Forum Debian Users Gang

Yampress napisał(-a):

A słyszał o klonowaniu karty SIM?

https://www.telepolis.pl/wiadomosci/bezpieczenstwo/ … ci-ostrzegaja

Słyszałem. Jak mi artykuł zalinkowałeś to pomyślałem, że jednak jest jakieś bardziej "hakerskie" podejście do tematu. Wszedłem w link, a tam:

SIM swapping ma miejsce, gdy cyberprzestępca uzyska duplikat karty SIM. W tym celu potrzebuje najpierw dostępu do naszych danych (takich jak numer dowodu, numer telefonu oraz imię i nazwisko), które może uzyskać za pomocą technik phishingowych lub socjotechniki.

W kolejnym kroku złoczyńca kontaktuje się z operatorem komórkowym i dzięki zdobytym danym, podszywa się pod właściciela karty SIM – przez telefon, internet, a nawet odwiedzając fizyczny punkt obsługi klienta.

No super metoda kradzieży karty XD tzn no każdemu może się to zdarzyć ale no jednak nie zmienia to faktu że i tak trzeba patrzeć co i gdzie się wpisuje XD

zl23 napisał(-a):

Pavlo950 napisał(-a):

Być może trzeba zmienić metodę weryfikacji. Ja ze zdrapek w pko nie korzystam od początku...

Pablo950  – przeczytaj ty może ten wątek od początku, zanim zaczniesz udzielać takich wzniosłych porad.

Przeczytałem. Weryfikacji płatności kartą były sztuk dwie, przynajmniej jak ostatnim razem patrzyłem (i zmieniałem). I chyba były dwa różne scenariusze przewidziane, w sensie płatność kartą i przelewem (nie przez ipko tylko np taki autopay z wtyczką / odnośnikiem ipko) i dla tych dwóch było można ustawić weryfikację zdrapką lub smsem a pytanie czy nie dołożyli właśnie weryfikacji kluczem. Zamiast marudzić o czytaniu wątków, to mógłbyś @zl23 sprawdzić, bo ja bez klucza nie sprawdzę XD

Trzeba podejść do ochrony konta kompleksowo. Wiadomo autoryzacja SMS jest wygodna.
No a co w przypadku sklonowania karty SIM?
Co w przypadku kradzieży telefonu?
Co w przypadku zgubienia telefonu?

Ja mam teraz ciekawy problem bo probuje mój główny desktop - na FreeBSD zmusić do pracy z kluczem. A tutaj już nie jest tak słodko i prosto  jak pod Debianem czy na windows

---------------------------------------------------------

Klucz jest do autoryzacji logowania do konta, nie jest do autoryzacji przelewów

Karta zdrapka, SMS, aplikacja jest do autoryzacji przelewów

Jak i tak nadal uważam, że do autoryzacji przelewów powinien być token sprzętowy oczywiście też zabezpieczony pinem. Może kiedyś banki dojrzeją go takiej dwuskładnikowej ochrony konta klienta. Klucz + token sprzetowy


@zl23 trzeba im było jeszcze wysłać link do tej rozmowy.
Mi odpowiedź przysłali po kilku dniach. Najpierw dział bezpieczeństwa i informatyki musi przeanalizować sprawę/problem. Potem dział obsługi klienta musi odpisać . No i oczywiście będziesz mógł się odwołać do pewnych instytucji... A z korporacja nie wygrasz . Ale wskazesz błąd, który jest luka bezpieczeństwa w ich systemie. Nie wiadomo czy sobie w ogóle zdają sprawę o takiej możliwości .Teraz napisałeś to już zauważa problem. I pewnie naprawia wkrótce. Wiesz pewnie brak ludzi do testowania, więc sami użytkownicy im przetestują działanie i zgłoszą błędy. A oni naprawia te błędy,  a potem wystartują z głośnym marketingiem o super usłudze. Zawsze najgorzej jest na początku kiedy coś wprowadzają i potrzeba testów. Dlatego po jakimś czasie od wpuszczenia na świat usługa stają się dopracowana. Więc użytkownik za darmo przetestuje. Wykryje błędy i zgłosi, a oni naprawia. Wszystko co nowe nigdy nie jest do końca dobrze przetestowane i wprowadzone do środowiska produkcyjnego jako stabilna usługa
]:>

Klucze U2F to zapora przed hasłami na karteczkach i stronami pishingowymi udającymi strony banku.
Chociaż ciężko mi zrozumieć, dlaczego klucze zewnętrze jak karta chipowa czy Yubikey bank jeden czy drugi akceptuje, ale klucza TPM-2.0 w PieCu domowym już nie.

Pendraka (Yubikey) czy kartę chipową trudniej zgubić niż obudowę midi-tower?
xD

Ostatnio edytowany przez Jacekalex (2024-11-19 14:50:53)

14.11.2024 PeKaO SA wprowadziło używanie klucza sprzętowego.
https://www.pekao.com.pl/o-banku/aktualnosci/38eaae … zetowego.html

Ich instrukcja, skrócie, w porównaniu do PKOBP.
1.
Nie narzucają producenta klucza tak jak PKOBP.
2.
Piszą wyraźnie o PIN:

Niektóre klucze zabezpieczone są dodatkowo PIN-em, który należy ustawić podczas pierwszego użycia.

3.
W pytaniach
https://www.pekao.com.pl/klient-indywidualny/bankow … adnikowe.html

Zalecamy posiadanie i sparowanie więcej niż jednego klucza na wypadek utraty lub uszkodzenia jednego z nich.

Ad. 1.
W pytaniach piszą m.in.

Klucz możesz zakupić w większości sklepów ze sprzętem elektronicznym. Znajdziesz je łatwo po wpisaniu w wyszukiwarkę  hasła „klucz sprzętowy”.

Czyli byle gdzie.
Babuleńka albo Julka ma iść i "se kupić klucz"
Moim zdaniem taki sygnał wysłany do osób mających mgliste pojęcie o tych tematach nie jest najlepszym pomysłem.
Mogli polecić kilka firm i zwrócić uwagę, aby klucz kupić u autoryzowanych sprzedawców wyszczególnionych na stronie producenta.
PKOBP wybrał firmę (Yubico), podał w tabeli różne wersji tych kluczy, ale zapomniał napisać o zakupie u autoryzowanego sprzedawcy.
Ad. 2
PKOBP zapomniało napisać o ustawienia PIN-u na kluczu.
Ad. 3
W PKOBP nie ma możliwości sparowania więcej niż jednego klucza

Pozdrawiam.

Hurra!
Dzisiaj (26.11) dostałem odpowiedź z PKOBP na moje zapytanie (reklamację) wysłaną 17.11.
Treść mojego zapytania:

Klucz Yubikey podpięty do konta.
Płatność w sklepie internetowym za pomocą PayU nie wymaga klucza Yubikey, pieniądze są przelewane po podaniu kodu jednorazowego z tzw. zdrapki.
Czy to jest prawidłowe?

Odpowiedź banku PKOBP:

Szanowny Panie,
potwierdzamy, że do płatności typu Płacę z iPKO lub dokonywanych w ramach usług otwartej bankowości,
nie wykorzystujemy kluczy bezpieczeństwa.
Nie wykluczamy wprowadzenia w tym zakresie zmian ale obecnie nie mamy możliwości wskazania terminu
ewentualnego ich wdrożenia.
Jeśli nie zgadza się Pan z naszym stanowiskiem, może Pan wnieść ... [i dalej dużo pisaniny co to nie mogę zrobić].

Jak to ładnie napisali:

w ramach usług otwartej bankowości,
nie wykorzystujemy kluczy bezpieczeństwa

To po jakiego groma je wprowadzali?
W swoich reklamach piszą: "Niezawodna ochrona", "Pewność logowania".
Także piszą w tych reklamach: "Klucz ochroni Cię nawet, gdy oszust pozna Twój login i hasło"
Ale fakt, nie dopisali "oraz kodu ze zdrapki".

Wniosek:
najlepszym zabezpieczeniem konta jest więc stara, dobra zdrapka.

Ciekawe, czy w innych bankach, które stosują klucze (ING, PeKaO SA, OK Knurów i być może inne), podczas transakcji za pomocą tzw. "usług otwartej bankowości" (myślę, że to chodzi np. o PayU) też nie stosują klucza U2F. A może stosują?

Może ktoś podzieli się taką informacją?

Pozdrawiam.

No i konkluzja 35 postów:
- klucz jest potrzebny do zalogowania się do własnego konta. Nie ma klucza, to nawet jak znasz login i hasło to do konta się nie dostaniesz.
I tu nie chodzi o autoryzację przelewu czy płatności.
Kiedyś gdy były tokeny to aby zalogować się na konto, musiałem podać wygenerowany kod z tokena. Podobnie było z płatnością. Jeżeli odbiorca kasy nie był dopisany do zaufanych, to płatność też trzeba było potwierdzić tokenem.
Bank stwierdził, że to za drogie dla nich, i zlikwidowali tokeny - oferując w zamian autoryzację zdrapką lub aplikacją mobilną.
Zrezygnowałem z ich usług i przeniosłem się do innego banku. Po pół roku zrobili to samo.
@Yampress dobrze pisze - to jest korpo. Jak się nie podoba to "spadaj dziadu".