Witam grupe

Niedawno mialem okazje porownac pod wzgledem bezpieczenstwa dostepu przez
Internet Pekao24 i mBank. Zdziwila mnie przy tym calkowita bezmyslnosc osob
odpowiedzialnych za stworzenie interfejsu w Pekao24.

W obu przypadkach (Pekao24 i mBank) zeby sie dostac do interfejsu internetowego
trzeba podac numer klienta i haslo (mBank) lub PIN (Pekao24). I tu sie
zaczynaja schody, bo:

PIN w Pekao24 jest 4-cyfrowy, ustalany przez bank i niemozliwy do zmiany przez
uzytkownika. To rodzi niebezpieczenstwa:
- PIN jest trudniejszy do zapamietania niz haslo
- niemozliwosc zmiany PIN i jego dlugosc powoduja, ze latwiej moze sie on
dostac w niepowolane rece niz haslo.

W mBanku zamiast PINu mamy haslo, ktorego dlugosc jest wieksza niz w przypadku
PINu i ktore moze byc zmieniane przez uzytkownika.


Druga sprawa: w obu przypadkach wykonywanie niestandardowych operacji wymaga
podania kodu z karty kodow jednorazowych. W mBanku system pyta o podanie
kolejnych kodow z aktywnej karty. Umozliwia to zapisanie sobie gdzies
niewielkiej ilosci niewykorzystanych kodow i wpakowanie calej karty kodow do
sejfu. Tym samym straty w przypadku ujawnienia tylko kilku nastepnych kodow
moga byc mniejsze niz w przypadku ujawnienia calej karty. Nie mozna tez
zapominac, ze kilka kodow moge miec zapisane gdziekolwiek, natomiast cala karta
kodow wyglada bezsprzecznie jak karta kodow.


Tymczasem w Pekao ktos "pomyslal" i ten system pyta o losowe kody z karty
kodow. Nie wiem po co to jest, ale zmusza to uzytkownika do taszczenia ze soba
wszedzie calej karty kodow (no bo nigdy nie wie, o ktory kod system go zapyta).


W tym wszystkim najbardziej zdumiewa mnie jedna rzecz: gdy Pekao24 zostalo
uruchomione mBank funkcjonowal juz od dawna.

Prawde mowiac, dziwi mnie, ze specjalisci z Pekao24 nie potrafia sie uczyc z
rynku. A moze po prostu oni maja problemy z mysleniem jesli chodzi o
bezpieczenstwo klienta? Ciekawi mnie, co myslicie na ten temat? Czy to ja
jestem skrzywiony i mam jakies wygorowane oczekiwania, czy tez swiat jest pelen
ignorantow, ktorzy robia cos po prostu zeby zrobic cokolwiek?

--
Wysłano z serwisu OnetNiusy: http://niusy.onet.pl