Bankowość internetowa

[#1]

Dziękuję, jak widać mijają miesiące, a nadal zmian brak. Więc zachęcam inne osoby do podbijania tego posta 

mam nadzieję, że będzie się pojawiać coraz więcej świadomych użytkowników internetu i jednak bank wdroży chociaż możliwość wyboru opcji logowania. 

[#2]

Również proszę o zmianę. Myśl o logowaniu do ing powoduje u mnie dreszcze... i potem żyję w strachu, że sesja się skończy i będę musiał robić to jeszcze raz Zacząłem na poważnie rozważać uproszczenie hasła, żeby łatwiej dopasowywać litery do numerków...

Bardzo proszę o wprowadzenie możliwości zmiany sposobu logowania (choćby 2FA...).

Poza powyższym intefejs jest super. Pozdrawiam! 

[#3]

Dziękujemy za sugestie.

[#4]

O {PICKCHARS} już zostało tutaj wspomniane.

Inna metoda - narysujcie sobie na kartce pola, ponumerujcie je i wprowadźcie w to hasło. Będzie Wam zdecydowanie łatwiej. Tylko nie wpisujcie wprost tego hasła. Zaszyfrujcie je jakimś sobie znanym kluczem. Dla przykładu jeśli na kartce pojawia się cyfra nieparzysta to dodajecie do niej 1, a jeśli parzysta, to odejmujecie 2. Czyli np. na kartce macie zapisane w kratce 1 i 2 cyfry: 5 i 2, to wprowadzacie w maskowane hasło 6 i 0.

Innym rozwiązaniem może być podzielenie hasła. Powiedzmy 16 znaków w menadżerze haseł, a kolejne 16 na kartce (niekoniecznie kolejne - może być tak, że tu parzyste znaki, a tam nieparzyste). W żadnym miejscu nie ma kompletnego hasła - utrata kartki - minimalne ryzyko włamania, bo hasło niekompletne. Zhakowanie menadżera haseł - minimalne ryzyko włamania, bo hasło niekompletne.

Naprawdę nie ogarniam jak można mieć pomysł skracania hasła... przecież to są Wasze pieniądze. Gdybym wiedział, że na 100% coś uchroni mnie przed ich utratą, ale proces logowania będzie trwał 30 minut to kurczę... wolę 30 minut.

Jak dla mnie maskowanie hasła jest OK. I nie próbujcie tego zmieniać.

[#5]

To, że tobie nie przeszkadza logowanie się 30 minut do banku to świetnie! Ja mam trochę bardziej napięty grafik.

Poza tym nikt nie mówi tutaj o likwidacji takiego sposobu logowania, ale o dodaniu możliwości zmiany sposobu logowania!

Jakim cudem może to być takie skomplikowanie, dodajcie dodatkowo np. generowane kody 2FA oprócz sms...

[#6]

Drogie ING,

czy po kilku latach od zgłoszenia tego pomysłu, zweryfikowaliście swoje podejście do maskowania haseł? Specjaliści bezpieczeństwa od lat zwracają uwagę że to nie jest sposób na zwiększenie bezpieczeństwa, a wręcz przeciwnie - zagrożenie, bo skłania użytkowników do wymyślania prostych haseł i uniemożliwia korzystanie z password managera.

Może, jeśli nie chcecie tego włączać wszystkim, to dajcie opcję wyłączenia maskowania hasła, żeby bardziej świadomy użytkownik był w stanie sobie to zmienić?

A, jeśli nadal jesteście nie przekonani, to zapytajcie Piotra Koniecznego z Niebezpiecznika, który robi dla Was świetne szkolenia z tego zakresu.

To naprawdę niepokojące, że bank odpowiedzialny za nasze pieniądze, upiera się przy archaicznych rozwiązaniach z zakresu bezpieczeństwa  

[#7]

Pozwolenie użyszkodnikowi na wyłączenie maskowania części znaków hasła wprowadzi podatność na wszelakiej maśli keylogery. Jak już coś zmieniać to tylko challenge-response na urządzeniu gdzie nie ma fizycznej możliwości zainstalować jakiegoś syfu - takie coś ing niedawno wprowadziło i mimo chorób wieku dziecięcego chwała im za to.

Ludzie bezmyślnie instalują syf a potem pójdą do banku z reklamacją że on niewystarczająco zabezpieczył ich konto ... I piszę to ja, bo żaden pracownik wam tego otwarcie nie powie -- większość społeczeństwa to idioci, bankowość musi być na nich jak najbardziej odporna.

[#8]

Zgadzam sie z Tobą co do tego, że najbardziej inebezpieczną częścią jest użytkownik i jego lekkomyślne podejście typu "ustawiłem sobie hasło 'bank' i mi się włamali - wina banku". Natomiast to co napisałeś było świetnym argumentem za maskowaniem haseł kilkanaście lat temu, a teraz jest właściwie argumentem przeciwko.

Bo maskowanie powoduje, że ci którzy ustawiliby bezpieczne hasło, ustawiają prostsze, które będą umieli wpisać. A ci bardziej świadomi nie mogą przez to użyć password managera z hasłem np, na 30 totalnie losowych znaków. Co do keyloggera - jasne, przy czym przy obecnym rozwoju takich narzędzi, jeśli ktoś ma system w stanie pozwalającym na instalację czegoś takiego, to prawdopodobnie ma na kompie groźniejszy syf niż keylogger. Taki, który poskłada sobie hasło w całość po kilku próbach  (tu jest ciekawy artykuł odwołujący się do badań pokazujących jak niewiele prób trzeba żeby keylogger zebrał całe hasło: https://blog.cloudflare.com/banking-grade-credential-stuffing-the-true-effectiveness-of-a-partial-pa...), albo zrobi coś gorszego: zainstaluje certyfikaty swoje, zmieni DNS itp.

Klucze U2F to najlepsze rozwiązanie z kategorii MFA, tym bardziej że nie da się ich "wpisać" na fałszywej stronie. No, ale z klucza U2F skorzystają raczej tylko bardziej zaawansowani użytkownicy. Tak czy siak, faktycznie: chwała ING za wprowadzenie tego.

Więc przynajmniej powinna być opcja wyłączenia maskowania, jeśli ktoś jest tego świadom.

[#9]

Jestem świeżym klientem Państwa banku i pierwsze, co mnie bardzo nieprzyjemnie zaskoczyło, to archaiczne podejście do bezpieczeństwa logowania. Prośba do moderatorów o aktualizację w sprawie maskowania hasła. Temat był wałkowany wielokrotnie - nie poprawia to bezpieczeństwa klientów, wręcz pogarsza przez brak możliwości korzystania z menadżerów haseł lub pchanie użytkownika w stronę ustawiania jak najprostszego hasła. O pomysłach typu "zawsze możecie sobie napisać na karteczce hasło indeksując liczbami kolejne znaki, dla bezpieczeństwa zaszyfrowane szyfrem Cezara" rozwodzić się nie będę - chyba wszyscy widzimy absurdalność i potencjalne zagrożenia niosące za sobą stosowanie tak przestarzałych metod logowania.

Co do kluczy sprzętowych - nie wszyscy chcą z nich korzystać, bo są drogie i nie zawsze można mieć je przy sobie.

Osobiście korzystam z menadżera haseł, w którym mam setki wpisów i bank ING jest pierwszym od lat serwisem, który z menadżerem współpracować nie może. Jak Państwo myślicie, prędzej zmienię prowadzony od lat system zarządzania hasłami czy zrezygnuję z konta w banku już na starcie?

Pozdrawiam i liczę na odrobinę zdrowego rozsądku.

[#10]

Zaktualizuję tylko swój kod, ponieważ parę miesięcy temu znowu ING coś popsuł w logowaniu. Teraz potrzebna jest wtyczka AutoTypeSplitter, po czym w zakładce Auto-Type dla wpisu w ING wklejasz coś takiego:

{UserName}{ENTER}{SPLIT}{TAB}+{TAB}{PICKCHARS: Password:C=5}{ENTER}

(trzeba usunąć spację w PICKCHARS: Password)

Tabulatory w środku są potrzebne, ponieważ z jakiegoś powodu pola hasła gubią fokus, gdy ten wraca z okna KeePassa do okna przeglądarki.