temat Brak 2FA w Bankowość internetowa

Brak 2FA

b9MSJPa9brrw7BS — Sun, 02 Apr 2023 13:14:17 GMT

Dzień dobry,

dlaczego w ING w dalszym ciągu nie ma żadnej weryfikacji dwuetapowej podczas logowania do bankowości ? W innych Bankach trzeba zatwierdzić logowanie np w aplikacji mobilnej Banku. A w ING jedyne co to podaje login którego nawet nie mogę zmienić, 5 znaków z hasła (bo oczywiście bezsensownego maskowania hasła nie można wyłączyć, żadnego bezpieczeństwa to nie dodaje. Dobrze, że chociaż w menedżerze haseł da się do odpowiednio skonfigurować, żeby uzupełniał z automatu odpowiednie pola). I po podaniu 5 znaków z hasła od razu jestem na koncie, nawet jak loguje się na innym komputerze to ING nie prosi o 2FA.

Cieszę się, że w maju ING doda obsługę kluczy U2F, na pewno je dodam do konta, ale dlaczego teraz nie można potwierdzić logowania w aplikacji ING ? Inna sprawa dlaczego nie można ustawić na stałe autoryzacji wszystkich operacji w aplikacji ING tylko większość operacji potwierdza się mniej bezpiecznymi SMS-ami?

Re: Brak 2FA

SylwiaG — Tue, 04 Apr 2023 15:02:30 GMT

Nieustannie pracujemy i rozwijamy rozwiązania, które chronią finanse i które są zgodne z najnowszymi standardami bezpieczeństwa. W połowie roku, oprócz klucza U2F wprowadzimy silne uwierzytelnienie podczas każdego logowania przez przeglądarkę internetową. Oznacza to, że oprócz loginu i hasła, poprosimy o uwierzytelnienie drugim faktorem (kod sms, potwierdzeniem w aplikacji mobilnej, a dla posiadaczy klucza zabezpieczeń U2F wyłącznie potwierdzenie tą metodą). Kolejną zmianą będzie możliwość dodania swojej przeglądarki jako zaufanej.

Wszystkie zmiany i zabezpieczenia będziemy wprowadzali etapowo. Na bieżąco będziemy informowali, kiedy dane rozwiązanie wejdzie w życie. Zachęcamy do śledzenia informacji.

Re: Brak 2FA

b9MSJPa9brrw7BS — Tue, 04 Apr 2023 20:44:47 GMT

W takim razie to zmienia postać rzeczy, nigdzie nie widziałem info o wprowadzeniu silnego uwierzytelnienia, widziałem tylko info o dodaniu kluczy U2F.

Byłoby by jeszcze super gdyby można było wymusić bezpieczniejszą autoryzację przez aplikację. SMS są mało bezpieczne- od duplikatu karty SIM zaczynając, przez zainstalowanie aplikacji z dostępem do SMS, aż po odczytanie SMS przez osobę która ma nasz telefon (wystarczy błędnie skonfigurować blokadę ekranu i kody autoryzacyjne będą widoczne na zablokowanym tel...) Aplikacja mobilna pod tym względem wygrywa, bo nie da się jej aż tak łatwo przejąć, wymaga zazwyczaj kodu PIN / biometrii.

Dla mnie idealnym rozwiązaniem było ustawienia klucza U2F do zatwierdzania każdego logowania, a do autoryzacji operacji wyłącznie aplikacja mobilna, czy będzie taka opcja ?

Mam też nadzieję, że umożliwicie dodanie większej ilości kluczy (min 3-4 sztuki) tak żeby dało się z tego rozwiązania rozsądnie korzystać