Podobno do nowego serwisu można logować się numerem karty, a jak ktoś
chce to jeszcze dodatkowym aliasem.
http://www.mbank.pl/pomoc/info/bezpieczenstwo/bezpie
czenstwo-procesu-logowania-do-nowego-serwisu.html

Nie wiem jaki cel przyświecał pomysłodawcy, być może klienci często
zapominają swoich identyfikatorów. Oby nie zapominali też kart,
bo bank wspaniałomyślnie wprowadzi logowanie przez fejsbuka
albo numer telefonu...

O ile alias włączany na życzenie klienta wydaje się być akceptowalny,
to automatyczne włączenie logowania numerem karty płatniczej rodzi
już poważne zagrożenia.

Ponieważ numer karty jest informacją, którą chronić jest znacznie
trudniej niż identyfikator klienta, to dlatego jest to obniżenie
bezpieczeństwa dostępu do serwisu transakcyjnego.

Nawet jeśli założymy, że bezpieczeństwo dostępu do serwisu zależy
tylko od hasła, to i tak możliwość logowania numerem karty daje
możliwość bardzo prostego ataku blokującego klientowi dostęp.

Może ktoś już sprawdzał czy mbank daje możliwość wyłączenia
tego "udogodnienia", lub ewentualnie sprawdzał czy logowanie
numerem karty i nieprawidłowym hasłem blokuje dostęp całkowicie
czy tylko dla danego numeru karty?

do góry

Logowanie takie funkcjonuje hohoho albo i dłużej w multi. Nie znam ani jednego
zgłoszenia w kwestii zablokowania komuś dostępu. Natomiast znane są złośliwe
działania powodujące blokady poprzez id klienta. Wszystkie sposoby logowania mają
dodatkowe zabezpieczenia przed uporczywym blokowaniem przez osoby trzecie. A ficzera
z logowaniem kartą wyłączyć się nie da.

do góry

W dniu 2014-10-15 o 20:56, MarcinF pisze:

> Może ktoś już sprawdzał czy mbank daje możliwość wyłączenia
> tego "udogodnienia"

Sam sobie odpowiem. Wygląda na to, że logowanie numerem
karty to opcja, która na szczęście domyślnie jest wyłączona.

do góry

W dniu 15.10.2014 o 23:39, MarcinF pisze:

> Sam sobie odpowiem. Wygląda na to, że logowanie numerem
> karty to opcja, która na szczęście domyślnie jest wyłączona.

Dzisiaj testowałem nowe www mbanku i też to zauważyłem (w sensie 3 różne
sposoby nazwijmy to loginu) ale logowanie karta/alias są domyślnie
wyłączone. Ja mam logowanie kartą wyłączone permanentnie niezależnie od
tego co jest na www - nie mam karty :)

--
xbartx - Xperimental Biomechanical Android Responsible for Thorough
Xenocide

do góry