5 תגובות על הפוסט “שליחת סיסמא חד פעמית בSMS נשמע לי רעיון ממש טוב”

1. כדי לבצע Man in the middle ב-SSL כפי שאתה מציע, אתה צריך שתהיה לך נגישות למפתח הפרטי של אתר הבנק, שאם לא כן הדפדפן יתריע על אי התאמה בתהליך. סביר יותר מצב בו תייצר אתר פיקטיבי שיתחזה לאתר הבנק – אלא שזה כמובן כשל בצד המשתמש ולא של ה-SSL (פישינג למיניהם).
   ספציפית לגבי עניין הסיסמא ב-SMS: הדבר נבדק לפחות על ידי בנק אחד שאני יודע והתברר שלא כל ספקי הסלולר מסוגלים להתחייב לזמן דיוור של הודעת SMS. תאר לך שאתה צריך להעביר כסף עכשיו אבל בגלל עומס על הרשת תוכל לעשות זאת רק מחר…
   כעיקרון זה פתרון לא רע שמיושם באתרי בנקאות בעיקר באוסטרליה וניו זילנד לדעתי (אבל הרבה זמן לא התעסקתי עם זה).

   להגיב ↓
2. עומר, זה לא חייב להיות פיתרון של או/או… יש לקוחות כמוני שיהיו מוכנים לחכות עוד חמש דקות בשביל לקבל רמת אבטחה גבוהה יותר או שיגשו לסניף הבנק, ובשביל האחרים שנוח להם במצב האבטחה של היום לא חייב לשנות כלום.

   להגיב ↓
3. מרק – בהתחשב בעובדה שהשבוע כששלחתי הודעה מרשת אורנג' לפלאפון עברו חמישה ימים עד שקיבלתי את דוח המסירה (מכשיר היעד היה פעיל במשך כל הזמן הזה!), אני לא בטוח עד כמה זה אמין.

   להגיב ↓
4. טוב, שכנעתם אותי. מצידי, מאחר שמה שחשוב הוא שהסיסמא תישלח על תווך תקשורת אחר מזה שבו נעשית הגלישה לאתר, שישלחו לי את הסיסמא החד פעמית בדואל, הרי ממילא אני ליד מחשב.

   להגיב ↓
5. שתי הערות:
   חברות הסלולר הן חבורה של חובבנים. SMS צריך להגיע ליעדם למעט במקרים חריגים ביותר, ועל המקרים האלה המשתמש צריך לדעת. הם לא עושים את זה כי אז הם יצטרכו לא-לגבות כסף על SMSים שלא הגיעו ליעדם.

   בהולנד, הבנקים (ABN Amro ו-Rabo Bank משתמשים במין פרוטוקול חביב של אתגר-תגובה. אתה נכנס לאתר, מכניס את פרטי חשבון הבנק ומקבל קוד מספרי ארוך. אתה מכניס את כרטיס הבנק שלך לתוך מכשיר קטן שקיבלת מהר, מכניס את מספר החשבון שלך, הקוד הסודי, הקוד שקיבלת מהאתר ומקבל בתמורה קוד נוסף. את הקוד הנוסף אתה מקליד לאתר ונכנס פנימה. כל זה נעשה ב-SSL.
   בנק הדואר ההולנדי עובד עם SSL+שיטת הסיסמא הזמנית ב-SMS, ולדעתי זה קצת פחות מאובטח אבל הרבה יותר נוח למשתמשים.

   להגיב ↓