Bankowość internetowa

[#1]

Dzień dobry,

dlaczego w ING w dalszym ciągu nie ma żadnej weryfikacji dwuetapowej podczas logowania do bankowości ? W innych Bankach trzeba zatwierdzić logowanie np w aplikacji mobilnej Banku. A w ING jedyne co to podaje login którego nawet nie mogę zmienić, 5 znaków z hasła (bo oczywiście bezsensownego maskowania hasła nie można wyłączyć, żadnego bezpieczeństwa to nie dodaje. Dobrze, że chociaż w menedżerze haseł da się do odpowiednio skonfigurować, żeby uzupełniał z automatu odpowiednie pola). I po podaniu 5 znaków z hasła od razu jestem na koncie, nawet jak loguje się na innym komputerze to ING nie prosi o 2FA.

Cieszę się, że w maju ING doda obsługę kluczy U2F, na pewno je dodam do konta, ale dlaczego teraz nie można potwierdzić logowania w aplikacji ING ? Inna sprawa dlaczego nie można ustawić na stałe autoryzacji wszystkich operacji w aplikacji ING tylko większość operacji potwierdza się mniej bezpiecznymi SMS-ami?

[#2 · Accepted solution]

Nieustannie pracujemy i rozwijamy rozwiązania, które chronią finanse i które są zgodne z najnowszymi standardami bezpieczeństwa. W połowie roku, oprócz klucza U2F wprowadzimy silne uwierzytelnienie podczas każdego logowania przez przeglądarkę internetową. Oznacza to, że oprócz loginu i hasła, poprosimy o uwierzytelnienie drugim faktorem (kod sms, potwierdzeniem w aplikacji mobilnej, a dla posiadaczy klucza zabezpieczeń U2F wyłącznie potwierdzenie tą metodą). Kolejną zmianą będzie możliwość dodania swojej przeglądarki jako zaufanej. 

Wszystkie zmiany i zabezpieczenia będziemy wprowadzali etapowo. Na bieżąco będziemy informowali, kiedy dane rozwiązanie wejdzie w życie. Zachęcamy do śledzenia informacji.

[#3]

W takim razie to zmienia postać rzeczy, nigdzie nie widziałem info o wprowadzeniu silnego uwierzytelnienia, widziałem tylko info o dodaniu kluczy U2F.

Byłoby by jeszcze super gdyby można było wymusić bezpieczniejszą autoryzację przez aplikację. SMS są mało bezpieczne- od duplikatu karty SIM zaczynając, przez zainstalowanie aplikacji z dostępem do SMS, aż po  odczytanie SMS przez osobę która ma nasz telefon (wystarczy błędnie skonfigurować blokadę ekranu i kody autoryzacyjne będą widoczne na zablokowanym tel...)  Aplikacja mobilna pod tym względem wygrywa, bo nie da się jej aż tak łatwo przejąć, wymaga zazwyczaj kodu PIN / biometrii. 

Dla mnie idealnym rozwiązaniem było ustawienia klucza U2F do zatwierdzania każdego logowania, a do autoryzacji operacji wyłącznie aplikacja mobilna, czy będzie taka opcja ?

Mam też nadzieję, że umożliwicie dodanie większej ilości kluczy (min 3-4 sztuki) tak żeby dało się z tego rozwiązania rozsądnie korzystać