'obetavnih žrtev', da bi lahko v kratkem času večkrat ponovili postopek.

Skratka tudi OTP generatorčke se da okolprinesti - morda celo lažje, kot nekomu ukrasti certifikat. Zato nikar ne pljuvati čez uporabniške certifikate! Če so pravilno uporabljeni (nameščeni brez možnosti exporta) in njihovo kopijo ne valjaš še v svoji home mapi (po možnosti brez gesla za namestitev), so z mojega vidika celo bolj varni kot OTP gesla.

kako nepoštena, če pa je banka kriva, da ni poskrbela za varno poslovanje in je izgubila strankin denar

glede na to, da sem stranka sam, vidim to sodbo kot pošteno in vzpodbudno za naprej, ko se kaj takega zgodi meni

WarpedGone je 14. avg 2014 ob 22:39 izjavil:

Pri uporabi kalkulatorja lahko napadalec izvede man-in-the-middle napad, npr. s ponarejenim ali neupravičeno pridobljenim certifikatom. Pri tem napadu se napadalec tebi predstavlja kot banka, banki pa kot ti. Lahko prestreže in poljubno spreminja vsebino komunikacije.

Še vedno razmišljaš v okvirih polK ne-vredne implementacije. Ja, ta smrdi do neba.

Stvar katero opisujem NE uporablja nikakršnih certifikatov. Namesto tega imaš generator, ki si ga dobil na šalterju banke zato mu zaupaš. Banka ma svoj generator ki sočasno generira enaka gesla. ManInTheMiddle tega generatorja nima zato ne more niti odpret tvojih sporočil, niti banki pošiljat spremenjenih paketov brez detekcije oz. neuspele komunikacije. Koda je veljavna le kratko časovno obodbje oz. le omejeno število transkacij - idealno le eno samo ergo postane v principu nezlomljiva koda - OneTimePad.

Da bi spletna banka z otp dodatno kriptirala vsebino prenesenega v javascriptu je bolj redkost kot pravilo, ker so banke načeloma še vedno mnenja, da mora stran delovati na prastarem IE-ju in brez javascripta (ironično jih za moderne alternative IE-ju bolj malo briga). Hypo banka recimo otp pošilja direktno (vsaj na login page-u), Unicredit pa zgleda da ima neko dodatno enkripcijo tudi na client side. Vendar man-in-the-middle napada tudi taka enkripcija ne ustavi. Napadalec it lahko enostavno doda nekaj svojega javascripta na spletno stran, pa se zamenjava oziroma prikrivanje računa in zneska izvede direktno v tvojem brskalniku, ne na njegovem proxyju. Ti sicer vidiš v obrazcu to kar si vpisal, tvoj browser pa zakriptira in pošlje to, kar napadalec hoče. Vse v tvojem brskalniku. Napadalčev proxy mora samo v vsak html page, ki gre skozi njega, dodati svojo kodo. Tega ti pa otp ne more preprečiti.

Da bi spletna banka z otp dodatno kriptirala vsebino prenesenega v javascriptu je bolj redkost kot pravilo, ker so banke načeloma še vedno mnenja, da mora stran delovati na prastarem IE-ju in brez javascripta (ironično jih za moderne alternative IE-ju bolj malo briga).

Sej, implementacije, ki niso vredne pol K.
Zato je še tolk bol prav, da vso škodo trpijo banke. Ampak itak na koncu vseeno pride iz naših žepov, tko da jim je sorajda direkt vseeno. Delajo se da neki delajo na varnosti in konec.

Js jim bom še dolgo težil na šalterih, spletno banko pa metal v glavo.

sisemen  je 15. avg 2014 ob 13:48 izjavil:

/.../ ne krades komitentu ampak neposredno banki /.../

... s tem da banka nima nobene moznosti vplivati na zascito komitentovega racunalnika, njegove brskalne navade, zaganjanje programov iz sumljivih virov, itd., itd.,..

Oberyn je 15. avg 2014 ob 14:01 izjavil:

Meni se zdi, da se to bistveno razlikuje od tvojega primera, namreč tu oškodovanec ni vedel, da nekdo uporablja njegov računalnik za goljufijo, bil je žrtev napada, ne storilec. V tvojem primeru je to lepo načrtovana goljufija, v kateri sodelujeta oba. Banka bo enemu sicer mogoče vrnila škodo, ampak policija vaju bo pozneje dobila, naprej pa kot je AndrejO rekel. Komintent ne nosi odgovornosti, če ni sodeloval v goljufiji ali bil preko mere malomaren, ne pa kar v vsakem primeru.

Aha razumem, torej, ce bi to naredil v dogovoru, jaz bi me dobili, ce se je pa to zgodilo brez dogovora, pa storilcev ne dobijo. S tem da je vsa razlika dogovor ali ne. Ne bom se strinjal.

Razsodba kot je bila sprejeta prav prosi ljudi po taksnih dogovorih. Mogoce zacne tisti zlikavec iz 2009 ponujati odtujevanje denarja komitentom, z delitvijo dobicka, kot poslovni model. :P

sisemen  je 15. avg 2014 ob 14:02 izjavil:

Aha razumem, torej, ce bi to naredil v dogovoru, jaz bi me dobili, ce se je pa to zgodilo brez dogovora, pa storilcev ne dobijo. S tem da je vsa razlika dogovor ali ne. Ne bom se strinjal.

Saj se ne rabiš. Če si misliš, da lahko banko tako zlahka ogoljufaš, potem se prekleto motiš.

sisemen  je 15. avg 2014 ob 14:02 izjavil:

Razsodba kot je bila sprejeta prav prosi ljudi po taksnih dogovorih.

Tvoji naivni zaključki so vsi po vrsti popolnoma napačni. Poskusi in boš videl kako uspešen bo ta tvoj "poslovni model" in koliko let boš za takšno neumnost sedel.

Verjetno nimaš s pregonom tovrstnih kljukcov niti toliko izkušenj, da bi se ti sploh sanjalo kako to organiziran kriminal počne in kako jim to sploh uspeva. Tukaj pa predavaš o temu kako zlahka bi ti to znal.

AndrejO je 15. avg 2014 ob 14:10 izjavil:

Uporabniku v postopku pred dvema sodiščema malomarnosti ni bila dokazana, čeprav je banka to poskušala dokazati.

A je v takem primeru, kot ga je opisal SeMiNeSanja (včeraj, 23:38:34) sploh v teoriji možno uporabniku obesiti malomarnost? Pa recimo, da še uporabljaš banko kot PRO SKB, ki ima generator enkratnega gesla in ni certifikata, ki bi se ga dalo ukrasti s tvojega računalnika? Saj nimaš nobene šanse, da bi se takemu napadu uprl, če nisi ravno en hud geek. Spletno bančništvo uporablja morje povsem običajnih ljudi, ki so avtomehaniki in frizerji, ne pa eni doktorji računalništva.

sisemen  je 15. avg 2014 ob 14:22 izjavil:

AndrejO je 15. avg 2014 ob 14:10 izjavil:

Še ti ni jasno. Banka je pred trezor postavila nesposobne varnostnike. To je odgovornost banke.

Ampak obstaja majhna tezava, ta varnostnik je bil v tem primeru komitent. Kaj torej pravis, kaj naj banka naredi, zavrne prosnje za spletno bancnistvo vsem, ki niso varnostni eksperti?

Varnostnik v tem primeru je bančni sistem, ki mora z dovoljšno stopnjo zanesljivosti ugotoviti, če je govora o komitentu ali ne. Kaj je dovoljšna stopnja zanesljivosti v kontekstu poslovanja o poslovnega tveganja, sem tudi že opisal.

sisemen  je 15. avg 2014 ob 14:22 izjavil:

Ampak razumem, isces posel in si delas reklamo na slotechu. Good luck :D

A bejžno. Kakšen posel pa iščem, če smem vprašati?

sisemen  je 15. avg 2014 ob 14:22 izjavil:

Razen tega se ves cas sklicujes na posledice dejanja, odkrivljivost itd. gre pa se za dejanje samo. Zlikovca iz leta 2009 niso nasli, ergo SE DA!

Seveda se da, samo ne tako zlahka, kot si ti to uspel spisati. Tebi se bi zataknilo že pri temu, da ne bi znal niti denarja spraviti nazaj do sebe tako, da se te ne bi dalo enostavno izslediti.

Ko enkrat butneš ob takšne zadeve, hitro ugotoviš, da imaš okvirno samo tri možnosti za krajo denarja iz banke: organizirane kriminalne združbe, s pištolo nad uslužbenca v manjši poslovalnici ali pa ustanovitev lastne banke. Vmesne variante se hitro končajo v arestu.

sisemen  je 15. avg 2014 ob 14:22 izjavil:

In ne vidim nobenega razloga, da bi sam to pocel, ne vem katere paranoicne misli ti ves cas rojijo po glavi, da mi to stalno predlagas, konec koncev gre za napeljevanju k kaznivemu dejanju, mar ne?!

Oho! Si ugotovil, da je to celo kaznivo dejanje in se bi verjetno še kdo drug ukvarjal s tvojim odškodninskim zahtevkom, ne samo banka?

Oberyn je 15. avg 2014 ob 14:26 izjavil:

AndrejO je 15. avg 2014 ob 14:10 izjavil:

Uporabniku v postopku pred dvema sodiščema malomarnosti ni bila dokazana, čeprav je banka to poskušala dokazati.

A je v takem primeru, kot ga je opisal SeMiNeSanja (včeraj, 23:38:34) sploh v teoriji možno uporabniku obesiti malomarnost?

Ne, ni možno. In tako je tudi prav, saj je breme vzpostavitve varnega sistema in s tem povezanega dokazovanja malomarnosti na banki. Uporabnikova dolžnost je, da dokaže, da je spoštoval vsa navodila banke in to je to.

Geeks need not apply.

sisemen  je 15. avg 2014 ob 14:30 izjavil:

S tem da je zanimivo, da prakticno nihce nima taksnih problemov kot komitent iz leta 2009, kar spet kaze na to, da je bila ta oseba specialen primerek.

To kaže predvsem na to, da so varnostni ukrepi sprejemljivi in poslovno tveganje relativno majhno.

Tvoje razmišljanje o temu, da banka na to temo ne more ničesar ukreniti, je v celoti napačno. Banka je edina, ki tukaj sploh lahko kaj ukrene in zakon je spisan tako, da je v to tudi prisiljena.

Invictus je 15. avg 2014 ob 14:43 izjavil:

Banka je popušila ker se je napačno branila. Hotela je prevaliti krivdo na uporabnika, pa se je sodišče odločilo da pač tako ne gre. V tem primeru se bankam z varnostjo sploh ne bi bilo treba ukvarjati.

Uporabnik pač ne more biti 100% odgovoren za varno spletno bančno poslovanje. Banka je bila tudi zgleda tudi nesposobna dokazati da je šlo za popolnoma pravilno transakcijo. Auditing is a bitch ...

Če bi izbrali drug način obrambe namesto blatenja uporabnika, bi mogoče zmagali. Sploh ker banka nima točno specificiranih zahtev/standardov kakšen mora biti računalnik da lahko varno uporablja spletno banko. In sodišče se je odločilo kot se je.

Zafrknili so se preprosto na papirjih ...

Kar se mene tice, vsak skrbi za varnost na svoji strani, banka poskrbi, da nekdo brez kljuca ne more dostopati do spletnega bancnistva, na uporabniku pa je, da poskrbi, da nekomu ne omogoci dostopa do kljuca. Edini posteni mehanizem, ki zagotavlja, da vsakdo skrbi za varnost na svoji strani. Kar pa se sedaj dogaja je, da banka na svoji strani poskrbi za varnost, po drugi strani pa je odgovorna se, da uporabnik ne omogoci dostopa do kljuca, s tem, da nima moznosti vplivati na uporabnika. Neumnost.