Aplikacja mobilna

[#1]

Witam,

chciałbym zwrócić uwagę twórcom aplikacji na sprawę bezpieczeństwa podczas logowania do mobilnej ING.

Nie wiem jak jest na innych telefonach, ale na Iphone 5s wygląda to tak:

w starej wersji

logowanie dwuetapowe:

1 etap - polegało na wprowadzeniu numeru tworzącego cały LOGIN zaraz po pierwszych trzech literach imienia i nazwiska użytkowanika/wlasciciela konta

2 etap - czterocyfrowy PIN, który nie był widoczny w trakcie wprowadzania

obecna wersja 

jednoetapowe logowanie:

1 etap - pierwsze trzy litery imienia i nazwiska wraz z czterocyfrowym numerem stanowiącym całość Logina już są a wystarczy wpisać tylko czterocyfrowy PIN, który niestety jest widoczny w trakcie wprowadzania.

Uważam, że w obecnej wersji, taki sposób logowania jest bardzo słaby, szczególnie w przypadku, gdy wpisując PIN, jest on widoczny dla osób postronnych, czyt. każda cyfra jest widoczna do chwili wbicia kolejnej. Dlatego uważam, że ktoś, kto będzie stał za moimi plecami, może spokojnie odczytać PIN, następnie pod moją nieobecność wziąć mój telefon, odpalić aplikację i spokojnie zalogować się jako "ja" - czy o takie bezpieczeństwo chodziło twórcom ING mobilnej? Wątpie!!

[#2]

W iPhone możesz ustawić logowanie za pomocą odcisku palca. Zapewne spodziewałeś się takowej sugestii, wiec przejdę dalej. jeżeli uruchamiasz aplikacje finansową, posługujesz się karta,zamykasz dom czy samochód,  to warto zadbać o bezpieczeństwo swojego otoczenia. 

Wnioskujac po twojej relacji twój telefon nie jest chroniony kodem ani biometrią. Zaczął bym wiec od mniejszego koła by później oceniać bezpieczeństwo swoich partnerów biznesowych.

😏

[#3]

Oczywiscie masz racje co do zabezpieczenia telefonu, ale nie zmienia to jednak faktu, że samo logowanie jest słabe a widoczne cyfry PIN w trakcie wstukiwania, to już troszkę za dużo!

[#4]

Bezpieczeństwo jest dla nas jednym z najważniejszych elementów działania aplikacji. Brak konieczności podawania za każdym razem loginu nie stanowi zagrożenia, ze względu na zabezpieczony proces aktywacji aplikacji. Pierwsze uruchomienie aplikacji wymaga:

- podania loginu,

- podania maskowanego hasła do bankowości elektronicznej,

- podania danych identyfikacyjnych,

- dodania urządzenia do listy zaufanych,

- ustalenia indywidualnego kodu pin,

To tylko niektóre z  zabezpieczeń, które chronią Twoje finanse przed nieuprawnionym dostępem.

[#5]

Hej Agnieszka,

dzięki za odpowiedź.

"Bezpieczeństwo jest dla nas jednym z najważniejszych elementów działania aplikacji." - myślałem, że najważniejszym.

Jasne..., zgadzam się z Tobą, że przy pierwszym uruchomieniu trzeba przejść przez poszczególne etapy weryfikacji użytkownika by używać aplikacji - 100% racja.

Jedynie zwracam uwagę, na to co potem?! Ja akurat mam zabezpieczony tel. kodem (tak jak wspomniał Source powyżej) i jak narazie jest ok, ale zwyczajnie mnie to zdziwiło, że poszczególne cyfry PIN są widoczne przez 2 sekundy w przypadku gdy nie wpisujesz kolejnej cyfry.

To inaczej zapytam..., czy przy dzisiejszym zaawansowaniu technologicznym, jest możliwość wykorzystania faktu pojawiania się cyfr kodu PIN podczas logowania za pomocą jakiegoś "wscipskiego" oprogramowania?

[#6]

@Rafalkup Jeżeli chodzi o bezpieczeństwo – to właśnie miałam mieliśmy na myśli. Jest dla nas najważniejsze.

Stale pracujemy nad rozwiązaniami, które chronią Twoje finanse. Aby zapewnić wysoki poziom bezpieczeństwa komunikacja pomiędzy Twoim urządzeniem a bankiem jest szyfrowana protokołem SSL. Wszystkie informacje na temat prawidłowego korzystania z bankowości elektronicznej i mobilnej znajdziesz na naszej stronie.

[#7]

Sorry, ale odnoszę wrażenie, że nie czytacie ze zrozumieniem.

Ja piszę swoje a wy swoje.

Rafal

PS. Czy AgnieszkaBin i AgnieszkaS to ta sama osoba?

[#8]

"...czy przy dzisiejszym zaawansowaniu technologicznym, jest możliwość wykorzystania faktu pojawiania się cyfr kodu PIN podczas logowania za pomocą jakiegoś "wścibskiego" oprogramowania?"

Oczywiście że jest, niemniej jeżeli miałbyś już zainstalowane takie "wścibskie" oprogramowanie to fakt, że PIN jest widoczny podczas jego wprowadzania, nie miałby już zupełnie żadnego znaczenia. Takie oprogramowanie mogłoby bez problemu zczytywać z klawiatury wszystko co piszesz, nagrywać Twoje rozmowy (oczywiście bez Twojej wiedzy), podmienić aplikację banku na inną itp. I oczywiście zagrożenie nie dotyczyłoby tylko "Mojego ING", ale każdej innej aplikacji, nie tylko bankowej.

Dobrze, że używasz iOS - to jednak bezpieczniejszy system od Android'a. Jeśli mógłbym coś więcej doradzić to:

• Nie root'uj systemu w telefonie, to bardzo obniża bezpieczeństwo systemu (tu pytanie do samego ING, czy ma odpowiednie zabezpieczania w aplikacji, które nie pozwalają na instalację/uruchomienie aplikacji na zrootowanych telefonach, mam nadzieję, że tak jest).
• Instaluj wszelkie akutalizacje do iOS i apliakcji, kiedy tylko się pojawią.
• Nie korzystaj z otwartych sieci Wi-Fi - np. w kawiarniach itp.
• Unikaj raczej kupowania telefonów "no name" z Androidem z Chin.
• By skonfigurować swój telefon, tak by był jeszcze bezpieczniejszy, pobierz darmowe przewodniki dot. tego tematu - wiele instytucji rządowych (np. NSA, CIA itp.) udostępnia takie dokumenty dla swoich pracowników - wystarczy wpisać w google "ios hardening". Instrukcje są dla "zwykłych użytkowników", są tam zdjęcia i wystarczy podstawowy angielski by je zrozumieć. 

[#9]

@Rafalkup
Wyjaśniamy: @AgnieszkaS i  @AgnieszkaBin to różne osoby

[#10]

(tu pytanie do samego ING, czy ma odpowiednie zabezpieczania w aplikacji, które nie pozwalają na instalację/uruchomienie aplikacji na zrootowanych telefonach, mam nadzieję, że tak jest).

---

Nie rekomendujemy root’owania telefonu. Nie blokujemy jednak możliwości aktywacji naszej aplikacji. Niektóre funkcje aplikacji (np. płatności HCE Mastercard w telefonie) wymagają urządzenia bez roota.