OTP SmartBank - Nem tetszik a wifi - Mi van?

A tls csak azt mutatja, hogy a két pont között aláírt certes módon van-e kapcsolat. Azt nem zárnám ki, hogy a fizikai hálózaton lévő kalóz dhcp szerver segítségével nem lehet-e úgy eltéríteni a forgalmat, hogy egy kamu serverre dobjon át, ami az eredetire hasonlító, de trükkös karaktert tartalmazó hostneves és vele nagyon valid titkosítot kapcsolatod lehet. És a kalóz szerver és a bank közti s nagyon valós titkosított kapcsolat lehet. Csak a közbeékelődő szervernél minden titkostatlanul elérhető.

Persze, ha az appok fel vannak rá készítve, hogy ne lehessen eltéríteni a kérést, ne lehessen más certet használni, az jó. De vajon fel vannak készítve? A böngészős elérésnél pedig csak a user vehetné észre, ha kifejezetten keresné a hibát.

Az, hogy melyik bankkal "beszélget" az eszközöd, a tcp kapcsolatból látszik. Hogy _mit_ beszélget, az akkor nem látható/csomagolható át, ha van valamilyen certificate pinning a kliens oldalon, _vagy_ a kliensen tárolt kulcs szükséges a tls-ben küldött/fogadott érzékeny tartalom (jellemzően valamilyen xml content, vagy annak adott mezője/mezői) titkosításához/kicsomagolásához. 

Mire használnák? Aki oda belép, csak leadja a telefonját és egyéb kütyüjét a kapunál, nem?  A személyzetet meg kézi vezérléssel irányítják.

jo de ha teszemazt kompromitalodik a cert, visszavontak, kapott ujat. akkor az app fuggo, hogy sikoltozni fog hogy rosszacert, vagy szol hogy frissitsd az appot.

Tudom, hogy worksfortrey, de nekem ez az alkalmazásboltos automata frissítés dolog nagyon nem mutat konzisztens és jó eredményeket. 4 azonos telefonból vontam le a messzemenő következtetéseket (meg a korábbiakból): van ahol meg se röccen a frissítés (azért amikor ránézek X hónap után a 98%-ban működő Wifis internyettel rendelkező telefonra, és kézzel kell 50 fölötti szoftver frissítését elindítani, azt én nem nevezném megbízhatónak). Máshol meg egészen tűrhető gyakoriság látszik.

De amennyiben egy certcsere miatti appfrissítést lekezelnek oly módon, hogy az alkalmazás a felhasználó által beállított nyelven kultúráltan azt mondja, hogy "az ön telefonos alkalmazáson keresztüli banki elérése 3-2-1 hónap / hét / nap múlva nem fog működni | már nem működik amennyiben addig az időpontig nem frissíti fel az alkalmazást. Megtegyük most?" - szóval ez még so-so.

De félek, nem így működik.

Nem kell a certet beéégetni, elég a publikus kulcsot tudni. A cert amúgy sem más, mint annak a tanúsítása, hogy az X kulcspár kié, és ezt úgy teszi meg, hogy aláírja a tanúsító az X kulcspár publikus tagját, ezzel hitelesítve azt. Semmi másról nem szól egy cert igazából.

És ahhoz, hogy tudd, hogy akivel kommunikálsz, az kicsoda, elég, ha beégeted a publikus kulcsot.

Akkor van gond, ha maga a kulcs kompromittálódik, de erre meg kevés az esély.

A webes internetbank se igazán akar működni.

Persze. Én csak arra gondolok amit írtam is. Ha már a TCP connection sem tud kialakulni akkor mar a core infrastrukturaval gondok vannak.
Georedundancia esetén egy prefixet A helyett B helyre routeolni szerintem alapvető lenne.
Ebből kiindulva lehet, hogy invitechnél volt a gond: https://bgp.he.net/AS211595#_graph4

Lehet, hogy van máshol SPOF, de amit te mondtál, arra azért van megoldás.

Nem nyitok, de rohadt szarul érintett. Gyorsan kellene intézkednem. De mentségükre mondva, egy kis pacsit is megérdemelnek. Mivel a régi-régi otpdirekt oldalon be tudtam menni azonosító-számlaszám-jelszó trióval. Egy nagyon apró betűs részben kicsit kiemelve a QR kód alatt. Sms azonosítóval sikerült.

De, csak azért, mert amíg lehetett csak így bankoltam. Fejemben vannak az adatok.

Gondolj bele egy olyan userre, aki csak tapicskol, nyomja ész nélkül. QR kód nélkül rengeteg ember meg sem tud mozdulni.

Begőzöltem, rohadt ideges lettem.