Slo banke in spletna varnost

Meni osebno je avtentikacija preko mobilne aplikacije banke obupna - rabim vsaj 30s (kakšnih 10s je samo, da sploh dobim push na telefon), da pridem skozi (medtem, ko recimo Ms authenticator deluje instantno)

@starfotr hvala za predlog
sem dal sem: https://file.si/3N2K/slo-bankeodgovori....

Geoza je ta obsesija z promoviranjem mobilnih aplikacij.

Malo upe polagam v Windows 11 podporo za Android aplikacije, obstajajo že neki neuradni hacki da si tudi Google Play usposobiš, me zanima če bi potem delale te spletne banke, da ne bi bil več omejen na mobitel.

V temi, katere naslov vsebuje besedno zvezo "spletna varnost", nekdo razpečuje tekstovne datoteke v obliki arhiva. Namesto pod Informacijska varnost je zadeva v Loži. Slovenščina bolj tako.

Čakaj malo.

https://www.varninainternetu.si/prevare...

@OP, niti ni važno ali so moje insinuacije pravilne ali ne, pomembno je, kako je zadeva videti.

Haha dobra, na to res nisem pomislil, le zdelo se mi je da bi znala biti zanimiva debata.
Ja res, tu nisem aktivni uporabnik, bi rabil naložiti kot txt ter bmp, da nebi bil sumljiv ;)

Drugače sem isto naložil na s5tech ter elektronik.si, kjer sem bolj aktiven (isti nick), upam da bo dovolj za zaupanje.
https://www.s5tech.net/viewtopic.php?f=...
https://www.elektronik.si/phpBB2/viewto...

Če ne pa zbootajte npr Tails :))

No čisto resno, meni se zdi to posiljevanje z mobilnimi aplikacijami gnilo.
Jasno, cilj je da uporabnik izvaja čim več bančnih transakcij.

Pa tisi rekono... meni to zgleda kot neka na silo rešitev, kot da banka noče s svojim IT skrbeti za svoje stranke.
Sicer imajo vsake oči svojega malarja, a GUI od rekono bi pomojem rabil, še kar piljenja.

@Lonsarg Če si odvisen od GooglePlay si odvisen od google. Drži? Zakaj mora biti Slovenska BANKA odvisna od ene Ameriške korporacije ?

A lahko prosim najdeš link, so seznama katere so delovale brez?

Tako je namizne platforme vedno bolj ignorirajo.

Če že po vsej sili mobilne aplikacije bi od banke pričakoval GooglePlay / AppleStore / Huaway.. / in obvezno APK na uradni strani banke

Pa tudi ni mi jasno kaj je problem, da nekdo, ki je bolj IT freak ne more iti na banko in tam prevzeti ustrezne podatke za nastavit poljuben OTP generator (kateri algoritem izbrat ter tvoj osebni ključ)

No glede bančne varnosti.
Banka Intesa, nbanka, nlb, skb in unicredit uporabljajo OTP generatorje (software based). Pomeni do generatorji neposredno vdelani v mobilne storitve (to so mobilne banke: isps, klikin, mojaskb itd.). Preden sploh mobilno banko lahko aktivno uporabljaš je potrebno se vnaprej verificirati z geslom, pin kodo ali s pomočjo biometrije (najpogosteje prstni odtis ali faceid). Šele nato lahko aktivno karkoli delaš z mobilno banko oz. temu pripadajočimi generatorji, skenerji itd. Glede na mehanizme in nastavitve je potrebno se v mobilno banko oz. mobilni generator direkt prijaviti oz. aplikacijo direkt zagnati. So pa banke in njihove aplikacije, ki izvajajo takšne in drugačne procese v ozadju, ko uporabniku pošljejo push notification. Pri nekaterih dela to zelo dobro, pri nekaterih včasih ne. Po verifikaciji v mobilni aplikaciji se uporabniku izpiše 6-8-10 mestna šifra (t.i. one-time passcode), ki je generiran po naključju in samo enkrat ter trjaa odločen čas (20, 30.60 sekund), odvisno pač od banke. To šifro je treba s kombinacijo maila, uporabniškega imena ali drugega vpisati v polja in se tako lahko prijaviš v spletno banko. Nekatere banke še imajo dodatno varnostno opcijo (npr. pri nlb-->vpišeš uporabniško ime in otp geslo, če je to uspešno te pusti naprej, potem pa še moraš v tretjem koraku vpisati osebno geslo, ki si ga nastavil sam. Ko so vsi trije vnosi pravilni šele potem se komaj prijaviš v dejansko spletno banko).

No nekateri (delavska hranilnica, vipavska hranilnica, dbs itd.) pa uporabljajo storitve tretjih oseb "ala" Rekono. No tukaj ne gre za neko "povečano" varnost, ker ta rekono storitve v osnovi dela isto kot so banke delale zmeraj do slej. Zakaj pa potem banke to nalogo varnosti in verificiranja prenašajo na rekono? Ker imajo potem manj dela, manj stroškov, manj težav in en razlog več: če kaj ne dela ob prijavi "nismo mi krivi naš partner rekono ima težave s strežniki" itn. Kakorkoli tale rekono ni nič drugega kot ena stvar več v bančništvu, postopki verifikacij pa so enaki, vendar sedaj združeni vsi na enem mestu. Rekono omogoča prijavo z mailom/uporabniškim imenom in določenim geslom. Drugi postopek verifikacije pa sledi lahko s pmočjo certifikata, s pomočjo kode poslane preko e-pošte, s pomočjo kode poslane preko sms sporočila ali pa s pomočjo rekono onepass aplikacije, kjer se lokalno na napravi generira otp šifra.
In to je praktično vse kaj ta rekono v osnovi počne. Po novem še preko rekonota dleuje tudi kartična verifikacija "3d/visa secure".

No in pa obstajajo še banke, ki pa pač ne dajo nekaj baš na varnost, kajti bilo je že dokazano, da je lažje vdret v telefon in prebrat sms z otp šifro, kot pa vdret v telefon, ugotiv gesla, pin kode ipd od mobilnih aplikacij, genratorjev in pa ebank.
No banke unicredit, nkbm in addiko pa uporabljajo zastarelo opcijo prijave (vpišeše uporabniško ime in geslo, nato pa preko sms-a dobiš sporočilo, v katerem se nahaja tudi otp šifra-kao 2. korak preverjanja prisotnosti)-kakorkoli vseeno bi bilo bolj varno uporablat v tem primeru ali certifikat kot pred 15-imi leti ali pa preit na rekono.

FAZIT: najbolj varna opcija definitivno 2. oz. novejša 3fa zaščita. Najboljša opcija je pač generator na mobilni napravi, ločeni klasik generator ali pa se pač pridružit v skupnost rekono. Vse je boljše in vse je za moje pojme bolj varno kot pa pošiljat sms sporočila z vatnosntimi šiframi. Ker kajti na koncu se tudi kdo nevidno od blizu lahko priliže in prestreže oz. pograbi signal in vidi vsebino sms - v tem primeru mu ni treba niti vdirat v naprvo, torej tvoj telefon.

Kakorkoli zgoraj napisano je samo moje mnenje. Zapisano o varnosnrih mehanizmih pa je resnično, saj sem sam preizkušal banke, bančne sotritve in njihove digitalne produkte.

Patrik0 hvala za napisano.

Patrik0 je 29. sep 2022 ob 21:37 izjavil:

Vse je boljše in vse je za moje pojme bolj varno kot pa pošiljat sms sporočila z vatnosntimi šiframi. Ker kajti na koncu se tudi kdo nevidno od blizu lahko priliže in prestreže oz. pograbi signal in vidi vsebino sms - v tem primeru mu ni treba niti vdirat v naprvo, torej tvoj telefon.

Da, a bo takega napadalca zelo oviralo že da sistem reče "vtipkajte SMS OTP in 4 ter 8 znak vašega sekundnega gesla"
To geslo pa vsilit menjavo na vsakih par mesecev. Po OTP pa še vnos primarnega gesla ter obvezna uporaba certifikata.

Če si dovolj butast ti tudi 10 faktorska zaščita ne pomaga

Najmanj varen je SMS, tak da teh ki imajo SMS (recimo OTP) je za izogibat. SMS je najlažje hacknit preko Android virusa (ali pa še kako drugače), so bli primeri v novicah ko so preko Android virusa haknili SMS zaščito od banke.

Kar se tiče pa zaščite preko mobilne aplikacije ali ločenega kalkulatorja bi pa rekel da ni neke razlike, zaščita preko aplikaicje se šeje za profi. Je res da je morda pri ločenem kalkulatorju dodatna "psihološka" zaščita da bo uporabnik bolj pazil kaj klikne na tej ločeni napravi kot bo pazil kaj klikne na ekranu.

Ampak jaz ne poznam nobene banke, ki bi še podpirala ločene naprave za dodatno avtentikacijo.

Če uporabljaš spletno banko dost ali pa da uporabnik ni dovolj vešč (ampak vseeno dovolj vešč, da ve da ne sme deliti podatkov za vstop v banko drugim osebam), si z nakupom že najcenejšega iPhona dobil povrnjeno "investicijo", ker že v štartu te fore s krajami vsebine iz SMS-ja odpadejo.

Kar potem za krajo na iPhonu ostane je samo:

- Zavestno dajanje podatkov napadalcu (vstop v banko, SMS žetoni), ali preko socialnega inžiniringa oz preko phising strani

- Sim Swapping (več dela za napadalca). Še vedno bo moral pridobit podatke za vstop v banko
- Man in the Middle, npr prijava v banko na nezaščitenem wifiju.


Najbolj enostavna metoda je pa spisat app, ki ga uporabnik namesti , ta app pa potem bere in pošilja podatke napadalcu.

Druga metoda je da naivneža samo prepričaš da ti da podatke, sam moraš pravega dobit. Tuki ti pa nobena zaščita ne pomaga.

Kako pa je s to gorenjsko varianto pri drugih bankah?

Mah z regulacijo bi moral zahtevat da banka MORA ponudit FIDO podporo, potem bi lahko poljubno napravo preko FIDO standarda uporabil za dodatno avtentikacijo.