安全な銀行アプリ
少し前に、私の銀行がオンラインバンキングアプリを導入しました。これにより、自分の銀行口座にすばやくアクセスして、最高のエクスペリエンスで携帯電話から直接支払いを行うことができました。アプリにアクセスするには、5桁のPINコードを入力する必要があります。
しかし、これは私には安全だとは感じていませんでした。私は熱心なオンラインバンキングユーザーであり、通常はラップトップで通常のWebサイトを介して行います。ログインするには、ユーザー名とパスワードが必要です。支払いを行うと、いわゆるTANコードの入力を求められます。このコードは、ハードコピーから入手できるか、自宅の引き出しに保管できるコードのリストです。ただし、モバイルを維持するために、これらのコードをテキストメッセージで送信するオプションを有効にしました。支払いを行うと、コードが記載されたテキストメッセージが表示されます。ノートパソコンにコードを入力すると、支払いが行われます。バンキングアプリもコードを要求しますが、支払いは同じデバイスで行われるようになりました。人々は今私の電話、5桁のピンだけを必要としています、そして彼らは私の銀行口座を空にするように設定されています。以前の状況では、私の電話を使用してオンラインバンキングのウェブサイトにアクセスし、テキストメッセージを受信できましたが、ログインするにはユーザー名とパスワードが必要でした。そのため、アプリを使用しません。
5桁のPINはユーザー名とパスワードの組み合わせほど安全ではないと考えるのは間違っているかもしれませんが、疑問に思いました：まだ使いやすさの点で最も安全なオプションは何ですか？できますか？
単一要素認証（通常は「知っているもの」、通常はパスワードを使用）は、特に安全ではありません。
銀行業務では、「知っているもの」と「持っているもの」の2要素認証方式を使用するのが一般的です。これは、通常、持っているプラスチックカードとPIN知っている。以前のオンラインバンキングではTANリストが使用されており、「あなたが持っているもの」が紙のリストです。理論的には、TANはあなたが知っているものであると主張できますが、実際には、誰もが100のTANのリストを持っています彼らの頭の中の連続した数。
最近のオンラインバンキングオペレーションは、ほとんどの人がスマートフォンを持っているという事実に依存しており、スマートフォンを「あなたが持っているもの」として使用しています。 Benny Skogbergは、その方法の1つについて説明しました。私の銀行は、携帯電話番号を登録して、SMS経由でこの番号に1回の取引に有効なmTANを送信できるようにします。これは単一要素よりも安全ですが、絶対確実というわけではありません。
問題はセキュリティ自体と同じくらい古いものです。2つの要素は常に1つの要素よりも面倒であり、使いやすさが低下します。単一の要素は特に安全ではなく、泥棒が適切な動機（銀行口座や有名人のメールの受信トレイにアクセスするなど）を持っている場合、頻繁に破られます。適切な2要素セキュリティを実装するには数百の方法があり、それらのほとんどは、online-password-plus-TAN-paper-listと同じ使いやすさを備えています。次の2つの要素があるため、モバイル向けのバリエーションでは、より高いユーザビリティを維持しながら、定義どおりに安全性を維持できます。
- 複製できない物理的なアイテムが必要です。アクセスしたいときはいつでも持っていかなければなりません。
- エントロピーの高い推測できない情報が必要であり、物理的なアイテムの近くに書き留めたり保存したりすることはできません。
そのため、長いパスワードを覚えるという認識的な努力に対処するか、「持っているもの」の要素として使用しているデバイスとは異なるメモを取るデバイスで暗号化されたメモを持ち歩く必要があります。どちらのバージョンも使いやすさが低く、セキュリティが高くなっています。
現代のほぼ2要素のシステムが安全でない例：
電話ブラウザがデフォルトの設定であるパスワードを保存する場合、またはPINが登録済みの電話で開始するときに必要になる銀行アプリが存在する場合）ベニー・スクロバーグの例のケース-この詳細はわかりませんでした。泥棒が私の電話を盗み、タッチスクリーンに残った指の汚れを見てロックを解除し、ブラウザーを起動したとします。私のオンラインバンキングサイトが履歴とパスワードが保存されると、泥棒が持っている電話にmTANが送信されます。
昨年ドイツでは、詐欺師が被害者のモバイルプロバイダーに同じ電話番号の2番目のSIMカードを要求し、自分のアドレスに配達させたケースがありました。次に、この2つ目のSIMカードを「私が持っているもの」として携帯電話を使用して、被害者のアカウントからオンラインバンキングを行うことができます（フィッシング、トロイの木馬などの一般的な方法でパスワードを入手しました）。これが機能するのは、モバイルプロバイダーが、モバイル契約の正当な所有者からのものであることを確認するために何もせずに、2番目のSIMカードのFAX要求を受け入れるためです。銀行はモバイルプロバイダーが責任を負い、モバイルプロバイダーは銀行が責任を負うと述べたため、被害者は何も返済されませんでした。
ちなみに、古いTAN-on-paperシステムはモバイルでも安全ではありません。財布のTANのリストを持ち歩くと、携帯電話を盗んだ人が財布を手に入れる可能性が高いためです。
残念なことに、ある程度安全なものにしたい場合は、多くのユーザビリティをあきらめる必要があります。銀行は代わりにセキュリティの妥協をいとわないようです。
さらに、実際には2つの要因ではなく3つの要因が考えられます。 3つ目は「あなたが何か」です。より安全であると考えられていますが、「知っているもの」と同じように複製することはできないため、今日のテクノロジーの自動設定で使用するための商業的に実行可能な方法はありません。いくつかのソリューションは長年ニッチな技術として浪費されてきましたが、タブレットコンピューターのように、広く受け入れられる十分な成熟度に達すると、まだ普及する可能性があります。たとえば、私は野生の指紋リーダーを見てきました。しかし、それらは高価であるだけでなく、十分に正確でもありません。顔認識システムは、偽陽性（被害者の印刷された写真をカメラに留める）と偽陰性（根管感染により顔が腫れ、目が覚めて非常に安全な場所にログインできないことを想像してください）の両方で悪名高い-あなたの医療提供者のプライバシー保護システムのため）。音声指紋技術はまた、録音を騙しやすく、ひどい風邪をひいた場合、あなたの入場を拒否します。現在、身分証明書の写真を見て本人確認を行う必要があります。私たちはおそらく、オンラインバンキングの他の2つの要素に長年悩まされています。これは悲しいことです。サムプリントリーダーは、プラスチックカードやフォブを1回限りのトークン世代で処理する必要があるよりもはるかに使いやすいためです（これはは、ペーパーリストTANの最新の安全なバージョンです）。
次の解決策が「最も安全なオプション」であるかどうかはわかりませんが、安全で便利です。
電話
それはすべてあなたの電話とあなたの電話番号から始まります。それはあなたのものとして登録する必要があり、あなたの bank に登録する必要があります。銀行で電話番号を登録するには、同じ電話で電話をかけると、あなただけが知ることができる質問をします。送金口座の現在の残高はいくつですか、何かを資金や株に貯めますか？どのような資金がありますか？個人識別番号は何ですか？銀行に電話を追加する前に、これらの事項に回答する必要があります。
サードパーティのIDプロバイダー
電話が登録され、銀行アプリがダウンロードされたら、銀行のWebサイトにアクセスして、サードパーティのIDプロバイダーから別のアプリケーション 銀行ID をダウンロードします。この銀行IDはあなたを識別し、銀行を識別します。他の銀行でもこの銀行IDを使用できますが、銀行に対して自分の身元を保護します。このIDが提供されない場合、銀行アプリを介して銀行に入ることはできません。
銀行ID
アカウント制限
アカウントの動きに制限を設定することができます。これは毎月のみ更新できます。世界/国の特定の場所での移動を許可できます。 Bank Appを介して外部口座への送金を許可することもできます。すべてはあなたの判断に合うようにあなたが設定します。インターネット決済オプションも、あなたが管理する設定の1つです。
BetalaräkningはPay Bill英語です。
異常な動きの警告
昨年の夏、スペインのマヨルカに1週間行きました。最初にクレジットカードで支払いをしたところ、15分後に銀行から電話がありました。 「お客様のクレジットカードはスペインのマヨルカで使用されたことを登録しました。通常の支払いパターンとは異なります。そこでカードを使用したこと、およびアカウントを空にする試みではないことを確認したいだけです。」 。
このサービスをすべて一緒に使うと、デスクトップ、アプリ、クレジットカードバンキングを使用して非常に安全に感じる。
表面レベル（インターフェース）分析に基づいて複雑なテクノロジーがどのように機能するかを決定すると、風変わりな結果が得られる傾向があります。特にセキュリティに関しては、セキュリティメカニズムには制約があるため、内部の仕組みを漏らさないのが理想的です。したがって、ピンコードは安全ではないと感じますが、内部で何が起こっているのかはわかりません。アサーションはせいぜい5桁の推測を含む確率に基づいています。
大手銀行のモバイルアプリ用に、以前のピンコード認証メカニズムの1つを設計して実装しました。その際、ピンコードメカニズムを好むセキュリティチームと緊密に連携しました（内部で多くのことが行われていました）ユーザー名/パスワード認証について。どうして？なぜなら、内部では多くの（暗号スマート）が行われていたからです。
今、あなたのアプローチを使用して、もしあなたが同様のピンコード認証メカニズムを達成する方法について別の銀行に助言していて、あなたの助言が純粋に別の銀行アプリのインターフェースの分析に基づいているなら、あなたは多くの詳細を見逃し、あなたを導く可能性があります単純なソリューションを実装するクライアント（つまり、アカウントにアクセスするための一意の秘密として5ピンコードを単純に使用するソリューション）。そのシステムは2 ^ 5ユーザーしか処理できず、多くのユーザーの近くに到達すると、ピンを推測する確率が非常に高くなります。それはちょうどそのように機能しません。
認証に関して内部で発生する可能性がある、および発生する可能性のある多数の例については、 https://security.stackexchange.com/a/13351/8846