Jak zvýšit bezpečnost internetbankingu?

O odpověď na několik otázek týkajících se bezpečnosti internetového bankovnictví jsme požádali Josefa Zábranského ze společnosti A && L soft s.r.o., která se návrhy systémů pro přímé bankovnictví zabývá již více jak deset let.

1.) Co byste doporučil klientům bank pro zvýšení bezpečnosti internetbankingu? Na co byste je upozornil?

Má doporučení klientům využívajících internetbanking k aktivním operacím jsou jednoduchá. Za prvé si uvědomit to, že internet je prostředí velmi nebezpečné a pokud nemáte kvalitní firewall a antivirový program, jste permanentně něčím ohroženi. Za druhé je potřeba si uvědomit, že pokud se bude chtít nějaký útočník dostat k Vašim penězům, tak s velmi vysokou pravděpodobností nebude útočit na banku, ale právě na vás jako na nejslabší článek celého systému. Právě proto je nezbytné si pečlivě zjistit nejen to, jaké metody autentizace ke službě ta která banka nabízí, ale též i to, jakým způsobem budete jednotlivé transakce autorizovat (podepisovat).

2.) Jaké metody autentizace a autorizace považujete za bezpečné?

Při autentizaci ke službě by si klient vždy měl dát pozor na statická hesla, která se dají velmi snadno odposlechnout a poté zneužít.

Pro bezpečnou autorizaci transakcí existují v současné době pouze dvě možnosti. Je to používání autentizačního kalkulátoru nebo digitálního podpisu uloženého na čipové kartě. Pozor, to ale nebude platit v případě, že klient bude mít svůj digitální podpis (podpisový certifikát) na disketě, nebo dokonce na pevném disku počítače! Není totiž vůbec žádným problémem, aby se do vašeho počítače připojeného k internetu dostal prostřednictvím sítě nějaký vir (trojský kůň), který nic nedělá a jen čeká, až zadáte do prohlížeče nějaké konkrétní slovo - například banka. V ten moment může začít sledovat vaši klávesnici, konkrétně všechna hesla pro přístup ke službě a samozřejmě i váš podpisový certifikát. To vše si tento vir umí zaznamenat a poté zaslat na nějakou útočníkem předdefinovanou adresu. A pokud útočník má váš podpisový certifikát včetně přístupu k němu a přístupu ke službě internetového bankovnictví, jistě si asi umíte představit, jak snadné je poté dostat se na váš účet.

3.) Proč je bezpečný autentizační kalkulátor?

Ruce pryč od termínovaných vkladů! Čtěte ZDE.

Autentizační kalkulátor je zařízení, které generuje jednorázové kódy, což nám umožní nahradit snadno odposlechnutelná statická hesla pro přístup ke službě hesly jednorázovými. Dále nesmíme zapomenout na to, že veškeré kódy se generují mimo prostředí počítače, v místě kam, virus „nedosáhne“.

Při  autorizaci transakcí je skvělou vlastností autentizačních kalkulátorů to, že umí spočítat takzvaný MAC (Message Authentication Code). MAC je autorizační kód který se počítá i z některých transakčních údajů, jakými může být například číslo účtu příjemce platby. Pokud tedy útočník na internetu odchytí nějakou transakci, může ji sice stejně tak jako u autorizace digitálním podpisem zmodifikovat, ale systém přímého bankovnictví na straně banky tuto transakci z důvodu chybného MAC vždy odmítne.

4.) Jak byste hodnotil rizika internetbankingu ve srovnání s telefonním bankovnictvím?

Jak jsem již popsal výše, možnost bezpečnostních incidentů je u internetového bankovnictví reálná a v podstatě začíná ihned, jak svůj počítač připojíte k internetu. Když bych ale měl porovnat, který z těchto dvou distribučních kanálů je nebezpečnější, tak jednoznačně vyhraje telefonní bankovnictví. Důvod je jasný. Telefonická komunikace klienta s bankou díky použité technologii spojení nikdy nemůže být důvěrná, a proto je tedy velmi snadno odposlechnutelná a tudíž útočníky napadnutelná. Nicméně i pro toto prostředí existuje řešení. Tím je opět autentizační kalkulátor s MAC kódem. Je to řešení sice pro spousty klientů ne příliš pohodlné, nicméně 100% účinné.

5.) Existuje rozumný kompromis mezi pohodlím a bezpečností ?

Tato otázka se mi příliš nelíbí, protože v otázce bezpečnosti by se neměly hledat kompromisy, ale pouze bezpečná řešení. To je ale bohužel jen čistá teorie, protože v reálném životě se vždy o kompromis jednat bude. Nutné je ale to, aby se kompromis vždy nacházel na pomyslné škále opatření vždy v té bezpečnější části. Banky takový kompromis hledají a určitou povolenou míru rizika například omezují limitem pro zadávání aktivních operací.

6.) Jak hodnotíte současnou úroveň zabezpečení internetového bankovnictví u nás a v dalších zemích?

V žádném případě si nemyslím, že by české banky nějakým způsobem zaostávaly za vyspělým světem, spíše naopak. K tomuto závěru mne vede zejména to, že české banky, stejně tak jako banky z dalších technologicky vyspělých zemí, implementují, nebo mohou implementovat do svých řešení celou škálu nejmodernějších bezpečnostních prvků, které jsou standardně komerčně dostupné. Navíc lidé, kteří v bankách zodpovídají za bezpečnost přímého bankovnictví moc dobře vědí, že samotný nákup nejmodernějších zařízení a technologií nestačí. Uvědomují si, že v ruku v ruce s těmito „bezpečnými“ technologiemi musí jít bezpečnostní politika banky, tedy striktní vymezení bezpečnostních  pravidel pro všechny zúčastněné strany - zaměstnance bank včetně jejich vrcholového managementu a samotné klienty. I zde totiž platí známé pravidlo, že odolnost celého systému (řetězu) se rovná odolnosti nejslabšího článku, kterým jsme ve většině případů právě my lidé.

7.) Kam se bude ubírat zabezpečení internetbankingu v budoucnosti?

Předpokládám, že vzroste význam čipových karet pro uložení digitálního certifikátu a výpočet digitálního podpisu. Klienti pro autorizaci transakcí budou i nadále používat svůj digitální certifikát na čipové kartě. Tento certifikát však nebude používán pouze ve spojení s počítačem, ale stále více ve spojení s mobilním telefonem, který může integrovat více distribučních kanálů dohromady. Přímé bankovnictví  bude tedy často realizováno za pomoci mobilních aplikací, které budete mít nainstalovány přímo ve svém mobilním telefonu.

8.) Čtenáři si často stěžují, že systémy internetového bankovnictví mají omezenou působnost – zejména co se týče prohlížečů.. Myslíte si , že jde v tomto směru o problém?

Proč čeští klienti nejčastěji mění banku? Čtěte ZDE

Jako vždy je to jen otázka peněz, neboť každý další prohlížeč s sebou přináší další náklady na vývoj a údržbu konkrétního řešení. Není problém dodat řešení v podstatě pro jakýkoliv prohlížeč. Záleží především na bance, které z méně četných prohlížečů jejich systém internetového bankovnictví bude podporovat a které ne.