Dzień dobry.
Domyślam się, że osoba udzielająca się na forum nie ma odpowiedniej wiedzy, ale za pewne może skonsultować to z kim trzeba. Chodzi mi o to, że brakuje realnych i konkretnych informacji o tym jak zabezpieczać swoje konto.
Jedna z bardziej irytujących mnie porad - "Pobieraj aplikacje tylko z autoryzowanych sklepów" (informacja ze strony ING). To nie jest żadne zabezpieczenie, tym bardziej, że (także ze strony ING): "Pozornie niegroźna aplikacja pobrana z autoryzowanego sklepu, może stać się złośliwa po aktualizacji". I chyba nie muszę już tłumaczyć, dlaczego taka porada jest irytująca. Tak naprawdę nic nie wnosi w kwestii bezpieczeństwa, ponieważ przeciętny użytkownik nie ma najmniejszych szans aby weryfikować czy dana aplikacja jest bezpieczna.
Równie dobrze można radzić klientom, aby produkty spożywcze kupowali tylko w pewnego źródła. Czyli z jakiego? Bo zdarzają się sytuacje, że np. wykryto pałeczki salmonelli i produkt jest wycofywany z półek. Klienci nie mają w domu laboratorium chemicznego aby to weryfikować.
Potrzebne są konkretne porady i konkretne rozwiązania. Aplikacja bankowa powinna być hermetyczna, izolowana od innych aplikacji, aby uniknąć takich ataków: https://niebezpiecznik.pl/post/jak-przestepcy-ukradli-10-000-pln-milosnikowi-kryptowalut-ciekawy-ata...
Brakuje mi właśnie konkretnych rozwiązań zwiększających bezpieczeństwo. Przykłady...
- Samsung dysponuje My Knox. Ale tam można instalować aplikacje tylko z ich sklepu, a ten nie został wymieniony w ING jako pewne źródło. W samym sklepie jak szukałem - też mi ING nie znalazło. Czyli ta technologia odpada w przypadku tego banku?
- Xiaomi ma możliwość tworzenia drugiej przestrzeni. Aplikacje w jednej przestrzeni są odizolowane od drugiej - więc to rozwiązanie wydaje się odpowiednie. W drugiej przestrzeni przechowywane są pewne aplikacje finansowe, a w pierwszej można instalować "aplikacje z pewnego źródła bez ryzyka, że mogą one stać się złośliwe po aktualizacji". Ale czy to jedyna taka możliwość na rynku?
- Android >=10 ma coś takiego jak Scoped Storage. Teoretycznie aplikacje są od siebie izolowane już na poziomie systemu. Ale czy na pewno? Czy to jest zabezpieczenie na miarę Knox, albo drugiej przestrzeni? Czy faktycznie od tego momentu zasadniczo nie trzeba przejmować się instalowanymi aplikacjami, o ile samemu nie udzieli się im szerszych uprawnień niż tych domyślnych wynikających ze Scoped Storage? Ponieważ są takie aplikacje, które jednak muszą wyrwać się poza swoją przestrzeń - np. menadżery plików, programy do backupów itp. i ta technologia pozostawia taką furtkę.
Jedną z lepszych, konkretnych porad jakie znalazłem na Waszej stronie jest ta dotycząca limitów transakcyjnych. Niby oczywista sprawa, ale na pewno nie dla wszystkich - a jest to przykład konkretnego rozwiązania zwiększającego bezpieczeństwo. Porada o nieinstalowaniu aplikacji z niepewnego źródła w porównaniu z tą, to trochę tak jakby porównać sytuację, w której osobie pytającej o drogę podaje się "wejdź do autobusu linii 54 i wyjdź na 3 przystanku", albo "wszystkie drogi prowadzą do Rzymu, więc miej nadzieję".
Faktycznie ustawienie limitu transakcyjnego zestawionego z załączeniem informacji push powinno w znacznym stopniu zabezpieczyć środki na koncie. Raczej ryzykuje się do poziomu dziennego limitu, ponieważ nawet jeśli coś skutecznie wykona przelew, to informacja push powinna zaalarmować posiadacza rachunku i wymusić podjęcie określonych kroków zaradczych.
Tylko pytanie - czy to jest jedyna konkretna porada jaka może wyjść ze strony banku? Bo zasadniczo nawet poradę o instalacji programu antywirusowego trudno uznać za wartościową. Jasne, w jakimś stopniu minimalizuje ryzyko. Ale żaden program antywirusowy nie ma 100% skuteczności.
Osobiście nie jestem nawet przekonany co do załączenia weryfikacji behawioralnej. ING nie tłumaczy dość jasno i konkretnie czy warto. Znaczy są teksty, że tak - warto. Ale z drugiej strony jest informacja, że dzięki temu pewnych operacji nie trzeba autoryzować. Więc tutaj pojawiają się moje wątpliwości. Co jeżeli np. przelewy wykonuję zawsze z określonego urządzenia? Owszem, mam świadomość, że weryfikacja behawioralna obejmuje znacznie więcej elementów niż tylko ten jeden. Ale mam jednak obawy, że może to stanowić potencjalne ułatwienie dla specjalistów z ciemniej strony mocy. Oni też mogą zacząć używać oprogramowania, które monitoruje pewne określone zachowania użytkownika, a następnie implementują ten schemat w działanie aplikacji złośliwej. Więc z jednej strony wygodnie, ale z drugiej - nie dosyć jasno tłumaczycie na ile to jest bezpieczne.
Na pewno świetnym rozwiązaniem jest rozdzielenie urządzeń. To jest jedno z najlepszych zabezpieczeń, ponieważ nawet jeśli coś zhakuje aplikację, to kod autoryzacyjny przychodzi na zupełnie inne urządzenie i nie zostanie przechwycony (tu faktycznie pozostaje już tylko świadomość użytkownika). Tylko pytanie kto będzie chodzić z dwoma telefonami? Kiedyś były tokeny sprzętowe, ale banki się z tego wycofują rakiem. Między innymi z takiego powodu, że dotychczasowe rozwiązania nie spełniały wymogu "dynamicznego powiązania", czyli nie wyświetlały informacji o szczegółach transakcji. Taka informacja jest w smsie, ale... ten znów nie spełnia wymogów silnego uwierzytelnienia (czyli tego co klient wie, posiada, albo jakie ma cechy). Czyli smsy w tym względzie nie są wystarczająco bezpiecznie. I nie jest to jedynie mój wymysł - europejski nadzór bankowy już ogłosił, że nie są. W przypadku mobilnej aplikacji tego silnego uwierzytelnienia nie widzę. Aplikację mobilną mam bowiem na tym samym urządzeniu, na które przychodzi sms. No chyba, że ta weryfikacja behawioralna... ale tu wracamy do akapitu wyżej - brak dostatecznego wyjaśnienia co to jest.
W tym kontekście zastanawiam się czy nie prościej byłoby izolować kartę sim i aplikacje z nią ściśle powiązane, jak np. smsy. Większość telefonów jest już dualsim. Posiadając dwie karty można instalować aplikację w telefonie, ale drugi numer umieścić w izolowanej przestrzeni. Wtedy smsy autoryzujący przychodziłby tak jakby na fizycznie inne urządzenie. Oczywiście takie zabezpieczenie chroniłoby jedynie przed złośliwym oprogramowaniem, które byłoby izolowane (i dla tego oprogramowania druga karta sim byłaby innym urządzeniem). Przy fizycznej utracie dostępu do urządzenia nie miałoby to żadnego znaczenia. Tutaj znowu lepszym rozwiązaniem byłoby jednak rozdzielenie tego na dwa różne urządzenia.
Aby jeszcze bardziej zobrazować o co mi chodzi. Można dziecku tłumaczyć, aby uważało przechodząc przez drogę, rozglądało się w prawo i lewo - i tak rodzice na pewno robią. Tyle, że mimo tych przestróg odpowiedzialny rodzic ma świadomość, że nie jest to wystarczające i dla bezpieczeństwa nie pozwala się dziecku bawić przy ulicy. Dziecko to dziecko, więc mimo przyswojenia sobie pewnych zasad może raz się zapomnieć i dojdzie do tragedii. I fajnie by było, gdyby banki podobnie podchodziły do tematu.
