Bezpečnost "potvrzovacích SMS"

Experti ohlásili, že komunikace s bankou za pomocí potvrzujících SMS není bezpečná.

Problém

Tento typ komunikace s bankou využívá velké množství klientů a rozdělení komunikace na dva přístroje a dvě různé cesty informací bylo považováno za značně eliminující případná rizika.
Z tohoto pohledu je takováto zpráva "bomba" se značným dosahem.

Realita

V podrobnostech (většina novinářů zhasne na titulku nebo nanejvýš na perexu) se ovšem píše něco jiného. Bezpečnost tohoto způsobu komunikace může být narušena:

• nabouráním samotného bankovního systému, pak, pochopitelně, mohou chodit "potvrzující SMS" komukoli, případně nemusejí být odesílány vůbec, bez ohledu na to, co se s kontem dělá
• nabouráním telefonu, což vyžaduje jeho "nabouratelnost" (= aby se tam vešel a dal nainstalovat program, který potvrzovací SMS neohlásí a převede jinam a ještě tak, aby se to nedalo zjistit)
• krádeží telefonu - pak mohou potvrzovací SMS chodit i na něj. Případně může být do telefonu během krádeže nainstalováno i velmi sofistikované malware, jaké by nebylo možno nainstalovat na dálku (z toho plyne jednoznačně - je asi třeba zpětně získaný telefon důkladně prověřit a nejlépe reinstalovat SW, případně i nechat prohlédnout HW, aby tam nebyl nějaký "šváb" navíc).
• přitom současně musí být ještě hacknutý počítač alespoň v tom smyslu, že je zjištěno heslo/PIN s nímž klient zahajuje komunikaci s bankou.

Když to okomentujeme

Nabourání bankovního systému - zde je možné cokoli a klient to neovlivní leda tak, že bude nějakým nezávislým kanálem hlásit nezvyklé chování bankovního rozhraní.
Nejčastěji ovšem půjde o falešné webové stránky banky, které byly vytvořeny např. pomocí kódování UTF8 (UNICODE), kde se vyskytují vizuálně identická písmena, ale z různých abeced (viz např podobná až stejná písmena v latince a azbuce), která mají odlišný kód, takže např uživatel komunikuje místo s BANKA.CZ se stránkou, která má na první pozici velké V v azbuce, na druhé a páté má azbukové A může být i na doméně, začínající azbukovým "s".
V době, kdy se zaváděla možnost používat unicode znaky jako názvy webových stránek a domén, na toto riziko řada expertů upozorňovala, leč byli oslyšeni. Existence takovýchto podvodných stránek, jak jsem uvedl výše v příkladu, se stala velice rychle součástí reality.
Jistěže by se rizika snížila tehdy, kdyby prohlížeče webu nějak hlásily, že doména má název "zplácaný" z více znakových sad, případně, že se na ní vyskytují znaky nepocházející z latinky. Napsat na detekci něčeho takového např. javaskriptový ,(nebo jiný) kód je práce pro mírně vycvičenou opici na pár hodin.
Nabourání telefonu - zde je problém hlavně "smart" zařízení, která mají tisíce funkcí a mohou stahovat tisíce programů (včetně "cinknutých" nějakým malware). Čím "blbější" zařízení, tím je riziko něčeho podobného menší. Což je návod na podobné bankovnictví, které lze provozovat i tak, že "blbej" telefon bude jen na příjem SMS a podobné akce a "chytrej" na vše ostatní, včetně vysoce rizikových flashových aplikací (od videa z internetu po různé hry).
Krádež telefonu - kdo na krádež telefonu, na němž provozuje internetové bankovnictví, nereaguje alespoň tak, jako na krádež karty, říká si o průser sám.
Počítač - pokud na počítači někdo chce hrát hry, přehrávat flashová videa, navštěvovat webové stránky mimo okruh několika málo bezpečných (nemusí to být přitom zrovna stránky s hambatými obrázky, které v této souvislosti bývají velice často explicitně jmenovány), případně provozuje ne moc dobře zabezpečený e-mail, ten si koleduje o problém.
Na druhé straně se docela divím, proč banky svým klientům nedávají CD s Knoppixem nebo něčím podobným, uzpůsobeným ke komunikaci s jejich bankovním rozhraním. Výhoda je jasná: Spustí se to na PC, je to zcela nezávislé na tamním operačním systému a tím i na všech "breberkách", které si klient do něho nahrál. Po skončení komunikace a restartu počítače do obvyklého OS se všechna zadaná hesla a další stopy komunikace s bankou vymažou a jsou nenávratně pryč.
Přitom by takový systém v podstatě ani nemusel být grafický, stačilo by slušnější textové rozhraní (na způsob T-602 nebo Norton Commanderu). Takováto rozhraní stejně bežně užívají např. počítače, osluhující pokladny v hypermarketech. Výhodou by bylo, že by se systém nemusel starat o ovladače grafické karty, stačila by mu bazální textová komunikace, kterou mají tato zařízení +- standardní.

V zavedení skutečně bezpečného OS pro komunikaci s bankou vidím rozhodně větší prostor pro zlepšování bezpečnosti, než v řešení "zakážeme komunikaci s bankou za použití potvrzovacích SMS, protože mobil někdo může ukrást".