"Jól megkopasztották a gyanútlan vállalkozót, amikor az új laptopján be akart lépni a netbankjába"

HUP cikkturkáló

Minden pénzét lenyúlták az óvatlan vállalkozónak, miközben még a gyanú sem ébredt fel benne. Akkor hibázott, amikor nem gondolt bele, mit is jelentenek az általa megkapott banki üzenetek, mihez adja a jóváhagyását. Szerinte elvárható lett volna, hogy a banki ügyintéző figyelmeztesse a veszélyre, amikor nem sokkal korábban segítséget kért tőle.

[...]

Aznap este a házaspár belépett az új laptopon a netbankba – legalábbis ők azt hitték, oda léptek be. Hogy mégsem ez történt, arra másnap eszméltek rá, amikor azt tapasztalták, hogy

[...]

Link: https://24.hu/fn/gazdasag/2024/01/06/bank-netbank-csalok-albank-vallalk…

  • 5402 megtekintés

( trey | 2024. 01. 08., h – 16:04 )

tl;dr

Csak átpörgettem, mert ilyen méretű szócséplést nem tudok elolvasni. Ha megvan, hogy hogyan jutottak el ezek a drága emberek a fake oldalra, valaki írja le pls. Thx!

trey @ gépház

A cikk szerint a kereső dobta fel MKB netbankra a fake oldalt. Én most kipróbáltam, természetesen a valódit adja vissza.

Mondjuk azt az egyet nem értem, hogy a bank vajon ad-e írásos tájékoztatót a netbank használatához, ahol szerepel az URL. Ha nem, akkor az azért elég gáz. Már annyi hasonló volt, hogy én elvárnám, hogy készítsenek egy nyomtatott howto-t, ahol kiemelik a fontos részeket, és az új netbankosoknak nyomják a kezükbe.

Így van. Amikor netbankot regisztráltam, be kellett mennem a bankfiókba, ahol személyes azonosítás után ők regisztráltak engem, és adtak egy méretes leírást, amiben minden tudnivaló benne volt. Még az is, hogy mit jelent a jelszó komplexitás, és melyek a nem alfanumerikus karakterek - hátha hiányoztam az iskolából aznap, mikor ezt tanították.

Talán ez a sok káreset ráébreszti az embereket arra, hogy olyan helyen tartsák a pénzüket ahonnan nem tudnak instant utalni, és internetről nem hozzáférhető.

Szekrényben a fehérneműk között. :P Mindkét kritériumnak megfelel. :)

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

( _ventura_ v | 2024. 01. 08., h – 16:13 )

 

 miért nem szólt a férjének, amikor bement segítséget kérni a netbanki belépéshez, hogy legyen óvatos, mert ha a keresőbe beírja, hogy MKB netbank, akkor elképzelhető, hogy elsőre egy áloldal ugrik fel.

Fedora 41, Thinkpad x280

( athila v | 2024. 01. 08., h – 16:16 )

én elolvastam (sajnos) de nekem sem sikerült semmi érthetőt kihámozni belőle.

szerintem itt a szavak mennyiségéért fizettek a cikkírónak. és/vagy AI-val generáltatta, bár azt lehet jobban értenénk.

 

amúgy amin mindig meglepődök (és a cikkből ennyit sikerült megértenem), hogy a netbankos oldalt a google (vagy bármelyik másik) keresőbe(!!!!) írták be és nem a címsorba.

bár, ha átlag felhasználónak/ismerősnök mondom, hogy a címsorba írjon be xy url-t, csak bambán néznek rám.

A Chrome raadasul nagyon agressziven terelt erre a hasznalati modra. Ha google.com-ra mentel, es onnan akartal keresni, konkretan atdobta a fokuszt a cimsorra, talan meg fel is dobott valami buborekban szoveget, hogy "Haliho! Itt van a keresosav, nem mashol!"

De a Firefox-ban is rahedlisok opciot ki kell kapcsolnod (asszem az egyik keyword.enabled = false csak about:config-ban "Yes I want to void the warranty" utan erheto el), hogy ne keressen, ne dobaljon fel javaslatokat (enelkul minden begepelt betu = egy kimeno http request a default keresoszolgaltatohoz...), onhatalmulag ne korrigalja az URL-t, legyen elkulonitve dedikalt keresomezo stb.

Az EV cert kijelzes megszuntetese, majd a cert subject name szandekos elsullyesztese kb 4-5 kattintasnyi melysegbe a masik gazemberseg. (Ebben vannak ertelmetlen, informaciotartalom es valasztasi lehetoseg nelkuli menuben felesleges ">"-ra kattogtatasok, van bonyolult dialog ablak, amiben a View Certificate gombot kell megtalalnod, aztan raadasul uj tabon nyilik meg, hogy meg kenyelmetlenebb legyen, vegul tudnod kell, hogy melyik mezot is keresed). Nyilvan egy IT-s tudja ezt is hasznalni, de egy laikusnak elmagyarazni, hogy a netbankolaskor ezt a lepessort csinald vegig, ezt a mezot nezd meg stb.

Aztan vannak az elcseszett, vegig nem gondolt unicode URL tamogatas miatt ranezesre megkulonboztethetetlen kamu URL-ek.

Szoval igen, a bongeszokeszitok kb mindent megtettek, hogy ez a fajta csalas konnyen kivitelezheto legyen, ES egy laikus szamara a leheto legnehezebb legyen ellenorizni, hogy jo oldalon van-e.

Régóta vágyok én, az androidok mezonkincsére már!

Mondjuk szerintem pont az EVért nem igazán kár, pont azért, mert valójában csak ígérgetés volt, hogy becsszó, megnézzük alaposabban, de egyébként ja, az egész CA infrastruktúra borzalmas, amit meg a TLS környéki UX-el művel a böngészők, az egy szánalmas, hát, remélem komoly dolog, mert viccnek durva volna....

Igen linkeltem lejjebb, en is elolvastam, hogy mi volt az oka az EV kivezetesenek. Kb olyan logika menten csinaltak, hogy "a zarat egy gyakorlott betoro ki tudja nyitni -> inkabb szereljuk le a zarakat mindenhonnan, nehogy hamis biztonsagerzetet adjon".

Meg lehetett volna oldani, hogy az EV erjen is valamit, ha a CA-k szamara valos kockazat lett volna, hogy kikerulnek a truststore-bol, ha kiderul, hogy valos ellenorzes nelkul kiarusitjak barkinek. Ugyanugy, mint ahogy az alap CA tevekenyseget is auditaltatniuk kell es ha megbuknak (akar auditon, akar azon kivul, hogy policy-ellenes modon allitottak ki certet valakinek) akkor repulnek a truststore-bol.

Régóta vágyok én, az androidok mezonkincsére már!

Az a baj, hogy akkor se repülnek. Meg hogy eleve, a jó anyám is benne van, amire userként valójában nem biztos, szeretnék, szolgátatókánt meg semmi értelmes kontroll nincs afelett, hogy ki a pék állíthat ki certet a domainemre (a cert transparency max szépségtapasz), szóval az egész CA világ valójában hígfos.

Cigány világ a CA-k világa, az egyszer biztos. Főleg mikor jónevű CA-t vesz meg egy faszparaszt techmulti. Másik topikban apple kapcsán írtam, h. na azoknak szart se számít a hírnevük. Hiszen már ismertebb brand a földön mint a cica cola vagy a mekdönci. Innentől fogva ha alkalom van rá h. kaszáljanak 500millió $-t, cserébe lesz egy kis szardobálás rájuk a sajtóban, akkor röhögve állnak elébe. A CA-k világában meg nagyjából a hírnév, és a bizalom az ami az egész terület lényegét adja. Mert ugye egy nyomorult selfsigned cert-et a legutolsó retard IT admin is le tud generálni. De azt bárki is elfogadja hitelesnek, ahhoz kell az a bizonyos trusted middleman. Ha pedig ott törik a bizalom (mint gyémántkereskedőék között a szóbeli üzlet megszegése), akkor az a kompánia abban a nanosecundumbam esett ki a pikszisből, és a ceo-ja akár fel is kötheti magát. A zöld pipájuk ugyanis 1-2 héten belül pirosra változik a legnagyobb 2 böngészőben.

Szerencsére az elmúlt években jópár CA-t kirakott a browser-dzseditanács, miután rajtakapták őket mindenféle megszemélyesítéses (*.facebook.com cert-ek házon belüli kiadásakor stb.) disznóságokon. Márpedig a gugli szeme itt bizony tényleg és szószerint mindent lát az egész világon! Elég  véletlenül egy ilyen cert-re az elkövetőknél rábökni egy chrome-ot futtató gépen. A CRL query már megy is a gugli szerverére, és 1 mp. törtrésze múlva már nyoma is van egy nyíltan kereshető adatbázisban az illegálisan generált titkos cert-nek.

Anno, amikor még jobban követtem ezt a témát, Mozilláék valahogy jobban a sarkukra álltak és dobáltak ki CA-kat különféle előírások megsértéséért. Pl ez: https://blog.mozilla.org/security/2016/10/24/distrusting-new-wosign-and-startcom-certificates/

Erre most mi látok itt... https://wiki.mozilla.org/CA/Forbidden_or_Problematic_Practices

A "Backdating the notBefore Date" csak a "Potentially Problematic" kategória alatt van, nem pedig a "Forbidden" alatt?! Ezzel pedig nagyon sok root CA cert visszavonást ki lehet játszani, mert itt (https://ccadb.my.salesforce-sites.com/mozilla/RemovedCACertificateReport) rengeteg esetben úgy vontak vissza CA certet, hogy a Firefox a korábban kiadott certeket még elfogadja notBefore-re beállított constraint alapján.

Hát nem gondoltam volna, hogy ez ennyire felpuhult...

Régóta vágyok én, az androidok mezonkincsére már!

Szerintem is ez lehetett, félreírta az URL-t, bele a keresőbe, az meg dobta tovább a nem eredeti oldalra, mivel félre van írva. Ezért kell egy oldalon a tanúsítványt is nézni, a https nem viccből van mindenkire rákényszerítve, ezt nem értette hajbi is, hogy nem az ideálkapitalista, fősodratú mérnökurak megelégedését szolgálja. Bankok erre tényleg ügyelnek, hogy már a tanúsítványból látszódjon, hogy eredeti az oldal, ne ilyen ilyen himi-humi cert hitelesítőktől legyen, ahonnan bárki tud akármilyen certet szerezni.

A banki app mobilon ennyiből biztonságosabb, mert egyrészt szintén alá van írva hitelesen, plusz, ha fake valami, azt a letöltők gyorsan kiszúrják, jelentik, a store-ból eltávolítják, és nem él sokáig. Ilyen fake oldalak a neten viszont sokáig megbújnak, és adott esetben rohadt nagy kárt okoznak, mire fény derül rájuk. Elvileg ha valaki élelmes találja meg, gyorsan rájön, hogy kamu, jelenti a kereső meg a böngésző/reklámszűrő filterek karbantartóinak, akkor akár órákon belül eleshet ilyen.

Persze az egész több lépcsős, mert történetünk főhősét még a jóváhagyó SMS-ek is védték, csak ugye olvasni meg szöveget értelmezni luxus, hosszú, bonyolult, kinek van arra ideje, neki biztosan élete volt, és azt élte helyette.

“The world runs on Excel spreadsheets.” (Dylan Beattie)

Szerintem is ez lehetett, félreírta az URL-t, bele a keresőbe, az meg dobta tovább a nem eredeti oldalra, mivel félre van írva. Ezért kell egy oldalon a tanúsítványt is nézni, a https nem viccből van mindenkire rákényszerítve, ezt nem értette hajbi is, hogy nem az ideálkapitalista, fősodratú mérnökurak megelégedését szolgálja. Bankok erre tényleg ügyelnek, hogy már a tanúsítványból látszódjon, hogy eredeti az oldal, ne ilyen ilyen himi-humi cert hitelesítőktől legyen, ahonnan bárki tud akármilyen certet szerezni.

Ha ki tudja szolgálni a kamu domain a random palimadarat, akkor fog tudni rá tenni DV certet, ezen a https mindenkire rákényszerítése nem segít. 

egyik nagy cegnel szembesultunk vele, hogy az userek nagy tobbsege ugy lep be a webmailba, hogy beirja a keresobe, pl cegnev levelezes vagy ilyesmiket. meg regebben a weboldalukon volt a menu vegen egy webmail belepes menupont, sokan azt hasznaltak. aztan mikor egy honlap frissites soran ez kikerult onnan, hirtelen tomegevel sirtak az userek, hogy nem tudnak belepni a levelezesbe. eltartott egy kis ideig mig kiderult, hogy mi az oka :)

( strogg v | 2024. 01. 08., h – 16:20 )

Szerkesztve: 2024. 01. 08., h – 16:23

Miért nem ült mellette egy banki alkalmazott, egy itsec szakértő, egy 3 diplomás programozó és fogta a pici kezét egy felnőtt embernek, hogy a legalapvetőbb digitális írástudás hiányán is átsegítse? Felháborító, de tényleg!

 

Mondanám: a f--omért nem figyelsz oda amit csinálsz??? Ugyanez ismerősi körben: feltörték a facebook-om mit tegyek? most már semmit. Legközelebb állítsd be a két faktoros hitelesítést, olvasd el ha felugrik valami, ne játszál "mi lesz az unikornis nevem egy gay bárban" játékkal, sőt helyből face api tiltás beállítása a settings-ben, és OLVASD el a posztot mielőtt megosztasz valamit. Válasz: és "én ezt honnan tudjam?" (mert mondjuk a csapból is ez folyik?), "én ezt már nem tanulom meg" stb... Erre nem tudok mit mondani, megérdemli az ilyen.

-42-

Legközelebb állítsd be a két faktoros hitelesítést

Legközelebb OLVASD EL!! a feletted  levő Raynes kommentjét!! Értő olvasás.

Raynes:

Persze az egész több lépcsős, mert történetünk főhősét még a jóváhagyó SMS-ek is védték,

Vagyis 2 faktoros hitelesítést használt! Ami egyébként régóta kötelező ennél a banknál.

Egészen szürreális, hogy a kommented 12 szavazatot  kapott                                - ami egyéni csúcs - úgy, hogy te is komoly IT -s vagy és az oldalon még sokan mások is.

Az volt a gond, hogy helytelenül értelmezte az sms(eket), azt hitte, az új laptop miatt jönnek.

( buccaneers v | 2024. 01. 08., h – 16:27 )

Szerkesztve: 2024. 01. 08., h – 16:46

a lakosság 80%-a nem érett a digitális korra..

 

kieg:

- Egyébként GOOGLE a hibás azzal, hogy volt olyan jófej az URL címsort keresővé változtatni -- régen betanulták/felírták az URL-t és azt írták be.

- azzzemberek már nem tudják, hogy mi a www, url, http, https.

- semmi egészséges paranoia nincs bennük, mindent elhisznek/elfogadnak

Kérdés:

- mit írt ki? mire nyomtál OK-t ?

Válasz:

- nemtudom, de tovább ment..

Istennel a hazáért és a szabadságért !

Még a 2000-es évek elején: kolléga telefonál, hogy jöjjek már át gyorsan, mert valamit kiírt a gép.
Mondom neki olvad már fel légyszi!
Felolvassa (angol OS volt fent, angol üzenet)
Mondom neki, figyu, te sokkal jobban tudsz angolul, fordítsd már le nekem légyszi.
Lefordítja.
Kérdezem: Kellek még?
Válasz: Jaaa, nem. Köszi.

semmi egészséges paranoia nincs bennük

az se tűnik fel nekik, ha azt mondják nekik,  csak 2 oltás és védett leszel, viszont az oltatlanok veszélyeztetnek téged !,  aki VÉDŐ oltásokat kapott,

Aztán pár hét múlva az se, hogy semmit sem érnek  a megkapott oltások, szükség van még továbbiakra is.

( Zs | 2024. 01. 08., h – 16:35 )

A probléma magva, hogy a bank (illetve esetünkben a könyvelő) terel boldogat és boldogtalant az  elektronikus ügyintézés felé. Azt is, aki annyit ért a netbankoláshoz, mint ebihal a longobárd lótenyésztéshez. Ez természetesen garantálja azt hogy legyen áldozata a kiberbűnözőnek. És amíg a banknak ez "nem fáj", mert ki tudja húzni magát a kártérítés alól, addig neki mindegy - viszont ha nem képzi az ügyfelet (illetve sját üyintézőt, hogy ilyen esetben mik az alapok, amiket meg kell mutatni), addig neki ez megspórolt idő. Azt meg tudjuk: az idő pénz...

Emlékszem amikor megnyitottam az államkincstáros számlám volt valami kockázat felmérő lap amit én mint modern állampolgár ÁVDH-val írtam alá, olyan hiánypótlás lett abból , hogy nem látszik az aláírás ... Mert az íráskép fontos ( azért nyitottam online, hogy soha se lássanak helyszínen)

Bónuszkérdés:

aláírattam valami papírt AVDH-n az ügyfélkapus akkountommal. A kész aláírt pdf-en rajta virít az AVDH pecsétje vizuálisan ha megnyitom Acrobat Reader-ben, ez eddig stimmel.

Na de az hol látszik, hogy én Gipsz Jakab ügyfélkapus felhasználó írtam alá digitálisan ezt a dokumentumot, és nem Lófasz Jóska ügyfélkapus felhasználó?

Mert a cert chain-en végigmentem az Acrobat Reader-ben, de az én nevem nem jelent meg olvashatóan sehol egy cert Attributum-ban sem.

Vagy van erre valami letölthető célprogram, ami ezt az egyetlen lényeges körülményét az egész digitális aláírásosdi-nak meg tudja vizsgálni?

Kössz! Na ezt holnap megnézem, mert nem bökte ki a szememet h. van ilyen csatolmány is a pdf-en belül.

És valóban, PDF-beli csatolmányban ott volt a másik pöcsétes dokumentum az előző lepecsételt dokumentumról! Bámulatos hol tart már a tudomány. 

nekem egyébként az volt eddig a benyomásom, hogy amit "kockázat felmérő lap" címszóval tolnak, annak a kiértékelése inkább arról szól, hogy mekkora balek vagy és mekkora kockázatot vállalsz be vakon. Ha nem adod be, hogy tőzsdeügynök vagy, aki mindenhez is ért és mindent bevállal, hanem azt mondod, hogy nem végeztél még ilyesmivel milliós nagyságrendben heti szinten, bár te egyébként banki szoftverekkel foglalkozol és gazdasági informatikus vagy, akkor az jön ki, hogy nem felelsz meg :D

Anno mikor sok éve aktiváltattam egyik banknál a számlacsomagom befeketetési részét konkrétan az ügyintéző kérdezz-feleleke közben mondta, hogy válasszak mást, mert nem fogok különben megfelelni. Úgy, hogy jobban ismertem az általa eladni próbált szarok költségvonzatait és kockázatait. A saját vackaik feltételeivel nem volt tisztában, mint ügyintéző.

Ha nem adod be, hogy tőzsdeügynök vagy, aki mindenhez is ért és mindent bevállal, hanem azt mondod, hogy nem végeztél még ilyesmivel milliós nagyságrendben heti szinten, bár te egyébként banki szoftverekkel foglalkozol és gazdasági informatikus vagy, akkor az jön ki, hogy nem felelsz meg :D

Nem felelsz meg bizonyos termekek kereskedesehez. Szerintem ez tok rendben van. Nekem is van gazdinfos diplomam, egy budos szot nem beszeltek pl. option tradingrol. A banki szoftver meg barmi lehet. Evekig fejlesztettem banki szoftvert, a kollegak 99%-anak fegyvert foghattal volna a fejehez, akkor sem tudta volna mondjuk a Black-Scholes kepletet, ott doglott volna meg mind a 700 "banki szoftverrekkel foglalkozo" informatikus. :)

Ha se vegzettseged nincs, se tapasztalatod, akkor ezekkel a papirokkal boritekolhato a margin call, ugyhogy inkabb azt mondjak, hogy nem neked valo.

Félreérted. Ezeknél ilyenről szó sincsen. Nem felvételi vizsga.
Csak egy random példa, ilyesmi a legtöbb helyen a teszt
https://www.generali.hu/GeneraliETDownload.aspx?type=ContentItem&genera…

Ebben nem látok semmit az alkalmasságról (legnagyobb jóindulattal is max a tapasztalatot lehet beleképzelni), ellenben minél veszélyesebben szeret élni valaki, annál több pontott kap - jó ügyfél, lehet rajta nyerni. Ha nem vagy elég kockázatkereső, akkor nem engednek befektetni rajtuk keresztül.

Nem ertem felre, tudom, hogy mirol van szo.

Ez egy biztosito, itt nincsenek komplex termekek, csak befektetesi alapok. Ennek megfelelo "bonyolutsagu" a teszt. Sikeres ember nem lehet, aki ilyen helyre teszi a penzet. Viszont tedd mondjuk melle egy rendes brokerceg mifid-tesztjet, es nezd meg a kulonbseget. Az IBKR meg konkret vizsgaszeru kvizt is ker toled, ha necces, hogy esetleg hazudtal a tapasztalatodrol.

Nekem egyebkent a fenti peldabol nem derul ki, hogy a kockazatkerulo kategoria ne adhatna nekik oda a penzet megorzesre. Azt a nehany szazalekos eves dijat igy is, ugy is le tudjak vonni toled, max nem engednek kockazatosabb alapot venni.

( PDA_FAN | 2024. 01. 08., h – 17:17 )

Szerkesztve: 2024. 01. 08., h – 17:27

Egy percig sem vitatom, hogy az "MBH" betűsor begépelése során számtalan gépelési hibát lehet véteni, de mégis mi a retek volt az, amit beütött, és amire első találatnak rögtön az MBH fake oldal jött fel a találati listában? Csak mert az MBH-ra guglizva az első kéttucat találat egyike sem ilyen. De még ha MHB-t ütök be MBH helyett, akkor is az első néhány találat az MBH-ra vezet. De még ha a "vállalati netbank" kifejezésre keresek, akkor sincs ilyen találat.

(Bocs, hogy nem kattintottam végig mind a 65 ezer találatot...)

.gondolom windows 11

Az lehetetlen! A hvg-n olvastam és ők sosem hazudnak!

Tech: A Windows 10 lesz a legutolsó Windows

Erre ráerősítve Steve Kleynhans, a Gartner piacelemző kutatási vezetője a BBC -nek azt mondta: nem lesz Windows 11. A Microsoft egy közleményben magyarázta meg a dolgot.

https://hvg.hu/tudomany/20150511_a_windows_10_lesz_a_legutolso_windows

Jelenleg én is csak ennyit tudok, amit ide is írtam: https://hup.hu/comment/2921110#comment-2921110. Az MBH oldalán elérhető ez is: https://www.mbhbank.hu/lakossagi/vica-takarek-netbank-es-takarek-mobila…

Egy ismerősöm pénzét vitték el úgy, hogy ismerték a login/jelszó párost, és a bank felülete engedte átállítani a 2 faktoros auth-ot biometrikusra így. Ezért kapcsolták le a biometrikus azonosítás engedélyezését a rendszerükben, talán már egy éve is, vagy még régebben. Rendőrségi feljelentés meg lett téve, ahol azt mondták, nem ő az egyetlen áldozat... Fejlemény azóta még nincs, legjobb tudomásom szerint.

Lesz másik. Csak azt nem értem, hogy miért pont az MBH-ra álltak rá, mert a többitől nem jön soha semmi kamulevél.

A mai:

Mass mailer: hxxps://hcr.adv.br/cache/a/c/d/y/b/g/psh.php for 37.120.144.231 (<- lebuktak a mimagyarok :))

Linkchain: 
hxxps://paco.systeme.io/proxy/request/2469974b63b123717eeb464093b16dddf2753
hxxps://fdeb.info/.well-known/-/mbh/mkb/signin.php

VLC-re is volt cirkusz 1-2 éve, h. a google keresőbe bedobva első helyen egy kamu -frissen regisztrált- domain-t hírdetett, amin keresztül terjesztettek malware-t. Pedig azt többen ismerik, mint egy random k-európai banánköztársaság gagyi bankjának online felületét.

( theadam | 2024. 01. 08., h – 17:29 )

Ehhez az is hozzátartozik, hogy a 40--50-es korosztálynál egyre többször tapasztalom, hogy büszkeségből nem kér segítséget és 'ne okoskodj, ne nézz hülyének', mindezt azért, mert az ilyen emberek nagyrészének a korának fele sem vagyok... Gondolom cikinek érzi az ilyen, hogy nem ért hozzá, ezért előadja, hogy még is, de ha baj van, kétszer annyit kell takarítani...

TheAdam

( nantal | 2024. 01. 08., h – 17:46 )

Az is szép látvány, hogy egy olyan híroldal prédikál a kiberbiztonságról, aminek a böngésző sávjában felkiáltójeles lakat vigyorog :)

( Sixday v | 2024. 01. 08., h – 17:55 )

Szerkesztve: 2024. 01. 08., h – 17:55

Megint egy bizonyíték arra hogy a mobilapp fényévekkel biztonságosabb.

Felejtsük már ezt a netbank marhaságot. Recipe for disaster.

-1

Copy/pasteljél te számlaszámokat mobilon, meg pötyögj be összegeket, neveket, hivatkozási számokat érintőképernyőn billentyűzet vagy copy-paste helyett, másolj ki számlatörténetet táblázatkezelőbe, stb. Mobil UI a disaster.

Nekem ez kínszenvedés azon a kis kijelzőn, egérrel sokkal egyszerűbb normális monitoron nézve. Eleve nem látod egymás mellett a netbankot, meg mondjuk a PDF-et, amiből másolsz.

Már a számlatörténet on-demand betöltése (csak annyit töltünk, amennyi a képernyőre épp kifér) is elég nagy fos, amit a mobil UI-król vettek át.

Inkább szüntessék meg az azonnali utalást, mondjuk fél óra alatt hátha bekattan az embernek, hogy valamit mégse jól csinált.

Inkább szüntessék meg az azonnali utalást, mondjuk fél óra alatt hátha bekattan az embernek, hogy valamit mégse jól csinált.

Azt lesheted.

Inkább az lenne jó, ha a bankokban lehetne kérni h. védjenek meg sajátmagadtól. És akkor pl. opcionálisan lehetne kérni az azonnali átutalás letiltását, menjen a szokásos 2-3 óra késleltetéssel. Persze, a george is tud olyat h. egyedileg minden átutalásnál rákérdez instant menjen v. sem, de ez nem megoldás, ha éppen ellopjál a pénzedet egy továbbutalással. Ha központilag lenne tiltva az akkountodra az instant átutalás tiltása, akkor azt természetesen az app-ból nem lehetne felülbírálni. Csakis személyesen, vér vizelet és székletminta személyes bemutatása és azonosítás után.

De persze nem, ilyet nem lehet kérni. Helyette fel lehet venni hitelt mobilbankos app-ból automatikus elbírálással pár perc alatt. Csak h. azt is el lehessen lopni a paraszttól. És nem, azt sem kérheted h. a kurva bank legyen szíves tüntesse el a te app felületedről azt a kibaszott instant-hitel-igénylés gombot nehogy mellékattintva automatikusan egy pillanat műve legyen. Mert a tetves bank abban érdekelt, h. felvegyed a kurva hitelüket, még ha véletlen mellékattintással is, csak fusson le gyorsan a kibaszott backend processz, és utána moshassák kezüket ha cancellezni próbálnád.

Valószínű amíg az ilyen csalásokért a bank semmilyen felelősséget nem vállal, nekik káruk ebből nem keletkezik, úgyhogy leszarják. Az se izgatja egyiket se, hogy legalább a csalók beazonosításában tegyenek valamit.

Impulzusvásárlás mintájára lett impulzus-hitelfelvétel :)

Enyémnél van "deposit account" és a másik sima lakossági folyószámla.

Kettő közötti különbség többek közt, hogy a deposit account az amelyiknél van betéti kamat, másiknál meg nincs, ott viszont van gyors utalás.
Van bank ahol "savings account" néven fut és pl kötvényekbe, nemesfémek, vagy egyéb dolgokba fektetheted a pénzed - mondjuk ilyesmihez nem értek, nem is adok befektetési tanácsokat.
 

Ugyanolyan nagyságrendű feladat az egyik is mint a másik. Arra viszont nem kaptam választ, hogy az így az üf. által elindított, de megállított(?) tranzakciót hogyan "élesítheti" vissza az ügyfél? Mert ugye az a félelem, hogy a netbank/mobilbank nem jó, mert kompromittálódott - ergo vagy bankfióki ügyintézés kell, vagy videóbank (arcfelismerés, okmány bemutatás, egyedül a szobában, etc.). Igen, telebank - azt bárki mondhatja, hogy ő Gipsz Jakab... Oké, telebank kód, amit nem lehet neten/mobilos app-ban megváltoztatni, az talán lehet elégséges az azonosításhoz... (a természetes azonosítók nem, mert azokat bárki megszerezheti/ismerheti).

Szóval a folyamatban vannak még az ötletet előadó által nem igazán átgondolt lépések...

Sehogy nem kell élesíteni, egy grace period (pl. fél óra) után automatikusan továbbmegy. Megállítani viszont a szokásos csatornákon bármikor meg lehet, a megadott grace perdion belül. Ennyi ideje van a usernek kapcsolni, hogy hohó, nem is ő indította az utalást. Utalás indításáról persze minden lehetséges csatornán (SMS, email, notification, postagalamb) kap értesítést.

Upd.: amit ő megállított, azt nem kell visszaélesíteni - törölni kell.

Azt úgy hívják, hogy időzített utalás, és van rá lehetőség. Az, hogy x összeg fölött (hol lehessen beállítani az x-et?) mindenképp a leghamarabb x óra múlva kerüljön feladásra a tranzakció a Giro felé (addig legyen függőben, az összeg meg zárolásban), illetve ha bankon belüli, akkor meg addig ténylegesen ne történjen meg a terhelés/jóváírás, az is egy plusz funkció, amit végig kell járni, hogy a jelenlegi számlavezetőben/giro-s küldésben hogyan valósítható meg.
És a kérdés még most is ott van: hol legyen a beállítási lehetőség? És milyen timeout-tal működjön? (Mert az azonnal életbe lép az 1Ft fölött késleltetett legyen helyett a 20M-ig afr-ben menjen (default) állapot nem jó, hiszen ha ez van, akkor aki el akar utalni gyorsan sokat, ezt fogja először átállítani...)

Ezt átállítani (idő, összeghatár, ahol életbe lép) csak valami nagyon erős hitelesítéssel lehessen (bankfiók, telekód, meg még amik vannak, ezekről fogalmam sincs, minden esetre amivel netbankolni lehet, az ne legyen elég hozzá). És a választott összeghatár felett nem opcionális, hanem minden bankon belüli/bankon kívüli utalásra érvényes. Saját számlák közt mondjuk nem.

De azért hagy ne találjak ki én minden részletet, elvileg erre vannak emberek a bankban is :D Azért ha valamelyik bevezeti, az ötletért szívesen megadom a számlaszámom, jöhet rá a jutalék - felőlem fél órás késleltetéssel is jöhet :)

Tehát legyen olyan lehetőség, ami gyakorlatilag ugyanaz, mint a megbízás feladása bankfiókban, papír alapon, hiszen ahhoz, hogy elmenjen az adott tranzakció, bankfiókban meg kell jelenni (ehhez nem is kell netbanki felületen feladott speciálisan tranzakciót kialakítani). Vagy "B" lehetőségként a netbankban legyen speciálisan feladott tranzakció,a mit nem lehet netbank/mobilbank irányból aláírni, csak videóbankon keresztül, ott szükséges azonosítással. Ez egy új tranzakciótípus a netbank/mobilbank felületen, és egy plusz folyamat a videóbankban - korlátja, hogy csak a videóbank üzemidejében használható. (Már ott, ahol van ilyen szolgáltatás), vagy "C", telebanki extra kód, amit csak személyesen (bankfiók vagy videóbank) lehet módosítani (külön folyamat erre fióki/videóbanki ügyintézéshez, külön kód tárolása/kezelése a számlavezető rendszerben), és a speciálisan feladott tranzakció a netbank/mobilbank felületen (új tranzakciótípus), illetve új folyamat a telebankban, ügyintézővel, aki beazonosítás után a speciális utalós kód bizonyos számjegyeit bekérve tovább tudja engedni a tranzakciót - új funkció a telebankos operátoroknak adott felületen.

Mindezeket szabályozásban, oktatásban, díjszabásban, miegyébben lekövetni - a fejlesztéseken túl...

Ertelmes gondolatot akarsz? Legyen. Amit nehanyan eloadtok itt a hupon a banki szoftverekrol, veled az elen, az egy borzaszto tulzas. Aki csak banki IT-ban dolgozott, annak esetleg meglepo lehet, de a bankiszektor azert nem az engineering csimborasszoja. Ugyanannyi takolas van benne, mint barhol mashol. Szerintetek mindenki csak webshopot ganyol, es csak ti vagytok a helikopter? Vagy mi?

Annyi kretenseget meg szoftverben nem lattam, mint nehany magyarorszagi banknal. Persze minden ugy van eloadva, mintha valami kurva nagy miszticizmus lenne mogotte, amire nehany laikus dontoshozo a business-ben ra is bukik, mint gyongytyuk a takonyra, de itt a HUP-on azert nem ti eltek csak IT-bol, itt eggyel nehezebb megvezetni a hallgatosagot.

Ertelmes gondolatot akarsz? A core banking IT nem bonyolult.

A témához kapcsolódó értelmes gondolatot vártam a nagy tudású gelei úrtól, de úgy tűnik, nem tud ilyet hozzátenni

Mire vagy kivancsi pontosan? Szerenytelenseg nelkul allithatom, hogy tenyleg nagy a tudasom, ugyhogy kerdezz batran!

A core banking valóban nem bonyolult, de itt picit távolabb vagyunk ettől.

Marmint hogy peldaul lehessen limitet beallitani egy egyszeru belfoldi utalashoz?

Nem tudom mit nem ertesz, a banki IT olyan komplex hogy a Meta es Tesla mernokei felvaltva onnan kernek szaktanacsadast.

Pontosan ez az a fajta vallalati kultura az ami miatt sosem lesz hasznalhato rendszere egy klasszikus banknak se, mert ahhoz nem kifogasokat kereso emberek kellenek, akik abban erdekeltek hogy 20 eves processhez nehogy hozza kelljen nyulni.

Ha annyira nagy a tudásod, akkor azt is tudod, hogy ez nem csak a számlavezető rendszert érintő módosítás. Kell ott is egy paraméter, amit a számlavezető rendszer felületére kivezetve kell tudni módosítani, illetve a netbank/mobilbank felületen meg kell tudni jeleníteni. Ez utóbbiakban az átutalás feladásakor vizsgálni kell ezt a paramétert, és ha az utalni kívánt összeg ennél magasabb, akkor értéknaposan lehet csak feladni, legalább x óra múlva teljesítendő tranzakcióként, _és_ már a benyújtásról értesítést küldeni az ügyfélnek(!) - hiszen az a cél, hogy észlelje, és szükség esetén megállíthassa a tranzakciót. Azaz a tranzakcióértesítésbe is bele kell nyúlni. "B" lehetőség a fraud-ba belehákolni - ekkor az AFR-en feladott limit fölötti tranzakció alapból sikertelen lesz, az üf. kap egy "sikertelen" nyugtázást, és próbálkozzon másképp...

Úr isten, több rendszert is érintő módosítás. És még paramétert is ki kell vezetni, ráadásul az alapján még a vezérlésbe is bele kell nyúlni. 

Érti ő ezt szerintem, te nem vagy képes megérteni, hogy gelei is látott már komplex rendszereket, mert hogy az informatika ezekkel van tele, és amit te rendszeresen előadsz, hogy úristen ettől mindmeghalunk, és nagyon bonyolult, az simán csak a business as usual az informatikában.

még szerencse, hogy más rendszerekben nem kell másról gondoskodni, mint pl nincs semmilyen folyamatok, szabályozás (jog, fraud, egyéb területek) környéke...

4 és fél éve csak vim-et használok. elsősorban azért, mert még nem jöttem rá, hogy kell kilépni belőle.

Igen igen, lépten nyomon azt hangoztatod, hogy hát pikk-pakk összeraknánk, csak hát a sok köcsög szabályozás meg folyamat. A kedvenc "csak egy mező kell a weboldalra" példád is erről szól... /sarcasm off. Mondd, miért nézel madárnak?

Egyébként pedig, lehet, hogy ez meglepő lesz, de folyamatok mindenhol máshol is vannak, hiszen az üzleti informatika az üzleti folyamatok támogatását végzi. És azt a nagy titkot is szeretném elárulni, hogy nem a bankszektor az egyetlen szabályozásokkal megterhelt ipar ám, szóval de, ez továbbra is business as usual.

Egyébként valóban szerintem is van köze annak, ami történik a szabályozásokhoz: a bankok pontosan annyit csinálnak meg, amivel ki lehet elégíteni a szabályozást, mert ha az nincs meg, akkor megbasszák őket. Azokat is annyira, amennyire muszáj, hogy átmenjenek, és meg legyen a pipa, mert valójában csak útban van nekik. A többi nem érdekes, szóval ha nincs beleírva a szabályozásba, hogy a user az összes szart kikapcsolhassa, vagy erősebb azonosításhoz köttethesse a saját igényeinek megfelelően, akkor ez sose lesz megcsinálva. Ha belekerülne a PCI-DSSXYZbe, hirtelen kiderülne, hogy mégis csak meg lehet csinálni.

Ráadásul még a szabályozások is elég viccesek. Emlékeim szerint pl a kedvenc fraud detectionöd azért ilyen felkapott téma, mert a kedves bankok kisírták, hogy inkább azt csinálják, csak nehogy minden tranzakcióra kelljen a 3DS azonosítás, mert az kényelmetlen lesz az ügyfélnek (az meg, hogy sokkal biztonságosabb, ugye le van ejtve, majd előadjuk, hogy hát miért volt balfasz :) ).

A netbank/mobilbank jobb helyen direktben nem nyúlkál bele a számlavezető adatbázisába, maximum queue-n keresztül "beszélgetnek", illetve bizonyos adatokat a számlavezető felől "tolnak" a netbank/mobilbank alá. És ha már van üf. által befolyásolható paraméter, akkor az üzlet/marketing/stb. fog kérni róla mindenféle kimutatást, elemzést, úgyhogy adattárház oldal is érintetté válik- azaz egy "pici" igényből elég sok helyen lesz fejlesztés/módosítás. Igen, meg _lehet_ csinálni, de ahogy korábban már valaki írta, amíg nem jogszabályi kötelezettség vagy extrém nagy ügyféligény, addig nem fognak rá költeni a bankok.

 

Igen, meg _lehet_ csinálni, de ahogy korábban már valaki írta, amíg nem jogszabályi kötelezettség vagy extrém nagy ügyféligény, addig nem fognak rá költeni a bankok.

Abból látszik, hogy nem érted, miről beszélünk, hogy fel se fogod, hogy az egy kritikus mondat volt :) 

Pontosan értem, hogy mint minden vállalkozás, az összes pénzintézet is arra törekszik, hogy a költségeket a minimumon tartsa. Ez, és a rengeteg, kizárólag a banki licenszhez "járó" szabályozás az, ami miatt sok "de egyszerű lenne" dolgot nem csinálnak meg a bankok.

Nem írok rá ide specifikációt.

Valószínű a legtöbb banknál jelenleg is van olyan lehetőség, amivel nem azonnal lehet utalni, hanem legalább értéknap szerint. Esetleg jobb esetben időpontot megadva. Szóval nem egy atomtudomány, hogy ha az ügyfél úgy állíttatta be / az az alapértelmezett, akkor ne azonnali, hanem időzített legyen a tranzakció mindenképpen (valamekkora idővel későbbre a rögzítés idejéhez képest, ami a csalás esetén elegendő kell legyen a megállításhoz). 

Arra is kell legyen a banknak folyamata már, hogy magasabb szintű akciót hogyan lehet végigvinni. Azt lehet alkalmazni a korlátozás feloldásához is. Van ahol app telepítéshez minimum telebank felhívás kell külön arra szolgáló kóddal például. 

Meg lehetne oldani, hogy legalább annak, aki kéri, ne legyen letilthatatlanul bekapcsolva olyan csoda, amit nem ért és amivel átverik, azonnal leüríthetik a számláját. Mert oké, hogy valsz lehet teljesen offline számlát is csináltatni, de a szomszéd városba átbuszozni kicsit macerásabb, mint valami hirtelen átveréssel szemben megerősített opciós szolgáltatást használni. De a banknak nem érdeke, mert nem keres vele pénzt, felelősséget áthárít.

Írtam, hogy értéknapos utalás most is van, de a netbankon/mobilbankon _kívüli_ jóváhagyás, mint funkció az mindenképp alapos átgondolást és tervezést, illetve fejlesztést igényel. Az, hogy az AFR, mint _default_ utalási mód (20M alatti, nem értéknaposként feladott tranzakciókra) per user tiltható legyen és/vagy az értékhatár üf. által _nem_ a netbankon/mobilbankon beállítható érték legyen... Na az sem "csak" egy gomb a felületen... Pláne, hogy a paraméterezést _nem_ a net/mobilbanki felületen képzeled el.

A gond inkább az, hogy az alapos átgondolást/tervezést meg se kezdték. Addig meg nehéz. Pedig nem lenne annyira nehéz megoldani, elsősorban nem az IT része, ami bonyolult, ha egyszer jól van specifikálva.

Pl. lehetne lehetőséget adni (a kártyahasználati limithez hasonlóan) egy azonnali átutalási limitre, amit a számlatulajdonos állíthat be, és a limit feletti utalásokat ne lehessen azonnaliként rögzíteni, csak értéknaposként, ahol a rögzítés és az értéknap közti időt szintén a tulajdonos állíthassa be. És ha ezen módosít (növeli az értékhatárt vagy csökkenti a limitidőt), a módosítás ne léphessen életbe az eredeti limitidőhöz képest hamarabb. Természetesen a módosításról mindenképpen menjen SMS és (amennyiben van mobilbanki alkalmazás) push üzenet.

" lehetne lehetőséget adni (a kártyahasználati limithez hasonlóan) egy azonnali átutalási limitre, amit a számlatulajdonos állíthat be," - Ha a limit beállítása ugyanott/ugyanazon a felületen történik, aminek a kompromittálódásától félünk, akkor sz@rnak a pofon, hiszen a csaló első dolga lesz ezt ellenőrizni és átállítani. És ha a hülye user megadja az sms-ben kapott kódot, vagy a push-ban érkező jóváhagyást, akkor tök mindegy...

Ja, és a kommunikációra szolgáló mobilszám/mobil eszköz cseréje/módosítása is újragondolandó folyamatilag, ahogy írod is: "elsősorban nem az IT része, ami bonyolult" - a folyamatok kialakítása/módosítása, a szabályozás jogilag megfelelő átszabása a problémásabb.

 

Igen, ha a limit beállítása ugyanazon a felületen van, akkor a csaló ezt át tudja írni. Ahogy azt is írtam, hogy ennek az átírásnak is határidősnek kell lenni, az ügyfél egyidejű értesítésével. Még a push üzenet megerősítése után is.

A folyamatokról:

Ez így igaz. Bonyolultabb, mint maga a fejlesztés. De ezért vannak a bankoknak különféle termékfejlesztői, szervezői, jogi osztályai, hogy az ilyen problémákat komplex módon kezeljék.

"De ezért vannak a bankoknak különféle termékfejlesztői, szervezői, jogi osztályai, hogy az ilyen problémákat komplex módon kezeljék." - Na ja... vannak.. De néha tényleg az a kérdés, hogy mi a... töknek. Persze fordítva is igaz: kitalálnak valamit, jól végigtolják, megrendelés, fejlesztő leszállítja, az üzemeltetés/itsec/hálózat/akármi meg csak pislog,mint hal a szatyorban...

Ja, végülis sokkal jobb, ha az appstore-ból keresésre esik ki egy kamu banki app és azt rakod fel*. Mármint jobb a támadónak, mert sokkal többmindenhez fér hozzá a telefonodon.

Sokkal jobb abból a szempontból is, hogy a 2FA-nak mindkét faktora ugyanazon az eszközön van. Megintcsak a támadónak, mert egy piszokkal megvan.

* Mielőtt azt mondod, hogy ilyen nincs, gondolj bele, hogy a keresőt - amiben a kamu netbank oldal kijött első találatnak - jó eséllyel pont ugyanaz a "gatekeeper" cég üzemelteti, aki a telefonos Appstore-t.

Régóta vágyok én, az androidok mezonkincsére már!

ú ne ism mond az appokat. Play storeban, ha nem elérhető már az alkalmazás, akkor automatikusan egy másik hasonló telepítőképernyőjét hozza be sponzoráltként. 
Múltkor egy már nem feljesztett authentikátor appnál (Sophos Authenticator) voltam így, hogy néztem mi a fasz, aztán láttam, hogy ez nem is az az alkalmazás, hanem megszűnt a fejlesztése és levertték a storeból.

Ennek apropojan en is gondoltam utanaolvasok, hogy miert is dobtak az EV cert kijelzest a bongeszokbol.

https://www.troyhunt.com/extended-validation-certificates-are-really-really-dead/

Nos a valasz rendkivul egyszeru: a CA-k trehanysaga es mohosaga miatt, akik szepen elkezdtek boldog-boldogtalannak $100-ert "streamlined process" kereteben EV certeket kiallitani anelkul, hogy komolyabban ellenoriztek volna, hogy megteveszto-e.

Viszont a bongeszokben szerintem kb a leheto legrosszabb modon kezeltek a problemat. Most teljesen sikerult atesni a lo tulso oldalara, Firefox-ban is kb 5 kattintas melysegbe van eldugva, hogy a subject name-et vegre lathassam. Az bezzeg kinn figyel, hogy "Verified by Netlock kft", de az nem, hogy a cert Totalisannemvagyunkcsalok bt-nek vagy az MBH Bank Zrt-nek lett-e kiallitva.

A helyes megoldas pont az lett volna, amire hivatkozva a Mozilla ekezi az EU Qualified Web Authentiacation initiativat: egyszeruen ki kellett volna hajitani a megbizhato CA-k kozul, akirol kiderul, hogy megfelelo ellenorzes nelkul EV certet kiallit. Pont. Nyilvan ezt a CA szolgaltato cegek nem merik megkockaztatni.

Régóta vágyok én, az androidok mezonkincsére már!

egyszeruen ki kellett volna hajitani a megbizhato CA-k kozul,

Dehogy, itt kellene egy tokos EU-jogalkotas, es azt mondani, hogy ha kiallitottad valakinek az EV certet, es utana azzal penzt csaltak ki valakitol, akkor a hibasan tanusitott ceg merlegfoosszegenek a 20%-at fizesd be.

Amint kimenne az elso sarga csekk mondjuk egy hamis otp.hu cert utan 7 373 332 millio (nem eliras) forintrol, masnaptol rend lenne az EV-piacon.

Ugye most úgy adnak ki tanúsítványt egy URL-re, hogy azt kell bizonyítanod hogy te éppen hozzáférsz a szerverhez, és a felhasználó számára egy Let's encrypt tanúsítvány és egy drága üzleti tanúsítvány pontosan ugyanúgy (nem) látszik. 

Innentől kezdve igazából az egész HTTPS-nek nincs nagyon értelme, tekintve hogy az egyetlen dolgot amit biztosít az az, hogy az adatok biztonságosan utaznak a böngésző és a szerver között, de hogy a másik oldalt ki van, az nem derül ki. Persze tök jó hogy nem tudnak man in the middle attack-ot csinálni, de valójában meg a hamisított oldalakkal ugyanúgy beszivatják az átlag netezőt.

Ehhez képest az EU azt szeretné, hogy az QWACS tanúsítványokat vezessék be, tudják kiadni az EU-s tanúsítványkiadó cégek. Ezek pont ugyanolyan SSL tanúsítványok mint amiket eddig is kiadnak, viszont  a QWACS esetében történik egy rendes azonosítás (vagy személyazonosítás, vagy cégazonosítás) és ezek az infók belekerülnek a tanúsítványba. Az azonosítás a tanúsítványkiadó feladata, és meg kell őrizniük a bizonyítékokat sok-sok évig, tehát ez egy plusz védelmi szint a csalók ellen (Kovács Bélá-nak nem fognak tanúsítványt kiadni az otpbank.hu domain címre, bármennyire is szeretné). Ez növeli a biztonságot, hiszen a felhasználó meg tud győződni arról, hogy a tanúsítványt kinek is adták ki valójában. 

És hogy a kérdésedre választ adjak:

"For QWAC issuers, in addition to annual audits the issuers must also undergo constant monitoring by their auditor as to all system or procedural changes that are made between audits, plus annual evaluation by an independent Conformity Assessment Body, plus monitoring and approval by a national Supervisory Body (e.g., a Ministry) before they are added to the EU Trust list and can begin to issue QWACs."

Tehát fel sem kerülnének az EU-s trusted listára azok a cégek, akik nem megbízhatóak. Azért ez szerintem elég komoly megszorítás.

Én azt tudom mindenkinek javasolni hogy a következő dolgokat tegye:

- használjon egy komolyabb webes védelmet adó szoftvert (pl. Malwarebytes Premium)

- weben keresztül ne intézzen pénzügyeket, vagy ha intéz, akkor csak olyan banknál aminél van mobilos belépés (pl. OTP QR kódos belépése)

- saját bankkártya adatokat ne adjon meg, csak webkártyát

- mind a kártyáján, mind pedig a számláján legyen egy limit

Nem engem kell alapvetően meggyőznöd, csak arra akartam utalni, hogy QWACs kicsit a spanyolviasz újrafeltalálásának tűnik nekem (a törvényi garancia viszont jelenthet minőségi különbséget az EV-hez képest, nyilván...). De most már elkezdtem utánaolvasni, hogy mégis mi a fene szerepel az Article 45.2-ben, amitől ekkora para van.

Ez a jelenleg érvényes változat: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2014.257.01.0073.01.ENG#d1e3039-73-1

Ez a legutóbbi javaslat: https://www.europarl.europa.eu/cmsdata/278103/eIDAS-4th-column-extract.pdf

Itt van egy hosszú diskurzus róla: https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/wOAsjdGla9g/m/w8YYMJwIAwAJ

Ha jól értem azon paráznak, hogy a "Qualified certificates for website authentication issued in accordance with paragraph 1 shall be recognised by web-browsers" azt jelenti-e, hogy törvényileg kötelező elfogadniuk ezeket a CA-kat. Ha tényleg ezt jelenti, akkor valóban aggasztó, hogy a kormányok előírhatnak kötelezően megbízhatónak jelölt CA-kat.

Viszont a következő mondatok alapján - szerintem - nagyon nem erről van szó: "Web-browsers shall ensure that the identity data attested in the certificate and additional attested attributes are displayed in a user-friendly manner. Web-browsers shall ensure support and interoperability with qualified certificates for website authentication referred to in paragraph 1..."

Ami szerintem ez alapján kötelező, hogy a böngésző ismerje fel a QWACs-hez előírt extra cert attribútumokat és tegye ki a felhasználó számára nyilvánvalóan látható helyre. Gyakorlatilag az EV cert kijelzés jöjjön vissza, csak a QWACS által előírt attribútumok alapján. Szerintem abszolút nem utal a megfogalmazás arra, hogy automatikusan el is kellene fogadnia a certet (ha azt amúgy nem tenné).

Régóta vágyok én, az androidok mezonkincsére már!

Annyira sajnos nem vagyok otthon az EU-s jogszabályok angol nyelvű szakterminológiájában, hogy ugyanezt biztosan ki merjem jelenteni a "shall" szó ottani értelmezéséről.

Ennek híján kicsit szándékosan is próbáltam a "pesszimista" értelmezést feltételezni, hogy mi van, ha mégiscsak kötelezően ír elő valamit. Ettől függetlenül és is hajlok rá, hogy nem ezt a kifejezést használnák, ha tényleg erős kötelező erejű követelményt fogalmaznának meg. De most a célom az, hogy megpróbáljam megtalálni, hogy lehetséges-e értelmezés, ami indokolja ezt az ellenkampányt.

A másik ilyen a "recognise" szó, amit jelentheti azt, hogy "felismer", de jelentheti azt is hogy "elismer" (úgy mint valakinek az érdemeit). Ez utóbbit - ha megint szándékosan ördög ügyvédjét játszok - akkor talán lehet úgy (félre)érteni, hogy az "accept" szinonimája. De ez már nagyon túlzásnak tűnik. Különösen, hogy a rákövetkező mondat arról szól, hogy (f)elismert attribútumokat meg kell jeleníteni a felhasználó számára. Egyszerűen logikailag a szöveg kohéziója alapján adja magát, hogy a "felismer" értelmezést használjuk. Ha tényleg azt akarná a szöveg jelenteni, amit Mozilláék állítanak a kampányban, akkor sokkal direktebben kellett volna fogalmazni. Megjegyzem, ők sehol nem idézik a konkrét szöveget, vajon miért...

Régóta vágyok én, az androidok mezonkincsére már!

Sok évvel ezelőtt (talán már tíz?), amikor megnyitották az utat az új TLD-k előtt, létrehoztak egy .bank nevű TLD-t, akkor az volt az elképzelés, hogy a bankok majd az alatt igényelnek domaineket a biztonságos bankoláshoz. Természetesen kötelező DNSSEC és még ki tudja, milyen követelmények voltak bevezetve, így meglehetősen kevesen vették ezt igénybe. Tudtommal magyar bank egy sem. Pedig akár elő is lehetne írni a használatát, sokkal nehezebb lenne a fake oldallal átveréseket elkövetni.

( szekelyk | 2024. 01. 08., h – 18:57 )

Mondjuk érdekes, hogy a jelenlegi konglomerátum mbhbank.hu oldalon jön be, az mbh.hu webhely nem elérhető hibaüzenetet ad,www előtaggal is. Pedig a bank a tulajdonosa. Az mkb.hu, és a budapestbank.hu az mbhbank.hu-ra visz. A bb.hu meg egy bárhol bármikor nevű 18+ oldalra. Lehet, hogy az mbh.hu volt a fake oldal csak már nem érhető el?

Az otp.hu rávisz az optbank.hu oldalra.

( Elbandi v | 2024. 01. 08., h – 20:45 )

kesz szerencse hogy ez egy szabalyzott piac, itt vissza tudjak adni az ellopott penzed, ellemben a bitcoinnal, mert ott nem!!! :D

A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

( mraacz | 2024. 01. 08., h – 21:29 )

Kiskolleganőm néhány évvel ezelőtt egy reggel zokogva hívott. Az ovi előtt betörték a kocsija ablakát, kivették a táskáját az anyósűlésről, megtalálták benne a pénztárcáját, benne a bankkártyáját és a mellé gondosan kis cetlire felírt PIN kódját. 15 perc alatt leürítették a bankszámláját.

A bankkártya nyilván nem biztonságos, sokkal jobb lenne, ha háromszintű ellenőrzés lenne helyette, ujjlenyomattal, mobiltelefonos azonosítással és irisz ellenőrzéssel.

mellé gondosan kis cetlire felírt PIN kódját

Megérdemli. Viszont az ilyen hülyék miatt fogják az én szabadságomat is felszámolni.

Azt is teszi mindenkivel, kicsinyekkel és nagyokkal, gazdagokkal és szegényekkel, szabadokkal és szolgákkal, hogy az ő jobb kezökre vagy a homlokukra bélyeget tegyenek;

És hogy senki se vehessen, se el ne adhasson semmit, hanem csak a kin a fenevad bélyege van, vagy neve, vagy nevének száma.

(Jelenések könyve 13: 16-17.)

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

nalam is fel van irva a pin kod a kartyara! legalabbis csak egy pin-ek latszo szamsor, amibol csak en tudom hogy kell a tenyleges pint "visszaallitani" ;)

lehet probalkozni az algoritmus kitalalasaval! 3szor :D

A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

Létező probléma, a Security Engineering könyv egyik fejezete tárgyalja az "ujjak a befőttes üvegben" problémakört és miért is nem megbízható az ujjlenyomat, vagy bármi biometrikus.

A könyv egyébként hamarosan ingyenesen hozzáférhető itt az szerző jóvoltából, én csak ajánlani tudom:
https://www.cl.cam.ac.uk/~rja14/book.html

( hajbazer v | 2024. 01. 09., k – 01:17 )

Biztonsági szempontból ennyit ér valójában a frissített rendszer az újravásárolt csiligépen.

Pont erről dumálok, hogy Tapicskoló Tamás egységsugarú tech-birka a leggyengébb láncszem az informatikai biztonságban és kevés múlik az OS frissességén, agyontűzfalazottságán, agyonvírusirtózottságán. Egy legacy rendszeren (pl. Windows XP-n) nagyobb biztonságban van egy hozzáértő felhasználó, mint egy hozzánemértő egy biztonságosnak™ marketingelt, friss rendszeren.

Különböző dolgokat zagyválsz össze, ez a tipikus román vírus esete, a faszi magának csinált rosszat. A probléma része a nemtörődömség. Egy részét lehetett volna kezelni, ha a rendszert amit használ (és itt nem a google vagy a számítógép, hanem a bank). De el tudom képzelni, hogy ez lett volna annyira balfasz, hogy a jobb rendszert is cirkunveriálja.

Az emberek nem a hozzáértő meg a seggfej felhasználót hasonlítja össze, hanem az átlagot. Az átlag ennél jobb (még). Biztosan állítható, hogy megy Windows XP-n kisebb biztonságba lenne a user, többek között az elavult titkosítási megoldások miatt képtelen lenne bármit is használni amit komolyan vesznek.

a faszi magának csinált rosszat. A probléma része a nemtörődömség.

Idáig teljes mértékben egyetértek.

el tudom képzelni, hogy ez lett volna annyira balfasz, hogy a jobb rendszert is cirkunveriálja.

Még ezzel sem vitatkoznék.

Az emberek nem a hozzáértő meg a seggfej felhasználót hasonlítja össze, hanem az átlagot.

Az átlag nem hozzáértő is simán belefut hasonlóba, máskülönben nem az átlagot céloznák meg hasonló támadásokkal.

Az átlag ennél jobb (még).

Szerintem nem. Az átlag r=1 fogyasztó birkát ugyanígy be lehet szopatni.

Biztosan állítható, hogy megy Windows XP-n kisebb biztonságba lenne a user

Az átlagfelhasználó mindkét (friss és legacy) rendszeren kisebb biztonságban lenne, a kisebb biztonsági szintet nagyságrendileg nem az OS különbsége adná. Ha százalékosan mérjük, akkor egy egységsugarú átlagbirka úgy 10%-osan van biztonságban, amihez a friss Windows 11-e hozzáad mondjuk 1%-ot. Egy hozzáértő 90%-os biztonsági szinten van, amiből a Windows XP elvesz 1%-ot, tehát 89%-ig lesz biztonságban, de ha a Windows XP 10%-ot venne el, még akkor is sokkal nagyobb biztonságban lenne, mint tapicskoló barátunk az újravásárolt laptopjára frissen telepített Windows 11-e előtt.

többek között az elavult titkosítási megoldások miatt képtelen lenne bármit is használni amit komolyan vesznek.

Windows XP-re elérhető friss böngészőkkel minden olyan szolgáltatást képes (vagyok) használni, amit komolyan vesznek.

( end | 2024. 01. 09., k – 08:43 )

Valljuk be őszintén, semmit sem tudunk a valóságról. (Talán majd kinyomoznak valamit. De, ebben az országban a "számla-kopasztás" ténylegesen és erősen nem csak hacker-érdek. Sajnos nagyobb esélyt látok arra, hogy bár a bankszámlán ilyenkor némi valós hiány mutatkozik, de a többlet jelentős részét nem hackerek zsebekben kellene keresni. - (A történet valósága jó eséllyel korrelál az "officiális statisztika" által kimutatott magyar jövedelemátlaggal. - Akár az IT-sekével is.)

( willy v | 2024. 01. 09., k – 08:48 )

"Az ősszel aztán meglépte ezt, vett egy új laptopot, hogy a vállalkozáshoz kapcsolódó dolgokat (számlázás, ügyfélkapus ügyintézés, bankolás, céges járulékok utalása stb.) kizárólag azon intézze. Korábban mobilapplikációt használt bankolásra, ami éveken át jól működött, nem volt vele semmilyen probléma. "

1, évek óta elektronikusan bankol, (láttam it szakértést, hogy "nem ért hozzá") akkor hogy csinálta a mobiján?
2, MHB <- nincs csodálkozás. 

Miért is kellett a laptopra áttérni a mobilappról (már ez zavaros)

Aztán jön a mese (valakit csak hibáztatni kell)

"Amikor megvette az új laptopot, azzal együtt bement a bankba, és kérte, hogy az ügyintéző segítsen neki belépni, mert évek óta nem használta a netbankját, és már nem emlékezett, hogyan is kell csinálni."

"A banki ügyintéző felírta neki egy cetlire a netbanki azonosítót, azonban (bár a laptop ott volt), magát a belépést nem mutatta meg, nem adott semmi különösebb instrukciót."

Mégis mi a bánatos pömpölőt csináljon? Komolyan gondolja, hogy egy banki alkalmazott hozzányúlhat egy idegen számítógéphez? Vagy kattintgatási útmutatást vár? Vagy "A" számítógépen ez nem pont ugyanaz mint "B" számítógépen (de). Mi van ha mégis ad instrukciót, akkor nem történik meg? De, ennyi körültekintéssel simán. 

 

Jön a második hibás:

"A vállalkozó és neje nem tudják elfogadni, hogyha a rendőrség és a bank is tudta, hogy egy klónoldalon fosztják ki az embereket, miért nem tettek ellene semmit." 

Tesz b+ ha felismeri letiltatja/utánamegy. Naponta 3 új van. Fel sem fogja. 

 

Tudom, iszonyatosan fájdalmas. Van egy 2.4m+ laptopja ami jó esetben 100e-t ér, ez nagyon kellemetlen tud lenni. A csalás pedig eléggé szotiszfikált már, nem csak az ekkora balfaszok tudják megszívni. De ez nem változtat rajta, hogy ebben az esetben szinte kizárólag ő a hibás.  De a legszomorúbb a sztoriban, hogy úgy gondolja csak ő nem hibázott. 

( wladek1 | 2024. 01. 09., k – 11:02 )

Azert ha nem a 24.hu, origo, telex, borsonline, nlc, osszeshulladek lenne az elsodleges hirforras ilyen temaban, talan hitelesebb lenne minden. 
Egy ujsagironak nem feladata a tenyek talalasa, az elobb, hogy kattintasokat generaljon. Anno -'12 korul- a HVG keszitett velem egy telefoninterjut, minden benne volt kiszinezve, amit mondtam, az egyetlen full valos adat a nevem volt.

Error: nmcli terminated by signal Félbeszakítás (2)

( dyra | 2024. 01. 09., k – 14:04 )

Ez a bank hibája. Az emberek nem képzettek digitálisan, tehát a banknak kell kitalálnia valamit. Az azonnali átutalás mire jó amúgy? Miért nem lehet az megint 1 napos? Lenne időd észrevenni, hogy épp kirabolnak?

Az azonnali átutalás mire jó amúgy? Miért nem lehet az megint 1 napos? Lenne időd észrevenni,

jaj... ez teljesen úgy hangzott mintha te lennél a laptopos ember. (bocs, nem támadólag, de tényleg). Mit változtatna az hogy megtudod 1 nappal később hogy elment a pénzed? Vagy te azt gondolod másodpercenként nézi mennyi van rajta, vagy a rendszer óránként küld üzenetet? Lenne időd észrevenni.... 
Meg a bank a hibás... Nos az a katyvasz ami ott van biztosan nem segít, de könyörgöm, mit kellett volna még tennie a banknak mikor azt küldte ki neki, hogy "figyelj ilyen kérés érkezett, ha nem te csináltad jelezd a banknak". Ilyenkor jön a CIB megoldás "nem lehet átregisztrálni önállóan mert az sok visszaéléshez vezet, tudjuk nem ez van leírva, de ha betelefonál, azonosítja magát átírjuk". "eszemf*szommegáll" 

NEM. Én bevedtem magam, virtuális kártya, wise, revolut, több számla több bankban, befektetések, BTC, ketfaktoros hitelesítés mindenhol stb..  De látom hogy sok embernek micsoda kihívás ezeket kezelni megérteni. Ezért mondom ne szórakozzanak és krealjanak olyan biztonsagi megoldást hogy az ATLAG user ne érezze magát veszélybe! Mire jó ez a sok digitális megoldás ha simán viszik a lovedat? Ennél még a KP is jobb lett volna a párna alatt.

Egy nap alatt több esélyed van észre venni hogy elcsesztel valamit. Ennyiben jobb az egynapos atutalas. És még nincs ott megfogható a love. Ha nem akkor a törvényhozó hozzon olyan törvényt hogy megfogható legyen mert azzal ne etessenek hogy megoldhatatlan. Sőt most se értem miért nem lehet vissza szedni a lóvét. Nincs nyoma? Nem visszakovetheto vagy mi? 

Ja, persze. Ott vagy épp egy boltban, szervizben, akárhol, és kiderül hogy csak átutalással lehet fizetni, ha nincs nálad épp elég készpénz. Mondjuk egy autószerelőnél. Utald el a lóvét, aztán majd gyere vissza akkor az autóért, ha már átment az utalás, és le is könyvelték.

Mert ha már lazítunk, akkor esetleg térjünk vissza ahhoz is, hogy egy nap az átutalás, meg még egy nap amíg a bank a beérkezett lóvét a számlára lekönyveli. Merthogy volt idő, amikor ez így ment.

Amugy figyu mar, miert az az axioma, hogy csak ugyanaz lehetne a folyamat egy szazforintos utalasra, mint egy szazmilliosra?

Ha az autoszerviz elker tolem 300k-t, akkor az persze, hadd menjen azonnali atutalassal. De ha utalok 50M-et egy generalkivitelezonek, akkor ott rohadtul nincs igeny azonnali utalasra, boven raerne mondjuk 24 ora mulva.

Az azonnali utalás egy baromi jó dolog. Rengeteget megspórol a magánembernek és a cégeknek is. 
Időben és/vagy a kártyás fizetés költségeiben. 

Van egy csomó modern fraud-detection megoldás, a gyanús tranzakciókat elég jól el lehet kapni.
Ja hogy a kedvesügyfél bankjának nincs, hát ez ciki.

Gábriel Ákos

Hagyjuk már ezt az áldozathibáztatást. Ha egy rendszerben sok embert károsítanak meg ott nem az emberekkel van a baj hanem a rendszerrel. Nem tudják biztonságosan üzemeltetni akkor ne üzemeltessék. KP biztonságos. Azt ha el is lopják sokkal nagyobb eséllyel visszaszeded mit ahogy ezek lopnak. 

Burkolt állítás ezt úgy hívják. Te csak kérdezel amiben van egy állítás. Lopásnal sokszor elkapják a tolvajt utána visszakapod a lovet. Elhagyni nem fogsz sokat és valószínűleg megsemmisülni se fog sok. Netbankodat feltorik viszik az összes loved és még egy jó kis hitelt is a nyakadba akazhatnak. Utána meg jönnek az okosak és megmondják te voltál a hibás mert megadtál minden adatot amivel hozzáfértek a lovedhoz. Vicc. 

Én nem vagyok egy bankellenes ember, de abban azért van kétségem, hogy azonnali áutalásnál van-e fraud-detection megoldás, illetve hogy technikailag ez lehetséges-e. Bankkártyás fizetéseknél biztosan van ilyen, meg ott könnyen kivitelezhető, mert az összeget egy bizonyos ideig csak zárolva tartják a számlán, nem emelik le. Csalás esetén ez idő alatt a bank a tranzakciót még vissza tudja vonni. Az azonnali átutalás viszont elvileg maximum 5 másodperc alatt teljesül és azt nem lehet visszavonni.

A nem azonnalit még egy darabig (talán még az értéknap előtti napig) vissza lehet vonni. Én azt támogatnám, hogy az azonnali átutalásnál legyen egy napi limit. Azt az ügyfél határozhassa meg és csak offline lehessen módosítani. A mostani tranzakciónkénti 20 millió Ft limit eléggé veszélyes lehet tapasztalatlan felhasználóknak. Persze tudom, hogy ilyet megoldani költség és ha erre nincs nagy felhasználói igény vagy ha jogszabály nem írja ezt elő, akkor nem fognak ilyet bevezetni.

Én nem vagyok egy bankellenes ember, de abban azért van kétségem, hogy azonnali áutalásnál van-e fraud-detection megoldás, illetve hogy technikailag ez lehetséges-e

 

Nem tudom, hogy bekötve be van-e, de van olyan megoldás, amivel bele lehet férni az időbe. Egyébként imho van bekötve, nem néztem, hogy kötelező-e, de az biztos, hogy az ig3 faq egész sokat értekezik róla. arról pl biztosan, hogy lehet olyan folyamatot csinálni, ahol már a rögzítés (tehát az 5 mp startpisztolya) előtt ér nekiállni fraudot queryzni. Gondolom ahogy beirta a formba az adatot, felküldik. 

Így van. Továbbá az 5mp alatt az összeget "elkölthetővé kell tenni" azaz nem muszáj (és sokszor nem is lehetséges) a teljes könyvelést elvégezni. 
Az "elkölthetővé tenni" az tulajdonképpen egy "pozitív összeg zárolása" a céloldalon.
Nem emlékszem már ennyire a részletekre de nem tartom kizártnak hogy a tranzakció teljes lezárása előtt még (mindkét oldalon) vissza lehessen azt tekerni fraud esetén.
Ez természetesen a banknak rizikó, de vagy "gyorsabb a fraud detektálás és beleférsz mindenestül az 5mp-be" vagy "vállalod a rizikót". Általában vállalják a rizikót mert olcsóbb.

Gábriel Ákos

"de abban azért van kétségem, hogy azonnali áutalásnál van-e fraud-detection megoldás, illetve hogy technikailag ez lehetséges-e. " - Van, annak _is_ bele kell férnie a szumma 5s-be.

 

"ha erre nincs nagy felhasználói igény vagy ha jogszabály nem írja ezt elő, akkor nem fognak ilyet bevezetni." - Itt a lényeg, a mondat második felében.

( theadam | 2024. 01. 10., sze – 11:42 )

Ez az egész történet megint kiváló példája annak, hogy a technikailag szabadnak és eleinte hozzáértőknek tervezett internet és az átlagfelhasználók finoman szólva sincsenek közös halmazban.

Bárki bármilyen domént regisztrálhat, vs. legyen egy trusted rendszer, de a trusted rendszerben mi a gátja a pozitív / negatív diszkriminációnak?

Nagyon jó az azonnali utalás, a kényelmes bankolás, napi szinten használom, de amikor elkezdem mesélni, hogy Revolut-ra topup-olok, használom a zsebeket, a limitáras vételi megbízásokat, mindig meglepődnek sokan, hogy ez micsoda bonyolultságú dolog.

 

Valami megoldás kell, hogy megvédjék a felhasználókat sajátmaguk ellen, csak attól tartok, hogy a technológiai szabadságot ez nagy mértékben fogja korlátozni.

TheAdam

Amíg a nagy felhős monopóliumok és a security-re hivatkozással, ezer féle módon a felhasználótól is védett, operációs rendszerek ki nem alakultak, sokan voltak ösztönzöttek a tanulásban. Tele volt a világ az IT-t megtanulni akaró, sok mindent már értő emberekkel.., (2000-res évek!)

de mára kivették a felhasználók kezéből az irányítást. (Az egyszerű reklámszórás, vagy a fantasztikus "Copilot" teljes kikapcsolásához, (egész pontosan a kikapcsolására az állandóan felugró "pop-up"-ot a mobilomon, - vagy hasonlókra a Windows-on, - nincsen jogom, mint ahogyan ahhoz sem, hogy miért kell egy mobilnak naponta több ezer internetes kapcsolatot felépítenie az "ősellenség cégek" szervereivel, amikor nem kívánom használni semmilyen körülmények között a szolgáltatásaikat. (Persze ennél nyilván bonyolultabb, - mert bevásárolják magukat mások applikációiba, vagy össze-vissza linkelik egymást a portálok. Facebook-META.)

Tehát a példák alapján nem csoda, hogy a "fiatal felhasználói kar" - úgy érzem, - kivonult a mélyebb "elköteleződést" kívánó számítástechnikából, és még az előtt, hogy bevonult volna. (Normális ember nem örül a rendszerek általi folyamatos szívatásának. - Persze, mi itt "perverz örömmel" tesszük, de az "abnormális" természetesen a kisebbség.)

Abszolút igaz. A 2000-es években még látható volt, hogy aki leül a gép elé, az minimális szinten tudja mi fán terem. Mostanra ez hogy úgy mondjam durván megváltozott... Minimum azt se tudják, mi a weboldal és az APP közt a különbség, a Word gyakorlatilag ugyanabba a halmazba van, mint a Gmail a Chrome-ban...

( sz332 V | 2024. 01. 10., sze – 16:39 ) Permalink

Ez szembemegy a bank érdekeivel, mert ha egy klikk a hitel, meg fogja igényelni az átlaguser a karácsonyi bevásárlás előtt, ellentétben azzal, ha hosszú process-eken kéne átmenni. Az adós meg jobb, mint a nem adós:D

TheAdam

Igen, ez a fajta szakmai arrogancia is már a 2000-es években is tettenérhető volt. Akkor nagyjából úgy, hogy aki gép előtt ült és nem tudott legalább BASIC-ben programozni, az hülye. Most már nem az a szint, hanem mindenki az. Kb. olyan felfogás, mint az, hogy ha valaki autóba ül, akkor kéne értenie az autószereléshez, ha bekapcsolja a TV-t, akkor a TV javításhoz is. Ahogy ezeket nem várjuk el, ugyanúgy nem elvárható mindenkitől, hogy tudja, mi fán terem a számítógép. Ez van, tudomásul kell venni, és azoknak kell tudomásul venni, akiknek ez a szakmája. (azaz nekünk)

Egyrészt igazad van, másrészt viszont manapság az a tendencia, hogy olyanokra építik rá emberek az életüket, egzisztenciájukat, aminek a legminimálisabb mértékben sincsenek tisztába a részleteivel...

Nem érthet mindenki mindenhez, de számomra alap, ha valamilyen általam megoldhatatlan probléma felmerül és szakembert hívok, legalább 5--10 percet utánaolvasok az adott dolognak, mert a szakinak is könnyebb, ha legalább tud valami támpontot a problémáról, meg nekem is, mert nem teljesen vakon vagyok. Amit problémának látok, hogy a legtöbb embernek ez a minimális tájékozódás is kimarad.

TheAdam

Ha 5-10 perc utánaolvasással megérted a biztonságos authentikációs megoldásokat, akkor gratulálok :) De szinte bármit kiragadhatnék az informatikából, akár a hálózati alapokat, stb. az alapelvekhez is kevés ennyi utánaolvasás. Nem beszélve arról, hogy találd meg hozzá a hiteles forrást. Laikusként....

Jah, megnézném hány ember áll neki TLS 1.0 könyveket olvasni ahhoz h. netbankolni kezdjen PC-n. Okostelefonon meg még az sek biztos, h. mit kellene olvasni hozzá, ott az app az szándékosan el is rejt minden ilyen technikai részletet.

Aztán meg kuki-lopó technikákról BlackHat meg Defcon videókat 2017-ből, h. nehogy ellopják az auth cookie-ját.

Nem is értem egyesek itt mit hisznek az átlag magyar információtechnológiai képzettségi szintjéről.

5--10 perc arra bőven elég, hogy legalább az leessen, hogy mekkora blama lehet az odafigyelést nélkülöző online bankolásból.

 

Egyébiránt a netbankolás nem egyszeri dolog, nem is egy Foodora rendelés. Számomra elképesztő, ha már az online ügymenet időt spórol, emberek miért nem képesek rászánni arra, hogy egy kicsit edukálódjanak. A csapból is az folyik, hogy egyre több az átverés vagy az átverési kísérlet. Ahogy minden egyre egyszerűsödik és a havi számlák befizetése töredék időbe kerül, mint elmenni a postára, sorbanállni és befizetni a csekket, úgy az emberek egyre kevésbé akarják rászánni azt a fél-egy órát.

 

A legnagyobb baj, hogy mindenki azt hiszi, vele nem fog megtörténni...

TheAdam

( influencer | 2024. 01. 10., sze – 14:30 )

"Valami megoldás kell, hogy megvédjék a felhasználókat sajátmaguk ellen"

Lehetne megoldás, de az embereknek nem tetszene, hogy évete vizsgát kellene tenni az internet használatból, különben nem használhatná. Ez nagyban visszafogná a gazdasági fejlődést világ szinten, ha ezt bevezetnék, ami soha nem fog megtörténni, amíg így működik a politika és a nagyvállalatok érdekegyesítése.

Az emberek többsége nem képes felfogni és átlátni ezeket.

Az emberek arra vágynak, ha ismeretek nélkül átverik őket, akkor kárpótolják ezért, de ne ők legyenek a hibásak.

Szerintem ha valakinek le tudod klonozni ugy a bankkartyajat, hogy te egy masik kontinensen vagy, es sosem talalkoztal fizikailag sem az aldozattal, sem a kartyajaval, de meg csak azt sem tudod, hogy hol bankol, akkor az a rendszer szar.

Ettol meg az atlag user lehet, hogy segghulye, ezt nem vitatom egy pillanatra sem.

A fenti esetben - ha a cikkből jól veszem ki - nem volt bankkártya-klónozás. Az akár másik kontinens és a fizikai találkozás hiánya stimmel. De ezzel a kitétellel a te kritériumaid szerint jó rendszer elvben sem létezhet, mert ha bármilyen megoldásban remote lehet műveletet végezni, onnantól kezdve nem kell fizikailag találkozni az áldozattal, csak megfelelő adatokat kell megszerezni.

A 'nem tudja, hol bankol' kitétel viszont itt nem áll meg, egy fake oldal, ami az adott bankot utánozta, eleve feltételezi, hogy tudja, hogy hol bankol az áldozat, másként nehezebb megtéveszteni.

Nem konkretan a cikkre reagaltam, hanem ugy altalanossagban.

Ahhoz, hogy igenyeljek egy bankkartyat, be kell mennem okmanyokkal a bankfiokba (vagy videobank, de erted...), de ahhoz, hogy ezt egy filippino scammer lemasolja, mar nem kell semmi. A user pedig nem kerheti, hogy ne lehessen digitalizalnia a kartyajat, mert mondjuk csak 1 db telefonja van, arra pedig mar megcsinalta. Azt se kerheti a user, hogy ne lehessen a neveben ket kattintassal hitelt felvenni az appon keresztul. Azt se kerheti, hogy az igy felvett hitelt valaki ugyanazzal a lendulettel elutalja kulfoldre.

Ez a rendszer szar. A user hulye, ez teny, de a rendszer is fundamentalisan elbaszott.

Ahhoz, hogy a meglévő számlámhoz igényeljek egy bankkártyát, néhány kattintás kell az e-bankban vagy a mobilbankban.

A kártya lemásolásához kell a kártya összes érzékeny adata (kártyaszám, lejárat, CVV), valamint a banki app jóváhagyása. A 'ne lehessen digitalizálni a kártyát' érdekes felvetés, megint felveti a 'de ha mégis, akkor hogyan lehessen feloldani' kérdés (telefoncsere, órára aktiválás esetén pl.) Hitel ugyanez.

Alapvetően az igény/hitelesítés kérdéskört kellene erősen körüljárni. A bank alapvetően azt szereti, ha az ügyfél nem megy be a bankfiókba (ezzel meglehetősen sok munkabért lehet megtakarítani, kisebb személyzet kell), alapesetben pedig az ügyfél is sok időt takarít meg, ha nem kell bemennie, tehát ez látszólag közös érdek. Viszont ezzel együtt járnak a most tárgyalt árnyoldalak, én nem igazán látom, hogy a távbankolás szellemét vissza lehetne pakolni a palackba - te meg fogalmazhatsz úgy, hogy a szart a lóba :) -, szóval ez már adott.

A lehetséges korlátozások jó része nem elsősorban technikai kérdés, hanem ügymeneti, valamint kockázatkezelési kérdés. Az összes korlátozás - kártyadigitalizálás, hitelfelvétel, átutalás, és biztos lehetne még mást is találni - esetén figyelembe kell venni a korlátozás, valamint a feloldás módját. Ezen kívül azt is, hogy milyen használati módok lehetségesek, és jelenleg - sajnos,vagy nem sajnos, ez most mindegy - elsősorban egy desktop és/vagy egy mobiltelefon áll elsődlegesen rendelkezésre, valamint a személyes megjelenés.

Meghatározni, hogy mit hol hogyan lehet intézni/visszavonni mondjuk az adott kockázattól függően önmagában sem egyszerű, talán azt lehetne csinálni, hogy számlanyitáskor, azaz személyes ügyintézéskor (videobankot lehetővé téve) eléd raknak N darab opciót, hogy akarsz-e kártyadigitalizálást vagy sem (ha igen, maximum hány példányban, és milyen módon), átutalást milyen összeghatárig hogyan (erről itt is volt már több lehetőség), ugyanez hitellel, és lehetne folytatni. Elég nehezen tudom elképzelni, hogy egy átlagos ügyfél ne dobjon hátast, ha ezekről akkor kellene döntenie, amikor beesik a bankba.

Ha pedig ezeket a bank határozza meg egységesen, akkor biztos az ügyfelek elég nagy részének ez nem lesz megfelelő.

Szerintem a hitel felvételhez és hasonlókhoz minden esetben ügyfélazonosításra lenne szükség, hogy ezt úgy oldják meg hogy be kell menni a céghez, vagy egy videóazonosítás keretében, vagy pedig dokumentumaláírásra szolgáló digitális aláírással, az az igény egy megvalósítása, de olyan ne legyen már, hogy egy klikkel lehessen hitelt felvenni, nekem, mint ügyfél, erre nincs igényem, és merem állítani, hogy az ügyfelek nagy részének se, amennyiben tisztességesen lennének tájékoztatva. Azt lehetne, hogy azt mondjuk, hogy a bank kockázata hogy ha nem kéri a fenti ügyfélazonosítást, viszont ha fraud történik, akkor ezt az ügyfélre nem háríthatja tovább.

Alapvetően azt csinálnám hogy mindenkinek engedélyezve van, de adnék lehetőséget ennek letiltására. Ezt utána appból/webről már nem lehetne visszaengedélyezni, kizárólag személyazonosítás után. Ugyanez működhetne a számlaforgalom korlátozására is, az OTP-nél alapvetően nincs korlát,
de ha bemegyek akkor ezt meg lehet változtatni. Miért nem lehet ezt úgy megoldani, hogy a korlátlan beállítást én  egyszer limitálom, és ha a limitet változtatni akarom, akkor ezt megint csak a bankfiókban lehetne módosítani, éppen úgy ahogy most, viszont egy kört megspóroltunk volna. A security-t ez erősítené, nem gyengítené, és a fiókok terhelését is csökkenteni tudná. 

Neee. December közepe el kell menni Telekom boltba (előfizetés váltás csak Sim cserével történhet, persze miért is lehetne kérni, hogy küldjék már ki..) , ami tanyán nincs, vonat, sorszámhúzás, három adategyeztetés, két mama aki csak azért ment be és húzott sorszámot , hogy megtudja ami le van írva , hogy kit hívhat az ünnepeken ingyen. Volt valami vállalkozó maca akinek fél órába telt eldönteni, hogy a cég vagy a saját nevére írja az előfizetést.

Magyarország én így szeretlek.

És? Nem kell gatyavàltàsnàl gyakrabban cserélni az elōfizetést.

3-5 évente ki lehet bírni egy-egy alkalmat. 2-3 havonta bankolok fiòkban, személyesen, havota postàzok, mégsem török össze ropiként...

"Maradt még 2 kB-om. Teszek bele egy TCP-IP stacket és egy bootlogót. "

Most sem cseréltem volna, ha a tisztelt Telekom pár hónapja nem dönt úgy, hogy mivel régi (2017-es) az előfizetés mostantól semmilyen opciót nem lehet bekapcsolni se a Telekom appban, se a weboldalon...

(Mondjuk az nem derült ki, hogy ez bug vagy feature de az új előfizetéssel hirtelen visszajött :))

2017-es az nem régi... 1997-es, na az régi... Volt is belőle gond: mobilnet nem ment külföldön, pedig unlimited net, EU-n belül próbálva. L3-ig elment a probléma, mert valami 1234 éve beállított és a sok migrálás során beragadt és a sima supportos előtti felületen sem látszó opció miatt nem működött - bő két nap volt, mire rendbe tudták rakni...

Érdemes simkártyát cserélni időnként, több okból is. Ott is van fejlesztés, hogy nem mindegy hogy milyen chip van benne, mennyit fogyaszt, mennyi memória, stb. A sim kártya határozza meg pl. hogy milyen frekvenciákon keres a telefon hálózatot, vagy hogy milyen hangkodek-eket használ.

Egyszer jártam úgy, hogy az új telefonom (szerintem akkor még valami flip-es nokia) baromi gyorsan merült. Mikor visszavittem hogy nem jó, akkor mondták, hogy kérjek egy SIM kártya cserét a szolgáltatónál, és nézzem meg azzal. És láss csodát, az volt a baj.

Aztán volt olyan is (ez már szerintem Androidos időkben, 2.1 vagy 2.3 környékén), hogy időnként tök hülyeséget csinált a telefon. Gondolt egyet újraindult, vagy úgy hogy az asztalon volt és hozzá se nyúltam, ledobta a hálózatot (emergency call only), majd pár perc múlva magához tért. Ez is SIM probléma volt.

Olyannal is találkoztam, hogy céges flottás telefon (tehát nyilván ugyanaz a szolgáltató), ugyanaz az előfizetés csomag, ugyanaz a telefon... Egy adott helyen egyiken majdnem fullos térerő, megy mobilnet meg minden, a másikon meg alig van térerő, nem lehet hallani a másikat, netről ne is álmodj. A különbség az volt, hogy az egyik egy friss (pár hónapos) simkártya volt, a másik meg 5 éves. Kicseréltettük, utána jó lett.

"Sose a gép a hülye."

De, lehet jó. Ha ott ahol van, megy. Egy sok éves GSM gatewaybe van valahol, ahol mindegy mennyit fogyaszt. És mondjuk csak SMS-t küld vagy fogad. De ha nem mindegy mennyit eszik... Vagy elviszed máshova és nicns térerő. Vagy csak simán szeretnél 4G-t, 5G-t... Vagy HD hanghívást. Akkor nem.

"Sose a gép a hülye."

SIM kártyákon szokták volt updatelni a kripto algoritmusokat (kerültek bele újabbak, nagyobb kulcsmérettel). Ezért volt pl. h. 2G-n könnyebb volt megtörni a kommunikációt mint 3G-n, mert 3G-n modernebb titkosítást használhat a SIM kártya nagyobb kulcsméretekkel, míg a csak 2G-t ismerő SIM kártyán csak a jóval régebbi titkosítások tudtak futni, így a toronnyal is csak azok használatával tudott kommunikálni.

Nem haltak még ki? Én utoljára kamaszkoromban használtam ilyet, OTP Junior kártyával. Csak mágnescsík, PIN kódot nem kért, de adtak egy bizonylatot, amit alá kellett írni. Manapság már egyáltalán nem is látok mágnescsíkos terminált. Egyedül Budapesten az Árkádban, a WC-ben van ilyen. Kíváncsiságból kipróbáltam, de működik. Chip olvasót nem is láttam ott, érintés nélküli leolvasó az van, az működik. Imprinteres vasalót pedig soha nem volt alkalmam használni. Nem jártam olyan országban, ahol volt. Nem tudom, hogy van-e még valahol.

Az összes olyan helyen, ahol az ATM nem kültéri, hanem benn az előtérben van, mágnescsík-olvasós zár van az ajtón. A bank nyitvatartási ideje után a kártyával tudod nyitni.

Mondjuk pénzt az ajtó nem ad, az ATM-ben meg van chip olvasó :-)

Ja, ilyen tényleg van még valóban. Bár ennek értelmére rájönni sosem tudtam. Talán régen, amikor még kevés embernek volt bankkártyája, adhatott egy presztízs érzést, hogy milyen király az, akinek oda "belépőkártyája" van. :-) Viszont mostanában szerintem még egy hajléktalannak is van bankkártyája, így oda most már igazán bárki bemehet szerintem.

Nem, hálisten a legtöbb helyen leszoktak róla, mert az egyetlen értelme az volt, hogy fel lehetett a tenni a helyére egy másikat, és kartya adatot lopni :-) (nem tudom, valójában csinálták-e). Védeni semmit nem védett, bármi nyitotta, én mindig vmi random ajándék vagy ilyen klubkartyát húztam le, de szerintem még mágnescsík se kellett volna, csak húzz át bármit). Pont mint a hotelekben a belépő kártyával kapcsolt áram, bármi jó bele. 

+ amugy sincs garancia arra, hogy aki ideteved kulfoldrol, az nem akar magnescsikkal fizetni (hello, fejlett USA!), szoval ahol nagy aranyu kulfoldi vasarlo van (hotelektol gyorsetteremig), ott lesz mindenfele terminal, nyugi :)

Plane hogy rengeteg hotelben meg mindig ugy veszik fel a kartyaadatokat, hogy van magnescsik-olvaso a billentyuzetben.

( pepelopez | 2024. 01. 10., sze – 15:33 )

a jogállam csődje hogy "mindenkinek" a lopáson jár az esze, ennyit a törvények visszatartó erejéről :)

( Adamyno | 2024. 01. 11., cs – 08:52 )

Ezekkel a balfaszokkal az a baj, hogy fingja nincs róla mi az az URL, mi a különbség a címsor és a kereső között...

És most mindenki hülye, csak ő nem.

Több sms-t is kapott róla, hogy mi történik éppen de azzal sem foglalkozott.

Komolyan mondom, BÜNTETNÉM az internethasználatot egy alap kezelői jogosítvány nélkül, mert lassan több munkát csinálnak az ilyenek, mint a közlekedési balesetek. Erre megy el a adófizetői pénz, hogy naponta 100 ilyen esetet nyomozgassunk kb. esélytelenül.

- Indítsd újra a gépet! - Az egészet? - Nem, a felét...

Jó, azért ha kirabolnak, akkor se téged kéne lecsukni, akkor se, ha te voltál a balfasz. Itt a probléma az, hogy "nyomozgassunk kb. esélytelenül". Nem lehet megfogni egy másik bankszámla tulajdonosát? Pláne ha belföldi. Ez (is) itt a probléma.

Amennyire hallottam, nem SWIFT átutalással nyúlják le a pénzeket, arra amúgy sincs azonnali opció (nekem volt, hogy EU-n belül 1 hónapig tartott, mire megjött...)

Oké, hogy vannak egyéb módszerek is, de az első lépcső az mindig belföldi.

SWIFT az elég sok idő, míg átmegy, azt szerintem ha akart lenne, meg lehetne fogni. A többit nem tudom, de gondolom mire a rendőrség vizsgálódni kezdene, addigra már tényleg bottal üthetik a pénz nyomát. Ezért is kellene, hogy maga a bank dolgozzon ki valami hatékony rendszert ezek ellen, de amíg törvény nem kényszeríti őket, addig mit izgassák magukat, nem az ő káruk.

SWIFT esetén függ attól is, hogy honnan hová. Ha a feladó és a címzettnek van ugyanannál a banknál nostro számlája, akkor pár nap alatt elmegy. Nemzetközi utalás EU-n belül lehet SEPA, az sokkal gyorsabb és olcsóbb is. Onnan meg aztán már ráér a több idő.

( Tassadar v | 2024. 01. 12., p – 09:57 )

Szerkesztve: 2024. 01. 12., p – 10:03

Egyik olvasónk férje kisvállalkozó, 20 éve az MKB-nál van számlája (ami időközben beolvadt az MBH Bankba).

eltűnt a számlájukról az ott lévő 2,4 millió forint

A férj összeomlott, hogy elúszott a családja, a vállalkozása pénze

Május 1.-n fogjuk ünnepelni hogy Magyarország 20 éve belépett az EU-ba.
Keveseknek hozott bécsi cukrászdát ez a húsz év..

https://m.hvg.hu/itthon/20140502_Akik_Becsben_nyitottak_cukraszdat

Bár a reklám 2004-ben kecsegtetett a bécsi cukrászdanyitás ígéretével, a „magyar helyek” robbanására az utóbbi néhány évig kellett várni: az általunk megkérdezett kinti magyarok szerint ennek az is az oka, hogy csak 2011 májusában nyílt ki teljesen a szabad munkavállalást az utolsó pillanatig korlátozó osztrák munkaerőpiac. 

Letelepedésre, illetve vállalkozás alapítására a magyar állampolgároknak már uniós társulási szerződésünk hatályba lépést követően, vagyis 1994. február elseje után lehetősége nyílt. Így valójában már 20 évvel ezelőtt bárki cukrászdát nyithatott volna a 15 uniós tagállam bármelyikében. Az uniós tagságnak kedvet csináló kampány ezzel valójában kicsit célt tévesztett: a szabad munkaerőáramlásra vonatkozhatott volna, amit viszont az osztrák nemzeti szabályozás 2011. májusáig korlátozott a közösségi jog adta lehetőséget (derogáció) maximálisan, az utolsó pillanatig kihasználva.

Off: ismert ember aki szerepel a plakáton? Sorosgyurka vagy Mécsimre?

( guszti | 2024. 01. 18., cs – 05:48 )

Friss történet, MBH-s ügyfél (volt Takarékbank). FBMarketplace-n hirdetett tárgyra jelentkezett vevő, közbeiktatva egy futár téma is. A történet vége az, hogy már csak az értesítő sms döbbentette rá az illetőt. Miszerint több milliós tételt rántottak le a számlájáról. A részleteket homály fedi. 

Ez már lassan egy éve menő csalássorozat. A vevő jelentkezik és egy futárcégesre hasonlító phissing oldalra irányítja az eladót azzal, hogy megszervezi a szállítást. A hülyék meg ész nélkül ütik a személyes és kártyaadatokat a mezőkbe.

"Maradt még 2 kB-om. Teszek bele egy TCP-IP stacket és egy bootlogót. "

Ilyet én SMS-ben kaptam, UK-ben. Jött egy SMS, hogy csomagot nem vettem át, az alábbi oldalon tudom a kiszállítást újra leszervezni: reselect-872102.com

Megnyitva az oldalt (már nem él) várta volna adataimat. Természetesen nem adtam meg semmit, azonnal rájöttem, hogy kamu, hiszen 1) akkor nem vártam csomagot (minden korábbi csomagot rég megkaptam, újat nem rendeltem sehonnan), 2) az oldal nem tartozott egy ismert futárszolgálathoz sem, 3) utánanéztem a telefonszámnak (+44-7359635451), amiről jött, és az egyik oldal azonnal fel is ismerte az adatbázisban, hogy pishing/scam-et jelentett róla több felhasználó.

Pár hete nem tulajdonítottam neki jelentőséget, de így, hogy írjátok, hogy ez egy nagy csalássorozat része, így gondoltam felhívom rá a figyelmet, hátha más is kap, be ne szopja.

“The world runs on Excel spreadsheets.” (Dylan Beattie)