|
bezpecne internetove bankovnictvi?
(link) |
6.6.2005 21:21
Tom
|
| Věk: ( ~41 let) |
Jak jiste vite, ceske banky nas krasne masiruji pohadkami o tom jak je jejich internetove bankovnictvi bezpecne. Je tomu ale opravdu tak?
Na prvni pohled se muze zdat, ze ano. Banky uzivaji robustni klice, kodovany prenos, verim, ze web maji take zabezpeceny. Tvrdi svemu uzivateli ze se mu nemuze nic stat.
A presto se jiz pred casem objevil priklad ze internetove bankovnictvi preci jen neni tak bezpecne. Jednalo se o situaci, kdy neopravnena osoba si ziskala pristup k pocitaci klienta. Tak mohla cist znaky z jeho klavesnice.Zkopirovat si klic a hurra vybrat ucet.
Ci je to vina? Klienta, ktery diky sve neznalosti si nezabezpecil system, nebo banky, ktera ve sve hrdosti masirovala klienta ze se nemusi niceho bat?
Podle me jsou na vine oba. A banka jiz nemuze rikat ze jeji system je bezpecny, protoze jeji chyba byla v posouzeni celeho procesu internetoveho bankovnictvi.
Banka zabezpecila prenos, zabezpecila vstup(heslo, klic), ale na co jiz zapomnela je samotny uzivatel a jeho pocitac. Ti jiz v systemu nefiguruji a banka jaksi spoleha na jejich znalosti a dovednosti, ktere v pripade vetsiny uzivatelu nejsou valne.
Pokud ma klient zavirovany pocitac a ma k nemu pristup treti osoba, cely system bezpecnosti internetoveho bankovnictvi pada. Je to jako by jste si sli vybrat penize do banky a nekdo by se vam dival pres ramena (odkoukal vase heslo, cislo uctu) a bance to bylo jedno.
Je to jako by jste si dali penize do banky do trezoru, ktery nema jednu stenu a kdokoliv si tam muze z ulice prijit, i pres dokonaly heslo a ochranke pred trezoem. (zezadu je volno). Dali by jste si do takove banky penize?
Jak tento problem resit?
Navrhoval bych vytvorit jako klic a branu k internetovemu bankovnictvi bootovatelne CD s vlastnim OS (treba na bazi linuxu). Tim se omezi nainstalovane viry a zadni vratka, sjednoti se vstup klientu k internetovemu bankovnictvi a zabezpeci se i uzivatel samotny.
Co vy na to? |
|
|
|
Re: bezpecne internetove bankovnictvi?
(link) |
6.6.2005 22:23
Ondřej Čečák
(TEAM)
|
| Věk: ( ~38 let) |
A presto se jiz pred casem objevil priklad ze internetove bankovnictvi preci jen neni tak bezpecne. Jednalo se o situaci, kdy neopravnena osoba si ziskala pristup k pocitaci klienta. Tak mohla cist znaky z jeho klavesnice.Zkopirovat si klic a hurra vybrat ucet.
Ci je to vina? Klienta, ktery diky sve neznalosti si nezabezpecil system, nebo banky, ktera ve sve hrdosti masirovala klienta ze se nemusi niceho bat?
Obavam se, ze to je pomerne jednoznacne -- toho, kdo ponese nasledky, definuje smlouva, ktera je pri zrizeni sluzby uzavirana. A pokud to je v dusledku viru, vina pada ve vetsine pripadu na uzivatele/spravce systemu.
Kdyz jsem zakladal bankovni ucty, tak kdyz o tom tak premyslim, tak pouze v Citibank se mluvilo o bezpecnost (zadne emaily od banky kvuli rhybareni alias physingu a podobna doporuceni, informacni brozurka atd.)
A banka jiz nemuze rikat ze jeji system je bezpecny, protoze jeji chyba byla v posouzeni celeho procesu internetoveho bankovnictvi.
V zadnem pripade se nechci moc zastavat bank, ale tohle zda se neni jejich vina. Je to stejne jako u platebnich karet -- pokud klient prozradi PIN (=tajnou informaci), ztraci zaruky. Sice snad u jedne z nasich bank se muzu pojistit take proti prozrazeni PINu (mam chipovou neembosovanou platebni kartu, takze ho zadam skoro porad), ale to je spise vyjimka potvrzujici pravidlo.
Banka zabezpecila prenos, zabezpecila vstup(heslo, klic), ale na co jiz zapomnela je samotny uzivatel a jeho pocitac. Ti jiz v systemu nefiguruji a banka jaksi spoleha na jejich znalosti a dovednosti, ktere v pripade vetsiny uzivatelu nejsou valne.
Je tedy fakt, ze banky moc sve klienty neinformuji (neni napr. moc trivialni overit bezpecne SSL certifikat a to by to mela byt rutina); kazdopadne je treba brat v potaz, ze pokud si uzivatel nedokaze zodpovedne spravovat pocitac, tak je na zvazeni, jestli by to mel fakt delat.
Je to jako by jste si sli vybrat penize do banky a nekdo by se vam dival pres ramena (odkoukal vase heslo, cislo uctu) a bance to bylo jedno.
Tenhle primer asi neni uplne spravny(*), zmenil bych to spise na to, kdyz pujdete k bankomatu s kamaradem. Sice tam je kamera banky, ale myslite, ze ji stale nekdo sleduje a kdyz tam uvidi vic lidi, pujde to resit?
(*) pri vyberu penez nestaci heslo, ale treba podpis, ktery souhlasi s podpisovym vzorem.
Je to jako by jste si dali penize do banky do trezoru, ktery nema jednu stenu a kdokoliv si tam muze z ulice prijit, i pres dokonaly heslo a ochranke pred trezoem. (zezadu je volno). Dali by jste si do takove banky penize?
Tohle mi pripada opet jako spatny priklad. Spise jako kdybyste nosili v zadni kapse, ktera je snadno dostupna zlodejum, druhy klic a heslo pro ochranku ...
Navrhoval bych vytvorit jako klic a branu k internetovemu bankovnictvi bootovatelne CD s vlastnim OS (treba na bazi linuxu). Tim se omezi nainstalovane viry a zadni vratka, sjednoti se vstup klientu k internetovemu bankovnictvi a zabezpeci se i uzivatel samotny.
Bootovatelna CD funguji z ramdisku, takze pokud si vas utocnik vyhmatne po nabootovani, nepomuze vam, ze startujete z media pouze pro cteni. Je spise pravda, ze nebude moci zmenit snadno system, ale muze si udelat automaticky skript, kterym snadno zjisti, ze jste nabootoval.
Navic to kompikuje situaci i vam, nebude se vam snadno zaplatovat pocitac :)
Reseni s branou zni sice zajimave, ale pripada mi s prominutim jako tezky overkill.
Jak tento problem resit?
Co vy na to?
Zkusim to shrnout:
0. Naprosto nutne je dodrzovat zakladni bezpecnosti pravidla, ktere by vydaly na samostatny clanek.
1. Pristupovat z bezpecneho a duveryhodneho pocitace.
2. Overovat s kym komunikuju a sifrovat (bez overeni certifikatu je sifrovani jenom iluzi bezpecenosti).
3. Pracovat s hesly a certifikaty opatrne (nedovolit zneuziti).
4. Pokud banka vyzauje povoleni pristup java appletum na disk, nainstalujte si druhy prohlizec nebo druhy profil a patricne nastaveni provedte v nem. Nedovolte, abyste pouzival na browsovani prohlizec, ktery dovoluje java appletum pristup na cely disk.
5. Omezujte pristup k certifikatum na urovni prav k filesystemu, bezpecne je sifrujte.
|
|
|
|
|
|
|
|
Re: bezpecne internetove bankovnictvi?
(link) |
23.6.2005 18:59
Ondřej Čečák
(TEAM)
|
| Věk: ( ~38 let) |
naprosto souhlasim, ze odpovednost za pripadne skody je temer vzdy na strane uzivatele, protoze pouziva deravy software (a/nebo nezabezpeceny pocitac apod). Problem je asi v tom, ze pro obycejne uzivatele to je neco naprosto nepochopitelneho. Podivejte se treba na tuto diskuzi. Marny boj a celkem ho chapu. |
|
|
|
|
Příspívat do diskuze mohou pouze registrovaní uživatelé.
|
|
Vyhledávání software
Vyhledávání článků
28.11.2018 23:56 /František Kučera
Prosincový sraz spolku OpenAlt se koná ve středu 5.12.2018 od 16:00 na adrese Zikova 1903/4, Praha 6. Tentokrát navštívíme organizaci CESNET. Na programu jsou dvě přednášky: Distribuované úložiště Ceph (Michal Strnad) a Plně šifrovaný disk na moderním systému (Ondřej Caletka). Následně se přesuneme do některé z nedalekých restaurací, kde budeme pokračovat v diskusi.
Komentářů: 1
12.11.2018 21:28 /Redakce Linuxsoft.cz
22. listopadu 2018 se koná v Praze na Karlově náměstí již pátý ročník konference s tématem Datová centra pro business, která nabídne odpovědi na aktuální a často řešené otázky: Jaké jsou aktuální trendy v oblasti datových center a jak je optimálně využít pro vlastní prospěch? Jak si zajistit odpovídající služby datových center? Podle jakých kritérií vybírat dodavatele služeb? Jak volit vhodné součásti infrastruktury při budování či rozšiřování vlastního datového centra? Jak efektivně datové centrum spravovat? Jak co nejlépe eliminovat možná rizika? apod. Příznivci LinuxSoftu mohou při registraci uplatnit kód LIN350, který jim přinese zvýhodněné vstupné s 50% slevou.
Přidat komentář
6.11.2018 2:04 /František Kučera
Říjnový pražský sraz spolku OpenAlt se koná v listopadu – již tento čtvrtek – 8. 11. 2018 od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Tentokrát bez oficiální přednášky, ale zato s dobrým jídlem a pivem – volná diskuse na téma umění a technologie, IoT, CNC, svobodný software, hardware a další hračky.
Přidat komentář
4.10.2018 21:30 /Ondřej Čečák
LinuxDays 2018 již tento víkend, registrace je otevřená.
Přidat komentář
18.9.2018 23:30 /František Kučera
Zářijový pražský sraz spolku OpenAlt se koná již tento čtvrtek – 20. 9. 2018 od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Tentokrát bez oficiální přednášky, ale zato s dobrým jídlem a pivem – volná diskuse na téma IoT, CNC, svobodný software, hardware a další hračky.
Přidat komentář
9.9.2018 14:15 /Redakce Linuxsoft.cz
20.9.2018 proběhne v pražském Kongresovém centru Vavruška konference Mobilní řešení pro business.
Návštěvníci si vyslechnou mimo jiné přednášky na témata: Nejdůležitější aktuální trendy v oblasti mobilních technologií, správa a zabezpečení mobilních zařízení ve firmách, jak mobilně přistupovat k informačnímu systému firmy, kdy se vyplatí používat odolná mobilní zařízení nebo jak zabezpečit mobilní komunikaci.
Přidat komentář
12.8.2018 16:58 /František Kučera
Srpnový pražský sraz spolku OpenAlt se koná ve čtvrtek – 16. 8. 2018 od 19:00 v Kavárně Ideál (Sázavská 30, Praha), kde máme rezervovaný salonek. Tentokrát jsou tématem srazu databáze prezentaci svého projektu si pro nás připravil Standa Dzik. Dále bude prostor, abychom probrali nápady na využití IoT a sítě The Things Network, případně další témata.
Přidat komentář
16.7.2018 1:05 /František Kučera
Červencový pražský sraz spolku OpenAlt se koná již tento čtvrtek – 19. 7. 2018 od 18:00 v Kavárně Ideál (Sázavská 30, Praha), kde máme rezervovaný salonek. Tentokrát bude přednáška na téma: automatizační nástroj Ansible, kterou si připravil Martin Vicián.
Přidat komentář
Více ...
Přidat zprávičku
Poslední diskuze
31.7.2023 14:13 /
Linda Graham
iPhone Services
30.11.2022 9:32 /
Kyle McDermott
Hosting download unavailable
13.12.2018 10:57 /
Jan Mareš
Re: zavináč
2.12.2018 23:56 /
František Kučera
Sraz
5.10.2018 17:12 /
Jakub Kuljovsky
Re: Jaký kurz a software by jste doporučili pro začínajcího kodéra?
Více ...
|
Perl