Aplikacja mobilna

[#1]

Wiele banków (np. brytyjski Barclays a nawet chyba nasz rodzimy PKO) blokuje używanie swoich aplikacji na zrootowanych urządzeniach - jest to w interesie zarówno banków jak i samych użytkowników. Ci ostatni mogą przecież nawet nie wiedzieć, że jest to ryzykowne, z kolei Ci biegli w technologiach i tak znajdą triki, które mimo wszystko pozwolą im obejść te zabezpieczenia. Niemniej w przypadku kradzieży z konta, bank ma przynajmniej czyste ręce... Ja bym sugerował przynajmniej dodać stosowne ostrzeżenie podczas instalacji/uruchamiania aplikacji na takim telefonie.

[#2]

Dziękujemy za sugestię. Zapewniamy, że bezpieczeństwo jest dla nas najważniejsze. Nie mamy wpływu na urządzenie klienta, natomiast stosujemy inne zabezpieczenia chroniące użytkowników.

[#3]

Przecież zawsze możesz korzystać z webowej wersji systemu, która wymaga pełnego i "bezpiecznego" logowania, a jest tym samym co aplikacja mobilna

Dla mnie osobiście aktualne rozwiązanie jest świetne i wystarczające - pin lub palec.

[#4]

Czy planujecie wprowadzić dłuższy kod PIN albo blokadę przelewów wykonanych za pomocą aplikacji mobilnej do jakieś ustalonej kwoty?

Nie mówcie, że w tej chwili bezpieczniejsza jest nowa aplikacja od starej bo nie jest.

W starej można było całkowicie zablokować przelewy dowolne poza tym trzeba było wpisać ostatnie 4 cyfry loginu plus pin.

Dobra może ktoś powiedzieć, że kod pin również jest potrzebny do korzystania z bankomatu albo płatności. Tak zgadza się ale można ustalić limit do określonej kwoty.

Czyli jak ktoś odgadnie pin to wyciągnie z bankomatu np 500zł zrobi zakupy do 500zł a za pomocą aplikacji mobilnej zrobi zakupy do max salda.

[#5]

W sekcji bezpieczeństwo (foto. Załącznik) można ustawić jakieś limity.

tak naprawdę,to czego one dotyczą? Przelewów w Bankowości online z wyłączeniem aplikacji? 

Czy w aplikacji, po za blik istnieją jakieś limity dla transakcji?.

Kwestia bezpieczeństwa zawsze będzie sporna. Jednych usatysfakcjonuje sama obecność PINu, innych ich długość.

Zapytałem o limity w aplikacji mobilnej gdyż mBank, dostarcza np rozwiązanie, które na dzień dobry pozwala w aplikacji mobilnej na transfery 2k dziennie (o ile pamietam, zawsze mnie to irytowało). Można to oczywiście zmienić za pośrednictwem pełnej bankowości.  Ocenę ryzyka, kwestionowania bezpieczeństwa należy kategoryzować na bazie posiadanych danych, Szczerze? Ile przypadków miałeś w rodzinie lub w gronie przyjaciół,czy chocisz tu w społeczności, że okradziony ktoś został za pomocą PINu do akceptowania transakcji?

W banku n26, który jest obecny w chyba 17 krajach, możesz z aplikacji wykonać przelew do 50tyś euro i potwierdzasz go 4 cyframi PINu i one są święte a hasło do bankowości internetowej nie jest nawet maskowane.

Swojego czasu chodziłem na konferencje, spotkania związanymi z IT w Polsce. Oni zawsze zabezpieczali się w taki świetny sposób 2,3 etapowa autoryzacja. Szkoda mi ich było, bo gdy wychodzili z biura nie umieli spojrzeć czy zamykają się do końca za nimi drzwi i wielu traciło prace przez to, było odsuwane od projektów za tego typu głupotę

Sorry za wielowątkowość. 

Podsumowujac:

Obawiaj się własnego kolegi, albo menela stojącego za tobą w tramwaju,

 lub w kolejce w biedronce. a jeżeli ataku od strony wirtualnej.

Statystyka jaka pozwolę sobie zastosować na przykładzie otoczenia ukazuje ze częściej jesteś ofiara defraudacji budżetu domowego, kradzieży w domu, a eżeli cyfrowego ataku na konto w banku i to jest skala 10000:1

i o dziwo, są zawsze klienci mBanku w ing mamy bezpiecznie. 

FD1C5B79-5CD7-4533-B60C-FA0FA41DA5B3.jpeg ‏152 KB

[#6 · Accepted solution]

athlon2000, obecnie nie planujemy zmian, o których piszesz. Dziękujemy za Twoje uwagi. Przekazaliśmy je do działu, który odpowiada za Moje ING mobile. 

Gdy instalujesz aplikację na swoim telefonie, prosimy Cię o dodanie urządzeń do zaufanych. Nie zalogujesz się do Mojego ING mobile z innego urządzenia. Podczas aktywacji wymagamy podania Twoich danych oraz wybranych znaków z pełnego hasła do bankowości internetowej. W momencie gdy zgubisz swój telefon, powinieneś w Moim ING usunąć urządzenie z listy zaufanych.
Przy wybranych przelewach możemy poprosić o podwójną autoryzację kodem SMS.
 

[#7]

arek

@ Dlaczego chcesz zabronić rootowania? Wystarczy ostrzeżenie. Roota nie robi nikt atechniczny, urządzenia z rootem nieraz mają bardziej bezpieczny system (pokroju Graphene OS, lub LineageOS) pozbawiony spywareu oraz adware'u operatora lub producenta. Tacy użytkownicy stanowią najmniejsze ryzyko że ktoś im się włamie na telefon, czy komputer (gdzie zazwyczaj występuje system Linux).

To mit że root obniża bezpieczeństwo tak w ogóle. Root pozwala (po uprzednim zezwoleniu) na administracyjny dostęp zarówno do Androida, jak i Alpine Linuxa pod spodem.

Istnieje możliwość pobrania wirusa wykorzystującego roota - ale takich wirusów jest także nie za wiele - nikomu nie opłaca się pisać wirusów które wymagają Roota skoro mają go nieliczni, najbardziej świadomi technologicznie użytkownicy. Android po zrootowaniu działa tak samo, i to my decydujemy jakiej aplikacji chcemy tego roota przyznać. Nie jest mniej bezpieczny, za to dzięki niemu możemy np usunąć niepotrzebne aplikacje systemowe, zainstalować globalny bloker reklam, nagrywać rozmowy (tak, niestety do tego potrzebny jest już także root) i zarządzać całością systemu jak w zwykłym komputerze.

Zupełnie się nie zgadzam z praktykami blokowania urządzeń z Rootem, i popieram rozwiązania pokroju Magisk czy VirtualXposed do ich omijania.

Wyświetlanie kodów podczas ich wpisywania to zła praktyka, wystarczy podejrzeć jak inne aplikacje to zrobiły. Dodatkowo PIN jest za krótki, i nie mam możliwości ustawić nawet 6ciu cyfr.

To co warto wprowadzić zamiast weryfikacji roota to wymuszenie blokady ekranu, jak robi to Google Pay.

Aplikacje warto zablokować tym którzy nie ustawili blokady ekranu. Świadomość takich ludzi to po prostu przesada.