Do banky na jedno kliknutí. Pro všechny
Tu aféru snad zaznamenal každý. Mluvilo se o ní v televizi a psalo se o ní v novinách. Není divu, vždyť také „uloupená“ částka šplhala do statisíců, což se nepodaří leckterému zakuklenci, který napochoduje na pobočku banky s brokovnicí. Plán to přitom nebyl nijak složitý. Aplikace pro nahrávání hovorů stažená z oficiálního zdroje dostala s poslední aktualizací nemilý dáreček: naučila se vytvořit neviditelnou vrstvu nad cílovou aplikací, tedy internetovým bankovnictvím, a snímat přihlašovací údaje. Společně s přístupem ke zprávám SMS, které slouží jako ověřovací klíč, dostane útočník plný přístup k účtu v napadeném telefonu.
Je to zdvižený prst pro všechny uživatele, jak snadno mohou být napadeni. Nemusíte mít rootnutý telefon. Nemusíte stahovat podezřelé aplikace nebo warez. Nemusíte surfovat na závadných stránkách. Všechno pečlivě aktualizujete. A pak jen odkliknete nějaké aplikaci nějaké oprávnění. Ruku na srdce – kdo z nás pečlivě studuje, k čemu má daná aplikace přístup, zvlášť, když se bezpečnostní politika mění skoro v každé verzi Androidu? Požadavek na vykreslení přes ostatní aplikace přeci není u aplikace nahrávající probíhající hovor nic výslovně podezřelého…
Vzpomínám si, jak jsem zprovozňoval jedno z prvních elektronických bankovnictví pro PC. To obnášelo instalaci osobního certifikátu, instalaci javy, instalaci čtečky čipových karet a další prvky. Zabralo to hodně času, hovorů na infolinku a nervů. Ale vtipkovali jsme, že jsou peníze v bezpečí, když se k nim nedostane ani právoplatný majitel. Dnes jsou si někteří lidé schopní stěžovat, že po nich chce bankovní aplikace v telefonu PIN při každém přihlášení.
A bude hůř. V poslední verzi Windows 10 zpřístupnil Microsoft možnost pracovat se SMS přímo na počítači. Ne že by to nešlo dřív, ale nyní se to nejspíš stane masovou záležitostí. Posílání SMS s kódem přitom mnoho bank používá jako druhý faktor pro zabezpečení přístupu k účtu. Nově tak bude útočníkům stačit kompromitovat pouze jedno zařízení…
1, 2, 3, 4… Jsme bohatí!
Když vám povím, že hacknuli Vodafone, tak si představíte nějakou skupinu vysoce sofistikovaných počítačových specialistů s prvotřídním vybavením. Opak je pravdou: několikrát trestaný muž z Teplic byl toho času nezaměstnaný a z nudy zkoušel v Samoobluze Vodafonu zadávat náhodná telefonní čísla a k nim heslo 1234. A překvapivě uspěl a ne jednou.
Jakmile se dostali k ovládání účtu, nechali si vystavit další SIM kartu, kterou si vyzvedli na prodejně. Tam jeho totožnost nikdo neověřoval, stačila opět znalost čísla a kouzelného hesla 1234. Nově vyzvednutá karta pak posloužila pro převod peněz pomocí prémiových SMS na účty sázkových kanceláří. Celková škoda se vyšplhala na 667 tisíc korun, což soud „odměnil“ třemi roky odnětí svobody.
Mezi poškozenými a operátorem se pak rozhořel spor o povahu hesla 1234. Někteří totiž ani netušili, že nějakou Samoobsluhu operátor nabízí a že ji mají aktivní. Od roku 2012 navíc systém banální kombinace nepovoluje a vyžaduje šestimístné heslo.
Opět ohlédnutí do minulosti. Zařizovat si v devadesátých letech tarif u operátora znamenalo spoustu papírování. Žádné samoobslužné portály nebyly a infolinka vás kvůli většině věcí hnala na pobočku. S občankou v ruce. Nový systém je pro zákazníka pohodlnější a pro operátora levnější. Ale je taky bezpečnější?
Usmívejte se, váš telefon bude svědčit proti vám
Do třetice tu máme výrobce telefonů. Pokud zrovna nesoutěží s ostatními o co nejtenčí rámečky okolo displeje, pak se snaží svým zákazníkům co nejvíce usnadnit používání jejich výrobků. To je bezesporu chvályhodné, ale hned první úkon je odemčení telefonu. Pryč je tak doba hesel nebo odemykacích gest – dnes musí mít i ty nejlevnější telefony alespoň čtečku otisků prstů a všichni vzhlížejí k posledním generacím iPhonů a jeho odemykání pomocí obličeje. Jenomže všechny tyto biometrické vychytávky mají jednu chybu: mohou být použity i proti vaší vůli.
Zvláště u Applu je podobný vývoj poněkud paradoxní. Na jednu stranu vynáší do nebes soukromí svých uživatelů, a to i v případě, že spáchají masovou vraždu. Na druhou stranu si policie chodí do pitevny s telefonem pro jeho odemčení a v poslední době se objevují příběhy zločinců, kteří žalují policii, za to, že si jejich obličejem odemkla jejich telefon bez výslovného svolení.
A takto bychom mohli pokračovat dál a dál. Je to zkrátka nepřímá úměra: systém bude buďto jednoduchý, nebo bezpečný. Pokud budeme vyžadovat obojí najednou, brzy se nebudeme stačit divit.
Jsem asi divnej, ale na iPhone X jsem radši používal heslo, než odemykání obličejem - bylo to daleko více nepohodlné, a občas se stávalo, že telefon obličej nerozeznal, a spíše doufám, že brzy tuhle hloupost pohřbí a vrátí se k čtečce otisků...
Stejně tam nemám nic co by se dalo zneužít, žádná hesla, jen kontakty a fotografie o které mi jde hlavně.
Takže za mě, já si to heslo nedávám nikdy a už se mi 2x telefon vrátil, všem co mi ho vrátili, děkuji.