Tristan wrote:

> No żeby ktoś, kto podejrzy hasło głównie nie mógł se dowolnie przelać gdzieś
> do Peru.
>
>> login i haslo moze byc przechwycone przez prostego trojana,
>
> To trzeba nie mieć prostego trojana.

gdybysmy zakladali ze nie klienci nie maja trojanow i ze nikt im
hasel logowania nie poglada to nie potrzebne bylyby hasla jednorazowe :)

ale skoro wiadomo ze tak nie jest to wypada stosowac najlepsze
zabezpieczenia w ramach kosztow oraz utrudnien akceptowalnych dla
uzytkownika

nawet gdyby haslo do wygenerowanie pierwszej listy przez www bylo
przesylane inna droga, to potem wystaczyloby poznac pojedyncze haslo
by wygenerowac sobie nowe listy i potwierdzic juz dowolna liczbe
operacji, co by pozwolilo na likwidacje ewentualnych depozytow
i wyprowadzanie srodkow malymi porcjami nie budzacymi podejrzen banku

w dodatku strasznie by to uproscilo ataki typu man in the middle,
wystarczyloby jedynie monitorowac sesje z bankiem i zapisywac
nowo generowane listy hasel