NLB ukinitev certifikatov ?

Karen je 16. avg 2018 ob 21:31 izjavil:

Kolikor jaz poznam gre res za regulativo (je pa nisem v detajle bral), ne drži pa, da certifikati niso ok, certifikati ki so nameščeni "na računalniku", torej v SW shrambi računalnika ne dosegajo ustreznega nivoja varnosti, zato jih banke morajo opustiti - zato je prehodno obdobje ko so SW nameščeni certifikati (to so tisti, ki jih je mogoče izvažati iz računalnika) še veljavni oz. niso potekli - jih nekatere banke v prehodnem obdobju zato še dopuščajo. Certifikati na ključkih/karticah, ki niso izvozljivi, so ok (po principu varno je nekaj kar imaš, kar veš ali kar si). Zato bodo SW certifikate opustili, ključki za fizične osebe, kot ste že ugotovili, pa so prdragi (za pravne osebe so certifikati praktično pravilo za spletni oz. dostop prek računalnika, za telefone pa OTG). Je pa res malo nerodno tole, ampak kaj hočemo... povedali so svoje - certifikati ki omogočajo izvoz iz mašine pač niso varni po bančni regulativi na nivoju EU, naj si bo Sigen-ca, Halcom, Poštar-CA ali kaj drugega.

Aja, se pravi EU regulativa prav "prepoveduje" certifikate v takem smislu? Torej lahko pričakujemo da bodo npr. na Abanki slej kot prej isto naredil ?

Kdor rad zapravlja čas in denar z vožnjo v mesto, iskanjem parkplaca, čakanjem v vrsti, naj izvoli. Jaz v banki nisem bil že vsaj 10 let.

NFC je crap.

Lonsarg je 16. avg 2018 ob 22:43 izjavil:

Fora je da bi napreve z certifikati moral imeti kriptirane z Bitlocker ali podobnim, da bi zadeva bila na nivoju, pa večina nima.

Zakaj ni dovolj, da je certifikat kriptiran?

To bi tudi bilo za silo(ker brez enkripcije sistema si izpostavljen marsičem), ampak še nisem videl da bi kater brskalnik ponujal to opcijo, torej da ob vsaki prijavi na banko vpišeš geslo certifikata.

Sploh pa so usbjčki pita za uporabljat. Stalno neki driverji in dodaten sw da ti lahko sploh bere certifikat dol.

Ne morš ravno na drug pc, ga vklopit in vstopit v svojo banko.

Sploh pa imajo vsi telefoni svojo sim kartico ko je itak namenjena hranjenju certifikatov.

Kot zanimivost, nekatere izmed naših bank so bile del "Activa" sistema (modro bel "A" logo) ki je.omogočal to da na svojo bančno kartico naložiš poljuben certifikat. Potem pa rabiš "samo" še card reader in imaš relativno secure varjanto.

Boggs je 16. avg 2018 ob 02:00 izjavil:

Pred kratkim sem izvedel, da bodo pri NLB očitno do konca leta 2018 ukinili digitalne certifikate, pa kar ne morem verjet.

Že več let uporabljam NLB Klik, 99% časa na mojem osebnem desktop računalniku, kjer imam nameščen NLB certifikat. Preostali 1% pa kadar sem zunaj in uporabim iPhone kjer imam tudi nameščen certifikat. Torej enostavno odprem brskalnik, odsurfam na vstopno stran NLB Klik, vpišem vstopno geslo in sem notri.

Zdaj pa naj bi certifikate ukinili in vsilili nek OTP generator. Če prav razumem je to neka fizična naprava ?!? Ali pa moraš imet NLB Klikin aplikacijo na pametnem telefonu. Se pravi, če se zdaj hočem na PC-ju logirat na NLB Klik, moram vstat in poiskat OTP generator, ali pa poiskat smartphone (če ga sploh imam) in sam neka OTP gesla generirat ? A je to možno da so šli to delat ? Iz digitalnih certifikatov so šli na "hardware dongle na baterije" oz. mobilni telefon, če hočeš prit v Klik in nekaj plačat?

Ali to prav razumem da so tko zakompliciral zadevo? Če to drži me pa res zanima zakaj? Nikakor si ne predstavljam. Ali so imeli probleme s komitenti ki niso znali uporabljat certifikatov, ali se jim zdi da je več primerov uporabe Klika z različnih naprav kjer se hardware dongle bolj obnese kot prenos certifikata?

Ne vem , mene je tole tolk pogrelo da resno razmišljam da bi šel zaprt račun ker res ne mislim za dostop v Klik na desktopu iskat okrog donglov/telefona. Za kozlat.

(Miran Ališić voice): uuuuuu, kakšna drama! :)
100 ljudi, 100 čudi. Enim paše to, drugim ono.

Meni osebno super dostop preko OTP, ki ga lahko opravim kjerkoli, ne samo tam, kjer imam cert nameščen.
In tudi ne predstavlja mi noben napor poiskati telefon ali samostojni generatorček za tiste 2x/mesec, ko želim iti na Klik in plačati par plačilnih nalogov.
Če želim pa bolj frekventno uporabljati banko (preverjati stanje, kakšen hiter prenos), pa uporabim Klikin (ki je hkrati tudi generator OTP gesel), mobilna aplikacija, ki jo redno nadgrajujejo, meni je super.

Digitalno potrdilo z 2019 ne bo preklicano, bo veljavno 5 let, kakor je tudi doba ACNLB digitalnega potrdila. Kar pomeni, da se ga bo lahko uporabljali za vse ePortale,
kot do sedaj. Onemogočen bo samo dostop do Klika.

Kot ti je povedano, se še malo bank najde, ki uporabljajo cert, sem 100%, da slej kot prej tudi te ne bodo več.

_Denny_ je 16. avg 2018 ob 04:06 izjavil:

Hja, žal so se tako odločili...meni tudi ni všeč, ker cert uporabljam še za x drugih pomembnih zadev (edavki, euprava, e-sodstvo, zzzs, itd.) in bom v 2022 moral skakati po upravni enoti za novega, ko mi NLB-jev poteče. Plačevanje preko Klikina me ne moti, ker se prijavljam s prstnim odtisom in zaradi qr skenerja gre hitreje, je pa nadležno, da app (še) nima opcij za plačilo eračunov.

Mislim, da je NLB ena izmed redkih Slovenskih bank, če ne celo zadnja, ki še vedno ponuja dostop do spletnega bančništva preko certifikata. Vsi drugi so že dolgo nazaj prestopili na fizične otp generatorje, varnostne smse ali appe.

Sem vprašal, digitalno potrdilo boš še vedno lahko naročil. Četudi nisi komitent. Sicer pa, zakaj bi pri NLB naročal cert, če ga imam na UE brezplačno?

fireX88 je 16. avg 2018 ob 08:54 izjavil:

...... sicer vmesnik ni tako lep kot pri NLB-ju ampak je pa zato toliko boljša mobilna banka, katero uporabim za vsa plačila.

Aja?

SeMiNeSanja je 17. avg 2018 ob 01:05 izjavil:

Pa je že kdo videl, kako v praksi izgleda ta 'nova' avtentikacija oz. app?

Mogoče pa je le po TOTP standardu in bi lahko uporabljal katerikoli kompatibilni avtentikacijski app. V bistvu bi bilo precej žalostno, če se nebi držali v svetu uveljavljenih standardov.

Kar se mene tiče, pa bi lahko omogočili SAML, pa bi bil odrešen še tistega nadležnega pretipkavanja številk. Vsi 'veliki' danes že podpirajo SAML....ampak žal samo pri 'business' accountih (G-Suite, Dropbox,...). Na SAML imam preko AuthPointa SSO portal - ena 2FA prijava in velja za vse SAML resurse... in še to preko push notifikacije brez pretipkavanja številk...

Seveda, to je v ponudbi/uporabi že več let...

Pa nekako mi ni jasno... če je res, da bodo za podjetja še vedno v uporabi certifikati na ključkih - zakaj potem za privat nebi smel uporabiti cert na ključku in bi ga moral zamenjat za OTP generator? Samo zato, ker banka ne more preveriti, če si ga res naložil na ključek? Ajajajajaj....

En aparat - ena aplikacija - en OTP.

dexterboy je 16. avg 2018 ob 22:07 izjavil:

Đizs... ko pa pride do debate o spletnem dostopu do elektronske banke, mi pa postane slabo.
Pa do nikogar osebno, ampak, ali je RES potrebno imeti NON-STOP in KJERKOLI omogočen dostop do spletne banke? In mamahotel ne igra nobene vloge tukaj. Mar vsi obračate milijone ali kaj?
Pa sej življenje ni samo e-banka... kristus.

Ni redko, da imata v partnerstvu oba dostop do spletne banke obeh, se pravi imata oba nameščena certifikate od obeh. Ali pa me npr. moja upokojena mater prosi, da nekaj plačam z njenega računa. Doslej sem enostavno imel njen certifikat nameščen tudi pri sebi. Ali pa npr. laptop gre vedno z mano. Sedaj bom moral misliti še na ta kalkulator, da ga ne pozabim ali izgubim. Ja, to bo pain in the neck. Zakaj pa N26 ne rabi ne certifikata, ne kalkulatorja? Resno me drži, da bi obdržal samo še njihov račun.

Certifikat v SW shrambi je varen, seveda z zahtevanim geslom ob vsaki uporabi ter z onemogočenim izvozom zasebnega ključa.

predi je 17. avg 2018 ob 08:43 izjavil:

MrStein je 16. avg 2018 ob 17:15 izjavil:

predi je 16. avg 2018 ob 09:52 izjavil:

_Denny_ je 16. avg 2018 ob 04:06 izjavil:

Hja, žal so se tako odločili...meni tudi ni všeč, ker cert uporabljam še za x drugih pomembnih zadev (edavki, euprava, e-sodstvo, zzzs, itd.) in bom v 2022 moral skakati po upravni enoti za novega, ko mi NLB-jev poteče.

Ali pa pred potekom NLB certifikata preko eUprave naročiš SIGEN-CA certifikat pa ne rabiš nič nikamor skakat.

Kje točno?
Na www.sigen-ca.si sprejmejo samo lasten SIGEN cert.
(eUprava je sicer notorično nepregledna, oziroma njihov iskalnik ne najde pol zadev)

Pa res. Možno je samo elektronsko podaljšanje njihovih certifikatov. Totalna neumnost, glede na to, da sem dostopal in podpisoval dokumente na večini zgoraj navedenih strani z NLB certifikatom. Kaj več kot podpis in potrditev identitete pa potrebujejo tile kekci?

Pač ne priznavajo oz. ne zaupajo drugim CA. Njihova odločitev.

karafeka je 17. avg 2018 ob 09:25 izjavil:

Miha 333 je 17. avg 2018 ob 09:19 izjavil:

Certifikat v SW shrambi je varen, seveda z zahtevanim geslom ob vsaki uporabi ter z onemogočenim izvozom zasebnega ključa.

Ni res. Obstajajo programi, ki izvozijo privatni ključ tudi za takšne certifikate.(že večkrat preizkušeno).

Iz Firefoxove šifrirane shrambe težko.

Prejel obvestilo od NLB glede certifikatov.

Certifikat AC NLB (kvalificirano digitalno potrdilo) poteče xxx in ga je treba obnoviti. Obnovljeni certifikat prične veljati z dnem prevzema in velja 5 let, vendar bo dostop do NLB Klika s certifikatom mogoč predvidoma le do konca leta 2018. Za dostope do drugih storitev (e-Davki, Intrastat, e-Vem in drugo) boste lahko novi certifikat uporabljali vse do poteka veljavnosti petih let.

Ker imate možnost do NLB Klika dostopati tudi z uporabo generatorja OTP, lahko izdajo novega certifikata prekličete in za dostop do NLB Klika uporabljate le generator OTP, če ga že imate, oziroma ga naročite v poslovalnici.

Več informacij o dostopu do NLB Klika z generatorjem OTP:

- samostojni generator OTP - naročilo možno le v poslovalnici

- generator OTP v mobilni aplikaciji Klikin - naročilo možno v poslovalnici ali NLB Kliku

Če se boste odločili za uporabo generatorja OTP in certifikata ne želite obnoviti, obnovo le tega prekličite v NLB Kliku / Pošta / Pošlji sporočilo banki, do xxx. Kasneje preklic ni več možen in se izdelava certifikata zaračuna skladno z NLB Tarifo.

Torej imam teoretično certifikta še 5 let ... ;)

WhiteLenate je 17. avg 2018 ob 11:11 izjavil:

Res ne razumem, zakaj ukinitev certifikatov. Ali niso z varnostnega stališča ena boljših rešitev? Konec koncev mora uporabnik sam poskrbeti za vestno ravnanje z digitalnim potrdilom, tako kot z bančno kartico in ostalimi dokumenti. Tudi magnetni zapis na bančni kartici je trivialno kopirati, pa se še vedno uporablja. Se mi zdi, da zna biti s temi OTP generatorji še več težav, založiš kalkulator, izgubiš mobilni telefon itd.

Raje imam digitalno potrdilo v shrambi Firefoxa, seveda zaščiteno z ustreznim geslom in prijavo še z osebnim geslom. Za nujne zadeve pa aktivirano mobilno banko, za katero je avtorizirana le ena naprava in nastavljena dnevna omejitev.

Pomoje zaradi tega:

Boggs je 16. avg 2018 ob 16:42 izjavil:

In tebi se da vsakokrat ko želiš na PC-ju vstopit v Klik po bajti iskat telefon, poganjat aplikacije in z ekrančka prek tipkovnice v PC vtipkavat notri 8-mestno kodo? Ok mogoče si že natreniran na to več let ampak potem ne veš kaj pomeni komoditeta/učinkovitost. Meni je to muka proti temu kar sem imel do zdaj. Z že nameščenim certifikatom na PC-ju samo kliknem na bookmark NLB Klik, kliknem "Vstopi" (geslo imam shranjeno v browserju) in sem notri! Predno ti v roke primeš telefon oz. ga po možnosti iščeš v torbi, jakni ali odklapljaš od polnilca, jaz že prvo položnico plačam.

Kako varno je tole? Če mu sunejo komp imajo dostop do njegove banke. Tak uporabnik ima običajno še kakšen TeamViewer stalno vklopljen itd... Ob vdoru je pa banka kriva =)

Uporaba standardnega, odprtega OTP je korak v pravo smer. Kalkulatorji so problematični, ker ko pride do vdora k proizvajalcu, so banke zelo počasne pri menjavi.

Stvar je relativna. Če človek ve kaj dela je zadeva varna. Če ne ve kaj dela potem ni varna. Ne moraš kar posploševat. Za varnost PC-ja je ustrezno poskrbljeno in jaz osebno v desetih letih pri dveh spletnih bankah pri dostopu z uporabo certifikatov še nisem imel težav z varnostjo. I must be doing something right.

@Boggs: Ze samo pisanje o varnosti na tem forumu te postavi v ~1% prebivalcev Slovenije, banke pa morajo zagotoviti varnost (oz. se vsaj truditi) za vse komitente.

Certifikati v rokah povprecnega uporabnika so precej manj varni od locene naprave, iz katere morajo prepisati stevilko (TOTP na telefonu ali kalkulatorcek).

Joze_K je 17. avg 2018 ob 07:23 izjavil:

ok,..
a bo mogoče imeti ta OTP geselnik za različne KLIK račune (namreč - plačujem še na ženinega, za starše,.. - skratka3,4 TRR) - sedaj imam v menuju 4 certifikate in samo izberem s katerim želim vstopati, vpišem geslo..in deluje?

Pri Sparkasse to deluje. V njihov OTP app lahko vneseš več računov, in ti lahko generira geslo za vsakega.

predi je 16. avg 2018 ob 09:52 izjavil:

Ali pa pred potekom NLB certifikata preko eUprave naročiš SIGEN-CA certifikat pa ne rabiš nič nikamor skakat.

Drugače pa, da. Mene je tudi presenetilo, ko so mi to rekli v začetku leta. Ko sem jih vprašal, kako bo rešen problem dostopa do Klika v kolikor ga uporablja več kot ena oseba (imetnik in pooblaščenci), mi niso znali odgovoriti.

Meni napise v Firefoxu SSL_ERROR_HANDSHAKE_FAILURE_ALERT, ko poskusam preko eUprave narociti SIGEN-CA certifikat. Mogoce kdo ve, v cem je problem?

SSL_ERROR_HANDSHAKE_FAILURE_ALERT pomeni da stran zahteva client certificate, ti ga pa nimas v shrambi. Domnevam, da se poizkusas prijaviti brez certifikata.

Glede SMS tokenov sem ravno razmisljal, da ce imas SMSe sinhronizirane na racunalnik (iMessages za iOS/macOS in podobne variante za Android), potem to ni vec 2 factor prijava, res pa si vsaj obvescen na telefon, da se nekdo poizkusa prijaviti.

Ja, ponovna. Kaj pa prva, če imaš od NLB in bi rad še Sigen?

Korensko potrdilo sigenca imaš?. Je pa "fajn" če bodo podprli samo certifikate na pametnih ključkih. Sam ga imam pa potrdilo gor tudi. Samo deluje samo na delavski. Na edavkih pa ne. Na Windowu bi čestital človeku ki je implementiral podporo za pametne kartice, da se vedno ko te vpraša za certifikat naredi pop under pod oknom brskalnika. Če tega ne veš se ne morš prijavit, vsi ostali OSi to naredijo nad oknom brskalnika. Za Linux pa imajo teoretično podporo, v resnici pa imajo samo neki deb pa rpm paket ki nikjer ne piše kak se ga inštalira, pa sem ga že 2x probal brezuspešno, nekak probal v zip jih spremenit pa inštalirat. Potem pa imajo infinite loop ko se nekaj hoče inštalirat in morš force closat browser. Pred pol leta je še vse lepo delalo. Implementacija na vrhuncu. Uporaba je pa obvezna. Nikjer pa ne piše da je za odprtje podjetja nujna uporaba MS windows z starim Firefoxom (nov največkrat ni podprt).

Iz pametnega ključka pa tak edavki ne zna nič.

techfreak :) je 18. avg 2018 ob 06:57 izjavil:

SSL_ERROR_HANDSHAKE_FAILURE_ALERT pomeni da stran zahteva client certificate, ti ga pa nimas v shrambi. Domnevam, da se poizkusas prijaviti brez certifikata.

O tem govorim. Namesto, da bi lepo izpisalo: Ta spletna stran zahteva osebno digitalno potrdilo (klk za več o tem).

Ta ista napaka sicer lahko pomeni marsikaj drugega. V bistvu pomeni: SSL povezava ni uspela, veliko sreče pri ugotavljanju, zakaj.

Mimogrede, tu bi lahko webmaster pomagal in sam izpisal nekaj koristnega, recimo na edavki piše: Napaka: Niste izbrali digitalnega potrdila. (in potem še več porobnosti)

Se opravicujem, sem spregledal

Primerjalnik za osebne račune je na voljo na ZPS

pri kraji tel. št. moraš še vedno prej unpairat telefon itd...

vse te informacije pa potekajo preko maila in ostalih kanalov in si slej ko prej obveščen.