Untitled - Vitajte na stránkach www.einsty.hostujem.sk

R E V U Ezabezpeèený protokol by okamžite zaèala svieti správao neplatnom certifikáte. Certifikát je podpísaný certifikaènouautoritou (napr. Verisign), ktorá si overuje, èiinštitúcia, ktorej je certifikát vydaný, je naozaj tá, zaktorú sa vydáva.Tatrabanka aj Poštová banka majú takéto certifikáty.V prípade scamu cez šifrovaný protokol by sa okamžitezobrazilo hlásenie o neplatnom certifikáte, ktoré 90 %¾udí odklepne a pomyslí si: ,,Zase odo mòa nieèo chce,stlaèím Enter.“V prípade pochybností na stránke s certifikátom sanachádza aj tzv. ,,odtlaèok prsta“ alebo fingerprint, èo jekrátky re azec, ktorý identifikuje daný certifikát a nemalby sa zmeni . Možno by bolo dobré odpísa si toto èísloa v prípade pochybností ho neskôr skontrolova .Zhrnutie: Akáko¾vek inštitúcia, ktorá sa vydáva zabanku a nejde cez šifrovaný protokol SSL, prípadneObr. 2nemá platný certifikát, nie je vaša banka. V tomto prípadebanka má všetko zabezpeèené, je na klientovi, èi siochranné znaky všíma. Je to podobné ako pri bankovkách,ktoré majú svoje ochranné znaky. V prípade, že bankovkaniektorý ochranný znak nemá, je neplatná a nepovažujesa za bankovku danej krajiny. Takisto ak nemástránka s internet bankingom platné ochranné znaky, nieje to vaša banka. Je na príjemcovi bankovky, aby si overil,èi je platná, rovnako je na používate¾ovi internet bankingu,aby si overil, èi je stránka internet bankingu pravá.Platnos certifikátu sa dá overi tak, že v dolnej lištebrowsera svieti zamknutá zámka. V prípade, že na òukliknete, zobrazia sa údaje o certifikáte (kto ho vydal,kedy, akú má platnos , jeho odtlaèok prsta a pod.).Ïalšou dôležitou vecou je to, aby ste v žiadnom prípadeneinštalovali nedôveryhodné certifikaèné autority.Nieko¾ko (napr. spomínaný Verisign) máte nainštalovanýchautomaticky (dodávatelia browserov ich inštalujúspolu s prehliadaèom). Pridanie certifikaènej autorityvšak chce od používate¾a asi 5 enterov. V zásade si overte,èi je certifikát podpísaný certifikaènou autoritou, odktorej má banka certifikát. Príklad certifikátu Poštovejbanky je na obrázku 1.SCAM TATRABANKY. Scam Tatrabanky pochádzalz americkej adresy www.dedicateservice.com (ktorábola pravdepodobne hacknutá) a niè nebolo zabezpeèenéprotokolom SSL. To znamená, že používatelia zadávaliheslá na úplne inú stránku, ktorá nespåòala ani jedenz bezpeènostných znakov internet bankingu Tatrabanky.Tatrabanka okamžite zaslala upozornenie klientom a rovnakoho zobrazila aj na stránke svojho internet bankingu(obr. 2 – zároveò na òom vidie aj zámku v Mozille vpravodole, ktorá oznaèuje šifrované spojenie s platným certifikátom).Toto je na banku dos nezvyèajné a Tatrabankamá za to u mòa plus, pretože takéto hlásenie vyvolávav neznalých používate¾och okamžitú paniku, aj keï nevedia,že chybu spravili v podstate oni (teda používatelia),a nie banka. Banka len klientov na túto skutoènos upozornila.MOBIL BANKING. Podstatou pri mobil bankingu jeto, aby transakcie boli autorizované aj inakšie ako pomocouèísla odosielate¾a. Èíslo odosielate¾a SMS správy satotiž dá pomerne ¾ahko zmeni , napríklad ak nejaký operátorpovolí kompletný prístup k svojmu SMS centru (zahranièníoperátori to robia napríklad pre väèších klientov), prípadneexistuje na sieti aj nieko¾ko brán, ktoré dovo¾ujúposiela správy so zmeneným èíslom odosielate¾a.Nemám dostatok informácií o tom, ako sa u nás autorizujúSMS bankingy jednotlivých bánk, Poštová bankaa Tatrabanka však okrem telefónnehoèísla používajú ajautorizáciu pomocou PIN-u.Pri WAP bankingu (ktorýzatia¾ poskytuje pod¾a mojichinformácií iba Poštovábanka) sa používa protokolWTLS, èo je obdoba SSL/TLSpre mobilné telefóny. V spomínanýchbankách máte takistomožnos autentifikácieaktívnych operácií všetkýchdruhov elektronického bankovníctvapomocou tokenu(èo je zariadenie, ktoré vygenerujeodpoveï na unikátnuotázku, takže ide o tzv. jednorazovéheslá).BANKA NA SLOVEN-SKÝ SPÔSOB. V podstatevšetky banky na Slovensku majú dostatoèné zabezpeèenie,za ktoré by sa nemuseli hanbi ani v zahranièí.Unikátom je však Devín banka, ktorá poskytuje internetbanking, ktorý nie je zašifrovaný pomocou SSL. V princípeto znamená otvorenú dieru do systému, pretože:1. Prístupové heslá idú cez sie nešifrované, ktoko¾vekich môže po ceste odchyti , môžu sa zaznamena dologov proxy servera a pod.2. Keïže iný protokol ako SSL nemôže zaruèi autenticitustránky, je táto banka úplne otvorená DNS spoofingovýmútokom. Útoèník sfalšuje DNS odpoveï servera apresmeruje klientov na svoju stránku, kde vyžiada od¾udí všetky prístupové heslá, prípadne ich automatickyon line zneužije. Klient sa o tomto útoku nedozvie,pretože stránka nemá nijaké ochranné znaky (ako napr.certifikát SSL), takže nemá prakticky možnos zisti , èikomunikuje s Devín bankou alebo s útoèníkom.Pomocou internet bankingu a tzv. DNS spoofingu jepomerne jednoduché získava heslá klientov. Devínbanku viacero bezpeènostných odborníkov oznaèilo zapotenciálne nebezpeènú.Dúfam, že som vám neznechutil elektronické obchodovanie.Je ove¾a ¾ahšie sfalšova ruèný podpis ako prelomiprotokol SSL. Ak budete dba na pokyny vašich bánka dodržiava pár zásad, elektronické obchodovanie je bezpeènejšieako obchodovanie v reálnom živote. Ve¾aš astia!Juraj Bednár18 PC REVUE 4/2001