🚀 go-pugleaf

On Jan 6, 3:57 pm, Michał Gancarski <mic...@gancarski.com> wrote:
> [...]
>
> > > Po co?
>
> > Dla bezpieczeństwa i wygody.
>
> Osobne urządzenie i karta to bezpieczeństwo i wygoda? W czym to jest
> wygodniejsze i bezpieczniejsze od wysłania smsa?

Bo zajebiście bezpiecznie jest, jak po tym jak zakoszą twoją komórkę
mają pełny dostęp do twojego konta.

> > > > > albo bawić się tokenami?
>
> > > > Co w wielu bankach jest jedyną opcją.
>
> > > Co by mnie od razu odstraszyło od banku.
>
> > A niby jak autoryzujesz transakcje? Zawsze tym samym hasłem?
> > Zajebiście bezpiecznie.
>
> Niech mu ktoś wytłumaczy na czym polegają hasła jednorazowe. Bo ja nie
> mam siły.

Zdrapki albo po prostu wydruk, jak z mBanku? Toż przecież porażka,
jeśli chodzi o bezpieczeństwo.

> > > > > Świetnie to wymyślili!
>
> > > > Niewątpliwe. Zamiast przepisywać jakieś ciągi liczb, wklepuję PIN i
> > > > gotowe.
>
> > > Zamiast wpisać w formularzu ciąg liczb wpisujesz w formularzu ciąg
> > > liczb?
>
> > Logowanie, wersja dla operowców:
> > 1. Wklepujesz 12 cyfr numeru konta
> > 2. Wklepujesz 4 cyfry PIN w token
> > 3. Przepisujesz 8 losowych cyfr z tokena
>
> Ja jestem operowcem i niczego takiego nie robię.

Och nie, ty tylko pracowicie przeklepujesz z SMS-a lub ze zdrapki.
Operowa ergonomia.

> > Logowanie, wersja z Fx, IE, Safari:
> > 1. Wklepujesz 4 cyfry PIN w token
>
> Nie w Fx, tylko w Fx z pluginem. Oczywiście plugin łatwo ściągnąć ale
> z tego co piszesz wynika, że w takim razie Fx bez pluginów jest
> przeglądarką, która mało do czego się nadaje bo nie działa w nim karta
> czipowa do banku.

Powalająca logika. Ale wiesz, plugin jest do tego konkretnego
czytnika.
Goły Firefox i Thunderbird obsługuje PKCS#11 OotB, bez pluginów. Opera
nie obsługuje i od paru lat ma obsługiwać "za linuksiarskie pół roku".
Tym czasem to nie tylko banki. Coraz więcej krajów UE wydaje dowody
osobiste z chipami, które mogą służyć do autentykacji i cyfrowych
podpisów.

> > Osobnego? To samo urządzenie, które służy jako token.
>
> A token służy do czegoś innego niż do bycia tokenem?

Owszem. Zresztą de facto jako token służy chip na karcie debetowej.
Może się da użyć bezpośrednio przez czytnik SC w kompie, nie
kombinowałem.

> W takim razie
> jest dodatkowym urządzeniem, które można zgubić albo które może zostać
> skradzione.

Co jest bez znaczenia, bo jest to tylko czytnik karty chipowej, z
klawiaturą, ekranem i połączeniem USB.
Oczywiście to USB to działa wyłącznie z odpowiednim pluginem.

Owszem, kartę można zgubić, ale i tak jej nikt nie użyje bez PINu, a
do ładnych paru lat karty chipowe mają na tyle mocne szyfrowanie, że
crackować też się nie da.

> Zresztą generowanie jakichkolwiek haseł jednorazowych po
> stronie klienta jest dla mnie dość podejrzane,

Widać nie rozumiesz jak działają smartcards.

> nawet jeśli wiele
> banków tak robi. Oczywiście komórkę też można zgubić,

Daje dostęp do twoich haseł bez PINu.

> papierową listę także,

Też daje dostęp do twoich haseł bez PINu.