Bezpecnost internetbankingu FIO d.z. II

Po delsi dobe je tu male pokracovani clanku o bezpecnosti internetoveho bankovnictvi FIO d.z.

Nacrtnul jsem v nem nektere nedostatky v bezpecnosti:

• pouziti jednoho vstupniho kanalu (pc klavesnice) pri autorizaci neni odolne proti utokum programu zachytavajici stisky klaves (keyloggerum)
• aplikace pro podepisovani stahovana pres nezabezpeceny kanal
• chybejici funkce expirace podepisovaneho klice

Bod prvni: zde doslo k vylepseni funkcnosti systemu. Pri prihlaseni do internetbankingu je nyni mozne zadavat heslo pres virtualni grafickou klavesnici. Toto reseni, pouzivane i jinymi financnimi ustavy pro prihlasovani – napr. Servis 24 nebo brokerjet CS, castecne chrani odchyceni vaseho hesla keyloggerem a prihlaseni z verejneho pocitace do internetbankingu nebude takovym rizikem pro uzivatele. Proc jsem pouzil slovo castecne? Virtualni klavesnice take maji urcite slabiny a nejsou odolne proti:

1. keyloggerum, pokud virtualni klavesnice stisk klavesy primo emuluji [neni pripad fio]
2. sofistikovanejsim trojskym konum, ktere krome stisku klaves ukladaji i pozice stisknuti mysi (viz napr. zminka zde). I zde se muzete branit pri prihlasovani do FIO, protoze po vice nez jednom pouziti stisku „Zmenit pozici klavesnice“ pri zadavani hesla, nema utocnik sanci ziskat z pozice stisknuti mysi jednotlive znaky hesla.
   
3. komplexnim nastrojum, ktere krome logovani stisku klaves, ukladaji vyrez obrazovky pri stisku mysi. Tyto programy ale trpi velkymi naroky na prostor pro ukladani svych vystupu a vystupy z nich je treba manualne analyzovat, takze jejich nasazeni nebude jiste beznou zalezitosti.
4. specifickym trojskym konum napsanym na miru konkretni implementace virtualni klavesnice [asi nejmene pravdepodobny pripad pro FIO]
   

Bod druhy, kde je kritizovano stahovani podepisovaci aplikace pres nezabezpeceny kanal. Zde myslim, ze jednoduchou zmenou puvodniho odkazu na stazeni podepisovaci aplikace http://www.fio-zalozna.cz/docs/setup.exe na https://www.fio.cz/docs/setup.exe by byl problem jednoduse odstranen. Pro linuxaky uvadim jeste neoficialni, avsak funkcni odkaz https://www.fio.cz/docs/fiohb-linux.tgz, kde naleznete nativni verzi aplikace pro OS GNU/Linux.

Posledni bod – neexpirujici podepisovaci klic je mozno casove hlidat na obou stranach. FIO muze po uzivatelich vyzadovat pregenerovani klice (zablokovanim stareho) napr. po trech letech, muze je na to jenom jemne upozornovat (po prihlaseni) a zaroven ma tuto moznost i uzivatel – dojit na pobocku a doma pregenerovany soukromy klic si zmenit. Podle mych informaci FIO zmenu klice nevyzaduje a proto byste na ni meli myslet sami.