NLB ukinitev certifikatov ?

A to, da ne daš vseh jajc v eno košaro, je po novem paranoja? Če nimam telefona, po tej novi shemi ne morem plačevat, razen fizično.

Eh tole pegganje vsega na FON je katastrofa... IMO mora bit 8 mestno geslo dovolj upper + lower case + cifra

Ko imaš vse na fonu je samo sranje, prej ali slej... počasi bom moral met homemade smartphone samo za to =)

cesnja je 21. avg 2018 ob 19:34 izjavil:

SeMiNeSanja je 21. avg 2018 ob 18:25 izjavil:

Jaz imam še Windows login na 2FA in če mi ukradeš fon, se še v računalnik ne morem prijaviti....
Noja... lahko mi admin odklene opcijo 'lost token', pa dobim začasno geslo, ki velja max. do 36 ur. Dovolj da rešiš zagato.

Backup OTP zetonckov je preprost. Bacukup SIM kartice, vsaj kolikor je meni znano, sploh ni možen :)

Pri mojem 2FA ni možen backup OTP žetončkov. Ko telefon registriraš kot token, se naredi nekakšen prstni odtis telefona. Tako zadevo ne moreš kar prenesti na nek drug telefon. Koneckoncev je tako tudi prav, saj se gre za varnost.

SeMiNeSanja je 21. avg 2018 ob 18:25 izjavil:

Koliko ljudi pa poznaš, da se hočejo iti e-bančništvo, pa nimajo telefona?
Za penzioniste pa je tu še vedno poštni šalter in kakšna podružnica banke.

Problem nastane, ko ti telefon ukradejo. Takrat pa res odpade e-bančništvo za nekaj časa...

Jaz imam še Windows login na 2FA in če mi ukradeš fon, se še v računalnik ne morem prijaviti....
Noja... lahko mi admin odklene opcijo 'lost token', pa dobim začasno geslo, ki velja max. do 36 ur. Dovolj da rešiš zagato.

Jaz nimam privat telefona. Na službenega pa menda ne bom dobival SMS-ov za prijavo v banko?
Podpisal sem pogodbo in tam je točno opredeljeno kaj dobim - RSA ključ.

P.S. za pravne oseve pa je RSA ključ še vedno dovolj dober. Zdaj pa razumi, če lahko.

V bistvu ne, mi je bila beseda zveza "bančništvo, brez telefona" dovolj. OK, to z aplikacijami je še hujše kot SMS. Prej sem ravno klical na banko in ja, druga kot SMS nočejo. Nič hudega, še vedno lahko svoje položnice plačujem preko firme. Ali pa uporabim svojo pravico in menjam banko.

V bistvu res imam nekje v pickupu staro E72, samo za silo. Sem pogledal svojo kontaktno številko v spletni banki in kakorkoli obračam sploh ni moja. Bo še luštno :)

SeMiNeSanja je 22. avg 2018 ob 16:27 izjavil:

Kaj skozi celotno temo še nisi razumel, da ni govora o SMS-ih?

Nope, govorimo o SMSih.

cesnja je 22. avg 2018 ob 17:35 izjavil:

SeMiNeSanja je 22. avg 2018 ob 16:27 izjavil:

Kaj skozi celotno temo še nisi razumel, da ni govora o SMS-ih?

Nope, govorimo o SMSih.

Sorry, sem na NLB, pa nisem poštekal, da pri nkbm nekaj o SMS-ih bluzijo.

Torej SMS 'žeton' DEFINITIVNO niti pod razno nebi hotel imeti. Sram jih bilo, da uvajajo zastarelo tehnologijo, od katere drugi že lep čas bežijo proč.

Ne le, da SMS ni varen. Tudi nadležno je to pretipkavanje OTP gesel oz. kot jim očitno štajerci pravijo 'žetonov'. Danes gredo zadeve v smeri push notifikacij, kjer samo še potrdiš 'Ja, res se hočem JAZ prijaviti' z pritiskom na gumb ali s skenom prstnega odtisa. Pretipkavanja ni.

TOTP je nadležen za 'starejše občane' (pa ne rabiš biti hudo star, da ti je zoprno). Zato se marsikdo izogiba uporabi 2FA. Z push tehnologijo zadeva postane bistveno enostavnejša in lažje sprejemljiva, tako da se bodo v bodoče zadeve razvijale predvsem v to smer. TOTP pa bo 'backup' za takrat, ko n boš imel na razpolago omrežja za push notifikacijo.

Ti naši pa z velikim rompom in pompom odkrivajo SMS 'žetončke'? Sram me je za njih!
Mogoče pa bi jutri svojemu direktorju še kamnita kolesa namontirali na avto?

techfreak :) je 22. avg 2018 ob 22:50 izjavil:

TOTP ima prednost da ni odvisen od aplikacije, ki jo uporabljas, med tem ko so push notifikacije vezane na specificno aplikacijo/ponudnika.

Sken prsta je problematicen, ker ga je precej lahko ukrasti/skopirati, po tem pa lahko samo prst zamenjas. Kar je pa se bolj pomembno, ce zelis sken prsta za 2-factor verifikacijo, potem ga po vsej verjetno ze uporabljas za odklep telefona. V tem primeru verjetno ni nic bolj varno od shranjevanja keya v keychain-u/keystore-u.

Ne morem govoriti na splošno o push notifikacijah, ker sem se malo bolj igral le z AuthPoint varianto od WatchGuarda. Tu se problem 'združljivosti' rešuje preko SAML. Žal večina ponudnikov (Google, Dropbox, Amazon, Salesforce,....) ponujajo SAML le za business accounte, tako da domače uporabnike že v naprej izključijo iz možnosti uporabe push notifikacij.
Druga opcija je Radius, ampak ta ti služi bolj za lastno opremo (VPN-i in podobno).

Sken prsta je drugače zgolj opcija. V bistvu že predstavlja 3. faktor. Namesto prsta pa lahko uporabiš tudi pin. Za 2FA v principu zadošča, da zgolj klikneš na gumb 'potrjujem', brez prsta ali pin-a (to že takointako rabiš, da si odkleneš telefon.. a zlomka, še vedno se najdejo ljudje, ki ne zaklepajo telefona...).

Authpoint celo omogoča tzv. IdP portal - nekakšno 2FA SSO varianto. S pomočjo 2FA se prijaviš na portal, kjer imaš registrirane vse svoje SAML ponudnike in lahko direktno brez dodatne avtentikacije dostopaš do njihovih storitev.
Kot rečeno - zanimivo za poslovne uporabnike in precej ubožno za zasebno rabo.
K sreči je push odjemalec tudi standardni TOTP app, tako da ne rabiš navleči kupa šare app-ov.

SeMiNeSanja je 22. avg 2018 ob 22:06 izjavil:

Danes gredo zadeve v smeri push notifikacij, kjer samo še potrdiš 'Ja, res se hočem JAZ prijaviti' z pritiskom na gumb ali s skenom prstnega odtisa. Pretipkavanja ni.

Za push si odvisen od nekega zunanjega servica, npr. openid, google, fb itd., kar se mi ne zdi dobra ideja. Omenil si še biometriko, ki je slaba ideja, četudi le za potrditev pusha.

Pretipkavanje 6 številk je v bistvu kar ok. Saj ni treba, da je v 30 sekundah pretipkana. Lahko vzameš recimo zadnje 3 epohe in imaš 1:30 časa, kar je ok tudi za 80 letnike.

PS: Ne moreš verjeti, kako hitro so prilagodljivi penzionisti, če jim rečeš, da z elektronsko banko "privarčujejo" pri provizijah za plačilo položnic. Zelo hitro prešaltajo na e-banko. Vsaj tako je bilo pri mojih.

telexdell je 23. avg 2018 ob 12:54 izjavil:

SeMiNeSanja je 22. avg 2018 ob 23:44 izjavil:

(to že takointako rabiš, da si odkleneš telefon.. a zlomka, še vedno se najdejo ljudje, ki ne zaklepajo telefona...).

A morš verjeti, da aplikacija NLB Pay ne deluje, če nimaš omogočeno neko zaklepanje telefona.

Vsaj nekaj.
A vseeno moj mobitel ne bo videl nobene 'pay' aplikacije.

NLB referenti sicer trdijo, da je manj incidentov na tisti njihovi mobilni aplikaciji, kakor na osebnih računalnikih, vendar gre po moje zasluga prej manjšemu številu uporabnikov, kakor pa višji varnosti. Sploh na kakšnih mobitelih, ki že dve leti in več niso prejeli posodobitve....

Meni se zdi logicno, da je manj incidentov na mobilni aplikaciji, saj je precej manjsi attack surface. Le malokdo ima rootan telefon, medtem ko je vecina ljudi na racunalnikih administratorjev. Aplikacije na telefonu so precej zascitene med seboj, medtem ko lahko na racunalniku dostopajo do fajlov ostalih aplikacij.

telexdell je 24. avg 2018 ob 07:48 izjavil:

SeMiNeSanja je 23. avg 2018 ob 16:02 izjavil:

Vsaj nekaj.
A vseeno moj mobitel ne bo videl nobene 'pay' aplikacije.

Seveda ne smemo podceniti nevarnosti zlorab na elektronskih napravah, pa vendar se za nekaj velikostnih razredov zgodi več prevar in kraj v osebnem stiku- od žeparjenja do raznih "nategov" pri blagu in storitvah. Če hodiš naokoli z denarnico na vidnem mestu, dviguješ denar na bankomatu, kjer je v bližini množica ljudi, vidiš super ugodno ponudbo za neko stvar in jo sprejmeš, imaš nezaščitene elektronske naprave...pač vabiš lopove in goljufe da te oskubijo. Če pa se vsaj malce zaščitiš (daš denarnico v notranji žep, na računalnik daš neko kolikor toliko naključno geslo, zakleneš telefon s pinom...) pa ti nepridipravi ne bodo zgubljali časa s tabo, saj imajo na razpolago dovolj drugi pri katerih bodo s precej manj napora prišli do istega rezultata.

To vsekakor drži za klasični 'mali kriminal'.

Pri računalnikih in mobitelih pa imaš drugo zgodbo, kjer barabini skenirajo vse, kar jim pride kakorkoli 'na doseg', če ima kakšno znano ranljivost. Od skeniranja do dejanske zlorabe pa je potem samo še en korak.

Seveda se malenkost ločijo postopki pri mobitelih in stacionarnih računalnikih. Toda čim se z mobitelom enkrat povežeš nekje na neznano WiFi omrežje, si že praktično bolj izpostavljen kot na domačem računalniku.
Da potem ne omenjamo še mularije, ki zna kakšne 'zanimive APP-e' nalagati tudi iz sumljivih nepreverjenih virov. Predenj pogruntaš, da ti je mulc naložil 'dodatek' je lahko že prepozno.

Drugače pa mobitel danes ni nič manj 'računalnik', kot tista velika škatla doma pod mizo. Po moje ni več daleč dan, ko bo tisti v žepu bolj zmogljiv od kakšnega šibkejšega namiznega računalnika.
Potem si pa že pri posodobitvah....

Na osebnem računalniku z Windows imaš običajno 'kritične' zadeve maksimalno kakšnih desetih proizvajalcev (Microsoft, Adobe, Mozilla, Google, Oracle, .....?). Microsoft se posodablja v mesečnem ciklu, Adobe enako. Ostali tudi bolj ali manj sproti 'krpajo' vse, kar se lukenj najde. Če nisi ravno obvisel na Windows XP, imaš brez hujšega napora kar lepo posodobljen sistem.

Kaj pa na mobitelih? Tam je pa približno polovica človeštva na ekvivalentu XP-jem, ki ne dobiva več nobenih posodobitev. Na dražjih ti že mogoče 5-6 let posodabljajo operacijski sistem - problem so cenejši, kjer že po dveh letih lahko ostaneš brez posodobitev. Če potem uporabljaš še spletni brskalnik na takšnem neposodobljenem mobitelu.....

Če banke že tako dlakocepijo, potem bi dejansko tudi morale blokirati uporabo bančnih app-ov na neposodobljenih mobitelih. Tega pa ne bodo storile, ker potem v hipu izgubijo polovico uporabnikov mobilnega bančništva.

Upajmo, da se bo Google držal napovedi Android 8.0, in bo posodabljal OS mimo vendorjev...

Kje pa si izvedel, da bo NLB ukinil certifikate? Iščem po NLB strani pa nič ne najdem o tem. Pred dnevi sem ravno prevzel novi certifikat, k čemu še potem sploh ponujajo to?

SloSlayer je 26. avg 2018 ob 13:11 izjavil:

Kje pa si izvedel, da bo NLB ukinil certifikate? Iščem po NLB strani pa nič ne najdem o tem. Pred dnevi sem ravno prevzel novi certifikat, k čemu še potem sploh ponujajo to?

Dobil si najmanj 2 maila s tem opozorilom, preden se ti je iztekla veljavnost starega certam.
Furs/durs/ePortali.

Vem. V predzadnjem tudi obvestilo o ukinitvi dostopa z 2019.

branc je 26. avg 2018 ob 19:59 izjavil:

Dobil si najmanj 2 maila s tem opozorilom, preden se ti je iztekla veljavnost starega certam.
Furs/durs/ePortali.

Na email nisem dobil nobenega opozorila. Prav tako sem pred parimi dnevi uspešno prevzel novi certifikat, saj staremu čez nekaj dni poteče veljavnost. Za ukinitev certifikatov sem danes izvedel v tej temi.

https://slo-tech.com/forum/t728021/p601...

Imaš težave z branjem? Tole so napisali: Uporaba Klika s certifikatom mogoč predvidoma le do konca leta 2018. Za dostope do drugih storitev (e-Davki, Intrastat, e-Vem in drugo) boste lahko novi certifikat uporabljali vse do poteka veljavnosti petih let.

Torej, sem vprašal na NLB, kako je s temi certifikati v bodoče, in pravijo, da še ne vedo zagotovo. Možno je, da po petih letih AC NLB ne bo več mogoče podaljšati. Možno je tudi, da bo mogoče takrat do drugih storitev, recimo eDavkov, dostopati (tudi) z OTP.

Fizične osebe, ki opravljajo dejavnost?

Priletelo iz NLB pravkar.

Pozdravljeni,

z veseljem vas obveščamo, da smo na pobudo vas, zvestih uporabnikov spletne banke NLB Klik, odložili ukinitev uporabe kvalificiranega digitalnega potrdila - certifikata AC NLB za vstop v NLB Klik. To pomeni, da boste svojo spletno banko lahko tudi v prihodnje nemoteno uporabljali in do nje dostopali s pomočjo certifikata.

Prijeten dan!

Krasno. ali kdo ve, če že omogočajo uporabo sigence za dostop, ali še vedno le njihov certifikat?

NooB je 23. okt 2018 ob 10:41 izjavil:

Priletelo iz NLB pravkar.

Pozdravljeni,

z veseljem vas obveščamo, da smo na pobudo vas, zvestih uporabnikov spletne banke NLB Klik, odložili ukinitev uporabe kvalificiranega digitalnega potrdila - certifikata AC NLB za vstop v NLB Klik. To pomeni, da boste svojo spletno banko lahko tudi v prihodnje nemoteno uporabljali in do nje dostopali s pomočjo certifikata.

Prijeten dan!

Pred kotacijo na borzi se očitno lahko zgodijo prav razumne rešitve. Pohvalno.