https://www.spidersweb.pl/2017/11/alior-bank-bezpiec
zne-urzadzenie-kryptograficzne.html

Serio trzeba wymyślać takie rzeczy zamiast użyć sprzętowy token do
logowania i do autoryzowania przelewów (jak jest np. w
company.mbank)?

--
Marek

do góry

Dnia Sun, 05 Nov 2017 23:20:46 +0100, Marek napisał(a):
> https://www.spidersweb.pl/2017/11/alior-bank-bezpiec
zne-urzadzenie-kryptograficzne.html
>
> Serio trzeba wymyślać takie rzeczy zamiast użyć sprzętowy token do
> logowania i do autoryzowania przelewów (jak jest np. w
> company.mbank)?


"zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.

Musi miec wlasny wyswietlacz i lacznosc z bankiem, aby ten mogl
bezpiecznym kanalem przekaz "przelew do cioci Jadzi 100 zl".

J.

do góry

On Mon, 6 Nov 2017 00:07:23 +0100, "J.F."
<j...@p...onet.pl> wrote:
> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.

Ale to urządzenie nie jest niczym innym jak dedykowanym komputerem do
robienia przelewów. Nie potrzeba tak kombinować, każdy w miarę
ogarnięty może sobie zbudować bezpieczny komputer bez windows do
takich celów.

--
Marek

do góry

Dnia Mon, 06 Nov 2017 08:21:12 +0100, Marek napisał(a):
> On Mon, 6 Nov 2017 00:07:23 +0100, "J.F." <j...@p...onet.pl> wrote:
>> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.
>
> Ale to urządzenie nie jest niczym innym jak dedykowanym komputerem do
> robienia przelewów. Nie potrzeba tak kombinować, każdy w miarę
> ogarnięty może sobie zbudować bezpieczny komputer bez windows do
> takich celów.


Bezpieczny procesor, bezpieczny system, bezpieczny kompilator,
bezpieczny system developerski ... to se ne da :-)

J.

do góry

W dniu 2017-11-06 o 00:07, J.F. pisze:

> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.

Sprzętowy, a nie zwykły. Klasyczny przykład zastosowania tokenów
challenge-response to podpisywanie przelewów.

> Musi miec wlasny wyswietlacz i lacznosc z bankiem

I nie musi mieć łączności z czymkolwiek.

do góry

Dnia Mon, 6 Nov 2017 23:54:40 +0100, MarcinF napisał(a):
> W dniu 2017-11-06 o 00:07, J.F. pisze:
>> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.
>
> Sprzętowy, a nie zwykły. Klasyczny przykład zastosowania tokenów
> challenge-response to podpisywanie przelewów.

Jakis przyklad co dokladnie masz ma mysli ?

Bo na razie to jak rozumiem ... wsadzisz w zainfekowany konputer i
automatycznie podpisze za Ciebie przelew, albo i kilka :-)

>> Musi miec wlasny wyswietlacz i lacznosc z bankiem
> I nie musi mieć łączności z czymkolwiek.

No to nie bedziesz wiedzial co tak naprawde podpisujesz :-)

J.

do góry

W dniu 2017-11-07 o 02:05, J.F. pisze:
> Dnia Mon, 6 Nov 2017 23:54:40 +0100, MarcinF napisał(a):
>> W dniu 2017-11-06 o 00:07, J.F. pisze:
>>> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.
>>
>> Sprzętowy, a nie zwykły. Klasyczny przykład zastosowania tokenów
>> challenge-response to podpisywanie przelewów.
>
> Jakis przyklad co dokladnie masz ma mysli ?

Sprzętowy token wyświetlający cyfrowy podpis wprowadzonych przez
klawiaturę danych transakcji (np. fragmentu numeru rachunku, kwoty).
Może to nie jest "zwykły token", ale założyciel wątku wcale nie użył
takiego terminu. Tego rodzaju tokeny są powszechnie stosowane
w bankowości.

> Bo na razie to jak rozumiem ... wsadzisz w zainfekowany konputer i
> automatycznie podpisze za Ciebie przelew, albo i kilka :-)
>
>>> Musi miec wlasny wyswietlacz i lacznosc z bankiem
>> I nie musi mieć łączności z czymkolwiek.
>
> No to nie bedziesz wiedzial co tak naprawde podpisujesz :-)

Wystarczy zmysłowa łączność z użytkownikiem (wzroku z wyświetlaczem i
dotyku z klawiaturą).

do góry

Użytkownik "MarcinF" napisał w wiadomości grup
dyskusyjnych:ottgm9$r9u$...@n...news.atman.pl...
W dniu 2017-11-07 o 02:05, J.F. pisze:
> Dnia Mon, 6 Nov 2017 23:54:40 +0100, MarcinF napisał(a):
>>>> "zwykly token" nie jest wystarczajacy, bo nie wiesz co
>>>> autoryzujesz.
>>> Sprzętowy, a nie zwykły. Klasyczny przykład zastosowania tokenów
>>> challenge-response to podpisywanie przelewów.
>> Jakis przyklad co dokladnie masz ma mysli ?

>Sprzętowy token wyświetlający cyfrowy podpis wprowadzonych przez
>klawiaturę danych transakcji (np. fragmentu numeru rachunku, kwoty).
>Może to nie jest "zwykły token", ale założyciel wątku wcale nie użył
>takiego terminu. Tego rodzaju tokeny są powszechnie stosowane
>w bankowości.

A kto taki w pl oferuje ?

Pomysl w miare dobry, dopoki sie nie okaze, ze zhackowana przegladarka
wyswietlila dobra nazwe, ale inny numer konta.

>>>> Musi miec wlasny wyswietlacz i lacznosc z bankiem
>>> I nie musi mieć łączności z czymkolwiek.
>
>> No to nie bedziesz wiedzial co tak naprawde podpisujesz :-)

>Wystarczy zmysłowa łączność z użytkownikiem (wzroku z wyświetlaczem i
>dotyku z klawiaturą).

W pomysle powyzej role lacznosci pelni czlowiek.
A to troche uciazliwe jest, jak trzeba za duzo danych przepisywac.

J.

do góry

Użytkownik "J.F." <j...@p...onet.pl> napisał w wiadomości
news:4tyexjlo75li$.1khuw32mglu5i.dlg@40tude.net...
> Dnia Sun, 05 Nov 2017 23:20:46 +0100, Marek napisał(a):
>> https://www.spidersweb.pl/2017/11/alior-bank-bezpiec
zne-urzadzenie-kryptograficzne.html
>>
>> Serio trzeba wymyślać takie rzeczy zamiast użyć sprzętowy token do
>> logowania i do autoryzowania przelewów (jak jest np. w
>> company.mbank)?
>
>
> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.
>
> Musi miec wlasny wyswietlacz i lacznosc z bankiem, aby ten mogl
> bezpiecznym kanalem przekaz "przelew do cioci Jadzi 100 zl".
>
> J.


Z Eurobanku mam token na telefonie komórkowym.
Taki token nie potrzebuje łączności radiowej z bankiem.
Do zatwierdzenia operacji bank podaje kod na ekranie,
wpisuję kod do tokena i token wyświetla jaka to operacja,
jednocześnie wyswietla kod do zatwierdzenia operacji,
który wpisuję na ekranie. Jeżeli się zgadza to bank wykonuje
zleconą operację.

do góry

On 2017-11-05, J.F. <j...@p...onet.pl> wrote:

[...]

> "zwykly token" nie jest wystarczajacy, bo nie wiesz co autoryzujesz.
>
> Musi miec wlasny wyswietlacz i lacznosc z bankiem, aby ten mogl
> bezpiecznym kanalem przekaz "przelew do cioci Jadzi 100 zl".

Póki co najlepiej chyba zagrał mBank - przelewy możesz autoryzować
z aplikacji mobilnej, przychodzi odpowiedni push, a w apce widisz
detale operacji i możesz ją potwierdzić, albo odrzucić.

Wygodniejsze od SMSów, tańsze i bezpieczniejsze. :)

--
Wojciech Bańcer
w...@g...com

do góry