"Krzysztof Halasa" m...@p...waw.pl

> Bank sam w sobie (mury itd) nic złego nam nie zrobi. Osoby mogą.

Mury mogą runąć -- jak śpiewa Kaczmarski. ;)





> Np. bank decyduje, że dostęp do niego odbywa się przeglądarką
> internetową i hasłami SMS - to niech odpowiada za przeglądarkę
> i telefon z SMSami (oczywiście w granicach sensu, działanie klienta
> w złej wierze itp. pomijam). Zawsze przecież może wyposażyć klienta
> w te narzędzia :-)

,,Nasz' klient zainstalował komplementarną parkę -- na smartfon i na peceta.
Jak oceniasz prawdopodobieństwo nieumyślnego zainstalowania takiej parki?

Pewna pani profesor zgłosiła mi kiedyś problem. Okazało się, że zniknęły
pliki odpowiedzialne za dostęp do netu. Pani profesor twierdziła, że niczego
nie majstrowała, ale wśród masy plików zginęły akurat te, które odpowiadały
za dostęp do netu. Wrzuciłem te pliki i zauważyłem, że winę ponosi ona, nie
ja i nie ktoś inny, gdyż uznałem, że żaden chochlik nie był zdolny do takiego
selektywnego podejścia -- że skasowania dokonał dendrytowy białkotwór. ;)

[zanim tę panią zobaczyłem, sporo słyszałem o spełecznej uciążliwości tejże pani]




Aplikacje androidowe są serwowane z chronionego sklepu.
Podobnie mogłoby być z programami pecetowymi. Co
więcej -- te programy mogłyby jakoś kontrolować się.

> Bank decyduje, że do autoryzacji potrzebny jest token i kanał QR,
> to niech za to odpowiada. Przeglądarka z wirusem nie jest wtedy
> problemem (pomijając ew. niewykonanie dyspozycji).

IMO drobne operacje (powiedzmy do 10 kpln) mogłyby być zabezpieczane
słabo a poważniejsze -- silniej. Można wprowadzić kilka stopni wagi.

() SMS do 10 kpln
() SMS i zdrapka od 10 kpln do 100 kpln
() jeszcze mocniejsze zabezpieczenie transakcji poważniejszych

> Bank decyduje, że jest otwarty system z podpisem cyfrowym, niech
> odpowiada za realizację prawidłowo podpisanych zleceń. BTW realizowane
> w praktyce, chociaż do bezpieczeństwa po stronie klienta można mieć
> pewne "uwagi".

Klient zawsze może świadomie udostępnić komuś swoje hasełka, PINy, SIMkę...

> Bank decyduje, że wystarczy nazwisko panieńskie jako hasło, no cóż.

--
.`'.-. ._. http://eneuel.w.duna.pl .-. Zzzzz |\ _,,,--,,_
.'O`-' ., ; o.' http://danutac.eu '.O_' /,`.-'`' ._ \-;;,_
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~ o.`., |,4- ) )_ .;.( `'-'
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;. . .;\|/.... '---''(_/._)-'(_\_)