jak w temacie,

właśnie otrzymałem list z banku, że od 14.09.2019 r. przy logowaniu do bankowości internetowej będzie trzeba podać kod sms lub zaakceptować "operację" w apce mobilnej

od razu zapytałem na czacie co jeżeli nie będę miał komórki pod ręką?
- nie zaloguje się pan...

nie sądzicie, że to już lekka przesada?

zapytałem też co z tymi co komórek nie mają (znam osoby, które korzystają tylko z tel. stacjonarnego), tutaj już mi nie potrafili wyjaśnić jak to będzie...


--
pozdrawiam
RobertS

https://finansowewariacje.wordpress.com/

Użytkownik "Robert Sierant"  napisał w wiadomości grup dyskusyjnych:5d3ef4e4$0$500$65785112@news.neostrada.pl...

jak w temacie,
właśnie otrzymałem list z banku, że od 14.09.2019 r. przy logowaniu do bankowości internetowej będzie trzeba podać kod sms lub zaakceptować "operację" w apce mobilnej

od razu zapytałem na czacie co jeżeli nie będę miał komórki pod ręką?
- nie zaloguje się pan...

nie sądzicie, że to już lekka przesada?

sadzimy ..

zapytałem też co z tymi co komórek nie mają (znam osoby, które korzystają tylko z tel. stacjonarnego), tutaj już mi nie potrafili wyjaśnić jak to będzie...

a) przeciez sa sms na stacjonarne ... tylko ciekawe czy mbank je wysyla, bo to drogie jest :-)

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

J.

W dniu 2019-07-29 o 15:42, J.F. pisze:

zapytałem też co z tymi co komórek nie mają (znam osoby, które korzystają tylko z tel. stacjonarnego), tutaj już mi nie potrafili wyjaśnić jak to będzie...

a) przeciez sa sms na stacjonarne ... tylko ciekawe czy mbank je wysyla, bo to drogie jest :-)

no właśnie, ciekawe czy takie będą wysyłać

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

J.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie

ale od 14.09 już się nie zaloguje

--
pozdrawiam
RobertS

https://finansowewariacje.wordpress.com/

Użytkownik "Robert Sierant"  napisał w wiadomości grup dyskusyjnych:5d3efa4f$0$534$65785112@news.neostrada.pl...
W dniu 2019-07-29 o 15:42, J.F. pisze:

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie
ale od 14.09 już się nie zaloguje

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Tylko czemu ja sie ciagle zastanawiam co bedzie, jak mi smartfona gdzies na wakacjach ukradna, zgubie, wypadnie do wody, zespuje sie, rozladuje ...

A jak inne banki ? Bedzie tak samo ?
Bo ciekawe ... skoro z PSD2, logowanie przez inne podmioty wypadaloby jakos potwierdzac ... moze slusznie mbank czyni ?

J.

W dniu 2019-07-29 o 16:23, J.F. pisze:

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Tylko czemu ja sie ciagle zastanawiam co bedzie, jak mi smartfona gdzies na wakacjach ukradna, zgubie, wypadnie do wody, zespuje sie, rozladuje ...

A jak inne banki ? Bedzie tak samo ?
Bo ciekawe ... skoro z PSD2, logowanie przez inne podmioty wypadaloby jakos potwierdzac ... moze slusznie mbank czyni ?

J.

na właśnie, co zrobią inne banki?

bo jak wszystkie podejdą do tematu tak samo to nie będzie dokąd spi***alac


--
pozdrawiam
RobertS

https://finansowewariacje.wordpress.com/

Dnia Mon, 29 Jul 2019 20:13:57 +0200, Robert Sierant napisał(a):

W dniu 2019-07-29 o 16:23, J.F. pisze:

A jak inne banki ? Bedzie tak samo ?
Bo ciekawe ... skoro z PSD2, logowanie przez inne podmioty wypadaloby jakos potwierdzac ... moze slusznie mbank czyni ?

na właśnie, co zrobią inne banki?

bo jak wszystkie podejdą do tematu tak samo to nie będzie dokąd spi***alac

Na Ukraine, ich unijna regulacja nie dotyczy :-)

Stop, co ja glupi gadam ... przeciez wiadomo ze bezpieczne banki to w
Szwajcarii :-)

J.

W dniu 2019-07-29 o 16:23, J.F. pisze:

Użytkownik "Robert Sierant"  napisał w wiadomości grup dyskusyjnych:5d3efa4f$0$534$65785112@news.neostrada.pl...
W dniu 2019-07-29 o 15:42, J.F. pisze:

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie
ale od 14.09 już się nie zaloguje

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

Użytkownik "Poldek"  napisał w wiadomości grup dyskusyjnych:qhph85$14rf$2@gioia.aioe.org...
W dniu 2019-07-29 o 16:23, J.F. pisze:

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie
ale od 14.09 już się nie zaloguje

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

Piwnica jakas ?

Fakt, szpital nowy ... widac mocno metalowy, bo zasieg kiepski.

J.

Dnia Tue, 30 Jul 2019 15:58:22 +0200, J.F. napisał(a):

Użytkownik "Poldek"  napisał w wiadomości grup dyskusyjnych:qhph85$14rf$2@gioia.aioe.org...
W dniu 2019-07-29 o 16:23, J.F. pisze:

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

Piwnica jakas ?

Nie, wystarczy niewielka wioska niedaleko lasu, raptem 10 km od byłego
miasta wojewódzkiego i wszystkiego z 90 km od Warszawy. Internet jest po
kablu tepecyjnym, a zasięg GSM dopiero jak się wyjdzie "z obejścia" na
drogę i przejdzie ze 150 m.

I w tym miejscu jest tak z zasięgiem GSM mniej więcej od 15-20 lat, więc
nie ma co liczyć na to że "naprawią".

--
Imka

W dniu 30.07.2019 o 19:00, Imka pisze:

Dnia Tue, 30 Jul 2019 15:58:22 +0200, J.F. napisał(a):

Użytkownik "Poldek"  napisał w wiadomości grup
dyskusyjnych:qhph85$14rf$2@gioia.aioe.org...
W dniu 2019-07-29 o 16:23, J.F. pisze:

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie
życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

operacji w miejscu, gdzie jest internet (w szczególności jest to np.
internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS
była niemożliwa, a hasłem jednorazowym normalnie - tak.

Piwnica jakas ?

Nie, wystarczy niewielka wioska niedaleko lasu, raptem 10 km od byłego
miasta wojewódzkiego i wszystkiego z 90 km od Warszawy. Internet jest po
kablu tepecyjnym, a zasięg GSM dopiero jak się wyjdzie "z obejścia" na
drogę i przejdzie ze 150 m.

I w tym miejscu jest tak z zasięgiem GSM mniej więcej od 15-20 lat, więc
nie ma co liczyć na to że "naprawią".

Pod Ciechanowem takich miejsc pełno. Inna sprawa, że z internetem stacjonarnym też niejaki problem...

   MJ

On Tue, 30 Jul 2019 19:00:52 +0200, Imka <spamtrapimki@gazeta.pl>
wrote:

I w tym miejscu jest tak z zasięgiem GSM mniej więcej od 15-20 lat, więc
nie ma co liczyć na to że "naprawią".

Ale zgłaszałaś operatorowi/om?

WAM
--
www.nawakacje.pl ?
pokoje w górach www.wpolskichgorach.pl
pokoje na Mazurach www.spanienamazurach.pl
pokoje nad morzem www.nadmorze.pl

W dniu 2019-07-30 o 15:58, J.F. pisze:

Użytkownik "Poldek"  napisał w wiadomości grup dyskusyjnych:qhph85$14rf$2@gioia.aioe.org...
W dniu 2019-07-29 o 16:23, J.F. pisze:

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie
ale od 14.09 już się nie zaloguje

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

Tak. Są ludzie, dla których 19 zł to niewielkie pieniądze :-)

operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

Piwnica jakas ?

Rejon w górach.

Fakt, szpital nowy ... widac mocno metalowy, bo zasieg kiepski.

Czy dobrze zgaduję, że to miało być coś złośliwego?

Użytkownik "Poldek"  napisał w wiadomości grup dyskusyjnych:qhrkku$f50$1@gioia.aioe.org...
W dniu 2019-07-30 o 15:58, J.F. pisze:

Użytkownik "Poldek"  napisał w wiadomości grup W dniu 2019-07-29 o 16:23, J.F. pisze:

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

Tak. Są ludzie, dla których 19 zł to niewielkie pieniądze :-)

Niby niewielkie, ale po co przeplacac :-)

No fakt, mnie taka lista na dlugo starcza, a jak ktos zamowil kilka przed podwyzka, to ma na dlugo.

operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

Piwnica jakas ?

Rejon w górach.

Fakt, szpital nowy ... widac mocno metalowy, bo zasieg kiepski.

Czy dobrze zgaduję, że to miało być coś złośliwego?

Nie, niedawne doswiadczenia.
Nowy szpital ... i problemy z zasiegiem.
W poczekalni gdzies w glebi budynku nie dziwne, ale w pokoju na II pietrze tez rwie.

Szpital nawet wi-fi udostepnia, ale wymaga rejestracji i haslo na sms przysyla.
I trzeba wyjsc, zeby odebrac :-)

Wiec faktycznie moga sie zdarzyc takie sytuacje.

J.

W dniu 2019-07-31 o 11:16, J.F. pisze:

Użytkownik "Poldek"  napisał w wiadomości grup dyskusyjnych:qhrkku$f50$1@gioia.aioe.org...
W dniu 2019-07-30 o 15:58, J.F. pisze:

Użytkownik "Poldek"  napisał w wiadomości grup W dniu 2019-07-29 o 16:23, J.F. pisze:

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

Tak. Są ludzie, dla których 19 zł to niewielkie pieniądze :-)

Niby niewielkie, ale po co przeplacac :-)

No fakt, mnie taka lista na dlugo starcza, a jak ktos zamowil kilka przed podwyzka, to ma na dlugo.

E-e
"Dzień dobry,

od 14 września br. wycofujemy listy haseł jednorazowych, a nasi klienci będą potwierdzać operacje bankowe hasłami SMS lub mobilną autoryzacją.

Dlatego prosimy, zarejestruj jak najszybciej swój numer telefonu komórkowego. Zmienisz go na mLinii 801 300 800 lub w naszej placówce. Będziesz potrzebował dowodu osobistego oraz numeru aktywnej karty jaką masz w mBanku.

Jeśli tego nie zrobisz, od 14 września nie zalogujesz się do serwisu transakcyjnego. Sprawy związane z rachunkiem załatwisz tylko na mLinii lub w placówce.

...."


--
Pete

Użytkownik "Pete"  napisał w wiadomości grup dyskusyjnych:5d4164bf$0$519$65785112@news.neostrada.pl...
W dniu 2019-07-31 o 11:16, J.F. pisze:

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

Tak. Są ludzie, dla których 19 zł to niewielkie pieniądze :-)

Niby niewielkie, ale po co przeplacac :-)
No fakt, mnie taka lista na dlugo starcza, a jak ktos zamowil kilka przed podwyzka, to ma na dlugo.

E-e
od 14 września br. wycofujemy listy haseł jednorazowych, a nasi klienci będą potwierdzać operacje bankowe hasłami SMS lub mobilną autoryzacją.

Ale to teraz - 19 zl wprowadzili juz ... lata temu.
Jak widac niektorym starczylo.


J.

W dniu 2019-07-31 o 13:03, J.F. pisze:

Użytkownik "Pete"  napisał w wiadomości grup dyskusyjnych:5d4164bf$0$519$65785112@news.neostrada.pl...
W dniu 2019-07-31 o 11:16, J.F. pisze:

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Na SMS przeszli ci, którzy sobie tego życzyli. Ci, którzy sobie nie życzyli używali haseł jednorazowych. W przypadku chęci wykonania

Przy 19 zl za liste ?

Tak. Są ludzie, dla których 19 zł to niewielkie pieniądze :-)

Niby niewielkie, ale po co przeplacac :-)
No fakt, mnie taka lista na dlugo starcza, a jak ktos zamowil kilka przed podwyzka, to ma na dlugo.

E-e
od 14 września br. wycofujemy listy haseł jednorazowych, a nasi klienci będą potwierdzać operacje bankowe hasłami SMS lub mobilną autoryzacją.

Ale to teraz - 19 zl wprowadzili juz ... lata temu.
Jak widac niektorym starczylo.

Ja tylko w kwestii formalnej. Powinieneś napisać
.... a jak ktos zamowil kilka przed podwyzka, to *miał* na dlugo.

--
Pete

W znanych mi szpitalnych wifi i podobnych jest problem z protokołami SSL, czasem nawet poczta nie idzie.


-- -- -

Szpital nawet wi-fi udostepnia

On 2019-07-30, Poldek <pugilares@interia.eu> wrote:

[...]

operacji w miejscu, gdzie jest internet (w szczególności jest to np. internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS była niemożliwa, a hasłem jednorazowym normalnie - tak.

E tam. "WIFI Calling" to już parę lat ma.
A czytałem, że listy papierowe po prostu zostaną wycofane.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-07-31 o 15:02, Wojciech Bancer pisze:

On 2019-07-30, Poldek <pugilares@interia.eu> wrote:

[...]

operacji w miejscu, gdzie jest internet (w szczególności jest to np.
internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS
była niemożliwa, a hasłem jednorazowym normalnie - tak.

E tam. "WIFI Calling" to już parę lat ma.

WiFi calling nie działa u ludzi, którzy nie posiadają telefonu komórkowego, a posiadają komputer z dostępem do internetu i konto z dostępem przez WWW.

On 2019-08-11, Poldek <pugilares@interia.eu> wrote:

[...]

operacji w miejscu, gdzie jest internet (w szczególności jest to np.
internet stacjonarny), a nie ma zasięgu GSM, to autoryzacja przez SMS
była niemożliwa, a hasłem jednorazowym normalnie - tak.

E tam. "WIFI Calling" to już parę lat ma.

WiFi calling nie działa u ludzi, którzy nie posiadają telefonu komórkowego, a posiadają komputer z dostępem do internetu i konto z dostępem przez WWW.

Życie. Jak chcą wygodnie, to muszą ją kupić.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Dnia Mon, 29 Jul 2019 16:23:32 +0200, J.F. napisał(a):

Użytkownik "Robert Sierant"  napisał w wiadomości grup dyskusyjnych:5d3efa4f$0$534$65785112@news.neostrada.pl...
W dniu 2019-07-29 o 15:42, J.F. pisze:

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Trzeba miec smartfona ... bo hasla SMS tez odchodza do lamusa.

klient może mieć wszelkie zdefiniowane przelewy np. przy wykorzystaniu kart kodów, infolinii i teraz się tylko loguje, płaci i po sprawie
ale od 14.09 już się nie zaloguje

Zostal ostrzezony - niech sp* :-)
Zreszta przechodzenie na sms trwa od dawna ...

Tylko czemu ja sie ciagle zastanawiam co bedzie, jak mi smartfona gdzies na wakacjach ukradna, zgubie, wypadnie do wody, zespuje sie, rozladuje ...

Jeśli do odbierania SMS-ów używasz tego samego smartfona
co do logowania do banku, to nie muszą Ci kraść smartfona.

Dnia Wed, 31 Jul 2019 07:07:20 +0200, dantes napisał(a):

Dnia Mon, 29 Jul 2019 16:23:32 +0200, J.F. napisał(a):

Tylko czemu ja sie ciagle zastanawiam co bedzie, jak mi smartfona gdzies na wakacjach ukradna, zgubie, wypadnie do wody, zespuje sie, rozladuje ...

Jeśli do odbierania SMS-ów używasz tego samego smartfona
co do logowania do banku, to nie muszą Ci kraść smartfona.

A to osobny problem. Ja sie boje, ze pieniadze na kontach beda, ale niedostepne I problem warty do rozwazenia na urlopie ... tylko co tu zrobic - trzy
telefony nosic? Bo jeden sluzbowy ...

J.

Dnia Wed, 31 Jul 2019 07:36:26 +0200, J.F. napisał(a):

Dnia Wed, 31 Jul 2019 07:07:20 +0200, dantes napisał(a):

Dnia Mon, 29 Jul 2019 16:23:32 +0200, J.F. napisał(a):

Tylko czemu ja sie ciagle zastanawiam co bedzie, jak mi smartfona gdzies na wakacjach ukradna, zgubie, wypadnie do wody, zespuje sie, rozladuje ...

Jeśli do odbierania SMS-ów używasz tego samego smartfona
co do logowania do banku, to nie muszą Ci kraść smartfona.

A to osobny problem. Ja sie boje, ze pieniadze na kontach beda, ale niedostepne I problem warty do rozwazenia na urlopie ... tylko co tu zrobic - trzy
telefony nosic? Bo jeden sluzbowy ...

J.

Służbowy w dual-sim'ie z prywatnym.

Dnia Wed, 31 Jul 2019 08:52:10 +0200, dantes napisał(a):

Dnia Wed, 31 Jul 2019 07:36:26 +0200, J.F. napisał(a):

Dnia Wed, 31 Jul 2019 07:07:20 +0200, dantes napisał(a):

Jeśli do odbierania SMS-ów używasz tego samego smartfona
co do logowania do banku, to nie muszą Ci kraść smartfona.

A to osobny problem. Ja sie boje, ze pieniadze na kontach beda, ale niedostepne I problem warty do rozwazenia na urlopie ... tylko co tu zrobic - trzy
telefony nosic? Bo jeden sluzbowy ...

Służbowy w dual-sim'ie z prywatnym.

Jest to jakis pomysl, ale bateria szybciej pada :-)

J.

W dniu 2019-07-29 o 15:42, J.F. pisze:

b) przeciez te osoby nie maja konta w mbanku ... no, chyba ze zachomikowaly troche list hasel przed podwyzka.

Są/byli tacy, którzy korzystali z list haseł jednorazowych po podwyżce. Kto bogatemu zabroni?

Owszem, ale zwykle czytane paszczą, spróbuj zapamiętać.


-- -- -

a) przeciez sa sms na stacjonarne

Dnia Sat, 10 Aug 2019 21:45:12 +0200, ąćęłńóśźż napisał(a):

Owszem, ale zwykle czytane paszczą, spróbuj zapamiętać.

Z banku o tyle dobrze, ze wiadomo kiedy przyjdzie, no i dyktafon mozna
przygotowac.

J.

-- -- -

a) przeciez sa sms na stacjonarne

Potrafię wymyślić ciekawszą sytuację.

Żeby zainstalować apkę trzeba ją zaakceptować w serwisie.
Jeśli dobrze pamiętam, to po kilku błędnych logowaniach do apki konieczne jest jej powtórne zainstalowanie (a może tylko powtórne aktywowanie, ale skutek taki sam). Tylko jak to zrobić, nie mogąc potwierdzić logowania do systemu apką?

Jak kogoś to trafi i się poskarży, to może dorobią w takiej sytuacji zmianę na SMS.

Robert Sierant napisał(a) w wiadomości: <5d3ef4e4$0$500$65785112@news.neostrada.pl>...

jak w temacie,

właśnie otrzymałem list z banku, że od 14.09.2019 r. przy logowaniu do
bankowości internetowej będzie trzeba podać kod sms lub zaakceptować
"operację" w apce mobilnej

od razu zapytałem na czacie co jeżeli nie będę miał komórki pod ręką?
- nie zaloguje się pan...

nie sądzicie, że to już lekka przesada?

Bardzo ciężka przesada. Nawet jeszcze cięższa.
Chyba na bankierze.pl przesłuchano kilka banków na tę okoliczność
- niektóre twierdziły, że tylko raz na kilka logowań zażądają SMS-a.
Inne po "zarejestrowaniu" urządzenia jako zaufanego podobnie.

zapytałem też co z tymi co komórek nie mają (znam osoby, które
korzystają tylko z tel. stacjonarnego), tutaj już mi nie potrafili
wyjaśnić jak to będzie...

Co to obchodzi eurourzędasa i innych wymyślaczy
W dyrektywie jest chyba o podwójnym "uwiarygodnieniu", nie
są podane konkretne metody. Może więc ten sam eurourzędas
(tzn. w tym samym fotelu bo właśnie rozdają posady po
 eurowyborach...) nakaże przywrócenie innych metod dla
bezkomórkowców?
Pomarzyć...

Arek

Po zapoznaniu się ze szczegółami na stronie https://www.mbank.pl/mbank-news/co-nowego/od-14-wrzesnia-duzo-zmian-w-banku-nie-daj-sie-zaskoczyc.html wygląda na to, że w większości wypadków będą istniały ułatwienia np. komputer zaufany.
Prawdopodobnie jednak nie będzie to idealnie działąć w 100% sytuacji.

On 31 Jul 2019 07:05:40 GMT, jureq <jureq@nowhere.no> wrote:

Po zapoznaniu się ze szczegółami na stronie https://www.mbank.pl/mbank-news/co-nowego/od-14-wrzesnia-duzo-zmian-w-banku-nie-daj-sie-zaskoczyc.html wygląda na to, że w większości wypadków będą istniały ułatwienia np. komputer zaufany.

Niby jak, certyfikat po stronie klienta?

--
Marek

Dnia Mon, 29 Jul 2019 15:30:16 +0200, Robert Sierant napisał(a):

jak w temacie,
właśnie otrzymałem list z banku, że od 14.09.2019 r. przy logowaniu do bankowości internetowej będzie trzeba podać kod sms lub zaakceptować "operację" w apce mobilnej

od razu zapytałem na czacie co jeżeli nie będę miał komórki pod ręką?
- nie zaloguje się pan...
nie sądzicie, że to już lekka przesada?

https://www.mbank.pl/mbank-news/co-nowego/od-14-wrzesnia-duzo-zmian-w-banku-nie-daj-sie-zaskoczyc.html


no i jeszcze ciekawostka

4. Inaczej połączysz Twoją aplikację mobilną z kontem

Instalujesz aplikację pierwszy raz? A może chcesz korzystać z
aplikacji na innym urządzeniu? W każdym z tych przypadków aktywacja i
łączenie aplikacji z kontem, będzie wyglądać nieco inaczej. Może
wymagać np. kodu PIN do ostatnio zainstalowanej aplikacji mobilnej,
lub hasła do serwisu transakcyjnego oraz wybranych cyfr z numeru karty
płatniczej.

Taaa ... trzeba miec zapasowy smartfon z aplikacja, na wypadek awarii
pierwszego ?

A moze po prostu chca sie pozbyc klientow detalicznych ? :-)


5. Z mobilnej autoryzacji skorzystasz na więcej niż jednym, Twoim
urządzeniu
Korzystasz z mobilnej autoryzacji? Mamy dobrą wiadomość - od 14
września możemy wysyłać Ci dane operacji w powiadomieniu na każde
urządzenie, na którym masz aktywną aplikację mobilną.
Co zyskujesz?

-wygodę - jeśli zapomnisz wziąć z domu telefonu, rozładuje Ci się
bateria, możesz skorzystać z mobilnej autoryzacji na innym urządzeniu,
-bezpieczeństwo - jeśli ktoś np. ukradnie Twój telefon, zobaczysz
powiadomienie autoryzacyjne także na innym urządzeniu, które masz przy
sobie. Bez problemu anulujesz operację. Taa, zapomne telefonu, ale drugiego nie zapomne.

A na komputerze nie moge miec takiej autoryzacji ?

J.

On 2019-08-02, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

4. Inaczej połączysz Twoją aplikację mobilną z kontem

Instalujesz aplikację pierwszy raz? A może chcesz korzystać z
aplikacji na innym urządzeniu? W każdym z tych przypadków aktywacja i
łączenie aplikacji z kontem, będzie wyglądać nieco inaczej. Może
wymagać np. kodu PIN do ostatnio zainstalowanej aplikacji mobilnej,
lub hasła do serwisu transakcyjnego oraz wybranych cyfr z numeru karty
płatniczej.

Taaa ... trzeba miec zapasowy smartfon z aplikacja, na wypadek awarii
pierwszego ?

Z którego konkretnie fragmentu to wywioskowałeś?

A na komputerze nie moge miec takiej autoryzacji ?

Zostań przy SMSach i albo skonfiguruj sobie forward na komputer (da się),
albo załóż sobie numer wirtualny np. w Skype i odbieraj SMSy "czymbądź".

https://support.skype.com/pl/faq/FA34884/jak-otrzymac-wiadomosci-sms-w-programie-skype

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Dnia Fri, 2 Aug 2019 22:46:40 +0200, Wojciech Bancer napisał(a):

On 2019-08-02, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:
[...]

4. Inaczej połączysz Twoją aplikację mobilną z kontem

Instalujesz aplikację pierwszy raz? A może chcesz korzystać z
aplikacji na innym urządzeniu? W każdym z tych przypadków aktywacja i
łączenie aplikacji z kontem, będzie wyglądać nieco inaczej. Może
wymagać np. kodu PIN do ostatnio zainstalowanej aplikacji mobilnej,
lub hasła do serwisu transakcyjnego oraz wybranych cyfr z numeru karty
płatniczej.

Taaa ... trzeba miec zapasowy smartfon z aplikacja, na wypadek awarii
pierwszego ?

Z którego konkretnie fragmentu to wywioskowałeś?

Hm, moze i faktycznie przeinaczylem, ale autoryzacje spychaja do apki,
a jak apki nagle zabraknie ?

A na komputerze nie moge miec takiej autoryzacji ?

Zostań przy SMSach i albo skonfiguruj sobie forward na komputer (da się),
albo załóż sobie numer wirtualny np. w Skype i odbieraj SMSy "czymbądź".
https://support.skype.com/pl/faq/FA34884/jak-otrzymac-wiadomosci-sms-w-programie-skype

Ciekawe ... ale robia apke tokena, to czemu nie na peceta ?

J.

On 2019-08-02, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Taaa ... trzeba miec zapasowy smartfon z aplikacja, na wypadek awarii
pierwszego ?

Z którego konkretnie fragmentu to wywioskowałeś?

Hm, moze i faktycznie przeinaczylem, ale autoryzacje spychaja do apki,

Nie wypychają, aczkolwiek aplikacje mają 2 zalety:
a) są bezpieczniejsze
b) są tańsze (za SMSy w dalszym ciągu coś się płaci)

a jak apki nagle zabraknie ?

Nie rozumiem.

A na komputerze nie moge miec takiej autoryzacji ?

Zostań przy SMSach i albo skonfiguruj sobie forward na komputer (da się),
albo załóż sobie numer wirtualny np. w Skype i odbieraj SMSy "czymbądź".
https://support.skype.com/pl/faq/FA34884/jak-otrzymac-wiadomosci-sms-w-programie-skype

Ciekawe ... ale robia apke tokena, to czemu nie na peceta ?

Przychodzą mi do głowy co najmniej 3 powody:

1) smartfon jest urządzeniem o wiele bardziej osobistym
2) wszystkim nie dogodzisz, a więcej ludzi ma smartfona niż komputer
3) aplikacje na telefonach mają swoje zaufane źródło pobierania
   (Google Play, App Store), a same systemy uruchamiają aplikacje
   w swoistych wyizolowanych kontenerach, więc potencjalny włam,
   czy manipulacja jest jest mimo wszystko trudniejsza z każdą
   wersją systemu (Android) lub praktycznie niemożliwa (iOS).

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

3) aplikacje na telefonach mają swoje zaufane źródło pobierania
   (Google Play, App Store), a same systemy uruchamiają aplikacje
   w swoistych wyizolowanych kontenerach, więc potencjalny włam,
   czy manipulacja jest jest mimo wszystko trudniejsza z każdą
   wersją systemu (Android) lub praktycznie niemożliwa (iOS).

Jak to mówią, wiara czyni cuda.

W rzeczywistości jednak, istnieje zasadnicza zaleta z rozdzielenia
komputera, który jest używany do operacji bankowych, i urządzenia,
na którym otrzymujemy informacje autoryzujące. To, że być może chwilowo
złodzieje nie używają furtki w postaci wspólnego urządzenia, nie oznacza
że jutro nie zaczną. Wystarczy że wyschnie źródełko w postaci
"zawirusowanych" pecetów z kodami papierowymi.
--
Krzysztof Hałasa

On 2019-08-03, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

3) aplikacje na telefonach mają swoje zaufane źródło pobierania
   (Google Play, App Store), a same systemy uruchamiają aplikacje
   w swoistych wyizolowanych kontenerach, więc potencjalny włam,
   czy manipulacja jest jest mimo wszystko trudniejsza z każdą
   wersją systemu (Android) lub praktycznie niemożliwa (iOS).

Jak to mówią, wiara czyni cuda.

W rzeczywistości jednak, istnieje zasadnicza zaleta z rozdzielenia
komputera, który jest używany do operacji bankowych, i urządzenia,
na którym otrzymujemy informacje autoryzujące. To, że być może chwilowo
złodzieje nie używają furtki w postaci wspólnego urządzenia, nie oznacza
że jutro nie zaczną. Wystarczy że wyschnie źródełko w postaci
"zawirusowanych" pecetów z kodami papierowymi.

To czysto teoretycznie: jaki widzisz możliwy wektor ataku w przypadku iOS? Oczywiście inny niż "przywalenie klientowi w głowę i zabranie odblokowanego telefonu" :)

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

To czysto teoretycznie: jaki widzisz możliwy wektor ataku w przypadku iOS? Oczywiście inny niż "przywalenie klientowi w głowę i zabranie odblokowanego telefonu" :)

Taki jak zwykle - wysłanie owemu klientowi treści, które nie zostaną
prawidłowo "obsłużone" przez urządzenie.

A tak swoją drogą - nie używam ich sprzętu, to nie wiem - myślisz, że
w ich "sklepie" nie można umieścić trefnego oprogramowania, albo że może
ich system jest na to oprogramowanie odporny?
--
Krzysztof Hałasa

On 2019-08-03, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

To czysto teoretycznie: jaki widzisz możliwy wektor ataku w przypadku iOS? Oczywiście inny niż "przywalenie klientowi w głowę i zabranie odblokowanego telefonu" :)

Taki jak zwykle - wysłanie owemu klientowi treści, które nie zostaną
prawidłowo "obsłużone" przez urządzenie.

Ale jak chciałbyś je wysłać? Mailem? Aplikacja mailowa nie wie co
z taką treścią zrobić. SMS? To samo. A aplikacja bankowa nie przyjmuje
treści drogą mailową, czy SMS.

A tak swoją drogą - nie używam ich sprzętu, to nie wiem - myślisz, że
w ich "sklepie" nie można umieścić trefnego oprogramowania, albo że może
ich system jest na to oprogramowanie odporny?

Jeśli wykluczymy potencjalne błędy systemu, to owszem, nie można.
Aplikacja systemu iOS nie może sobie swobodnie korzystać z wszystkich
fukcji dostępu do systemu operacyjnego, ma bardzo ograniczony i wydzielony zestaw instrukcji (opisany jako SDK). I takie rzeczy
jak próba skorzystania z niedozwolonych funkcji są wykrywane przez
automaty na etapie wrzucania do AppStore. A bez dostępu do takich funkcji nie uda Ci się napisać żadnej złośliwej aplikacji.

Model działania aplikacji mobilnej w iOS, w przeciwieństwie do aplikacji
na komputerze zakłada uruchomienie jej z minimalym zestawem pozwoleń
i pozwalaniu na rozszerzenie tych pozwoleń przez użytkownika, w bardzo
ograniczony sposób (i przez czytelnyne komunikaty).

A mówiąc prościej: na początku aplikacja może operować wyłącznie
w swoim środowisku, potencjalnie może Cię poprosić o zgodę na np.
odbieranie notyfikacji (ale tylko własnych), ale już nie może
Cię poprosić o "daj mi roota" jak na komputerach, bo system takich mechanizmów nie udostępnia.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

Ale jak chciałbyś je wysłać? Mailem? Aplikacja mailowa nie wie co
z taką treścią zrobić. SMS? To samo. A aplikacja bankowa nie przyjmuje
treści drogą mailową, czy SMS.

Tzn. nie ma żadnych aplikacji, które wiedzą, co się robi z treścią?
Iphony w ogóle nie otrzymują treści z zewnątrz?
Wiem, że są problemy z byle przesłaniem im pliku przez BT, ale chyba bez
przesady.

Jeśli wykluczymy potencjalne błędy systemu, to owszem, nie można.

No ale (nie tyle potencjalne, co raczej rzeczywiste, choć być może
jeszcze nieznane) błędy różnych części systemu to właśnie podstawowy
wektor ataku. W każdym systemie tak jest. Zagrożenie trojanami to sprawa
drugorzędna, ponieważ można go w praktyce uniknąć po prostu nie
instalując trojanów. Na nieznaną dziurę, którą można wykorzystać
np. odpowiednio spreparowanym SMSem, pakietem radiowym, stroną WWW nie
ma prostej rady.

Aplikacja systemu iOS nie może sobie swobodnie korzystać z wszystkich
fukcji dostępu do systemu operacyjnego, ma bardzo ograniczony i wydzielony zestaw instrukcji (opisany jako SDK). I takie rzeczy
jak próba skorzystania z niedozwolonych funkcji są wykrywane przez
automaty na etapie wrzucania do AppStore. A bez dostępu do takich
funkcji nie uda Ci się napisać żadnej złośliwej aplikacji.

A nie może być tak, że aplikacja zacznie używać owych funkcji dopiero
podczas ataku? Albo że będzie używać funkcji (teoretycznie
"nieszkodliwych"), które są błędnie obsługiwane przez system?
A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Tak teoretycznie, to wiele współczesnych systemów jest całkowicie
odpornych na wszelkie ataki (pomijając te związane z fizycznym
dostępem do sprzętu). W szczególności dotyczy to masowo używanych
systemów. Oczywiście pod pewnymi warunkach, takimi jak ustawienie
silnych haseł (ale nie mam tu na myśli żadnych aktualizacji, bo takie
teoretycznie nie byłyby potrzebne).
--
Krzysztof Hałasa

W dniu 2019-08-04 o 11:49, Krzysztof Halasa pisze:

Iphony w ogóle nie otrzymują treści z zewnątrz?

Otrzymują. Można przez wifi chociażby wrzucić pliki na urządzenie.

Aplikacja systemu iOS nie może sobie swobodnie korzystać z wszystkich
fukcji dostępu do systemu operacyjnego, ma bardzo ograniczony
i wydzielony zestaw instrukcji (opisany jako SDK). I takie rzeczy
jak próba skorzystania z niedozwolonych funkcji są wykrywane przez
automaty na etapie wrzucania do AppStore. A bez dostępu do takich
funkcji nie uda Ci się napisać żadnej złośliwej aplikacji.

A nie może być tak, że aplikacja zacznie używać owych funkcji dopiero
podczas ataku? Albo że będzie używać funkcji (teoretycznie
"nieszkodliwych"), które są błędnie obsługiwane przez system?
A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Fałszywe aplikacje w appstore się pojawiają. Tutaj przykład takowej: https://niebezpiecznik.pl/post/zlosliwa-aplikacja-apple-appstore/

Oczywiście jakaś tam ingerencja użytkownika też musi być. O ile jednak użytkownicy Windowsa są zazwyczaj czujni, o tyle przekonanie (już od dość dawna nieaktualne), iż na Maca nie ma wirusów, bezpieczny sprzęt, nie zawiesza się itp. itd. bywa bardzo złudne.

Tak teoretycznie, to wiele współczesnych systemów jest całkowicie
odpornych na wszelkie ataki (pomijając te związane z fizycznym
dostępem do sprzętu).

Wydaje mi się, że jednak "błąd ludzki" to podstawa ataków.

W szczególności dotyczy to masowo używanych

systemów. Oczywiście pod pewnymi warunkach, takimi jak ustawienie
silnych haseł (ale nie mam tu na myśli żadnych aktualizacji, bo takie
teoretycznie nie byłyby potrzebne).

Sposobem na atak mogłyby być aktualizacje. Taka "fałszywa aktualizacja" mogłaby dokonać niezbędnych hakerowi zmian w systemie. Jednocześnie liczba aktualizacji jest na tyle duża, iż użytkownicy często automatycznie je akceptują lub instalują w tle.

On 2019-08-04, Szymon <z@wp.pl> wrote:

[...]

A nie może być tak, że aplikacja zacznie używać owych funkcji dopiero
podczas ataku? Albo że będzie używać funkcji (teoretycznie
"nieszkodliwych"), które są błędnie obsługiwane przez system?
A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Fałszywe aplikacje w appstore się pojawiają. Tutaj przykład takowej: https://niebezpiecznik.pl/post/zlosliwa-aplikacja-apple-appstore/

Cytat z artykułu:
"Aplikacja, którą zaraz opiszemy, nie była "złośliwa" w sensie bycia "trojanem"; nie wykradała treści SMS-ów, kontaktów czy zdjęć użytkowników, co notorycznie robią aplikacje ze sklepy Google Play, nawet te ze znaczkiem "Verified by Play Protect", które właśnie odkrył Lukas Stefanko.

"Nasza" aplikacja była po prostu "cwana" i stosując tzw. "black pattern" starała się naciągnąć posiadaczy iPhonów na spore koszty. Co więcej, w przeciwieństwie do aplikacji ze sklepu Google Play, które potrafią okradać użytkowników Androida długimi (tygo)dniami, żywot tej aplikacji iPhonowej był niezwykle krótki."

Oczywiście jakaś tam ingerencja użytkownika też musi być. O ile jednak użytkownicy Windowsa są zazwyczaj czujni, o tyle przekonanie (już od dość dawna nieaktualne), iż na Maca nie ma wirusów, bezpieczny sprzęt, nie zawiesza się itp. itd. bywa bardzo złudne.

Nie mówimy o macu, tylko o iOS.

W szczególności dotyczy to masowo używanych

systemów. Oczywiście pod pewnymi warunkach, takimi jak ustawienie
silnych haseł (ale nie mam tu na myśli żadnych aktualizacji, bo takie
teoretycznie nie byłyby potrzebne).

Sposobem na atak mogłyby być aktualizacje. Taka "fałszywa aktualizacja" mogłaby dokonać niezbędnych hakerowi zmian w systemie.

Nie da się takiej aktualizacji przeprowadzić w iOS.

Jednocześnie liczba aktualizacji jest na tyle duża, iż użytkownicy często automatycznie je akceptują lub instalują w tle.

Aktualizacje praktycznie tylko idą w tle, ale jedynie z platformy
App Store. Nie ma możliwości aktualizowania aplikacji "skąd bądź".
A ta z App Store przechodzi ten sam proces review, co wcześniejsze
wersje.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-04 o 16:18, Wojciech Bancer pisze:

Fałszywe aplikacje w appstore się pojawiają. Tutaj przykład takowej:
https://niebezpiecznik.pl/post/zlosliwa-aplikacja-apple-appstore/

Cytat z artykułu:
"Aplikacja, którą zaraz opiszemy, nie była "złośliwa" w sensie bycia
"trojanem"; nie wykradała treści SMS-ów, kontaktów czy zdjęć użytkowników,
co notorycznie robią aplikacje ze sklepy Google Play, nawet te ze znaczkiem
"Verified by Play Protect", które właśnie odkrył Lukas Stefanko.

Nie twierdzę, że system X jest bezpieczniejszy od Y. Wydaje mi się jedynie, iż systemów nie do ruszenia - nie ma.

Nie mówimy o macu, tylko o iOS.

Porównałem komputery, ale nie ma to większego znaczenia. Chodzi o pewien mechanizm działania. Możesz przyjrzeć się macowi, możesz iPhone'owi czy iPadowi... Zawsze najsłabszym ogniwem jest człowiek. Także w przypadku Windowsa/Androida.

Sposobem na atak mogłyby być aktualizacje. Taka "fałszywa aktualizacja"
mogłaby dokonać niezbędnych hakerowi zmian w systemie.

Nie da się takiej aktualizacji przeprowadzić w iOS.

Być może. Zdarzało się jednak, iż po aktualizacji "legalnej" system gorzej działał niż przed. Jednocześnie nie do końca wiadomo co one dają. Bardzo niewielu użytkowników jest w stanie wskazać "co się zmieniło?" po aktualizacji. Atak w tym kierunku byłby zatem skuteczny.
"Nie da się" - odważna teza.

Jednocześnie liczba aktualizacji jest na tyle duża, iż użytkownicy często
automatycznie je akceptują lub instalują w tle.

Aktualizacje praktycznie tylko idą w tle, ale jedynie z platformy
App Store. Nie ma możliwości aktualizowania aplikacji "skąd bądź".
A ta z App Store przechodzi ten sam proces review, co wcześniejsze
wersje.

Jednak jak widać po wpisaniu "fałszywe aplikacje w Appstore" coraz więcej tego.

Z kolejnego artykułu: Każda aplikacja dla systemu iOS przed pojawieniem się w App Store jest wcześniej poddawana procesowi weryfikacji, który ma odsiać programy naruszające regulamin sklepu. Niestety, mimo to deweloperom czasami udaje się przemycić tam szkodliwe oprogramowanie.

Jak na razie nie wiadomo, jak duże szkody wyrządziła fałszywa aplikacja MyEtherWallet. Jej opis sugerował, że wszystkie dane podawane przez użytkowników zapisywane były wyłącznie w pamięci ich urządzeń, jednak nie wiadomo, czy była to prawda. Teoretycznie twórcy aplikacji mogli za jej pomocą zyskać dostęp do prywatnych kluczy użytkowników, a tym samym do środków zgromadzonych w ich wirtualnych portfelach.
-- -- -- -- -- -- -- -- -- --

Zgadzam się z Twoją tezą z poprzedniego postu, iż ataki są w tej chwili skierowane przede wszystkim na użytkownika. To najtańszy i najskuteczniejszy sposób. Wydaje mi się, iż w tym momencie nie ma znaczenia z jakiego sprzętu czy systemu się korzysta. Zatem twierdzenie, że ten bardziej, a tamten mniej bezpieczny nie jest uprawnione.

On 2019-08-04, Szymon <z@wp.pl> wrote:

[...]

Cytat z artykułu:
"Aplikacja, którą zaraz opiszemy, nie była "złośliwa" w sensie bycia
"trojanem"; nie wykradała treści SMS-ów, kontaktów czy zdjęć użytkowników,
co notorycznie robią aplikacje ze sklepy Google Play, nawet te ze znaczkiem
"Verified by Play Protect", które właśnie odkrył Lukas Stefanko.

Nie twierdzę, że system X jest bezpieczniejszy od Y. Wydaje mi się jedynie, iż systemów nie do ruszenia - nie ma.

Nie musi być.
Osiągnięcie odpowiedniego poziomu trudności złamania jest bardzo
często czynnikiem wystarczającym.

Nie mówimy o macu, tylko o iOS.

Porównałem komputery, ale nie ma to większego znaczenia.

No właśnie ma.

Chyba nie do końca prześledziłeś o czym jest dyskusja. Wyszła ona od tego
"dlaczego" banki przechodzą na aplikacje. A przechodzą, bo są one tańsze
i bezpieczniejsze.

Jeśli Twoja autoryzacja z bankiem odbywa się przez aplikację, to w przypadku
iOS i obecnego modelu działania nie dość, że nikt się pod tą apkę nie podszyje (co jest łatwe w przypadku SMS), to jeszcze będziesz od razu widział jak na dłoni próbę wyłudzenia wysyłane tradycyjnym SMSem.

Chodzi o pewien mechanizm działania. Możesz przyjrzeć się macowi, możesz iPhone'owi czy iPadowi... Zawsze najsłabszym ogniwem jest człowiek. Także w przypadku Windowsa/Androida.

Mechanizmy działania tych systemów są kompletnie inne.

Nie da się takiej aktualizacji przeprowadzić w iOS.

Być może. Zdarzało się jednak, iż po aktualizacji "legalnej" system gorzej działał niż przed. Jednocześnie nie do końca wiadomo co one dają.
Bardzo niewielu użytkowników jest w stanie wskazać "co się zmieniło?" po aktualizacji. Atak w tym kierunku byłby zatem skuteczny.
"Nie da się" - odważna teza.

App Store obecnie ma ok. 2 mln aplikacji i tego rodzaju sytuacja
się nie zdarzyła. Przyjęty model dystrybucji uniemożliwia tego rodzaju
atak. Chyba że twierdzisz iż w celu shackowania posiadaczy mBanku ktoś
znajdzie środki i wiedzę by przełamać zabezpieczenia firmy Apple
a przy tym pozostanie niewykryty.

Jednocześnie liczba aktualizacji jest na tyle duża, iż użytkownicy często
automatycznie je akceptują lub instalują w tle.

Aktualizacje praktycznie tylko idą w tle, ale jedynie z platformy
App Store. Nie ma możliwości aktualizowania aplikacji "skąd bądź".
A ta z App Store przechodzi ten sam proces review, co wcześniejsze
wersje.

Jednak jak widać po wpisaniu "fałszywe aplikacje w Appstore" coraz więcej tego.

Ale Ty piszesz o zupełnie innych aplikacjach i tylko wrzucasz je do tego
samego worka. ŻADNA aplikacja nie będzie się w stanie podszyć pod inną
przez "aktualizację".

Z kolejnego artykułu: Każda aplikacja dla systemu iOS przed pojawieniem się w App Store jest wcześniej poddawana procesowi weryfikacji, który ma odsiać programy naruszające regulamin sklepu. Niestety, mimo to deweloperom czasami udaje się przemycić tam szkodliwe oprogramowanie.

I nadal nie ma tu mechanizmu o którym tu rozmawiamy.

[...]

Zgadzam się z Twoją tezą z poprzedniego postu, iż ataki są w tej chwili skierowane przede wszystkim na użytkownika. To najtańszy i najskuteczniejszy sposób. Wydaje mi się, iż w tym momencie nie ma znaczenia z jakiego sprzętu czy systemu się korzysta. Zatem twierdzenie, że ten bardziej, a tamten mniej bezpieczny nie jest uprawnione.

Oczywiście że *jest* bardziej bezpieczny i sam to udowadniasz szukając
statystyk. Na 2 mln aplikacji znalazłeś ich zaledwie kilka (i teraz to
już poszukałeś aplikacji sprzed 2 lat, która się utrzymała kilka dni).
A i nadal nie były to aplikacje które mogłyby podszyć się pod aplikację
mBaku i zamiast niej wysłać żądanie autoryzacyjne (ponownie wrócę do tematu otwierającego wątek, czyli bezpieczeństwo autoryzacji SMS vs już istniejąca, oficjalna aplikacja).

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-04 o 17:58, Wojciech Bancer pisze:

Osiągnięcie odpowiedniego poziomu trudności złamania jest bardzo
często czynnikiem wystarczającym.

Jeśli jednak przyjmiesz, iż to człowiek jest najsłabszym ogniwem to system przestaje mieć znaczenie.

Chyba nie do końca prześledziłeś o czym jest dyskusja. Wyszła ona od tego
"dlaczego" banki przechodzą na aplikacje. A przechodzą, bo są one tańsze
i bezpieczniejsze.

Wydaje mi się, że jednym z pierwszych udostępniających aplikację do autoryzacji był EB. Bardzo promował swój token GSM. Mam wrażenie jednak, iż bardzo trudno było przebić się do świadomości klienta.
Osobiście korzystałem z tokena sprzętowego. W moim przekonaniu to optymalna metoda autoryzacji.

Jeśli Twoja autoryzacja z bankiem odbywa się przez aplikację, to w przypadku
iOS i obecnego modelu działania nie dość, że nikt się pod tą apkę nie podszyje
(co jest łatwe w przypadku SMS), to jeszcze będziesz od razu widział jak na
dłoni próbę wyłudzenia wysyłane tradycyjnym SMSem.

Wydaje się jednak, iż byłbym wówczas zmuszony do korzystania z urządzeń Apple'a. Wysoka cena.
Mam służbowego iPada. Jest zarządzany przez administratora i niezwykle bezpieczny - na tyle, iż nie jestem w stanie sam nic zainstalować. Czasami mam wrażenie, że w kwestiach bezpieczeństwa trzeba szukać rozsądnego kompromisu między użytecznością urządzenia a jego zabezpieczeniem.

On 2019-08-04, Szymon <z@wp.pl> wrote:

[...]

Jeśli Twoja autoryzacja z bankiem odbywa się przez aplikację, to w przypadku
iOS i obecnego modelu działania nie dość, że nikt się pod tą apkę nie podszyje
(co jest łatwe w przypadku SMS), to jeszcze będziesz od razu widział jak na
dłoni próbę wyłudzenia wysyłane tradycyjnym SMSem.

Wydaje się jednak, iż byłbym wówczas zmuszony do korzystania z urządzeń Apple'a. Wysoka cena.

Aplikacje na Androidzie nadal są bezpieczniejsze niż SMSy. Chociażby dlatego,
że komunikacja jest szyfrowana i nie tak łatwa do podrobienia jak SMSy,
chociaż Android sam w sobie pozwala na więcej, stąd obecność złośliwych
aplikacji w GP. Chociaż Google mimo wszystko aktywnie je zwalcza.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Mnie to zawsze ciekawi, że admini z pensjami po jednak kilka tysi (netto) mogą więcej niż pracownicy z pensjami po kilkanaście tysi + premie.
Kto ma większą pokusę coś nabroić?


-- -- -

Jest zarządzany przez administratora i niezwykle bezpieczny - na tyle, iż nie jestem w stanie sam nic zainstalować.

On 2019-08-04, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Ale jak chciałbyś je wysłać? Mailem? Aplikacja mailowa nie wie co
z taką treścią zrobić. SMS? To samo. A aplikacja bankowa nie przyjmuje
treści drogą mailową, czy SMS.

Tzn. nie ma żadnych aplikacji, które wiedzą, co się robi z treścią?
Iphony w ogóle nie otrzymują treści z zewnątrz?
Wiem, że są problemy z byle przesłaniem im pliku przez BT, ale chyba bez
przesady.

Otrzymują. Aplikacja od SMSów dostanie SMSa, aplikacja od poczty
dostanie maila. I co dalej? Bo ani aplikacja od SMSów, ani aplikacja
od poczty nie mają dostępu do danych aplikacji bankowej.

Jeśli wykluczymy potencjalne błędy systemu, to owszem, nie można.

No ale (nie tyle potencjalne, co raczej rzeczywiste, choć być może
jeszcze nieznane) błędy różnych części systemu to właśnie podstawowy
wektor ataku.

Absolutnie nie. Podstawowym wektorem ataku jest człowiek i próba jego
zmianipulowania. Wykorzystywanie błędów systemu to jest promil promila
przypadków. I teraz rzecz w tym, że komputery pozwalają zmanipulowanemu
człowiekowi działać o wiele dalej i głębiej niż smartfony.

Aplikacja systemu iOS nie może sobie swobodnie korzystać z wszystkich
fukcji dostępu do systemu operacyjnego, ma bardzo ograniczony i wydzielony zestaw instrukcji (opisany jako SDK). I takie rzeczy
jak próba skorzystania z niedozwolonych funkcji są wykrywane przez
automaty na etapie wrzucania do AppStore. A bez dostępu do takich
funkcji nie uda Ci się napisać żadnej złośliwej aplikacji.

A nie może być tak, że aplikacja zacznie używać owych funkcji dopiero
podczas ataku?

Nie może. Kod aplikacji jest przeglądany a etapie jego wrzucenia, więc
jeśli ślad takiego wywołania się pojawi w kodzie, to zostanie ona
odrzucona.

Albo że będzie używać funkcji (teoretycznie "nieszkodliwych"), które są błędnie obsługiwane przez system?

Jak na razie praktyka pokazuje, że to jest nie do zrobienia na masową
skalę, przez co jest to problem jedynie teoretyczny lub też problem
bardzo bogatych osób w które celuje ktoś personalnie.

A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Teoretyznie nie. Ale praktycznie tak. Ataki z wykorzystaniem tego rodzaju błędów są nieopłacalne.

Tak teoretycznie, to wiele współczesnych systemów jest całkowicie
odpornych na wszelkie ataki (pomijając te związane z fizycznym
dostępem do sprzętu).

Znaczna większość ataków to manipulacja człowiekiem, a nie błędami sprzętu.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

Absolutnie nie. Podstawowym wektorem ataku jest człowiek i próba jego
zmianipulowania.

Obecnie. Ale te problemy można wyeliminować stosunkowo łatwo (jeśli
jeszcze występują) - problemów ze sprzętem i systemem nie da się
skutecznie wyeliminować w sensownym czasie, zresztą ich liczba wydaje
się rosnąć.

Jak na razie praktyka pokazuje, że to jest nie do zrobienia na masową
skalę, przez co jest to problem jedynie teoretyczny lub też problem
bardzo bogatych osób w które celuje ktoś personalnie.

Praktyka niczego takiego nie może pokazać. Praktyka może pokazać, że
obecnie wysiłki złodziei są skierowane w listy papierowe itp. - ponieważ
są najłatwiejsze do pokonania (wystarczy nieświadomy user). Ale jeśli to
źródło wyschnie, to złodzieje podepną się do innego. Tak było zawsze
i nie ma powodu by teraz nagle miało się to zmienić.

A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Teoretyznie nie. Ale praktycznie tak. Ataki z wykorzystaniem tego
rodzaju błędów są nieopłacalne.

Skąd taki pomysł? Mówimy o włamaniach bankowych, pojedyncze włamanie to
mogą być setki tysięcy "zysku". Ludzie robią takie rzeczy dla nauki.
W żadnym przypadku nie można uznać, że to może być nieopłacalne. Jedynie
bardziej opłacalne metody mogą spowodować, że te nie będą wykorzystywane.
--
Krzysztof Hałasa

On 2019-08-05, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Absolutnie nie. Podstawowym wektorem ataku jest człowiek i próba jego
zmianipulowania.

Obecnie. Ale te problemy można wyeliminować stosunkowo łatwo (jeśli
jeszcze występują) - problemów ze sprzętem i systemem nie da się
skutecznie wyeliminować w sensownym czasie, zresztą ich liczba wydaje
się rosnąć.

Mogą się pojawić problemy ze sprzętem, których nie da się załatać (obecnie
chyba to Spoiler, ale nie dotyczy procków mobilnych), ale raczej nie z oprogramowaniem. A i nie są istotne "wszystkie" błędy, tylko
błędy które można wykorzystać przez złośliwy atak. Nie wystarczy
"dziura w sprzęcie". Większość błędów sprzętowo-systemowych może być wykorzystana jedynie "lokalnie" i przy bardzo dużej wiedzy o docelowym systemie ofiary, więc są nie do wykorzystania na masową skalę.

[...]

Praktyka niczego takiego nie może pokazać. Praktyka może pokazać, że
obecnie wysiłki złodziei są skierowane w listy papierowe itp. - ponieważ
są najłatwiejsze do pokonania (wystarczy nieświadomy user). Ale jeśli to
źródło wyschnie, to złodzieje podepną się do innego. Tak było zawsze
i nie ma powodu by teraz nagle miało się to zmienić.

Zapominasz o starej, dobrej zasadzie: zabezpieczenie jest na tyle dobre,
na ile opłaca się go złamać. Jak na przełamanie zabezpieczeń wydasz 1mln$,
zadziała przez dobę i uda Ci się w tym czasie może skubnąć ofiary na 100k$,
to się to nie opłaca. Przy takich kosztach to się już wybiera ofiary świadomie (np. targetuje się osoby mające duże portfele BTC).

Z dużą dozą pewności można stwierdzić, że większość ataujących "za pomocą
fałszywych SMS/maili" na masową skalę nie ma wiedzy/środków by przeprowadzić
bardziej zaawansowane ataki.

A procesor i w ogóle sprzęt. Czy wykluczasz możliwość, że sam procesor
posiada błędy, które pozwolą np. na podniesienie uprawnień? Albo
np. "młotkowanie" RAM, sprzęt Apple jest odporny na wszystko?

Teoretyznie nie. Ale praktycznie tak. Ataki z wykorzystaniem tego
rodzaju błędów są nieopłacalne.

Skąd taki pomysł? Mówimy o włamaniach bankowych, pojedyncze włamanie to mogą być setki tysięcy "zysku".

Jak chcesz wykorzystać bład systemu, to musisz mieć człowieka,
który ten błąd odkryje (bo raczej na te odkryte to już nic nie
wymyślisz), zatrudnić ludzi którzy zbiorą informacje o celu,
odkryją słabe punktu (potencjalnie przekupstwo). Tak na dzień dobry to ja widzę, że setki tysięcy to masz na dzień dobry "kosztów". Jak nie więcej.

Pamiętaj że sam błąd nie wystarczy, musisz jeszcze mieć spełnione
warunki do jego wykorzystania (np. dostęp lokalny do konkretnej
maszyy i dużo czasu). Jak Twój jedyny dostęp to interfejs www,
to błędu sprzętowego nie wykorzystasz.

Życie to nie film, gdzie Tom Cruise sobie przepełznie wentylacją i wisząc 20 cm nad ziemią, efektownie wsadzi pendrive w komputer, który zacznie mu sam ochoczo przesyłać wszystko co sobie tamten zażyczył. :)

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

Mogą się pojawić problemy ze sprzętem, których nie da się załatać (obecnie
chyba to Spoiler, ale nie dotyczy procków mobilnych), ale raczej nie z oprogramowaniem.

Przede wszystkim z oprogramowaniem. Nie dlatego, że to jest wycięte
w szkle, tylko ze względu na liczbę powstających błędów.
Faktem jest, stosunek liczby błędów do wielkości softu jest coraz
korzystniejszy (co jest zasługą edukacji programistów, oraz m.in.
automatów testujących), ale wielkość softu rośnie szybciej.

A i nie są istotne "wszystkie" błędy, tylko
błędy które można wykorzystać przez złośliwy atak. Nie wystarczy
"dziura w sprzęcie". Większość błędów sprzętowo-systemowych może być wykorzystana jedynie "lokalnie" i przy bardzo dużej wiedzy o docelowym systemie ofiary, więc są nie do wykorzystania na masową skalę.

Akurat w realiach telefonicznych, to wiedza o sprzęcie ofiary jest
bardzo dobra. Kwestia prawdopodobieństwa * liczba użytkowników
chociażby.

Zapominasz o starej, dobrej zasadzie: zabezpieczenie jest na tyle dobre,
na ile opłaca się go złamać. Jak na przełamanie zabezpieczeń wydasz 1mln$,
zadziała przez dobę i uda Ci się w tym czasie może skubnąć ofiary na 100k$,
to się to nie opłaca.

Owszem. Ale jeśli ktoś wyda na to $50k (realna kwota), uda mu się przez
miesiąc okraść 200 kosób średnio na $300 (i to też są realne wartości),
to nie wiem jak to się może nie opłacać.

Z dużą dozą pewności można stwierdzić, że większość ataujących "za pomocą
fałszywych SMS/maili" na masową skalę nie ma wiedzy/środków by przeprowadzić
bardziej zaawansowane ataki.

Są ludzie, których można wynająć, i którzy mają potrzebną wiedzę.

Jak chcesz wykorzystać bład systemu, to musisz mieć człowieka,
który ten błąd odkryje (bo raczej na te odkryte to już nic nie
wymyślisz),

Zdziwiłbyś się jak wiele jest starych, od dawna nie wspieranych
telefonów. Takich, które można załatwić zdalnie błędem znanym od lat.

Pamiętaj że sam błąd nie wystarczy, musisz jeszcze mieć spełnione
warunki do jego wykorzystania (np. dostęp lokalny do konkretnej
maszyy i dużo czasu).

Daj spokój. Dostęp lokalny do maszyny w ogóle dyskwalifikuje taką
sytuację.
--
Krzysztof Hałasa

On 2019-08-06, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Mogą się pojawić problemy ze sprzętem, których nie da się załatać (obecnie
chyba to Spoiler, ale nie dotyczy procków mobilnych), ale raczej nie z oprogramowaniem.

Przede wszystkim z oprogramowaniem. Nie dlatego, że to jest wycięte
w szkle, tylko ze względu na liczbę powstających błędów.

Ale mówiłeś o tym że się tego "nie da załatać".
Oprogramowanie da się załatać i jest łatane.

Zapominasz o starej, dobrej zasadzie: zabezpieczenie jest na tyle dobre,
na ile opłaca się go złamać. Jak na przełamanie zabezpieczeń wydasz 1mln$,
zadziała przez dobę i uda Ci się w tym czasie może skubnąć ofiary na 100k$,
to się to nie opłaca.

Owszem. Ale jeśli ktoś wyda na to $50k (realna kwota),

Nierealna kwota. Tyle zarabia przeciętny dev na legalu,
a Ty chcesz specjalistę z wiedzą niskopoziomową o systemie.
Dodaj zero na końcu.

uda mu się przez miesiąc okraść 200 kosób średnio na $300 (i to też są realne wartości), to nie wiem jak to się może
nie opłacać.

No to się nie zgadzamy co do kwot.

Z dużą dozą pewności można stwierdzić, że większość ataujących "za pomocą
fałszywych SMS/maili" na masową skalę nie ma wiedzy/środków by przeprowadzić
bardziej zaawansowane ataki.

Są ludzie, których można wynająć, i którzy mają potrzebną wiedzę.

Jasne. Tylko oni moga legalnie zarobić więcej niż podałeś wyżej.

Jak pisałem: o ile nie są to służby wywiadowcze, szpiegostwo lub
atak personalizowany na jakiegoś milionera, to takie eksploity
pozostają poza zasięgiem cenowym przeciętnych grup przestępczych.

Jak chcesz wykorzystać bład systemu, to musisz mieć człowieka,
który ten błąd odkryje (bo raczej na te odkryte to już nic nie
wymyślisz),

Zdziwiłbyś się jak wiele jest starych, od dawna nie wspieranych
telefonów. Takich, które można załatwić zdalnie błędem znanym od lat.

Na Androidzie na pewno. Na iPhone iOS12 był w lutym na ponad 80% urządzeniach.
https://www.cultofmac.com/608798/ios-12-adoption-80-percent/

A iOS 10 (ostatnia wersja 10.3.4 wyszła 22.07.2019) i 11 też jest aktualizowany w zakresie security. Tego rodzaju małe poprawki się instalują najczęściej same,
jak podłączasz telefon do ładownia (często nie wymagają nawet
restartu).

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

Ale mówiłeś o tym że się tego "nie da załatać".
Oprogramowanie da się załatać i jest łatane.

Ale nie jest załatane. Nie da się załatać, bo szybkość łatania jest
mniejsza niż szybkość tworzenia dziur.

Owszem. Ale jeśli ktoś wyda na to $50k (realna kwota),

Nierealna kwota. Tyle zarabia przeciętny dev na legalu,

Przez pół roku, rok, albo dwa (zależy gdzie). Optymistycznie rzecz
biorąc. Proponuję powrót marketing -> rzeczywistość.
--
Krzysztof Hałasa

On 2019-08-06, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Ale mówiłeś o tym że się tego "nie da załatać".
Oprogramowanie da się załatać i jest łatane.

Ale nie jest załatane. Nie da się załatać, bo szybkość łatania jest
mniejsza niż szybkość tworzenia dziur.

Istotnych dziur? Niespecjalnie.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Użytkownik "Wojciech Bancer"  napisał w wiadomości grup dyskusyjnych:slrnqk9dad.12mt.wojciech.bancer@pl-test.org...
On 2019-08-02, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

Taaa ... trzeba miec zapasowy smartfon z aplikacja, na wypadek awarii
pierwszego ?

Z którego konkretnie fragmentu to wywioskowałeś?

Hm, moze i faktycznie przeinaczylem, ale autoryzacje spychaja do apki,

Nie wypychają, aczkolwiek aplikacje mają 2 zalety:
a) są bezpieczniejsze
b) są tańsze (za SMSy w dalszym ciągu coś się płaci)

Nie przecze.

a jak apki nagle zabraknie ?

Nie rozumiem.

No telefon wpadnie do kibla. Albo ukradli.
Kupujesz nowy, trzeba apke zainstalowac, autoryzowac ... a tu narzedzie autoryzacji splynelo do kanalu ...

A na komputerze nie moge miec takiej autoryzacji ?

Zostań przy SMSach i albo skonfiguruj sobie forward na komputer (da się),
albo załóż sobie numer wirtualny np. w Skype i odbieraj SMSy "czymbądź".
https://support.skype.com/pl/faq/FA34884/jak-otrzymac-wiadomosci-sms-w-programie-skype

Ciekawe ... ale robia apke tokena, to czemu nie na peceta ?

Przychodzą mi do głowy co najmniej 3 powody:
1) smartfon jest urządzeniem o wiele bardziej osobistym

Owszem, ale czesto komputer tez jest osobisty.

2) wszystkim nie dogodzisz, a więcej ludzi ma smartfona niż komputer

chyba jednak klient wlasnie pokazal, ze chce uzyc komputera.
Szczegolnie ze funkcjonalnosc nie jest ta sama.

3) aplikacje na telefonach mają swoje zaufane źródło pobierania
  (Google Play, App Store), a same systemy uruchamiają aplikacje
  w swoistych wyizolowanych kontenerach, więc potencjalny włam,
  czy manipulacja jest jest mimo wszystko trudniejsza z każdą
  wersją systemu (Android) lub praktycznie niemożliwa (iOS).

Byc moze ... ale apka powinna sie jakos zabezpieczac.
Fakt, ze to kiepskie zabezpieczenia, i pod windows chyba nie byloby klopotu ze zlamaniem/obejsciem.
Ale czy aby na pewno na Androidzie/iOS nie ma ?

J.

W dniu 2019-08-05 o 12:13, J.F. pisze:

a jak apki nagle zabraknie ?

Nie rozumiem.

No telefon wpadnie do kibla. Albo ukradli.

Z dziś:
Równie niepokojące dane przedstawia nowy raport Instytutu Kościuszki - "Wyzwania w cyberprzestrzeni". Z zebranych przez jego autorów danych wynika, że już co 13 e-mail zawiera złośliwe oprogramowanie, którego celem jest zainfekowanie komputera, systemów komputerowych, sieci czy urządzeń mobilnych.

Dość przerażające. A gdyby tak oddzielić system autoryzacyjny od domowego komputera? Wydaje się, że np. wojsko czy policja mają swoje sieci, bez punktów styku z powszechną - Internetem - a zatem włam nie jest możliwy lub przynajmniej bardzo utrudniony.

Zainteresowała mnie ta teza:
     Phishing działa przede wszystkim dlatego, że domagamy się od zwykłych ludzi 'nadludzkich możliwości'. Badania przeprowadzone w najbardziej zaawansowanych technologicznie krajach świata pokazują, że tylko 5 procent populacji potrafi wykonywać bardziej skomplikowane zadania w zetknięciu z IT. My tymczasem chcemy, by wszyscy potrafili odróżniać fałszywe treści od prawdziwych. - tłumaczy Michał Jarski, ekspert ds. cyberbezpieczeństwa.

Wydaje mi się, że coś w tym jest. Zamiast domagać się znajomości certyfikatów, stron, rozpoznawania maili, SMS-ów etc. może warto byłoby pomyśleć o rozwiązaniach bardziej odpornych na błędy użytkownika.

Przychodzą mi do głowy co najmniej 3 powody:
1) smartfon jest urządzeniem o wiele bardziej osobistym

Owszem, ale czesto komputer tez jest osobisty.

Co więcej - telefon zazwyczaj klient ma przy sobie - komputer dużo rzadziej. A noszenie przy sobie narzędzia autoryzacyjnego chyba nie jest dobrym pomysłem. Szczególnie, iż Kowalski może go potrzebować powiedzmy raz na miesiąc (ot, przelewy za mieszkanie, media itd.).

2) wszystkim nie dogodzisz, a więcej ludzi ma smartfona niż komputer

chyba jednak klient wlasnie pokazal, ze chce uzyc komputera.
Szczegolnie ze funkcjonalnosc nie jest ta sama.

Zdecydowanie.
Dziś przeczytałem:
     Tak jest w przypadku autentykacji biometrycznej, która umożliwia konsumentom potwierdzenie tożsamości przez zwykłe dotknięcie palcem własnego telefonu czy zrobienie zdjęcia swojej twarzy. W ciągu najbliższych kilku lat biometria stanie się nowym standardem potwierdzania tożsamości, wypierając tym samym kody czy hasła. Biometria zapewnia jeszcze wyższy poziom bezpieczeństwa, dzięki czemu pomaga bankom i internetowym sprzedawcom spełnić wymagania nowych przepisów, związanych m.in. z silnym uwierzytelnieniem - komentuje ekspert.

Mimo przeciwników biometrii - jak widać są też jej zwolennicy. Często mówią o telefonach, bowiem czytnik linii jest tam już niemal standardem. A na pewno za kilka lat będzie. W komputerach do rzadkość, aczkolwiek coraz więcej laptopów już ma. Wydaje się zatem, iż nie tylko z punktu widzenia bankowości, ale też ochrony danych szerzej rozumianej biometria ma przyszłość.

Byc moze ... ale apka powinna sie jakos zabezpieczac.
Fakt, ze to kiepskie zabezpieczenia, i pod windows chyba nie byloby klopotu ze zlamaniem/obejsciem.
Ale czy aby na pewno na Androidzie/iOS nie ma ?

Błąd ludzki jest tu kluczowy. Jakoś nie mam wrażenia, że poszkodowani korzystali jedynie z Windowsa lub Androida.

Szymon <z@wp.pl> writes:

Wydaje się, że np. wojsko czy policja mają swoje
sieci, bez punktów styku z powszechną - Internetem - a zatem włam nie
jest możliwy lub przynajmniej bardzo utrudniony.

Absolutnie nie należy tego zakładać.
BTW zgodnie z "powszechną wiedzą", większość ataków jest dokonywanych
z wewnątrz (sieci, instytucji itd).

    Phishing działa przede wszystkim dlatego, że domagamy się od
zwykłych ludzi 'nadludzkich możliwości'. Badania przeprowadzone w
najbardziej zaawansowanych technologicznie krajach świata pokazują, że
tylko 5 procent populacji potrafi wykonywać bardziej skomplikowane
zadania w zetknięciu z IT. My tymczasem chcemy, by wszyscy potrafili
odróżniać fałszywe treści od prawdziwych. - tłumaczy Michał Jarski,
ekspert ds. cyberbezpieczeństwa.

Treści prawdziwe także mogą być szkodliwe. Co to w ogóle są "treści
prawdziwe"? Istotne jest raczej kto ma prawo wykonywać oprogramowanie
(i jakie) - trzeba odróżniać autorów, nie treści.

Wydaje mi się, że coś w tym jest. Zamiast domagać się znajomości
certyfikatów, stron, rozpoznawania maili, SMS-ów etc. może warto
byłoby pomyśleć o rozwiązaniach bardziej odpornych na błędy
użytkownika.

Owszem. Zresztą systemy "telefoniczne" to robią. Można oczywiście
zainstalować fałszywą aplikację (w szczególności w Androidzie), ale
domyślnie ta możliwość jest wyłączona - samo się to nie zrobi raczej.

Co więcej - telefon zazwyczaj klient ma przy sobie - komputer dużo
rzadziej. A noszenie przy sobie narzędzia autoryzacyjnego chyba nie
jest dobrym pomysłem.

No niestety. Zwłaszcza jeśli to jest jedyne narzędzie, które jest
potrzebne do wykonania operacji bankowych.

    Tak jest w przypadku autentykacji biometrycznej, która umożliwia
konsumentom potwierdzenie tożsamości przez zwykłe dotknięcie palcem
własnego telefonu czy zrobienie zdjęcia swojej twarzy. W ciągu
najbliższych kilku lat biometria stanie się nowym standardem
potwierdzania tożsamości, wypierając tym samym kody czy hasła.
Biometria zapewnia jeszcze wyższy poziom bezpieczeństwa, dzięki czemu
pomaga bankom i internetowym sprzedawcom spełnić wymagania nowych
przepisów, związanych m.in. z silnym uwierzytelnieniem - komentuje
ekspert.

Niestety znane mi opracowania (poważne) wskazują, że to nie jest prawda.

Zdjęcie twarzy, zdaje się, udało się obejść bardzo prosto i efektownie?
Zakładam że można wymagać określonych akcji od użytkownika (by nie dało
się pokazać kamerze zdjęcia), ale symulowany model także może dokładnie
takie same akcje wykonywać - to obecnie domowa technologia.

Odciski palców również można zdjąć i podrobić. W przypadku czytników
komputerowych powinno to być nawet łatwiejsze niż w tradycyjnej metodzie.
--
Krzysztof Hałasa

W dniu 2019-08-05 o 22:43, Krzysztof Halasa pisze:

Wydaje się, że np. wojsko czy policja mają swoje
sieci, bez punktów styku z powszechną - Internetem - a zatem włam nie
jest możliwy lub przynajmniej bardzo utrudniony.

Absolutnie nie należy tego zakładać.
BTW zgodnie z "powszechną wiedzą", większość ataków jest dokonywanych
z wewnątrz (sieci, instytucji itd).

A nie wydaje Ci się, iż ilość ataków może się przełożyć na ich skuteczność? Przy takim założeniu niewątpliwie komputer w Internecie jest bardziej zagrożony niż w LAN.

     Phishing działa przede wszystkim dlatego, że domagamy się od
zwykłych ludzi 'nadludzkich możliwości'. Badania przeprowadzone w
najbardziej zaawansowanych technologicznie krajach świata pokazują, że
tylko 5 procent populacji potrafi wykonywać bardziej skomplikowane
zadania w zetknięciu z IT. My tymczasem chcemy, by wszyscy potrafili
odróżniać fałszywe treści od prawdziwych. - tłumaczy Michał Jarski,
ekspert ds. cyberbezpieczeństwa.

Treści prawdziwe także mogą być szkodliwe. Co to w ogóle są "treści
prawdziwe"? Istotne jest raczej kto ma prawo wykonywać oprogramowanie
(i jakie) - trzeba odróżniać autorów, nie treści.

Prawdziwa strona banku/fałszywa. Prawdziwy email/SMS - fałszywka.

Odciski palców również można zdjąć i podrobić. W przypadku czytników
komputerowych powinno to być nawet łatwiejsze niż w tradycyjnej metodzie.

Mam wrażenie, iż w znakomitej większości przestępstw komputerowych nie dochodzi do bezpośredniego kontaktu przestępca-ofiara. Jeśli chcesz "zdejmować" odciski palców to taki kontakt wydaje się być niezbędnym. Jeśli nawet nie osobisty to na pewno wymagający pojawienia się w bezpośrednim otoczeniu ofiary. A zatem byłby to atak raczej na konkretną osobę, nie zaś phishing, który z definicji jest masowy.

Szymon <z@wp.pl> writes:

Absolutnie nie należy tego zakładać.
BTW zgodnie z "powszechną wiedzą", większość ataków jest dokonywanych
z wewnątrz (sieci, instytucji itd).

A nie wydaje Ci się, iż ilość ataków może się przełożyć na ich
skuteczność? Przy takim założeniu niewątpliwie komputer w Internecie
jest bardziej zagrożony niż w LAN.

Skuteczność ataków z wewnątrz jest znacznie większa, oczywiście.
Miałem na myśli skuteczne ataki, bo ataki w ogóle jakiekolwiek - na
dowolny komputer w publicznej sieci - przeprowadzane są cały czas.
--
Krzysztof Hałasa

On 2019-08-05, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Zdjęcie twarzy, zdaje się, udało się obejść bardzo prosto i efektownie?

Jeśli masz na myśli "zdjęcie" to nie FaceID od Apple nie da się oszukać
zdjęciem. A przygotowanie maski może i jest tanie, ale wymaga dania ofiarze
obuchem w czerep, żeby móc ją spokojnie pomierzyć. Raczej mało skuteczna
praktyka w atakach masowych.

Zakładam że można wymagać określonych akcji od użytkownika (by nie dało
się pokazać kamerze zdjęcia), ale symulowany model także może dokładnie
takie same akcje wykonywać - to obecnie domowa technologia.

Zdjęcie nie wystarczy.

Odciski palców również można zdjąć i podrobić. W przypadku czytników
komputerowych powinno to być nawet łatwiejsze niż w tradycyjnej metodzie.

Ale znowu wyklucza zastosowanie na masową skalę jak to jest w przypadku
fałszywych SMS/email.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Dnia Tue, 6 Aug 2019 09:53:42 +0200, Wojciech Bancer napisał(a):

On 2019-08-05, Krzysztof Halasa <khc@pm.waw.pl> wrote:
[...]

Zdjęcie twarzy, zdaje się, udało się obejść bardzo prosto i efektownie?

Jeśli masz na myśli "zdjęcie" to nie FaceID od Apple nie da się oszukać
zdjęciem. A przygotowanie maski może i jest tanie, ale wymaga dania ofiarze
obuchem w czerep, żeby móc ją spokojnie pomierzyć. Raczej mało skuteczna
praktyka w atakach masowych.

Policja sie wlasnie chwali aresztowaniem grupy, ktora 330 ton pigulek
gwaltu mogla przemycic.

Skanery 3D, a moze i nie skanery tylko z kilku zdjec odtworzy.

A w sumie czemu zwykle zdjecie nie dziala ?

Odciski palców również można zdjąć i podrobić. W przypadku czytników
komputerowych powinno to być nawet łatwiejsze niż w tradycyjnej metodzie.

Ale znowu wyklucza zastosowanie na masową skalę jak to jest w przypadku
fałszywych SMS/email.

Ale odciski zostawiasz masowo :-)

J.

On 2019-08-06, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Jeśli masz na myśli "zdjęcie" to nie FaceID od Apple nie da się oszukać
zdjęciem. A przygotowanie maski może i jest tanie, ale wymaga dania ofiarze
obuchem w czerep, żeby móc ją spokojnie pomierzyć. Raczej mało skuteczna
praktyka w atakach masowych.

Policja sie wlasnie chwali aresztowaniem grupy, ktora 330 ton pigulek
gwaltu mogla przemycic.

Nie widzę związku :)

Skanery 3D, a moze i nie skanery tylko z kilku zdjec odtworzy.

Skaner 3d w FaceId widzi głębię obrazu, poza tym skaner FaceId działa też w podczerwieni, a zdjęcie nie ma ciepłoty ludzkiej głowy.

"The Face ID hardware consists of a sensor with three modules; one projects a grid of small infrared dots onto a user's face whose name is dot projector, the other module called the flood illuminator reads the resulting pattern and generates a 3D facial map, and the third one is the infrared camera which takes an infrared picture of the user"

No i musisz podpieprzyć użytkownikowi telefon, bo dane autoryzacyjne
do faceid / touchid są przechowywane wyłącznie na telefonie, w specjalnym chipie.

A w sumie czemu zwykle zdjecie nie dziala ?

Bo ktoś pomyślał jak to zabezpieczyć.
Podobnie jak Touch Id nie zadziała jak komuś
odetniesz dłoń i będziesz próbował posłużyć
się martwym kikutem (jak w filmach), albo
odciskiem palca na taśmie klejącej (też jak w filmach).

Ale znowu wyklucza zastosowanie na masową skalę jak to jest w przypadku
fałszywych SMS/email.

Ale odciski zostawiasz masowo :-)

99% z nich się nie nadaje, bo nie jest kompletna, czy nieuszkodzona.
A urządzenie mam przy sobie.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Dnia Tue, 6 Aug 2019 12:50:26 +0200, Wojciech Bancer napisał(a):

On 2019-08-06, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:
[...]

Jeśli masz na myśli "zdjęcie" to nie FaceID od Apple nie da się oszukać
zdjęciem. A przygotowanie maski może i jest tanie, ale wymaga dania ofiarze
obuchem w czerep, żeby móc ją spokojnie pomierzyć. Raczej mało skuteczna
praktyka w atakach masowych.

Policja sie wlasnie chwali aresztowaniem grupy, ktora 330 ton pigulek
gwaltu mogla przemycic.

Nie widzę związku :)

A ja widze :-)

Skanery 3D, a moze i nie skanery tylko z kilku zdjec odtworzy.

Skaner 3d w FaceId widzi głębię obrazu, poza tym skaner FaceId działa też w podczerwieni, a zdjęcie nie ma ciepłoty ludzkiej głowy.

"The Face ID hardware consists of a sensor with three modules; one

Ale to jakby osobne urzadzenie, czy mozna wstawic w telefon ?

projects a grid of small infrared dots onto a user's face whose name is dot projector, the other module called the flood illuminator reads the resulting pattern and generates a 3D facial map, and the third one is the infrared camera which takes an infrared picture of the user"

To "infrared" niekoniecznie ma zwiazek z cieplota ... ale co za
problem podgrzac maske ?

Tylko ... skoro to podczerwien, to nawet nie zauwazy jak mu taka fotke
zrobisz. A potem wyprodukujesz maske, ktora ma pasujace wymiary 3D.

No i musisz podpieprzyć użytkownikowi telefon, bo dane autoryzacyjne
do faceid / touchid są przechowywane wyłącznie na telefonie, w specjalnym chipie.

i to sa te dane z twarzy, czy jakies losowe klucze identyfikujace
telefon ?

Ale nadal widze pare mozliwosci ataku:
-nie uda sie zlamac tego chipa ? nie trzeba bedzie twarzy, maski,
telefonu, tylko bank bedzie myslal, ze to dobre dane,

-a apka z urzadzeniem jak polaczone ? Moze wirusa zainstalowac, co
przekaze dane z urzadzenia dalej ...


J.

"J.F." <jfox_xnospamx@poczta.onet.pl> writes:

To "infrared" niekoniecznie ma zwiazek z cieplota ... ale co za
problem podgrzac maske ?

Zwłaszcza biorąc pod uwagę rozdzielczość detektorów IR.
No bo raczej nie wstawiają tam sprzętu za $$$$ o kosmicznej
rozdzielczości 640x480? :-)

Nie żeby to miało pomóc, temperatury m.in. twarzy nie są stałe przecież.
Liczba możliwości w przypadku twarzy jest, wbrew pozorom, mocno
ograniczona, brutalne przeszukiwanie da dobre efekty. Tak jak napisałem,
to jest zabezpieczenie klasy podobnej co PIN.

-nie uda sie zlamac tego chipa ? nie trzeba bedzie twarzy, maski,
telefonu, tylko bank bedzie myslal, ze to dobre dane,

Z takimi scalakami jest większy problem, producenci w końcu się czegoś
nauczyli (w N-tej interacji). Aczkolwiek ludzie wciąż trawią scalaki
w kwasie azotowym, dotykają igłami do ścieżek (podobno miało to być
wykrywane) itd. - ale to nie ta dziedzina.
--
Krzysztof Hałasa

On 2019-08-06, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Nie żeby to miało pomóc, temperatury m.in. twarzy nie są stałe przecież.
Liczba możliwości w przypadku twarzy jest, wbrew pozorom, mocno
ograniczona, brutalne przeszukiwanie da dobre efekty. Tak jak napisałem,
to jest zabezpieczenie klasy podobnej co PIN.

Apple twierdzi, że to zabezpieczenie jest trudniejsze do złamania niż
touch id i jak na razie (2 lata od wypuszczenia tego na rynek) nic
temu nie przeczy.

Jeden "słynny" eksperyment z maską za $150 również potwierdza jego
skuteczność, bo tam złamanie odbyło się w warunkach laboratoryjnych,
co przyznali sami autorzy.

Za wiki:
https://en.wikipedia.org/wiki/Face_ID#Issues

"Many people have attempted to fool Face ID with sophisticated masks, though most have failed.[22] In November 2017, Vietnamese security firm Bkav announced in a blog post that it had created a $150 mask that successfully unlocked Face ID, but WIRED noted that Bkav's technique was more of a "proof-of-concept" rather than active exploitation risk, with the technique requiring a detailed measurement or digital scan of the iPhone owner's face, putting the real risk of danger only to targets of espionage and world leaders"

--
Wojciech Bańcer
wojciech.bancer@gmail.com

On 2019-08-06, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Skanery 3D, a moze i nie skanery tylko z kilku zdjec odtworzy.

Skaner 3d w FaceId widzi głębię obrazu, poza tym skaner FaceId działa też w podczerwieni, a zdjęcie nie ma ciepłoty ludzkiej głowy.

"The Face ID hardware consists of a sensor with three modules; one

Ale to jakby osobne urzadzenie, czy mozna wstawic w telefon ?

Mówimy o module wsadzonym w iPhone X oraz nowszych.

projects a grid of small infrared dots onto a user's face whose name is dot projector, the other module called the flood illuminator reads the resulting pattern and generates a 3D facial map, and the third one is the infrared camera which takes an infrared picture of the user"

To "infrared" niekoniecznie ma zwiazek z cieplota ... ale co za
problem podgrzac maske ?

Żaden. Ale maska to nie zdjęcie.
No i to tylko jeden z elementów zabezpieczeń.

Tylko ... skoro to podczerwien, to nawet nie zauwazy jak mu taka fotke
zrobisz. A potem wyprodukujesz maske, ktora ma pasujace wymiary 3D.

No jakoś się nikomu przez "zdjęcie" nie udało, ale możesz być pierwszy. :)

No i musisz podpieprzyć użytkownikowi telefon, bo dane autoryzacyjne
do faceid / touchid są przechowywane wyłącznie na telefonie, w specjalnym chipie.

i to sa te dane z twarzy, czy jakies losowe klucze identyfikujace
telefon ?

To są te dane z twarzy.

Ale nadal widze pare mozliwosci ataku:
-nie uda sie zlamac tego chipa ? nie trzeba bedzie twarzy, maski,
telefonu, tylko bank bedzie myslal, ze to dobre dane,

iphone jest dość mocno zabezpieczony. Swego czasu było głosno o tym,
że Apple aktualizacją zablokowało część telefonów. Okazało się, że
wszystkie miały wymieniany ekran (a co za tym idzie przycisk touch id) w serwisach nieautoryzowanych.

-a apka z urzadzeniem jak polaczone ?

Przez wewnętrzne SDK.

Moze wirusa zainstalowac, co przekaze dane z urzadzenia dalej ...

Nie masz dostępu do danych, tylko wynik autoryzacji.
A wirusa jak chcesz zainstalować na iPhone? Bo procesu
review nie przejdzie. :)

Wiesz, teoretycznie to wszystko można, ale może się okazać, że łatwiej odstrzelić komarowi skrzydkła ze 100 metrów za pomocą
kuli armatniej niż taką sytuację w praktyce wywołać. :)

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

No jakoś się nikomu przez "zdjęcie" nie udało, ale możesz być
pierwszy. :)

No właśnie był spektakularny przykład, że się udało. Pewnie z innym
modułem, ale tu chodzi o zasadę działania - to, co widzi kamera (nawet
najdoskonalsza), można skopiować i ją oszukać.

A wirusa jak chcesz zainstalować na iPhone? Bo procesu
review nie przejdzie. :)

A jak się rootowało androidy? Wykorzystując błędy.
--
Krzysztof Hałasa

On 2019-08-06, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

No jakoś się nikomu przez "zdjęcie" nie udało, ale możesz być
pierwszy. :)

No właśnie był spektakularny przykład, że się udało.

Wskażesz? Bo z maską i owszem, ale zdjęciem niespecjalnie.
Przy czym sami autorzy zastrzegli, że "udało się" w warunkach
laboratoryjnych, a to nie to samo.

Pewnie z innym modułem, ale tu chodzi o zasadę działania - to, co widzi kamera (nawet najdoskonalsza), można skopiować i ją oszukać.

Nie, nie chodzi o zasadę działania, ale o statystykę.
Powrócę do zasady: aby coś było *praktycznie* do złamania,
musi być to a) opłacalne [1] b) względnie masowo możliwe.

FaceID to może się opłacać łamać rządom, które targetują
konkretne osoby, albo grupom wybierającym milionerów,
a nie grupom targetującym ludzi masowo.

[1] to nie tylko cena komponentów, ale i wiedza fachowców

A wirusa jak chcesz zainstalować na iPhone? Bo procesu
review nie przejdzie. :)

A jak się rootowało androidy? Wykorzystując błędy.

Androidy, tak jak i iPhone rootuje się podmieniając oryginalne
flashe na takie przerobione (chociaż mało kto chyba rootuje już
iPhone, to było bardziej popularne w czasach iP4). Nie słyszałem o przypadku zrootoowania urządzenia przez bład. Wskażesz linka? Bo to że aplikacje sobie proszą o nadmiarowe
uprawnienia, a użytkownicy je dają, to nie jest błąd systemu.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

[...]

Nie słyszałem o przypadku zrootoowania urządzenia przez bład. Wskażesz linka? Bo to że aplikacje sobie proszą o nadmiarowe
uprawnienia, a użytkownicy je dają, to nie jest błąd systemu.

TERAZ, to chyba producenci już nie próbują walczyć z wiatrakami i
pozwalają "legalnie" dostać roota, lub uwolnić bootloader, ale jeszcze
+- 4 lata temu robiło się to właśnie przez błedy.
Przychodzi mi do głowy tylko towel root czy kingroot, ale pewnie było
tego więcej.
KJ



--
http://stopstopnop.pl/stop_stopnop.pl_o_nas.html
I generally avoid temptation unless I can't resist it.
-- Mae West

On 2019-08-06, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

[...]

Nie słyszałem o przypadku zrootoowania urządzenia przez bład. Wskażesz linka? Bo to że aplikacje sobie proszą o nadmiarowe
uprawnienia, a użytkownicy je dają, to nie jest błąd systemu.

TERAZ, to chyba producenci już nie próbują walczyć z wiatrakami i
pozwalają "legalnie" dostać roota, lub uwolnić bootloader, ale jeszcze
+- 4 lata temu robiło się to właśnie przez błedy.
Przychodzi mi do głowy tylko towel root czy kingroot, ale pewnie było
tego więcej.

Ja się w Androida bawiłem gdzieś 2013-2015 roku i wtedy się rootowało
za pomocą kabelka, trybu serwisowego i podmiany flasha (sam tak robiłem
z HTC). I tak, traciło się gwarancje. Ale faktycznie sprawdziłem był krótki okres, kiedy pojawił się bug, który  to umożliwiał łatwego roota
na Androidzie (z racji błędu w kernelu linuksa). A zapewne część systemów
pozostała niezałatana, bo producenci mieli to gdzieś.

No cóż. Polityka google, która przerzuca "łatanie" na producentów
telefonów ma swoje konsekwencje, ale to tylko kolejny props do stosowania
iPhone (Apple wypuszcza łatki security bardzo długo i nie ma problemu z ich wgraniem). W tym roku wypuścili łatki security na iOS 9+, a przecież lada
dzień wychodzi wersja 13 systemu.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

On 2019-08-06, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

No jakoś się nikomu przez "zdjęcie" nie udało, ale możesz być
pierwszy. :)

No właśnie był spektakularny przykład, że się udało.

Wskażesz? Bo z maską i owszem, ale zdjęciem niespecjalnie.
Przy czym sami autorzy zastrzegli, że "udało się" w warunkach
laboratoryjnych, a to nie to samo.

Czy to:

https://niebezpiecznik.pl/post/tasma-i-okularami-oszukali-skaner-twarzy-iphonea/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+niebezpiecznik+%28Niebezpiecznik.pl+-+wszystko%29

jest wysterczająco proste i tanie?
KJ

--
http://wolnelektury.pl/wesprzyj/teraz/
Honesty is the best policy, but insanity is a better defense.

On 2019-08-09, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Wskażesz? Bo z maską i owszem, ale zdjęciem niespecjalnie.
Przy czym sami autorzy zastrzegli, że "udało się" w warunkach
laboratoryjnych, a to nie to samo.

Czy to:
https://niebezpiecznik.pl/post/tasma-i-okularami-oszukali-skaner-twarzy-iphonea/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+niebezpiecznik+%28Niebezpiecznik.pl+-+wszystko%29
jest wysterczająco proste i tanie?

A czytałeś, czy tylko nagłówek? :)

Bo to tylko sposób na to, żeby oszukać iPhone dysponując
nieprzytomną ofiarą. A nie wyeliminowaniem jej z równania
w ogóle. To tylko omija sprawdzanie zabezpieczenia "zamkniętych oczu". Jak to się ma do kontekstu o którym
rozmawialiśmy tj. masowym zastosowaniu?

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

On 2019-08-09, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Wskażesz? Bo z maską i owszem, ale zdjęciem niespecjalnie.
Przy czym sami autorzy zastrzegli, że "udało się" w warunkach
laboratoryjnych, a to nie to samo.

Czy to:
https://niebezpiecznik.pl/post/tasma-i-okularami-oszukali-skaner-twarzy-iphonea/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+niebezpiecznik+%28Niebezpiecznik.pl+-+wszystko%29
jest wysterczająco proste i tanie?

A czytałeś, czy tylko nagłówek? :)

Czytałem.

Bo to tylko sposób na to, żeby oszukać iPhone dysponując
nieprzytomną ofiarą. A nie wyeliminowaniem jej z równania
w ogóle. To tylko omija sprawdzanie zabezpieczenia "zamkniętych oczu". Jak to się ma do kontekstu o którym
rozmawialiśmy tj. masowym zastosowaniu?

Na razie nijak.
Zwracam tylko uwagę, że najpierw była mowa otym, że FaceID jest
"strasznie trudne, praktycznie niemożliwe" do złamania, później okazuje
się, że jednak maskę można  zrobić, teraz, że wystarczy (w pewnej
sytuacji, niekoniecznie laboratoryjnej) taśma na okulary ...

KJ --
http://stopstopnop.pl/stop_stopnop.pl_o_nas.html
The first sign of maturity is the discovery that the volume knob also turns to
the left.

On 2019-08-10, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Bo to tylko sposób na to, żeby oszukać iPhone dysponując
nieprzytomną ofiarą. A nie wyeliminowaniem jej z równania
w ogóle. To tylko omija sprawdzanie zabezpieczenia "zamkniętych oczu". Jak to się ma do kontekstu o którym
rozmawialiśmy tj. masowym zastosowaniu?

Na razie nijak.
Zwracam tylko uwagę, że najpierw była mowa otym, że FaceID jest
"strasznie trudne, praktycznie niemożliwe" do złamania

Dokładnie. W kontekście dyskusji, czyli przeprowadzania
ataku masowego. Zastrzeżenia o >>targetowaniu<< bogatych i znanych osób też umieściłem.

później okazuje się, że jednak maskę można zrobić,

W warunkach laboratoryjnych, i owszem.
Tu również mieli nieograniczony dostęp do tej osoby i mogli
robić więcej prób.

teraz, że wystarczy (w pewnej sytuacji, niekoniecznie laboratoryjnej) taśma na okulary ...

Nie wystarczy.
Trzeba mieć i fizyczną osobę do której telefon należy.
Czyli nadal nici z ataku "na zdjęcie".

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

On 2019-08-10, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Bo to tylko sposób na to, żeby oszukać iPhone dysponując
nieprzytomną ofiarą. A nie wyeliminowaniem jej z równania
w ogóle. To tylko omija sprawdzanie zabezpieczenia "zamkniętych oczu". Jak to się ma do kontekstu o którym
rozmawialiśmy tj. masowym zastosowaniu?

Na razie nijak.
Zwracam tylko uwagę, że najpierw była mowa otym, że FaceID jest
"strasznie trudne, praktycznie niemożliwe" do złamania

Dokładnie. W kontekście dyskusji, czyli przeprowadzania
ataku masowego. Zastrzeżenia o >>targetowaniu<< bogatych i znanych osób też umieściłem.

później okazuje się, że jednak maskę można zrobić,

W warunkach laboratoryjnych, i owszem.
Tu również mieli nieograniczony dostęp do tej osoby i mogli
robić więcej prób.

teraz, że wystarczy (w pewnej sytuacji, niekoniecznie laboratoryjnej) taśma na okulary ...

Nie wystarczy.
Trzeba mieć i fizyczną osobę do której telefon należy.
Czyli nadal nici z ataku "na zdjęcie".

Czytaj dokładniej: "w pewnej sytuacji, niekoniecznie laboraoryjnej"
Ja nic o ataku "na zdjęcie" nie pisałem. To po pierwsze.

Po drugie: Stopniowe osiągnięcia w łamani każą zastanowić się, czy jednak
niedługo nie usłyszymy o ataku "na zdjęcie". I tyle.

KJ


--
http://wolnelektury.pl/wesprzyj/teraz/
arachnoleptic fit, n.:
The frantic dance performed just after you've accidentally walked
through a spider web.

On 2019-08-10, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Czytaj dokładniej: "w pewnej sytuacji, niekoniecznie laboraoryjnej"
Ja nic o ataku "na zdjęcie" nie pisałem. To po pierwsze.

Ale jeszcze wcześniej było zastrzeżenie o tym, że dywagacje nie
dotyczą służb i targetowania indywidualnego.

Po drugie: Stopniowe osiągnięcia w łamani każą zastanowić się, czy jednak
niedługo nie usłyszymy o ataku "na zdjęcie". I tyle.

Idąc tym tropem, to można z zabezpieczeń zrezygnować w ogóle,
bo "w końcu ktoś kiedyś, jakoś, może" wymyśli jak to obejść.
A jak można, to po co zabezpieczać?

A skoro już idziemy w ekstrama, że mamy dostęp do "celu",
to idźmy dalej: przeciętny cel (sprawdzić, czy nie Chuck
Norris) jak dostanie w pysk raz, czy dwa, to niezależnie od stosowanego zabezpieczenia technicznego, poda odpowiedni kod / odblokuje "grzecznie proszącemu" telefon / token / cokolwiek innego.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Wojciech Bancer <wojciech.bancer@gmail.com> writes:

On 2019-08-10, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Czytaj dokładniej: "w pewnej sytuacji, niekoniecznie laboraoryjnej"
Ja nic o ataku "na zdjęcie" nie pisałem. To po pierwsze.

Ale jeszcze wcześniej było zastrzeżenie o tym, że dywagacje nie
dotyczą służb i targetowania indywidualnego.

Możliwe, że nie doczytałem. Ale nawet nie o to chodzi. Okazuje się, że
jednak nie jest to takie cudo jak chciałeś nas przekonać.

Po drugie: Stopniowe osiągnięcia w łamani każą zastanowić się, czy jednak
niedługo nie usłyszymy o ataku "na zdjęcie". I tyle.

Idąc tym tropem, to można z zabezpieczeń zrezygnować w ogóle,
bo "w końcu ktoś kiedyś, jakoś, może" wymyśli jak to obejść.
A jak można, to po co zabezpieczać?

Czy tylko ja mam wrażenie, że próba podważenia cudowności FaceID
powoduje, że sprowadzasz sprawę do absurdu?[1]
Można i tak.

KJ

--
http://stopstopnop.pl/stop_stopnop.pl_o_nas.html
Don't read any sky-writing for the next two weeks.

On 2019-08-10, Kamil Jońca <kjonca@poczta.onet.pl> wrote:

[...]

Ale jeszcze wcześniej było zastrzeżenie o tym, że dywagacje nie
dotyczą służb i targetowania indywidualnego.

Możliwe, że nie doczytałem. Ale nawet nie o to chodzi. Okazuje się, że
jednak nie jest to takie cudo jak chciałeś nas przekonać.

I zdanie podtrzymuję, bo nie przedstawiłeś przekonujących mnie
argumentów.

Idąc tym tropem, to można z zabezpieczeń zrezygnować w ogóle,
bo "w końcu ktoś kiedyś, jakoś, może" wymyśli jak to obejść.
A jak można, to po co zabezpieczać?

Czy tylko ja mam wrażenie, że próba podważenia cudowności FaceID
powoduje, że sprowadzasz sprawę do absurdu?[1]
Można i tak.

No to powiedz od razu, że masz zamiar argumentować przez
przyszycie mi łatki fanboja, a nie merytorycznie.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-10 o 17:50, Wojciech Bancer pisze:

A skoro już idziemy w ekstrama, że mamy dostęp do "celu",
to idźmy dalej: przeciętny cel (sprawdzić, czy nie Chuck
Norris) jak dostanie w pysk raz, czy dwa, to niezależnie
od stosowanego zabezpieczenia technicznego, poda odpowiedni
kod / odblokuje "grzecznie proszącemu" telefon / token / cokolwiek
innego.

Niekoniecznie. Telefon można odebrać, wymusić groźbą zalogowanie do bankowości, ale w przypadku tokena to już nie jest taki proste. Cały sęk w tym, aby narzędzia autoryzacyjnego nie nosić ze sobą. Dla przykładu - w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

W dniu poniedziałek, 12 sierpnia 2019 19:37:35 UTC+2 użytkownik Szymon napisał:

Niekoniecznie. Telefon można odebrać, wymusić groźbą zalogowanie do bankowości, ale w przypadku tokena to już nie jest taki proste. Cały sęk w tym, aby narzędzia autoryzacyjnego nie nosić ze sobą. Dla przykładu - w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

Tak samo można to zorganizować przy potwierdzaniu hasłami sms czy w aplikacjach telefonicznych.
Telefon służący do potwierdzeń trzymasz w domu i tyle
Kłopot będzie tylko jak zły człowiek zwinie delikwenta z ulicy, lokówkę d dupę wsadzi i poprosi o autoryzację bo jak nie to lokówka do prądu i czekamy.
Temperatura lokówki rośnie a token/tel w domu;)

Ile było takich napaści w PRL-bis w latach ubiegłych?
I ile lat jest za wymuszenie rozbójnicze czy jak tam zakwalifikujemy?


-- -- -

Telefon można odebrać, wymusić groźbą zalogowanie do bankowości

[...]

napaść na ulicy celem wymuszenia zalogowania

W dniu 2019-08-13 o 10:19, Kris pisze:

W dniu poniedziałek, 12 sierpnia 2019 19:37:35 UTC+2 użytkownik Szymon napisał:

Niekoniecznie. Telefon można odebrać, wymusić groźbą zalogowanie do
bankowości, ale w przypadku tokena to już nie jest taki proste. Cały sęk
w tym, aby narzędzia autoryzacyjnego nie nosić ze sobą. Dla przykładu -
w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token
np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

Tak samo można to zorganizować przy potwierdzaniu hasłami sms czy w aplikacjach telefonicznych.
Telefon służący do potwierdzeń trzymasz w domu i tyle

....i kosztuje mnie to kilkaset złotych, bo tyle kosztuje telefon. Do tego karta, która musi być aktywna - jakiś abonament lub przynajmniej doładowanie raz na jakiś czas celem utrzymania numeru. Drogo.

Kłopot będzie tylko jak zły człowiek zwinie delikwenta z ulicy, lokówkę d dupę wsadzi i poprosi o autoryzację bo jak nie to lokówka do prądu i czekamy.
Temperatura lokówki rośnie a token/tel w domu;)

Odnoszę wrażenie, iż większość rozbojów czy sytuacji potencjalnie niebezpiecznych tego typu rozgrywa się jednak poza miejscem zamieszkania ofiary.

Szymon pisze:

W dniu 2019-08-13 o 10:19, Kris pisze:

Tak samo można to zorganizować przy potwierdzaniu hasłami sms czy w aplikacjach telefonicznych.
Telefon służący do potwierdzeń trzymasz w domu i tyle

...i kosztuje mnie to kilkaset złotych, bo tyle kosztuje telefon. Do tego karta, która musi być aktywna - jakiś abonament lub przynajmniej doładowanie raz na jakiś czas celem utrzymania numeru. Drogo.

Telefon do sms-ów? 60 zł. Nówka, nie śmigana. A ile za używany? Orange na kartę przedłużasz ważność na rok darmowym sms-em o treści START. Co rok. Na rok.

W dniu 2019-08-13 o 21:59, Andrzej Kłos pisze:

Telefon do sms-ów? 60 zł. Nówka, nie śmigana. A ile za używany? Orange na kartę przedłużasz ważność na rok darmowym sms-em o treści START. Co rok. Na rok.

Sęk w tym, iż coraz częściej banki forsują aplikacje. I wtedy potrzeba już smartfona. Cena skacze do kilkuset złotych.

Z tym starym/używanym może być różnie. Stary android może mieć kłopoty z aktualizacjami i korzystaniem ze sklepu.

On 2019-08-12, Szymon <z@wp.pl> wrote:

[...]

Niekoniecznie. Telefon można odebrać, wymusić groźbą zalogowanie do bankowości, ale w przypadku tokena to już nie jest taki proste. Cały sęk w tym, aby narzędzia autoryzacyjnego nie nosić ze sobą. Dla przykładu - w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

To może było praktyczne w latach 90, czy w pierwszej dekadzie 2000 roku.
Ja mam ponad 30 kont (niebankowych), które z różnych powodów są autoryzowane za pomocą 2FA, a do których hacking mógłby się skończyć stratami o wiele większymi niż wynikającymi z włamu na konto bankowe. A kont bankowych też mam > 1 i w kilku bankach. I każdy przedsiębiorca pewnie też jest
w takiej sytuacji.

Sorry, ale trzymanie w domu, czy noszenie tych 30 urządzeń, czy posiadanie 30 karteczek z kodami to dopiero byłaby parodia i niewygoda. A świat nie idzie w stronę ograniczania dostępu mobilnego, "w każdym czasie" tylko jego powiększania.

A co do karteczek, to w wielu miejscach czytałem, że ludzie sobie
robili skany, czy wręcz wrzucali "na komórkę" te karteczki, właśnie
żeby były pod ręką, a idea "zawsze loguj się tylko w domu" jak widać nie jest ideą powszechnie oczekiwaną.

Taki Revolut, czy N26 to są tego najlepszym dowodem, bo to są platformy chyba wyłącznie mobilne.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-13 o 13:44, Wojciech Bancer pisze:

On 2019-08-12, Szymon <z@wp.pl> wrote:

[...]

Niekoniecznie. Telefon można odebrać, wymusić groźbą zalogowanie do
bankowości, ale w przypadku tokena to już nie jest taki proste. Cały sęk
w tym, aby narzędzia autoryzacyjnego nie nosić ze sobą. Dla przykładu -
w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token
np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

To może było praktyczne w latach 90, czy w pierwszej dekadzie 2000 roku.

A zauważyłeś, iż liczba banków komercyjnych drastycznie zmalała?

Ja mam ponad 30 kont (niebankowych), które z różnych powodów są autoryzowane
za pomocą 2FA, a do których hacking mógłby się skończyć stratami o wiele
większymi niż wynikającymi z włamu na konto bankowe.

Jeśli tak to niekoniecznie wydajesz się przeciętnym Kowalskim o przeciętnych potrzebach.
Liczba kont maleje, bo liczba banków maleje. Do tego coraz trudniej o lokaty na wysoki procent, co zaprzecza mobilności w materii transferu środków.

A kont bankowych

też mam > 1 i w kilku bankach. I każdy przedsiębiorca pewnie też jest
w takiej sytuacji.

Bardzo wątpliwe czy poważny przedsiębiorca nosi (nosiłby) narzędzie autoryzacyjne ze sobą. Podobnie jak podejrzewam, iż nie ma na wyciągnięcie ręki terminala, kasy fiskalnej czy możliwości wystawienia faktury.

Sorry, ale trzymanie w domu, czy noszenie tych 30 urządzeń, czy
posiadanie 30 karteczek z kodami to dopiero byłaby parodia
i niewygoda.

Dla Ciebie tak. Sądzę, że znakomita liczba klientów robi przelewy w domu i naprawdę umie sobie zaplanować wydatki tak, aby nie musieć mieć konieczności przelewania (w szczególności na nie-zaufane konta) np. na basenie, siłowni, podczas jazdy motocyklem itd.

A świat nie idzie w stronę ograniczania dostępu

mobilnego, "w każdym czasie" tylko jego powiększania.

Ten świat jest kreowany przez banki, którym z różnych powodów lepiej jest działać tak, a nie inaczej. Zwróć uwagę, że często klient nie ma wyboru.

A co do karteczek, to w wielu miejscach czytałem, że ludzie sobie
robili skany, czy wręcz wrzucali "na komórkę" te karteczki, właśnie
żeby były pod ręką, a idea "zawsze loguj się tylko w domu" jak widać
nie jest ideą powszechnie oczekiwaną.

Naprawdę? Pozostaje mi jedynie współczuć takim ludziom.
Zwróć uwagę, że w obecnej sytuacji do zalogowanie nie potrzeba komórki. Nawet nie do przelewów zdefiniowanych i zaufanych. Jedynie te pozostałe wymagają autoryzacji.

Niektóre banki chcą wprowadzić wkrótce "urządzenia zaufane". Pewnie w większości będą to właśnie domowe komputery.

Taki Revolut, czy N26 to są tego najlepszym dowodem, bo to są
platformy chyba wyłącznie mobilne.

No właśnie. Mimo rewelacyjnych kursów przebijających wszystkie e-kantory, fantastycznej karty itp. itd. liczba korzystających z Revoluta dramatycznie niska. N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

On 2019-08-13, Szymon <z@wp.pl> wrote:

[...]

w CA do logowanie potrzebne było wskazanie tokena. Skoro trzymam token
np. w domu, napaść na ulicy celem wymuszenia zalogowania nie ma sensu.

To może było praktyczne w latach 90, czy w pierwszej dekadzie 2000 roku.

A zauważyłeś, iż liczba banków komercyjnych drastycznie zmalała?

Drastycznie? Nie powiedziałbym.
Kilka banków się połączyło, kilka powstało. Kilkaset nadal w Polsce mamy
(licząc banki spółdzielcze). Licząc podmioty bez banków spółdzielczych,
to mamy chyba nieco ponad 30 banków.

Ja mam ponad 30 kont (niebankowych), które z różnych powodów są autoryzowane
za pomocą 2FA, a do których hacking mógłby się skończyć stratami o wiele
większymi niż wynikającymi z włamu na konto bankowe.

Jeśli tak to niekoniecznie wydajesz się przeciętnym Kowalskim o przeciętnych potrzebach.

Ale nie masz problemu z uznaniem za przeciętne Kowalskiego:
 - bez telefonu komórkowego
 - mieszkającego w miejscu odciętym od sygnału GSM
? Oczywiście na potrzeby dyskusji :)

Liczba kont maleje, bo liczba banków maleje. Do tego coraz trudniej o lokaty na wysoki procent, co zaprzecza mobilności w materii transferu środków.

Wypłaty by default na konto, emerytury by default na konto.
Liczba kont maleje? Od kiedy?

https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-iv-kw-2018-441689
-- --
Na koniec 2018 r. ankietowane banki uniwersalne prowadziły blisko 33 mln rachunków oszczędnościowo-rozliczeniowych (ROR) - wynika z danych zebranych przez PRNews.pl. To o 556 tys. więcej niż kwartał wcześniej i aż o 1,8 mln więcej niż na koniec 2017 roku.
-- --

A kont bankowych też mam > 1 i w kilku bankach. I każdy przedsiębiorca pewnie też jest w takiej sytuacji.

Bardzo wątpliwe czy poważny przedsiębiorca nosi (nosiłby) narzędzie autoryzacyjne ze sobą.

Nosiłby i nosi, bo to zazwyczaj komórka.

Podobnie jak podejrzewam, iż nie ma na wyciągnięcie ręki terminala, kasy fiskalnej czy możliwości wystawienia faktury.

Fakturę można spokojnie wystawić z komórki, bo systemy księgowe
są online. Część jeździ z terminalami, czy mobilnymi kasami, jeśli to wynika z ich specyfiki zawodu (mi się taki ślusarz trafił).

W niektórych regionach np. odczyt licznika "przy właścicielu",
to często jest od razu fakturka / paragon drukowany na miejscu,
przy tymże właścicielu.

Oczywiście jak się myśli, że przedsiębiorca się zaczyna od 100+
pracowników, to pewnie masz rację. Wtedy płatnościami zajmuje
się pewnie konkretny dział, ale nadal telefony są najczęściej
używanym źródłem autoryzacji. A i czasami (spółki) taka autoryzacja
wymagana jest od dwóch osób, z których jedna np. jest na 3-tygodniowej
delegacji. Toż to dopiero po hardkorze byłoby tłumaczenie
"no wicie, rozumicie wypłaty będą 2 tygodnie po terminie bo
mój wspólnik  na delegacji a token gdzieś w biurku w firmie
leży".

Sorry, ale trzymanie w domu, czy noszenie tych 30 urządzeń, czy
posiadanie 30 karteczek z kodami to dopiero byłaby parodia
i niewygoda.

Dla Ciebie tak. Sądzę, że znakomita liczba klientów robi przelewy w domu i naprawdę umie sobie zaplanować wydatki tak, aby nie musieć mieć konieczności przelewania (w szczególności na nie-zaufane konta) np. na basenie, siłowni, podczas jazdy motocyklem itd.

No popatrz. A w dyskusji to albo drama że ktoś za granicą nie może się
zautoryzować, albo że mieszka w camym centrum kopalni węgla kamiennego
1000 metrów pod ziemią i ni chu zasięgu.

A co do karteczek, to w wielu miejscach czytałem, że ludzie sobie
robili skany, czy wręcz wrzucali "na komórkę" te karteczki, właśnie
żeby były pod ręką, a idea "zawsze loguj się tylko w domu" jak widać
nie jest ideą powszechnie oczekiwaną.

Naprawdę? Pozostaje mi jedynie współczuć takim ludziom.
Zwróć uwagę, że w obecnej sytuacji do zalogowanie nie potrzeba komórki. Nawet nie do przelewów zdefiniowanych i zaufanych. Jedynie te pozostałe wymagają autoryzacji.

Tak, w kontach osobistych. W firmowych często jest wymagane podpisywanie
i autoryzacja osób władnych.

Taki Revolut, czy N26 to są tego najlepszym dowodem, bo to są
platformy chyba wyłącznie mobilne.

No właśnie. Mimo rewelacyjnych kursów przebijających wszystkie e-kantory, fantastycznej karty itp. itd. liczba korzystających z Revoluta dramatycznie niska.

https://businessinsider.com.pl/technologie/nowe-technologie/revolut-liczba-klientow-w-polsce/phd1kpc
Pół miliona kont w Polsce.

To wg tego lepiej od Citi Handlowego, T-Mobile, Plus Banku i BOŚ:
https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-kw-2018-435119
i lepiej od wszystkich 500+ banków spółdzielczych.

No faktycznie dramat. :)
A mówimy o aplikacji/usługach w sumie ograniczonych do wyjazdów turystycznych
i na to się targetujących, a nie pełnoprawnym kocie osobistym.

N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

W Polsce pewnie nie. Ale też się specjalnie nie starają.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

Użytkownik "Wojciech Bancer"  napisał w wiadomości grup dyskusyjnych:slrnql5re6.1d9e.wojciech.bancer@pl-test.org...
On 2019-08-13, Szymon <z@wp.pl> wrote:

Ja mam ponad 30 kont (niebankowych), które z różnych powodów są autoryzowane
za pomocą 2FA, a do których hacking mógłby się skończyć stratami o wiele
większymi niż wynikającymi z włamu na konto bankowe.

Jeśli tak to niekoniecznie wydajesz się przeciętnym Kowalskim o
przeciętnych potrzebach.

Ale nie masz problemu z uznaniem za przeciętne Kowalskiego:
- bez telefonu komórkowego

ale niekoniecznie "smartfon"

- mieszkającego w miejscu odciętym od sygnału GSM
? Oczywiście na potrzeby dyskusji :)

Ostatnio bylem w takim miejscu.
Faktycznie przechlapane :-)

Liczba kont maleje, bo liczba banków maleje. Do tego coraz trudniej o
lokaty na wysoki procent, co zaprzecza mobilności w materii transferu
środków.

Wypłaty by default na konto, emerytury by default na konto.
Liczba kont maleje? Od kiedy?

https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-iv-kw-2018-441689
-- --
Na koniec 2018 r. ankietowane banki uniwersalne prowadziły blisko 33 mln
rachunków oszczędnościowo-rozliczeniowych (ROR) - wynika z danych zebranych
przez PRNews.pl. To o 556 tys. więcej niż kwartał wcześniej i aż o 1,8 mln
więcej niż na koniec 2017 roku.

Phi to ciagle nie jest 1 obywatela, a ty masz kilka :-)

Bardzo wątpliwe czy poważny przedsiębiorca nosi (nosiłby) narzędzie
autoryzacyjne ze sobą.

Nosiłby i nosi, bo to zazwyczaj komórka.

Powazny ma tokena :-P

Podobnie jak podejrzewam, iż nie ma na wyciągnięcie ręki terminala,
kasy fiskalnej czy możliwości wystawienia faktury.

Fakturę można spokojnie wystawić z komórki, bo systemy księgowe
są online. Część jeździ z terminalami, czy mobilnymi kasami, jeśli
to wynika z ich specyfiki zawodu (mi się taki ślusarz trafił).

Ale to taki niekoniecznie "powazny".

W niektórych regionach np. odczyt licznika "przy właścicielu",
to często jest od razu fakturka / paragon drukowany na miejscu,
przy tymże właścicielu.

A owszem.

Oczywiście jak się myśli, że przedsiębiorca się zaczyna od 100+
pracowników, to pewnie masz rację. Wtedy płatnościami zajmuje
się pewnie konkretny dział, ale nadal telefony są najczęściej
używanym źródłem autoryzacji. A i czasami (spółki) taka autoryzacja
wymagana jest od dwóch osób, z których jedna np. jest na 3-tygodniowej
delegacji. Toż to dopiero po hardkorze byłoby tłumaczenie
"no wicie, rozumicie wypłaty będą 2 tygodnie po terminie bo
mój wspólnik  na delegacji a token gdzieś w biurku w firmie
leży".

A jak lezy w szpitalu bez przytomnosci ?

To sie inaczej robi - np dwa podpisy z 3 uprawnionych osob ... ale owszem, przydaje sie, ze moze autoryzowac zdalnie ...

J.

W dniu 2019-08-13 o 19:05, Wojciech Bancer pisze:

A zauważyłeś, iż liczba banków komercyjnych drastycznie zmalała?

Drastycznie? Nie powiedziałbym.
Kilka banków się połączyło, kilka powstało. Kilkaset nadal w Polsce mamy
(licząc banki spółdzielcze). Licząc podmioty bez banków spółdzielczych,
to mamy chyba nieco ponad 30 banków.

Na stronie BFG naliczyłem 26 podmiotów. Oczywiście wkrótce będą zmiany - od listopada Millenium i Eurobank to jedno. Dziś osobno. Pewnie Idea/Getin albo się połączy, albo Idea zniknie. Wątpliwa jest przyszłość Mercedes-Benz Bank, kłopoty ma Plus Bank, a Santander występuje jako Santander Bank Polska SA (d. Bank Zachodni WBK SA) oraz Santander Consumer Bank SA. Innymi słowy - widzę raczej szanse na zmniejszenie tej liczby 26 niż zwiększenie. Pamiętam, iż kilka lat temu naliczyłem w gwarancjach BFG ponad 70 podmiotów komercyjnych. I tak: dla mnie zejście z 70 do 26 to jest drastyczna zmiana. Blisko 2/3 wyparowało.

Jeśli tak to niekoniecznie wydajesz się przeciętnym Kowalskim o
przeciętnych potrzebach.

Ale nie masz problemu z uznaniem za przeciętne Kowalskiego:
  - bez telefonu komórkowego

Kowalski telefon ma. Ale czy potrzebuje używać go w roli narzędzia autoryzacyjnego! Tu jest problem. Kowalski ma ok. 25.000 zł oszczędności. Czy cały czas ma je przy sobie, bo a nuż się przydadzą? Wątpię.

  - mieszkającego w miejscu odciętym od sygnału GSM
? Oczywiście na potrzeby dyskusji :)

Niedawno byłem kilka dni w miejscu, gdzie GSM jest, ale Internet bardzo słaby. Praktycznie nie do pracy. To może być szokiem, ale... przeżyłem! I bardziej brakowało mi wiadomości z portali niż możliwości logowania do banku, a już na pewno nie możliwości dokonywania przelewów na obce konta. I teraz wytłumacz mi, po co narzędzie autoryzacyjne miałem stale przy sobie?

Liczba kont maleje, bo liczba banków maleje. Do tego coraz trudniej o
lokaty na wysoki procent, co zaprzecza mobilności w materii transferu
środków.

Wypłaty by default na konto, emerytury by default na konto.
Liczba kont maleje? Od kiedy?

Nie zrozumieliśmy się. Zastosowałem skrót myślowy. Poprawnie: liczba kont w różnych bankach maleje w przypadku Kowalskiego.

https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-iv-kw-2018-441689
-- --
Na koniec 2018 r. ankietowane banki uniwersalne prowadziły blisko 33 mln
rachunków oszczędnościowo-rozliczeniowych (ROR) - wynika z danych zebranych
przez PRNews.pl. To o 556 tys. więcej niż kwartał wcześniej i aż o 1,8 mln
więcej niż na koniec 2017 roku.
-- --

Sztucznie mnożone twory. Oczywiście mogę założyć 10 lokat, a każde na osobnym subkoncie. Firmy coraz częściej tworzą osobne konta do rozliczeń dla każdego klienta.
"Każdy podatnik oraz płatnik będzie posiadał indywidualny mikrorachunek podatkowy. Na ten nowy rachunek będą trafiały wpłaty z podatków CIT, PIT i VAT. Mikrorachunki, które będą aktywne już od 1 stycznia 2020, pozwolą na szybsze rozliczenia wpłat."
Nie wiem czy takie sztuczne pompowanie liczby rachunków ma coś wspólnego z metodą autoryzacji dla klienta indywidualnego.

Bardzo wątpliwe czy poważny przedsiębiorca nosi (nosiłby) narzędzie
autoryzacyjne ze sobą.

Nosiłby i nosi, bo to zazwyczaj komórka.

Tak, dziś jest zmuszony.

Podobnie jak podejrzewam, iż nie ma na wyciągnięcie ręki terminala,
kasy fiskalnej czy możliwości wystawienia faktury.

Fakturę można spokojnie wystawić z komórki, bo systemy księgowe
są online. Część jeździ z terminalami, czy mobilnymi kasami, jeśli
to wynika z ich specyfiki zawodu (mi się taki ślusarz trafił).

I znów na podstawie indywidualnego przypadku chcesz wprowadzać masowe zmiany?

Oczywiście jak się myśli, że przedsiębiorca się zaczyna od 100+
pracowników, to pewnie masz rację. Wtedy płatnościami zajmuje
się pewnie konkretny dział, ale nadal telefony są najczęściej
używanym źródłem autoryzacji. A i czasami (spółki) taka autoryzacja
wymagana jest od dwóch osób, z których jedna np. jest na 3-tygodniowej
delegacji. Toż to dopiero po hardkorze byłoby tłumaczenie
"no wicie, rozumicie wypłaty będą 2 tygodnie po terminie bo
mój wspólnik  na delegacji a token gdzieś w biurku w firmie
leży".

Po hardkorze to byłoby tłumaczenie w dużej firmie, że u nas każdy ma dostęp do konta firmowego. Ot, tam gdzie komórka tam dostęp. ;-) OK - poważnie - dostęp do konta, podobnie jak do szeregu innych dokumentów, jest (powinien być) stricte regulowany. Ty myślisz o przedsiębiorcy od 100+ pracowników, a ja sądzę, że już dużo mniejszy posiadają w pracy sejf. I nie do trzymania gotówki, ale dokumentów strategicznych dla firmy. Wydaje mi się naturalne, iż w takim miejscu mógłby znaleźć się token.

Dla Ciebie tak. Sądzę, że znakomita liczba klientów robi przelewy w domu
i naprawdę umie sobie zaplanować wydatki tak, aby nie musieć mieć
konieczności przelewania (w szczególności na nie-zaufane konta) np. na
basenie, siłowni, podczas jazdy motocyklem itd.

No popatrz. A w dyskusji to albo drama że ktoś za granicą nie może się
zautoryzować, albo że mieszka w camym centrum kopalni węgla kamiennego
1000 metrów pod ziemią i ni chu zasięgu.

Tak jak kiedyś ludzie onanizowali się kolorem karty czy AmEx-em. Cóż zrobić - przeciętny Kowalski dostaje raz w miesiącu przelew na konto od pracodawcy, dokonuje opłat, a potem płaci kartą. Ew. korzysta z bankomatu jeśli lubi gotówkę. Nie, nie potrzebuje robić przelewów w aquaparku (choć taszczy tam telefon-narzędzie autoryzacji), jadąc rowerem (choć taszczy tam telefon-narzędzie autoryzacji), oglądając koncert/przedstawienie w teatrze (choć taszczy tam telefon-narzędzie autoryzacji), podczas joggingu (choć taszczy tam telefon-narzędzie autoryzacji) i w tysiącu innych "niezbędnych" jak 15 kart w portfelu sytuacji.

Naprawdę? Pozostaje mi jedynie współczuć takim ludziom.
Zwróć uwagę, że w obecnej sytuacji do zalogowanie nie potrzeba komórki.
Nawet nie do przelewów zdefiniowanych i zaufanych. Jedynie te pozostałe
wymagają autoryzacji.

Tak, w kontach osobistych. W firmowych często jest wymagane podpisywanie
i autoryzacja osób władnych.

Jeśli ci przedsiębiorcy tacy nieporadni to może rozdzielić rachunki osobiste i firmowe?

https://businessinsider.com.pl/technologie/nowe-technologie/revolut-liczba-klientow-w-polsce/phd1kpc
Pół miliona kont w Polsce.

Wątpliwe dane. Szczególnie, iż nie wiadomo ile jest martwych, w trakcie weryfikacji itd.

To wg tego lepiej od Citi Handlowego, T-Mobile, Plus Banku i BOŚ:
https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-kw-2018-435119
i lepiej od wszystkich 500+ banków spółdzielczych.

No faktycznie dramat. :)

To inaczej zapytam... Naprawdę wierzysz w to, że marka T-Mobile lub Citi jest mniej rozpoznawalna niż Revolut? Wyobraź sobie, że zapytałeś 1000 osób w różnych częściach Polski o N26, Revolut i Citi. Naprawdę wierzysz, że Revolut będzie bardziej znany od Citi?

A mówimy o aplikacji/usługach w sumie ograniczonych do wyjazdów turystycznych
i na to się targetujących, a nie pełnoprawnym kocie osobistym.

I mówimy o wątpliwej jakości start-upie, który może sobie podawać, co chce w ramach PR-u. Np. spotkałem się z opiniami, iż do 100.000 euro w Revolucie rachunki są objęte ochroną. Wiki podaje: "13 grudnia 2018 roku Revolut uzyskał europejską licencję bankową, dającą zezwolenie na działalność na terenie Unii Europejskiej[6][7][8][9][10]. Tę licencję start-up otrzymał od Banku Litwy, gdzie ma 150 tys. klientów[11]. Dzięki licencji fintech został pełnoprawnym bankiem z gwarancjami środków (do kwoty 100 000 EUR w ramach europejskiego systemu gwarancji depozytów) oraz możliwością oferowania pożyczek konsumenckich i dla biznesu. "

Dziś Bankier prostuje:
,,Revolut posiada upoważnienie Urzędu ds. Postępowania Finansowego na mocy ustawy o elektronicznych instrumentach płatniczych z 2011 roku (FCA nr: 900562) do emisji pieniądza elektronicznego"Dla klientów korzystających z Revoluta ma to dwie najważniejsze konsekwencje:

     Środków nie chroni FSCS (Financial Services Compensation Scheme) - brytyjski odpowiednik Bankowego Funduszu Gwarancyjnego. Przypomnijmy, że w razie upadłości banku, depozyty gwarantowane są do kwoty min. 100 tys. euro na jednego deponenta.
Fintech w zeszłym roku uzyskał licencję bankową, ale na razie z niej nie korzysta. Wiadomość, która odbiła się szerokim echem w mediach, nie ma zatem wpływu na status prawny naszych pieniędzy w ,,portfelach" Revoluta.

N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

W Polsce pewnie nie. Ale też się specjalnie nie starają.

Czyli sam widzisz, że to bez czego eksperci z p.b.b. nie mogą się obejść, Kowalskiemu w zasadzie zwisa.

To nawet było/jest rozdzielone.
W jakimś banku miałem i prywatne i firmowe i ID logowania były różne.
Nawet chyba dla kont dwóch firm w tym samym banku były różne ID, ale już nie jestem pewien (KB).


-- -- -

Jeśli ci przedsiębiorcy tacy nieporadni to może rozdzielić rachunki osobiste i firmowe?

On 2019-08-14, Szymon <z@wp.pl> wrote:

[...]

Na stronie BFG naliczyłem 26 podmiotów. Oczywiście wkrótce będą zmiany - od listopada Millenium i Eurobank to jedno. Dziś osobno. Pewnie Idea/Getin albo się połączy, albo Idea zniknie. Wątpliwa jest przyszłość Mercedes-Benz Bank, kłopoty ma Plus Bank, a Santander występuje jako Santander Bank Polska SA (d. Bank Zachodni WBK SA) oraz Santander Consumer Bank SA. Innymi słowy - widzę raczej szanse na zmniejszenie tej liczby 26 niż zwiększenie. Pamiętam, iż kilka lat temu naliczyłem w gwarancjach BFG ponad 70 podmiotów komercyjnych. I tak: dla mnie zejście z 70 do 26 to jest drastyczna zmiana. Blisko 2/3 wyparowało.

No ale spółdzielczych masz ponad 500 :)

Jeśli tak to niekoniecznie wydajesz się przeciętnym Kowalskim o
przeciętnych potrzebach.

Ale nie masz problemu z uznaniem za przeciętne Kowalskiego:
  - bez telefonu komórkowego

Kowalski telefon ma. Ale czy potrzebuje używać go w roli narzędzia autoryzacyjnego!

Ustalmy że ów mityczny Kowalski tego nie potrzebuje w ogóle.
Ale myślę, że jak już miałby wybór, to woli z telefonu/SMS niż
przez jakieś dodatkowe urządzenie..

Tu jest problem. Kowalski ma ok. 25.000 zł oszczędności. Czy cały czas ma je przy sobie, bo a nuż się przydadzą? Wątpię.

Tworzysz jakieś fikcyjne problemy szczerze mówiąc.
Tak, jest wygodniej mieć przy sobie komórkę, która jednocześnie
może robić za urządzenie autoryzacyjne. Tak samo jak dla wielu
ludzi wygodniej mieć komórkę i nie nosić dodatkowo zegarka.
Mimo że zapewne nie mają chronicznej potrzeby sprawdzania czasu co 5 sekund.

  - mieszkającego w miejscu odciętym od sygnału GSM
? Oczywiście na potrzeby dyskusji :)

Niedawno byłem kilka dni w miejscu, gdzie GSM jest, ale Internet bardzo słaby. Praktycznie nie do pracy. To może być szokiem, ale... przeżyłem!

Gratuluję. A co to ma do rzeczy?

I bardziej brakowało mi wiadomości z portali niż możliwości logowania do banku, a już na pewno nie możliwości dokonywania przelewów na obce konta. I teraz wytłumacz mi, po co narzędzie autoryzacyjne miałem stale przy sobie?

A po co nosisz cały czas komórkę przy sobie? Każe Ci ktoś?
Jeszcze te 20 lat temu telefon był w domu, stacjonarny i nie musiałeś
mieć stałego kontaktu ze światem w postaci komórki. I ludzie żyli.
Więc po co nosisz? Nie dlatego że to jest wygodniejsze?

[...]

https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-iv-kw-2018-441689
-- --
Na koniec 2018 r. ankietowane banki uniwersalne prowadziły blisko 33 mln
rachunków oszczędnościowo-rozliczeniowych (ROR) - wynika z danych zebranych
przez PRNews.pl. To o 556 tys. więcej niż kwartał wcześniej i aż o 1,8 mln
więcej niż na koniec 2017 roku.
-- --

Sztucznie mnożone twory. Oczywiście mogę założyć 10 lokat, a każde na osobnym subkoncie. Firmy coraz częściej tworzą osobne konta do rozliczeń dla każdego klienta.

To są tylko ___konta osobiste___. Nie rozliczeniowe, techniczne, lokaty,
konta kredytowe, czy co tam jeszcze chcesz, bo to nie są konta ROR.
Konta firmowe to też nie RORy, tylko rachunki bieżące.

"Każdy podatnik oraz płatnik będzie posiadał indywidualny mikrorachunek podatkowy. Na ten nowy rachunek będą trafiały wpłaty z podatków CIT, PIT i VAT. Mikrorachunki, które będą aktywne już od 1 stycznia 2020, pozwolą na szybsze rozliczenia wpłat."
Nie wiem czy takie sztuczne pompowanie liczby rachunków ma coś wspólnego z metodą autoryzacji dla klienta indywidualnego.

I to też nie jest ROR.

Fakturę można spokojnie wystawić z komórki, bo systemy księgowe
są online. Część jeździ z terminalami, czy mobilnymi kasami, jeśli
to wynika z ich specyfiki zawodu (mi się taki ślusarz trafił).

I znów na podstawie indywidualnego przypadku chcesz wprowadzać masowe zmiany?

Ja? To Ty nie chcesz zaakceptować zmian które już dawno weszły w życie
i drążysz "dlaczego".

Oczywiście jak się myśli, że przedsiębiorca się zaczyna od 100+
pracowników, to pewnie masz rację. Wtedy płatnościami zajmuje
się pewnie konkretny dział, ale nadal telefony są najczęściej
używanym źródłem autoryzacji. A i czasami (spółki) taka autoryzacja
wymagana jest od dwóch osób, z których jedna np. jest na 3-tygodniowej
delegacji. Toż to dopiero po hardkorze byłoby tłumaczenie
"no wicie, rozumicie wypłaty będą 2 tygodnie po terminie bo
mój wspólnik  na delegacji a token gdzieś w biurku w firmie
leży".

Po hardkorze to byłoby tłumaczenie w dużej firmie, że u nas każdy ma dostęp do konta firmowego.

A gdzie twierdziłem, że każdy ma? o.O

Ot, tam gdzie komórka tam dostęp. ;-)

Swoją komórkę dajesz wszystkim w firmie? o.O

I nie do trzymania gotówki, ale dokumentów strategicznych dla firmy.
Wydaje mi się naturalne, iż w takim miejscu mógłby znaleźć się token.

Sejfów nie widziałem, ale wydzielone pomieszczenia na trzymanie
archiwów. Sejfy? Trochę małe jak na te "strategiczne dokumenty".
Ja nie wiem czy Ty sobie zdajesz sprawę ile taka przeciętna firma dokumentów musi w Polsce generować.

Ale tokeny są osobiste, a nie "anonymowe", więc to niespecjalnie
dobry pomysł, żeby przechowywać je we wspólnym miejscu, a potem
w razie czego pieczołowicie identyfikować który jest czyj.

No popatrz. A w dyskusji to albo drama że ktoś za granicą nie może się
zautoryzować, albo że mieszka w camym centrum kopalni węgla kamiennego
1000 metrów pod ziemią i ni chu zasięgu.

Tak jak kiedyś ludzie onanizowali się kolorem karty czy AmEx-em. Cóż zrobić - przeciętny Kowalski dostaje raz w miesiącu przelew na konto od pracodawcy, dokonuje opłat, a potem płaci kartą. Ew. korzysta z bankomatu jeśli lubi gotówkę. Nie, nie potrzebuje robić przelewów w aquaparku (choć taszczy tam telefon-narzędzie autoryzacji), jadąc rowerem (choć taszczy tam telefon-narzędzie autoryzacji), oglądając koncert/przedstawienie w teatrze (choć taszczy tam telefon-narzędzie autoryzacji), podczas joggingu (choć taszczy tam telefon-narzędzie autoryzacji) i w tysiącu innych "niezbędnych" jak 15 kart w portfelu sytuacji.

Może i tego wszystkiego nie potrzebuje, ale wygodniejsza jest świadomość że
może niż że nie może. Tak po prostu. Nie wiem czemu nie umiesz tego zaakceptować.
Akceptujesz że ludzie noszą komórki z wygody (bo przecież mogli korzystać
ze stacjonarnych), a nie akceptujesz że mogą chcieć z tego samoego poczucia
wygody chcieć by owa komórka spełniała więcej funkcji niż jedną?

Zwróć uwagę, że w obecnej sytuacji do zalogowanie nie potrzeba komórki.
Nawet nie do przelewów zdefiniowanych i zaufanych. Jedynie te pozostałe
wymagają autoryzacji.

Tak, w kontach osobistych. W firmowych często jest wymagane podpisywanie
i autoryzacja osób władnych.

Jeśli ci przedsiębiorcy tacy nieporadni to może rozdzielić rachunki osobiste i firmowe?

Skąd wniosek że to kwestia braku zaradności?
Nie wpadło Ci do głowy, że umowa spółki może wymagać autoryzacji przelewów powyżej
pewnych kwot? I tak, banki potrafią tego typu rygory mieć wprowadzone do systemu.

https://businessinsider.com.pl/technologie/nowe-technologie/revolut-liczba-klientow-w-polsce/phd1kpc
Pół miliona kont w Polsce.

Wątpliwe dane. Szczególnie, iż nie wiadomo ile jest martwych, w trakcie weryfikacji itd.

Mhm. A wszystkie RORy w Posce są aktywnie używane :)
Statystycznie jest to moim zdaniem nieistotne, jak wytniesz te nieaktywne
RORy i nieaktywne konta w Revolut, to procentowo wyjdzie podobnie.

To wg tego lepiej od Citi Handlowego, T-Mobile, Plus Banku i BOŚ:
https://prnews.pl/raport-prnews-pl-rynek-kont-osobistych-kw-2018-435119
i lepiej od wszystkich 500+ banków spółdzielczych.

No faktycznie dramat. :)

To inaczej zapytam... Naprawdę wierzysz w to, że marka T-Mobile lub Citi jest mniej rozpoznawalna niż Revolut? Wyobraź sobie, że zapytałeś 1000 osób w różnych częściach Polski o N26, Revolut i Citi. Naprawdę wierzysz, że Revolut będzie bardziej znany od Citi?

Nie wierzę. A co to ma do rzeczy?
W wielu miejscach Polski nawet i o mBanku nie słyszeli.

N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

W Polsce pewnie nie. Ale też się specjalnie nie starają.

Czyli sam widzisz, że to bez czego eksperci z p.b.b. nie mogą się obejść, Kowalskiemu w zasadzie zwisa.

Kompletnie nie rozumiem o czym Ty chcesz argumentować.
Ja wskazuję pewne trendy (kierunek w stronę rozwiązań mobilnych),
a Ty mi piszesz, że Kowalskiemu to zwisa. No *jeszcze* zwisa,
ale kierunek jest jasny. Nie wierzysz?

Zobacz ile mogłeś zrobić w aplikacji mobilnej banku
chociażby te 5 lat temu.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-14 o 12:35, Wojciech Bancer pisze:

Na stronie BFG naliczyłem 26 podmiotów. Oczywiście wkrótce będą zmiany -
od listopada Millenium i Eurobank to jedno. Dziś osobno. Pewnie
Idea/Getin albo się połączy, albo Idea zniknie. Wątpliwa jest przyszłość
Mercedes-Benz Bank, kłopoty ma Plus Bank, a Santander występuje jako
Santander Bank Polska SA (d. Bank Zachodni WBK SA) oraz Santander
Consumer Bank SA. Innymi słowy - widzę raczej szanse na zmniejszenie tej
liczby 26 niż zwiększenie. Pamiętam, iż kilka lat temu naliczyłem w
gwarancjach BFG ponad 70 podmiotów komercyjnych. I tak: dla mnie zejście
z 70 do 26 to jest drastyczna zmiana. Blisko 2/3 wyparowało.

No ale spółdzielczych masz ponad 500 :)

Sęk w tym, iż banki spółdzielcze często mają ograniczony terytorialnie zakres działania. Zatem trudno je wrzucać do jednego wora z komercyjnymi, które z gruntu nastawione są na działalność ogólnopolską (pomijam Mercedesa - nie znam jego oferty).

Ale myślę, że jak już miałby wybór, to woli z telefonu/SMS niż
przez jakieś dodatkowe urządzenie..

Gdybyś miał rację - nie trzeba byłoby "zmuszać" klientów do przesiadki np. wprowadzeniem opłat za tokeny. Wreszcie likwidacją tychże.

Tu jest problem. Kowalski ma ok. 25.000 zł oszczędności. Czy cały
czas ma je przy sobie, bo a nuż się przydadzą? Wątpię.

Tworzysz jakieś fikcyjne problemy szczerze mówiąc.

Ten fikcyjny problem to kwestia bezpieczeństwa niejednokrotnie dorobku całego życia. OK - jeśli ktoś nie ma zbyt wiele na koncie i nie boi się np. kradzieży tożsamości to być może bezpieczeństwo jest dla niego "fikcyjnym problemem". W moim przekonaniu to w zasadzie podstawowe oczekiwanie wobec banku.

Tak, jest wygodniej mieć przy sobie komórkę, która jednocześnie
może robić za urządzenie autoryzacyjne. Tak samo jak dla wielu
ludzi wygodniej mieć komórkę i nie nosić dodatkowo zegarka.
Mimo że zapewne nie mają chronicznej potrzeby sprawdzania czasu
co 5 sekund.

Wydaje mi się, że zbyt szybko wieszczysz koniec zegarka. Powiedziałbym, że sportowe, smartwatche, opaski nadal są w cenie. Ba! Zegarek może stać się przyczynkiem zmian w rządzie, a zatem taki błahy nie jest.
Problem jest tu innej natury. Ja lubię mieć WYBÓR. I nie uważam, że partia/bank/ktoś tam wie lepiej. Sam nie mam zegarka. Ale to, że ja nie mam nie oznacza, iż uważam, że nikt nie ma potrzeby mieć.

Jako ciekawostkę powiem Ci, iż mam monitor 4:3. Swego czasu producenci też uznali, że wiedzą lepiej i wprowadzili 16:9. Laptopa mam już takiego - kupno 4:3 jest trudne, by nie rzec "niemożliwe".

Niedawno byłem kilka dni w miejscu, gdzie GSM jest, ale Internet bardzo
słaby. Praktycznie nie do pracy. To może być szokiem, ale... przeżyłem!

Gratuluję. A co to ma do rzeczy?

Bank zmusza mnie do noszenie przy sobie autoryzacji mimo, iż tego nie potrzebuję. Gdzie tu logika?

A po co nosisz cały czas komórkę przy sobie? Każe Ci ktoś?

Nie. Służy mi np. do wezwania służb w razie wypadku. Korzystam też w roli mp3. Zasadniczo... Wolałbym sam określać jak korzystam z telefonu niż by określi mi to bankierzy (tudzież stosowna jedynie słuszna partia, UE czy kto tam jeszcze).

Jeszcze te 20 lat temu telefon był w domu, stacjonarny i nie musiałeś
mieć stałego kontaktu ze światem w postaci komórki. I ludzie żyli.

Niestety umierali często nie mogąc wezwać na czas pogotowia.

Więc po co nosisz? Nie dlatego że to jest wygodniejsze?

Nie jest wygodniejsze noszenie czegoś, co w przypadku napaści/zgubienia może wyzerować konto, a co na co dzień nie jest potrzebne.
Mój kolega nurkuje. Muszę go zapytać, czy na co dzień chodzi w masce i z butlą na plecach. Wszak na co dzień tak często korzysta z tych urządzeń, jak Kowalski z autoryzacji w plenerze.

To są tylko ___konta osobiste___. Nie rozliczeniowe, techniczne, lokaty,
konta kredytowe, czy co tam jeszcze chcesz, bo to nie są konta ROR.
Konta firmowe to też nie RORy, tylko rachunki bieżące.

OK, więc nie potrafię wytłumaczyć tego procederu. Liczba banków maleje o 2/3, liczba kont rośnie.

I znów na podstawie indywidualnego przypadku chcesz wprowadzać masowe
zmiany?

Ja? To Ty nie chcesz zaakceptować zmian które już dawno weszły w życie
i drążysz "dlaczego".

To by się pewnej partii bardzo spodobało, gdyby wszyscy twierdzili "weszło i trudno, dlaczego - nieważne, nie myśl".

Po hardkorze to byłoby tłumaczenie w dużej firmie, że u nas każdy ma
dostęp do konta firmowego.

A gdzie twierdziłem, że każdy ma? o.O

Zakładając, iż telefon szefa daje autoryzację, a szef telefon ma przy sobie - narzędzie autoryzacyjne wędruje wraz z nim. Na przykład na plażę, basen czy saunę.

Ot, tam gdzie komórka tam dostęp. ;-)

Swoją komórkę dajesz wszystkim w firmie? o.O

Nie, mam przy sobie. Oczywiście nie zawsze. Zdarza się zostawić w szafce na treningu, w samochodzie, na biurku przy ewakuacji.

I nie do trzymania gotówki, ale dokumentów strategicznych dla firmy.
Wydaje mi się naturalne, iż w takim miejscu mógłby znaleźć się token.

Sejfów nie widziałem, ale wydzielone pomieszczenia na trzymanie
archiwów. Sejfy? Trochę małe jak na te "strategiczne dokumenty".

Naprawdę? To może widziałeś chociaż kasy pancerne tam, gdzie sejf okazuje się zbyt mały. Aczkolwiek w dobie dokumentów elektronicznych wydaje się, iż dysk zewnętrzny nie zajmuje dużo miejsca.

Ja nie wiem czy Ty sobie zdajesz sprawę ile taka przeciętna firma
dokumentów musi w Polsce generować.

Nie wszystkie są istotne tak bardzo jak dostęp do przelewów na obce konta. To raczej oczywistość. Co innego będziesz trzymać w segregatorze, co innego w sekretariacie, u księgowej, wreszcie w sejfie... Archiwum to też inna bajka. Z uwagi na RODO trzeba jednak uważać. Myślę, że dużo zależy od specyfiki firmy.

Tak jak kiedyś ludzie onanizowali się kolorem karty czy AmEx-em. Cóż
zrobić - przeciętny Kowalski dostaje raz w miesiącu przelew na konto od
pracodawcy, dokonuje opłat, a potem płaci kartą. Ew. korzysta z
bankomatu jeśli lubi gotówkę. Nie, nie potrzebuje robić przelewów w
aquaparku (choć taszczy tam telefon-narzędzie autoryzacji), jadąc
rowerem (choć taszczy tam telefon-narzędzie autoryzacji), oglądając
koncert/przedstawienie w teatrze (choć taszczy tam telefon-narzędzie
autoryzacji), podczas joggingu (choć taszczy tam telefon-narzędzie
autoryzacji) i w tysiącu innych "niezbędnych" jak 15 kart w portfelu
sytuacji.

Może i tego wszystkiego nie potrzebuje, ale wygodniejsza jest świadomość że
może niż że nie może. Tak po prostu. Nie wiem czemu nie umiesz tego zaakceptować.

To nie kwestia mojej akceptacji, ale jakiegoś dowodu na to, iż lepiej NIE mieć wyboru niż go mieć. Ja wolę świadomość bezpieczeństwa oszczędności niż możliwości wykonania przelewu w saunie, bo tam też taszczę telefon. A właściwie zostaje w szafce, gdzie marnej jakości zamek chroni oszczędności życia. Oczywiście "za rzeczy pozostawione w szatni hotel nie odpowiada". Na szczęście często proponują wtedy skorzystanie z... sejfu. No patrz! Ciekawe dlaczego....

Akceptujesz że ludzie noszą komórki z wygody (bo przecież mogli korzystać
ze stacjonarnych),

To nie kwestia wygody, ale pewnej konieczności uzasadnionej logicznie.

a nie akceptujesz że mogą chcieć z tego samoego poczucia

wygody chcieć by owa komórka spełniała więcej funkcji niż jedną?

Zawsze kosztem czegoś. Wszedłem na Allegro. Dział telefony i sortowanie wg popularności. Już na pierwszej stronie znalazłem MYPHONE HALO EASY - 132 osoby kupiły. Nie - nie jest to smartfon. Na szczęście ludzie mają wybór. W mojej ocenie nonsensownym byłoby tłumaczenie tym osobom, że muszą chcieć smartfona (najlepiej Apple'a), bo... coś tam. Czy nie lepiej mieć wybór?
Banki - z pewnych względów pozbawiają klienta wyboru lub stosują zaporowe stawki, by zniechęcić. Ponieważ ich liczba drastycznie maleje (tak, wiem - 27:1 według niektórych to sukces, likwidacja 2/3 sektora to nie jest drastyczny spadek)... ograniczany jest wybór. Ot i cała filozofia.

Jeśli ci przedsiębiorcy tacy nieporadni to może rozdzielić rachunki
osobiste i firmowe?

Skąd wniosek że to kwestia braku zaradności?

Proste czynności okazują się zbyt trudne.

Nie wpadło Ci do głowy, że umowa spółki może wymagać autoryzacji przelewów powyżej
pewnych kwot? I tak, banki potrafią tego typu rygory mieć wprowadzone do systemu.

I rozumieć mam, że 8-16 tego się nie da zrobić w miejscu pracy tylko trzeba poza i stąd telefon wygodniejszy?

Mhm. A wszystkie RORy w Posce są aktywnie używane :)

Oczywiście nie i był to swego czasu duży problem. Znowu ustawą bodaj zmuszono banki do określonych działań. Kto wie - może kiedyś stosowna dyrektywa wymusi różnorodność metod autoryzacji.

Statystycznie jest to moim zdaniem nieistotne, jak wytniesz te nieaktywne
RORy i nieaktywne konta w Revolut, to procentowo wyjdzie podobnie.

Niekoniecznie. Revolut to nowa firma, a w bankach są pewnie martwe konta od wielu lat, a nawet dekad.
- Jeśli przez 10 lat konto było nieaktywne, nic się na nim nie działo, to zostaje uznane za martwe - wyjaśnia Maja Markiewicz, dyrektor linii biznesowej OGNIVO w Krajowej Izbie Rozliczeniowej.

- Konto będzie uznane za martwe, jeśli nikt się nie zalogował do bankowości elektronicznej, nie wypłacił pieniędzy z bankomatu, nie robił przelewów - tłumaczy ekspertka.

Ile pieniędzy jest na martwych kontach i ile jest tych kont, tego naprawdę nikt nie wie. Szacunki sięgały 15 mld.

Trochę trudno byłoby Revolutowi posiadać takich klientów od 10 lat, prawda?

To inaczej zapytam... Naprawdę wierzysz w to, że marka T-Mobile lub Citi
jest mniej rozpoznawalna niż Revolut? Wyobraź sobie, że zapytałeś 1000
osób w różnych częściach Polski o N26, Revolut i Citi. Naprawdę
wierzysz, że Revolut będzie bardziej znany od Citi?

Nie wierzę. A co to ma do rzeczy?

Jedynie kwestia wiarygodności wcześniej podanych przez Ciebie liczb.
Ostatnio mój zegarek podał, iż pobiłem prędkość maksymalną na rowerze. Obecna to 214 km/h. Wcześniej było tylko 186 km/h. Powiedzmy, że jestem dość sceptyczny wobec tych liczb, mimo iż to niezłej klasy urządzenie, firmowe (Garmin), zasadniczo rzadko się myli itd.

W wielu miejscach Polski nawet i o mBanku nie słyszeli.

A pewnie słyszeli o PKO BP. Stąd wniosek: jeśli rozpoznawalność PKO BP jest większa niż mB należy domniemać, że i klientów PKO BP będzie miało nieco więcej.

Powyższy wniosek stoi w sprzeczności z Twoją tezą, iż Revolut ma więcej klientów niż Citi.

N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

W Polsce pewnie nie. Ale też się specjalnie nie starają.

Czyli sam widzisz, że to bez czego eksperci z p.b.b. nie mogą się
obejść, Kowalskiemu w zasadzie zwisa.

Kompletnie nie rozumiem o czym Ty chcesz argumentować.

OK, spróbuję prościej: jestem za wolnością wyboru. Nie narzucając innym swoich racji, chciałbym też mieć wybór. Zatem... Chciałbym token sprzętowy do konta. Za darmo. Coś co jeszcze parę miesięcy temu miałem w CA i EB. I chciałbym korzystać z komputera do logowania.
Chcę argumentować, iż są klienci - jak ja - którym to odpowiada.

Ja wskazuję pewne trendy (kierunek w stronę rozwiązań mobilnych),
a Ty mi piszesz, że Kowalskiemu to zwisa. No *jeszcze* zwisa,
ale kierunek jest jasny. Nie wierzysz?

Wierzę, że zwisa. I wierzę, że idziemy w kierunku mobilnym. Niestety.

Zobacz ile mogłeś zrobić w aplikacji mobilnej banku
chociażby te 5 lat temu.

Nie korzystałem i nie korzystam z aplikacji mobilnych. Dopóki banki mnie nie zmuszą - nie zamierzam.

On 2019-08-14, Szymon <z@wp.pl> wrote:

[...]

Ale myślę, że jak już miałby wybór, to woli z telefonu/SMS niż
przez jakieś dodatkowe urządzenie..

Gdybyś miał rację - nie trzeba byłoby "zmuszać" klientów do przesiadki np. wprowadzeniem opłat za tokeny. Wreszcie likwidacją tychże.

Mnie nikt nie zmuszał. Jak tylko BGŻ Optima włączyła autoryzację SMS,
z przyjemnością przuciłem to plastikowe małe gie, które się zawsze
gdzież zapodziewało.

Problem raczej w tym, że niektórych trzeba zmuszać mimo racjonalnych przesłanek. Są ludzie którzy nie lubią zmian, choćby i korzystnych.
I potem czytasz że "windows 98 lepszy od Windows XP", a potem powtórkę
przy Windows 7 (ach jaki ten XP cudowny). Ogólnie ludzie z syndromem
"drzewiej bywało" :)

Tworzysz jakieś fikcyjne problemy szczerze mówiąc.

Ten fikcyjny problem to kwestia bezpieczeństwa niejednokrotnie dorobku całego życia. OK - jeśli ktoś nie ma zbyt wiele na koncie i nie boi się np. kradzieży tożsamości to być może bezpieczeństwo jest dla niego "fikcyjnym problemem". W moim przekonaniu to w zasadzie podstawowe oczekiwanie wobec banku.

No ale jakie masz kompetencje by twierdzić, że stosowane rozwiązania
nie są bezpieczne?

Tak, jest wygodniej mieć przy sobie komórkę, która jednocześnie
może robić za urządzenie autoryzacyjne. Tak samo jak dla wielu
ludzi wygodniej mieć komórkę i nie nosić dodatkowo zegarka.
Mimo że zapewne nie mają chronicznej potrzeby sprawdzania czasu
co 5 sekund.

Wydaje mi się, że zbyt szybko wieszczysz koniec zegarka. Powiedziałbym, że sportowe, smartwatche, opaski nadal są w cenie.

Smartwache to nie są zegarki, tylko samartwatche. I dopiero niedawno
weszły do gry i się rozsiadają.

Zegarki to się ostały jako przejaw snobizmu / oznaka w towarzystwie,
ale z powszechnego użycia to zniknęły, bo je zastąpiła komórka.

[...]

Problem jest tu innej natury. Ja lubię mieć WYBÓR.

Ale to jest Twój problem, a nie banku, rynku, czy tym bardziej świata. :) Nigdy i nigdzie nie będzie nieograniczonego wyboru,
zawsze musisz albo wykreować potrzebę na tyle skutecznie by ktoś
uwierzył, że jest ona opłacalna i pod nią coś stworzył, albo dopasować
swoje preferencje do istniejących opcji.

I nie uważam, że partia/bank/ktoś tam wie lepiej. Sam nie mam zegarka. Ale to, że ja nie mam nie oznacza, iż uważam, że nikt nie ma potrzeby mieć.

A ja mam potrzebę na karty kodów w postaci kamiennych tablic, jak
za Mojżesza. O! No ale niestety nikt nie chce mi ich udostępnić :(

Jako ciekawostkę powiem Ci, iż mam monitor 4:3. Swego czasu producenci też uznali, że wiedzą lepiej i wprowadzili 16:9. Laptopa mam już takiego - kupno 4:3 jest trudne, by nie rzec "niemożliwe".

Kup sobie iPada Pro. :)

Niedawno byłem kilka dni w miejscu, gdzie GSM jest, ale Internet bardzo
słaby. Praktycznie nie do pracy. To może być szokiem, ale... przeżyłem!

Gratuluję. A co to ma do rzeczy?

Bank zmusza mnie do noszenie przy sobie autoryzacji mimo, iż tego nie potrzebuję. Gdzie tu logika?

Nie zmusza. Sam to nosisz ze swojej wygody.

A po co nosisz cały czas komórkę przy sobie? Każe Ci ktoś?

Nie. Służy mi np. do wezwania służb w razie wypadku. Korzystam też w roli mp3. Zasadniczo... Wolałbym sam określać jak korzystam z telefonu niż by określi mi to bankierzy (tudzież stosowna jedynie słuszna partia, UE czy kto tam jeszcze).

Z tym nie ma problemu, już Ci napisali że możesz mieć osobny, dedykowany
telefon-ala-token. Nie w tym problem, że nie masz wyboru, tylko w tym,
że oczekujesz żeby za TWÓJ nietypowy wybór zapłacili inni.

Jeszcze te 20 lat temu telefon był w domu, stacjonarny i nie musiałeś
mieć stałego kontaktu ze światem w postaci komórki. I ludzie żyli.

Niestety umierali często nie mogąc wezwać na czas pogotowia.

Trochę za bardzo odpływasz z taką diagnozą.
Ale z ciekawości, ile to już żyć ocaliłeś mając ten telefon?

Więc po co nosisz? Nie dlatego że to jest wygodniejsze?

Nie jest wygodniejsze noszenie czegoś, co w przypadku napaści/zgubienia może wyzerować konto, a co na co dzień nie jest potrzebne.

To nie noś.

Mój kolega nurkuje. Muszę go zapytać, czy na co dzień chodzi w masce i z butlą na plecach. Wszak na co dzień tak często korzysta z tych urządzeń, jak Kowalski z autoryzacji w plenerze.

Zapytaj.

[...]

I znów na podstawie indywidualnego przypadku chcesz wprowadzać masowe
zmiany?

Ja? To Ty nie chcesz zaakceptować zmian które już dawno weszły w życie
i drążysz "dlaczego".

To by się pewnej partii bardzo spodobało, gdyby wszyscy twierdzili "weszło i trudno, dlaczego - nieważne, nie myśl".

No tylko się nie obrażaj na wolny rynek. Jakby była potrzeba
na tokeny, to ktoś by na taką potrzebę odpowiedział.

Po hardkorze to byłoby tłumaczenie w dużej firmie, że u nas każdy ma
dostęp do konta firmowego.

A gdzie twierdziłem, że każdy ma? o.O

Zakładając, iż telefon szefa daje autoryzację, a szef telefon ma przy sobie - narzędzie autoryzacyjne wędruje wraz z nim. Na przykład na plażę, basen czy saunę.

No i?

Ot, tam gdzie komórka tam dostęp. ;-)

Swoją komórkę dajesz wszystkim w firmie? o.O

Nie, mam przy sobie. Oczywiście nie zawsze. Zdarza się zostawić w szafce na treningu, w samochodzie, na biurku przy ewakuacji.

No to czemu oczekujesz, ze inni będą ją rozdawać?
Żeby dać Ci argument w dyskusji?

Sejfów nie widziałem, ale wydzielone pomieszczenia na trzymanie
archiwów. Sejfy? Trochę małe jak na te "strategiczne dokumenty".

Naprawdę? To może widziałeś chociaż kasy pancerne tam, gdzie sejf okazuje się zbyt mały. Aczkolwiek w dobie dokumentów elektronicznych wydaje się, iż dysk zewnętrzny nie zajmuje dużo miejsca.

Nope, ale ja się obracam w obrębie spółek i firm nowych technologii,
więc może faktycznie wszystko co istotne jest trzymane na szyfrowanych
urządzeniach. Tym niemniej jakoś nie słyszałem by kasy pancerne, czy
sejfy to były jakieś "must-have"  w firmach.

Ja nie wiem czy Ty sobie zdajesz sprawę ile taka przeciętna firma
dokumentów musi w Polsce generować.

Nie wszystkie są istotne tak bardzo jak dostęp do przelewów na obce konta. To raczej oczywistość. Co innego będziesz trzymać w segregatorze, co innego w sekretariacie, u księgowej, wreszcie w sejfie... Archiwum to też inna bajka. Z uwagi na RODO trzeba jednak uważać. Myślę, że dużo zależy od specyfiki firmy.

Mówisz że RODO wymaga trzymania dokumentów z danymi osobowymi w pancernych
pomieszczeniach?

Może i tego wszystkiego nie potrzebuje, ale wygodniejsza jest świadomość że
może niż że nie może. Tak po prostu. Nie wiem czemu nie umiesz tego zaakceptować.

To nie kwestia mojej akceptacji, ale jakiegoś dowodu na to, iż lepiej NIE mieć wyboru niż go mieć.

Ale Ty masz wybór. Tylko ignorujesz możliwości jakie masz.

Ja wolę świadomość bezpieczeństwa oszczędności niż możliwości wykonania przelewu w saunie, bo tam też taszczę telefon.

A jaki to problem trzymać oszczędności w sposób który nie pozwala
na ich wyjęcie telefonem?

A właściwie zostaje w szafce, gdzie marnej jakości zamek chroni oszczędności życia.

Rozumiem że pinu do telefonu nie masz? Blokady antykradzieżowej?
Cokolwiek? Rozumiem, że masz obowiązek mieć telefon razem ze sobą
w tej saunie? Rozumiem, że masz w koncu obowiązek trzymać oszczędności
życia na tym cudownym koncie do którego musisz mieć bieżący dostęp?

Ale wtem! Magiczny token sprzętowy zmieni Twoje życie w cudowny,
czarodziejski, niewłamywalny sen. No sorry, ale zaczynasz
argumentować jak ta baletnica. :-)

Oczywiście "za rzeczy pozostawione w szatni hotel nie odpowiada". Na szczęście często proponują wtedy skorzystanie z... sejfu. No patrz! Ciekawe dlaczego....

Bo są tacy paranoicy i dziwacy na których można dodatkowo ekstra ugrać trochę kasy. As simple as that.

Akceptujesz że ludzie noszą komórki z wygody (bo przecież mogli korzystać
ze stacjonarnych),

To nie kwestia wygody, ale pewnej konieczności uzasadnionej logicznie.

E tam. Wygody. Z wygody mają też facebooka przy sobie.

a nie akceptujesz że mogą chcieć z tego samoego poczucia

wygody chcieć by owa komórka spełniała więcej funkcji niż jedną?

Zawsze kosztem czegoś. Wszedłem na Allegro. Dział telefony i sortowanie wg popularności. Już na pierwszej stronie znalazłem MYPHONE HALO EASY - 132 osoby kupiły. Nie - nie jest to smartfon. Na szczęście ludzie mają wybór.

A mówiłeś że nie mają :-)

W mojej ocenie nonsensownym byłoby tłumaczenie tym osobom, że muszą chcieć smartfona (najlepiej Apple'a), bo... coś tam. Czy nie lepiej mieć wybór?

Ale wybór jest zawsze. Ale ty nie checesz MIEĆ WYBORU. Ty chcesz mieć
TYLKO po swojemu i tupiesz nogą że świat się nie dopasował.

Banki - z pewnych względów pozbawiają klienta wyboru lub stosują zaporowe stawki, by zniechęcić. Ponieważ ich liczba drastycznie maleje (tak, wiem - 27:1 według niektórych to sukces, likwidacja 2/3 sektora to nie jest drastyczny spadek)... ograniczany jest wybór. Ot i cała filozofia.

Ale ten spadek wynika z fuzji, połaczeń, przekształceń czy wreszcie zmian
modelu biznesowego. Kiedyś miałeś BRE Bank, mBank i Multi Bank, teraz jest
jeden mBank (mimo że od zawsze był to jeden formalny bank). Kiedyś był KB, BZ i WBK, potem BZWBK, potem BZWBK wchłonął KB, potem wchłonął DB, a w końcu zmienił nazwę na Santander. Ale obsługuje wszystkich klientów z tego sektora. To nie świadczy o zmniejszaniu się rynku bankowego, tylko o jego konsolidacji w większych podmiotach. A te większe podmioty obsługują teraz i corocznie coraz więcej kont. Więc twierdzenie o "likwidacji 2/3" na bazie suchej liczby podmiotów to spore nadużycie.

Nie wpadło Ci do głowy, że umowa spółki może wymagać autoryzacji przelewów powyżej
pewnych kwot? I tak, banki potrafią tego typu rygory mieć wprowadzone do systemu.

I rozumieć mam, że 8-16 tego się nie da zrobić w miejscu pracy tylko trzeba poza i stąd telefon wygodniejszy?

Ale ogarniasz, że nie wszyscy pracują 8-16 za biurkiem?

[...]

Ile pieniędzy jest na martwych kontach i ile jest tych kont, tego naprawdę nikt nie wie. Szacunki sięgały 15 mld.

Trochę trudno byłoby Revolutowi posiadać takich klientów od 10 lat, prawda?

Aliorowi też, no i? Myślisz, że ten nie ma martwych kont?

To inaczej zapytam... Naprawdę wierzysz w to, że marka T-Mobile lub Citi
jest mniej rozpoznawalna niż Revolut? Wyobraź sobie, że zapytałeś 1000
osób w różnych częściach Polski o N26, Revolut i Citi. Naprawdę
wierzysz, że Revolut będzie bardziej znany od Citi?

Nie wierzę. A co to ma do rzeczy?

Jedynie kwestia wiarygodności wcześniej podanych przez Ciebie liczb.

To znajdź źródła które tym liczbom przeczą, a nie "nie uznaję, bo
mi tak wygodnie". Ja znalazłem jakieś źródła które podają taką liczbę,
więc nie oczekuj że będę szukał za Ciebie.

Ostatnio mój zegarek podał, iż pobiłem prędkość maksymalną na rowerze. Obecna to 214 km/h. Wcześniej było tylko 186 km/h. Powiedzmy, że jestem dość sceptyczny wobec tych liczb, mimo iż to niezłej klasy urządzenie, firmowe (Garmin), zasadniczo rzadko się myli itd.

Fascynujące ale nie na temat jakby.

W wielu miejscach Polski nawet i o mBanku nie słyszeli.

A pewnie słyszeli o PKO BP. Stąd wniosek: jeśli rozpoznawalność PKO BP jest większa niż mB należy domniemać, że i klientów PKO BP będzie miało nieco więcej.

Nie ma bezpośredniego przełożenia. Myślę że o Citi słyszało więcej ludzi
niż o mBanku, a już na pewno nie jest tak że rozpoznawalność Citi jest
kilkukrotnie mniejszy (4.4 mln kont mBank vs 670 tys. Citi).

Powyższy wniosek stoi w sprzeczności z Twoją tezą, iż Revolut ma więcej klientów niż Citi.

Ależ oczywiście. :)

N26 to już w ogóle przeciętnemu Kowalskiemu nie jest znane.

W Polsce pewnie nie. Ale też się specjalnie nie starają.

Czyli sam widzisz, że to bez czego eksperci z p.b.b. nie mogą się
obejść, Kowalskiemu w zasadzie zwisa.

Kompletnie nie rozumiem o czym Ty chcesz argumentować.

OK, spróbuję prościej: jestem za wolnością wyboru. Nie narzucając innym swoich racji, chciałbym też mieć wybór.

Ale nie chcesz za to płacic.

Zatem... Chciałbym token sprzętowy do konta. Za darmo.

A ja kamienne tablice!

Coś co jeszcze parę miesięcy temu miałem w CA i EB. I chciałbym korzystać z komputera do logowania. Chcę argumentować, iż są klienci - jak ja - którym to odpowiada.

No zapewne jacyś się znajdą, ale za mało jak widać. Życie.

Zobacz ile mogłeś zrobić w aplikacji mobilnej banku
chociażby te 5 lat temu.

Nie korzystałem i nie korzystam z aplikacji mobilnych. Dopóki banki mnie nie zmuszą - nie zamierzam.

Zawsze możesz poprzestać na dostępie offline i wizytach w oddziale :)
Znam i takie osoby.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-14 o 20:28, Wojciech Bancer pisze:

Gdybyś miał rację - nie trzeba byłoby "zmuszać" klientów do przesiadki
np. wprowadzeniem opłat za tokeny. Wreszcie likwidacją tychże.

Mnie nikt nie zmuszał. Jak tylko BGŻ Optima włączyła autoryzację SMS,
z przyjemnością przuciłem to plastikowe małe gie, które się zawsze
gdzież zapodziewało.

Gimbaza byłaby z Ciebie dumna. ;-) Tylko koniecznie musisz mieć iPhone'a. ;-)
Zauważyłeś, iż tokeny zanim zniknęły na dobre przeznaczone były dla klientów premium?

Problem raczej w tym, że niektórych trzeba zmuszać mimo racjonalnych
przesłanek. Są ludzie którzy nie lubią zmian, choćby i korzystnych.
I potem czytasz że "windows 98 lepszy od Windows XP", a potem powtórkę
przy Windows 7 (ach jaki ten XP cudowny). Ogólnie ludzie z syndromem
"drzewiej bywało" :)

Masz rację. Rzeczywiście do dziś wiele osób korzysta z w7 - także nowe płyty główne mają do tego systemu sterowniki. Odnoszę wrażenie, iż Microsoft bardzo głowi się jak przekonać ludzi do nowszej wersji. Pewnie wywołają tradycyjne upiory z szafy... Bezpieczeństwo! ;-)

No ale jakie masz kompetencje by twierdzić, że stosowane rozwiązania
nie są bezpieczne?

Umiem czytać. Trudno znaleźć dzień, w którym media nie donoszą o jakichś tam fraudach. Niepokoi mnie też, iż dopiero odgórne nakazy poprawiają bezpieczeństwo w bankach. Wolałbym, aby nie trzeba było nic nakazywać, a banki aby same dbały o bezpieczeństwo powierzonych klientów.

Zegarki to się ostały jako przejaw snobizmu / oznaka w towarzystwie,
ale z powszechnego użycia to zniknęły, bo je zastąpiła komórka.

Dość śmiała teza. Oczywiście można nurkować z komórką czy biegać, ale jednak dostrzegam rozwój zegarków sportowych. I ich popularność. Snobizm? Pewnie osoby mające do czynienia ze sportem niekoniecznie by się z Tobą zgodziły.

Problem jest tu innej natury. Ja lubię mieć WYBÓR.

Ale to jest Twój problem, a nie banku, rynku, czy tym bardziej
świata. :) Nigdy i nigdzie nie będzie nieograniczonego wyboru,
zawsze musisz albo wykreować potrzebę na tyle skutecznie by ktoś
uwierzył, że jest ona opłacalna i pod nią coś stworzył, albo dopasować
swoje preferencje do istniejących opcji.

Gdyby jednak udało się przekonać większą grupę klientów, wówczas prawdopodobnie wprowadzonoby zmiany pod ich wpływem. Niemniej - masz rację. Żyjemy w czasach, gdy wielu ludziom wystarczy "Moda na sukces", disco polo i smartfon. No cóż - nie tak postrzegam kino, muzykę czy bezpieczeństwo depozytów. Ale przekonujesz mnie, że jestem w mniejszości.

Bank zmusza mnie do noszenie przy sobie autoryzacji mimo, iż tego nie
potrzebuję. Gdzie tu logika?

Nie zmusza. Sam to nosisz ze swojej wygody.

Pass. Nie potrafię tego jaśniej napisać.

Z tym nie ma problemu, już Ci napisali że możesz mieć osobny, dedykowany
telefon-ala-token. Nie w tym problem, że nie masz wyboru, tylko w tym,
że oczekujesz żeby za TWÓJ nietypowy wybór zapłacili inni.

To mówisz, że wymóg bezpiecznego przechowywania oszczędności to "nietypowy wybór"?

Ale z ciekawości, ile to już żyć ocaliłeś mając ten telefon?

Nie jest to łatwe do określenia.

Nie jest wygodniejsze noszenie czegoś, co w przypadku napaści/zgubienia
może wyzerować konto, a co na co dzień nie jest potrzebne.

To nie noś.

Nie da się. Muszę mieć telefon przy sobie. Bank wymaga telefonu do autoryzacji. Więc jedno z drugim jest połączone. To trochę tak, jakbyś miał potrzebę jeżdżenia autem bez ubezpieczenia. No tak - OK, możesz. Ale koszty tego rozwiązania są na tyle drogie/niebezpieczne, że w praktyce każdy ma OC.

Mój kolega nurkuje. Muszę go zapytać, czy na co dzień chodzi w masce i z
butlą na plecach. Wszak na co dzień tak często korzysta z tych urządzeń,
jak Kowalski z autoryzacji w plenerze.

Zapytaj.

Popukał się w głowę. Zegarka do nurkowania (jakiś tam specjalny) też nie nosi na co dzień.

No tylko się nie obrażaj na wolny rynek. Jakby była potrzeba
na tokeny, to ktoś by na taką potrzebę odpowiedział.

Rzecz w tym, że ten wolny rynek bardzo się kurczy. I wyraźnie wykazuje tendencję w tym kierunku. A gdy już zostanie tych banków bardzo mało (różni eksperci widzą zaledwie miejsce dla 5 na polskim rynku) to będzie można mówić o monopolu. Sęk w tym, że monopol i wolny rynek to tak jakoś nie bardzo po drodze.

Zakładając, iż telefon szefa daje autoryzację, a szef telefon ma przy
sobie - narzędzie autoryzacyjne wędruje wraz z nim. Na przykład na
plażę, basen czy saunę.

No i?

Wyobraźni trochę!
A wiesz - mam iPada, który nie musi być zabezpieczony hasłem. I nie był. Do czasu wejścia RODO. Otóż w przypadku utraty takiego urządzenia wszelkie konsekwencje ponosi pracownik. No chyba, że zabezpieczy PIN-em tablet. Tak właśnie się przerzuca odpowiedzialność. Banki robią podobnie - wyposażają klienta w obowiązkowe rzeczy, których nie potrzebuje, by ew. kłopoty zrzucić na niego.

Teraz wyobraź sobie taką sytuację - mam tablet bez hasła, odcisku itd. A w nim zapamiętane hasła. Chyba przyznasz, że pozyskanie z niego danych jest banalnie proste. To sytuacja przypominająca noszenie karty z zapisanym pinem na kartce.

Nie, mam przy sobie. Oczywiście nie zawsze. Zdarza się zostawić w szafce
na treningu, w samochodzie, na biurku przy ewakuacji.

No to czemu oczekujesz, ze inni będą ją rozdawać?

Karta kodów/token zazwyczaj jest chroniony. Ot, nie opuszcza domu. Dobranie się do niego jest trudne. W przypadku telefonu - proste. To naprawdę jest takie trudne do zrozumienia, iż karta, która leży w szafce jest mniej narażona na fraud niż ta, którą noszę ze sobą?

Naprawdę? To może widziałeś chociaż kasy pancerne tam, gdzie sejf
okazuje się zbyt mały. Aczkolwiek w dobie dokumentów elektronicznych
wydaje się, iż dysk zewnętrzny nie zajmuje dużo miejsca.

Nope, ale ja się obracam w obrębie spółek i firm nowych technologii,
więc może faktycznie wszystko co istotne jest trzymane na szyfrowanych
urządzeniach. Tym niemniej jakoś nie słyszałem by kasy pancerne, czy
sejfy to były jakieś "must-have"  w firmach.

Zaskakujesz mnie. A np. hasła - począwszy od wifi przez admina do serwerów to niby gdzie trzymać?
To, że masz szyfrowane urządzenia nie oznacza, że nie schowasz ich do sejfu. Ba! Często sama szafa, jak i pomieszczenie, w którym się znajduje jest podłączone do systemu alarmowego.

Ktoś tu podnosił wątek szkolnictwa - żłobków, przedszkoli etc. Otóż każda szkoła ma sejf. Każdy posterunek policji, a właściwie każda służba, co oczywiste. Każda poważna firma o hotelach, pensjonatach etc. nie wspominając. Wszedłem na Allegro i wpisałem "sejf" - oferta na 100 stron. Niektóre aukcje po 119 kupionych... Hasło "kasa pancerna" daje 19 stron wyników. Zadziwiasz mnie...

Mówisz że RODO wymaga trzymania dokumentów z danymi osobowymi w pancernych
pomieszczeniach?

Nie wszystkich. W przypadku wycieku danych i zagrożenia (jak być może czytałeś) dużymi karami to TY musisz udowodnić, iż dochowałeś należytej staranności. Jeśli będą to tzw. druki ścisłego zaszeregowania to owszem - bez kasy pancernej się nie obejdzie. Jeśli np. CV kandydatów to wystarczy, iż nie będą się walały na wierzchu.

Urząd Ochrony Danych Osobowych nałożył właśnie pierwszą w swej historii karę - milion złotych.

UODO ukarał pewną firmę za to, że pozyskała z ogólnodostępnej bazy informacje o przedsiębiorcach, ale tylko część z nich poinformowała o tym, że przetwarza ich dane osobowe.Nie zrobiła tego w przypadku tych firm, do których nie miała adresu mailowego. Musiałaby więc wysyłać im wszystkim papierowe listy, co uznała za niewspółmiernie duży wysiłek w porównaniu do uzyskanych korzyści. Teoretycznie pozwalają na to przepisy. UODO uznał jednak, że firma postąpiła niewłaściwie i powinna powysyłać listy.

Teoretycznie to głupstwo wobec wrażliwych dokumentów, które chciałbyś zabezpieczać... no właśnie... jak?

A jaki to problem trzymać oszczędności w sposób który nie pozwala
na ich wyjęcie telefonem?

Znowu - wraz z malejącą liczbą banków jest to coraz trudniejsze. Zobacz jak skurczyła się w ostatnich latach liczba lokat niewymagających konta w banku.

Rozumiem że pinu do telefonu nie masz? Blokady antykradzieżowej?

Nie mam.

Cokolwiek? Rozumiem, że masz obowiązek mieć telefon razem ze sobą
w tej saunie? Rozumiem, że masz w koncu obowiązek trzymać oszczędności
życia na tym cudownym koncie do którego musisz mieć bieżący dostęp?

Oczywiście. W saunie potrzeby (112), a każdy z banków, z których korzystam WYMAGA podania numeru telefonu.

Ale wtem! Magiczny token sprzętowy zmieni Twoje życie w cudowny,
czarodziejski, niewłamywalny sen. No sorry, ale zaczynasz
argumentować jak ta baletnica. :-)

Ale czego nie pojmujesz? Że łatwiej ukraść telefon z szafki na siłowni niż token z sejfu?

Oczywiście "za rzeczy pozostawione w szatni hotel nie odpowiada".
Na szczęście często proponują wtedy skorzystanie z... sejfu.
No patrz! Ciekawe dlaczego....

Bo są tacy paranoicy i dziwacy na których można dodatkowo ekstra
ugrać trochę kasy. As simple as that.

Szczególnie, iż korzystanie z sejfu jest darmowe. ;-) W lepszych hotelach sejfy są w pokoju. W większości obiektów jest coś takiego jak "depozyt".

E tam. Wygody. Z wygody mają też facebooka przy sobie.

Jako żywo - znowu Gimbaza byłaby z Ciebie dumna! I pamiętaj, aby pokrowiec miał wycięcie na logo Apple'a. ;-) Inaczej nie będzie widać, z jakiego telefonu korzystasz.

Zawsze kosztem czegoś. Wszedłem na Allegro. Dział telefony i sortowanie
wg popularności. Już na pierwszej stronie znalazłem MYPHONE HALO EASY -
132 osoby kupiły. Nie - nie jest to smartfon. Na szczęście ludzie mają
wybór.

A mówiłeś że nie mają :-)

Łopatologicznie: kupić telefon - tak. Zainstalować aplikację? Nie.
Jeszcze prościej: operator daje wybór - możesz mieć smartfona lub nie. Będzie działał z kartą sim i będziesz mógł dzwonić. Bank ogranicza wybór. To trochę tak, jakby od jutro u operatora X działały tylko Samsungi S8. Cała reszta albo niemożliwa, albo kilka tysięcy razy droższa... Dziwne chyba jednak, a nie "normalne"?

Ale ten spadek wynika z fuzji, połaczeń, przekształceń czy wreszcie zmian
modelu biznesowego. Kiedyś miałeś BRE Bank, mBank i Multi Bank, teraz jest
jeden mBank (mimo że od zawsze był to jeden formalny bank). Kiedyś był KB, BZ
i WBK, potem BZWBK, potem BZWBK wchłonął KB, potem wchłonął DB, a w końcu
zmienił nazwę na Santander. Ale obsługuje wszystkich klientów z tego
sektora. To nie świadczy o zmniejszaniu się rynku bankowego, tylko
o jego konsolidacji w większych podmiotach. A te większe podmioty obsługują
teraz i corocznie coraz więcej kont. Więc twierdzenie o "likwidacji 2/3"
na bazie suchej liczby podmiotów to spore nadużycie.

Masz rację - konsolidacja, likwidacja itd. Ale nie masz racji, iż to nie powinno zmniejszyć liczby kont. Powinno. To nie jest tak, że gdy mam konto w EB i Mille, następuje konsolidacja to zostawię sobie 2 konta. Jasne, że jedno wyparuje wraz z likwidacją marki.
Bez większych problemów ustalisz, iż mnóstwo ludzi 10 lat temu korzystało z większej liczby kont/banków niż dziś.

I rozumieć mam, że 8-16 tego się nie da zrobić w miejscu pracy tylko
trzeba poza i stąd telefon wygodniejszy?

Ale ogarniasz, że nie wszyscy pracują 8-16 za biurkiem?

I znowu - zarzucasz mi, że chcę dostosować rynek do swoich unikatowych potrzeb, a robisz dokładnie to samo. ;-) Czy to aby nie projekcja? ;-)

Jutro dzień wolny od pracy. Tak- ogarniam, że nie dla wszystkich. I że ci nurkujący mogą chcieć zrobić przelew 3 metry pod wodą, zatem potrzebują telefonu. Upieram się jednak, iż są w mniejszości.

Trochę trudno byłoby Revolutowi posiadać takich klientów od 10 lat, prawda?

Aliorowi też, no i? Myślisz, że ten nie ma martwych kont?

Niestety znowu się mylisz. Alior zaczął działanie 17.11.2008, zatem może mieć martwe konta w definicji podanej (min. 10 lat bezczynności).

To znajdź źródła które tym liczbom przeczą, a nie "nie uznaję, bo
mi tak wygodnie". Ja znalazłem jakieś źródła które podają taką liczbę,
więc nie oczekuj że będę szukał za Ciebie.

OK. Masz rację.

Ostatnio mój zegarek podał, iż pobiłem prędkość maksymalną na rowerze.
Obecna to 214 km/h. Wcześniej było tylko 186 km/h. Powiedzmy, że jestem
dość sceptyczny wobec tych liczb, mimo iż to niezłej klasy urządzenie,
firmowe (Garmin), zasadniczo rzadko się myli itd.

Fascynujące ale nie na temat jakby.

A pomyśl chwilę. Naprawdę trudno zauważyć, iż to mało realne? Właściwie... nieprawdopodobne?

Chyba mam prawo wątpić w te pół miliona klientów w PL. To liczba zbliżona do kredytów frankowych. W istocie trudno nie mieć znajomego zadłużonego we franku. W moim najbliższym otoczeniu jest kilku. Revoluta nie ma nikt, a większość nawet o tym nie słyszała.

Ciekawy jest fragment: Firma stosuje strategię ,,blitzscaling", która w najprostszym ujęciu sprowadza się do stawiania dynamicznego wzrostu za główny cel rozwoju, często kosztem efektywności. Można polemizować z jej założeniami i konsekwencjami jej stosowania w długim okresie, ale nie można zaprzeczyć, że w przypadku Revoluta przynosi rezultaty w kwestii dynamicznego przyrostu bazy klientów na wielu rynkach. Bez wątpienia jest to też wabik dla inwestorów.

Nie ma bezpośredniego przełożenia. Myślę że o Citi słyszało więcej ludzi
niż o mBanku, a już na pewno nie jest tak że rozpoznawalność Citi jest
kilkukrotnie mniejszy (4.4 mln kont mBank vs 670 tys. Citi).

Nie podzielam tej opinii. Zdecydowanie łatwiej znaleźć osoby znające mB. Siłą rzeczy - każdy kto ma tam produkt zna markę. A rozpoznawalność Citi? Niby reklamą czy czym mieliby nadrabiać te blisko 4 mln kont?

OK, spróbuję prościej: jestem za wolnością wyboru. Nie narzucając innym
swoich racji, chciałbym też mieć wybór.

Ale nie chcesz za to płacic.

Chcę kwoty racjonalne. Nie - kup sobie iPhone'a i trzymaj w domu jako autoryzacja to nie jest racjonalny wydatek.

Zatem... Chciałbym token sprzętowy do konta. Za darmo.

A ja kamienne tablice!

Nigdy nie były dostępne. Token był. To jednak "drobna" różnica.
Z ciekawostek - są kraje, które forsują obrót bezgotówkowy. Okazuje się jednak, iż opór jest coraz większy - odebranie czegoś ludziom, pozbawienie ich wyboru niekoniecznie się sprawdza.

Coś co jeszcze parę miesięcy temu miałem w CA i EB. I chciałbym
korzystać z komputera do logowania. Chcę argumentować, iż są
klienci - jak ja - którym to odpowiada.

No zapewne jacyś się znajdą, ale za mało jak widać. Życie.

Jakieś dane na ten temat, czy tak Ci się wydaje?
A pamiętasz ile mB musiał poświęcić czasu i środków, by oduczyć ludzi korzystania z list? Inteligo też miało... W końcu zaporowe ceny przyszły w mB na te listy. W niektórych bankach SMSy już są płatne.

Nie korzystałem i nie korzystam z aplikacji mobilnych. Dopóki banki mnie
nie zmuszą - nie zamierzam.

Zawsze możesz poprzestać na dostępie offline i wizytach w oddziale :)
Znam i takie osoby.

Ja też. Sęk w tym, że mają konta dawno wycofane z oferty. Obecnie założenie takiego konta nie jest łatwe.
Oczywiście jeśli ktoś narzeka na PKP możesz argumentować, iż powinien chodzić piechotą. Bezpieczniej (mniejsza prędkość), wygodniej (więcej przestrzeni), ekologiczniej. Tylko czy doprawdy poruszanie się pieszo w XXI wieku jest alternatywą wobec kolei?

On 2019-08-14, Szymon <z@wp.pl> wrote:

[...]

Mnie nikt nie zmuszał. Jak tylko BGŻ Optima włączyła autoryzację SMS,
z przyjemnością przuciłem to plastikowe małe gie, które się zawsze
gdzież zapodziewało.

Gimbaza byłaby z Ciebie dumna. ;-) Tylko koniecznie musisz mieć iPhone'a. ;-)

A co konkretnie masz do iPhone?

Zauważyłeś, iż tokeny zanim zniknęły na dobre przeznaczone były dla klientów premium?

Nie, niespecjalnie. Były stosowane w niektórych bankach, ale najczęściej
w segmencie biznesowym. I z tego co kojarzę, to po prostu były lepszą
alternatywą dla list papierowych, ale jak już SMSy weszły do użytku,
to i z jednego, i z drugiego banki zaczęły się wycofywać.

Problem raczej w tym, że niektórych trzeba zmuszać mimo racjonalnych
przesłanek. Są ludzie którzy nie lubią zmian, choćby i korzystnych.
I potem czytasz że "windows 98 lepszy od Windows XP", a potem powtórkę
przy Windows 7 (ach jaki ten XP cudowny). Ogólnie ludzie z syndromem
"drzewiej bywało" :)

Masz rację. Rzeczywiście do dziś wiele osób korzysta z w7 - także nowe płyty główne mają do tego systemu sterowniki. Odnoszę wrażenie, iż Microsoft bardzo głowi się jak przekonać ludzi do nowszej wersji. Pewnie wywołają tradycyjne upiory z szafy... Bezpieczeństwo! ;-)

A Ty oczywiście wiesz, że oni wszyscy mówią nieprawdę. :)

No ale jakie masz kompetencje by twierdzić, że stosowane rozwiązania
nie są bezpieczne?

Umiem czytać. Trudno znaleźć dzień, w którym media nie donoszą o jakichś tam fraudach.

Mówisz, że za czasów tokenów nie było fraudów?

Niepokoi mnie też, iż dopiero odgórne nakazy poprawiają bezpieczeństwo w bankach. Wolałbym, aby nie trzeba było nic nakazywać, a banki aby same dbały o bezpieczeństwo powierzonych klientów.

Nie. Odgórne nakazy raczej standaryzują podejście, niekoniecznie poprawjaąc (w sposób istotny) bezpieczeństwo.

Zegarki to się ostały jako przejaw snobizmu / oznaka w towarzystwie,
ale z powszechnego użycia to zniknęły, bo je zastąpiła komórka.

Dość śmiała teza. Oczywiście można nurkować z komórką czy biegać, ale jednak dostrzegam rozwój zegarków sportowych. I ich popularność. Snobizm? Pewnie osoby mające do czynienia ze sportem niekoniecznie by się z Tobą zgodziły.

Piszę o zegarkach które się "ostały" czyli oznakach sukcesu u mężczyzn.
Te roleksy, omegi itp. Nie widzę żadnego szczególnego boomu na "zegarki sportowe", już prędzej smartwache, ale w tej grupie która ceni roleksy,
to smartwatche są wręcz traktowane z pogardą.

Z tym nie ma problemu, już Ci napisali że możesz mieć osobny, dedykowany
telefon-ala-token. Nie w tym problem, że nie masz wyboru, tylko w tym,
że oczekujesz żeby za TWÓJ nietypowy wybór zapłacili inni.

To mówisz, że wymóg bezpiecznego przechowywania oszczędności to "nietypowy wybór"?

Nie. Ale Ty masz swoją definicję która oznacza "bezpieczne przechowywanie", która nie jest zgodna z tą ogólną zaakceptowaną wersją.

Ale z ciekawości, ile to już żyć ocaliłeś mając ten telefon?

Nie jest to łatwe do określenia.

I myślisz, że wszyscy noszą te komórki tylko w tym światłym celu?

To nie noś.

Nie da się. Muszę mieć telefon przy sobie.

Dlaczego?

No tylko się nie obrażaj na wolny rynek. Jakby była potrzeba
na tokeny, to ktoś by na taką potrzebę odpowiedział.

Rzecz w tym, że ten wolny rynek bardzo się kurczy. I wyraźnie wykazuje tendencję w tym kierunku. A gdy już zostanie tych banków bardzo mało (różni eksperci widzą zaledwie miejsce dla 5 na polskim rynku) to będzie można mówić o monopolu. Sęk w tym, że monopol i wolny rynek to tak jakoś nie bardzo po drodze.

Nie monopol, tylko oligopol.
Firm telekomunikacyjnych masz cztery i jakoś dają radę.

Zakładając, iż telefon szefa daje autoryzację, a szef telefon ma przy
sobie - narzędzie autoryzacyjne wędruje wraz z nim. Na przykład na
plażę, basen czy saunę.

No i?

Wyobraźni trochę!
A wiesz - mam iPada, który nie musi być zabezpieczony hasłem. I nie był. Do czasu wejścia RODO. Otóż w przypadku utraty takiego urządzenia wszelkie konsekwencje ponosi pracownik. No chyba, że zabezpieczy PIN-em tablet. Tak właśnie się przerzuca odpowiedzialność. Banki robią podobnie - wyposażają klienta w obowiązkowe rzeczy, których nie potrzebuje, by ew. kłopoty zrzucić na niego.

Czyli chcesz zabezpieczać środki, ale nie chcesz w tym kierunku zadziałać
i zabezpieczyć sprzętu? No litości.

Teraz wyobraź sobie taką sytuację - mam tablet bez hasła, odcisku itd. A w nim zapamiętane hasła. Chyba przyznasz, że pozyskanie z niego danych jest banalnie proste. To sytuacja przypominająca noszenie karty z zapisanym pinem na kartce.

I nie widzisz nic złego w tym, że masz taką sytuację?
I jeszcze wypowiadasz się o bezpieczeństwie?

Nie, mam przy sobie. Oczywiście nie zawsze. Zdarza się zostawić w szafce
na treningu, w samochodzie, na biurku przy ewakuacji.

No to czemu oczekujesz, ze inni będą ją rozdawać?

Karta kodów/token zazwyczaj jest chroniony. Ot, nie opuszcza domu. Dobranie się do niego jest trudne. W przypadku telefonu - proste. To naprawdę jest takie trudne do zrozumienia, iż karta, która leży w szafce jest mniej narażona na fraud niż ta, którą noszę ze sobą?

Raczej nie umiesz zrozumieć, że ludzie nosili takie rzeczy
w portfelu, skanowali, wrzucali na komputer (żeby było wygodniej),
albo nosili ze sobą.

A już paradoksem jest, że człowiek który mówi że bezpieczeństwo
mu leży na sercu, że kartę kodów należy trzymać w domu, albo
wręcz w sejfie uważa że telefon / tablet na którym trzyma hasła
może sam nie mieć zabezpieczeń i to dobry pomysł. No sorry,
ale w tym już mi popłynąłeś.

Naprawdę? To może widziałeś chociaż kasy pancerne tam, gdzie sejf
okazuje się zbyt mały. Aczkolwiek w dobie dokumentów elektronicznych
wydaje się, iż dysk zewnętrzny nie zajmuje dużo miejsca.

Nope, ale ja się obracam w obrębie spółek i firm nowych technologii,
więc może faktycznie wszystko co istotne jest trzymane na szyfrowanych
urządzeniach. Tym niemniej jakoś nie słyszałem by kasy pancerne, czy
sejfy to były jakieś "must-have"  w firmach.

Zaskakujesz mnie. A np. hasła - począwszy od wifi przez admina do serwerów to niby gdzie trzymać?

W 1Password. Z dostępem przez komórkę.

To, że masz szyfrowane urządzenia nie oznacza, że nie schowasz ich do sejfu. Ba! Często sama szafa, jak i pomieszczenie, w którym się znajduje jest podłączone do systemu alarmowego.

I telefon bez PINu.
Jesteś niesamowitą abstrakcją. Nie chcesz korzystać z zabezpieczeń
darmowych, ale wymagarz korzystania z tych kosztujących fortunę.

Ktoś tu podnosił wątek szkolnictwa - żłobków, przedszkoli etc. Otóż każda szkoła ma sejf. Każdy posterunek policji, a właściwie każda służba, co oczywiste.

Jak ich obligują przepisy to oczywiste.

Każda poważna firma

Kłamiesz.

o hotelach, pensjonatach etc. nie wspominając.

Mówisz o tych zajebistych sejfach z master kodem 000000?
https://niebezpiecznik.pl/post/nie-ufaj-sejfom-w-hotelowych-pokojach/
Masz panie poważna firma.

Wszedłem na Allegro i wpisałem "sejf" - oferta na 100 stron. Niektóre aukcje po 119 kupionych... Hasło "kasa pancerna" daje 19 stron wyników. Zadziwiasz mnie...

To ma czegoś dowodzić?
Wpisałem "klocki lego", też mam 100 stron.

Mówisz że RODO wymaga trzymania dokumentów z danymi osobowymi w pancernych
pomieszczeniach?

Nie wszystkich. W przypadku wycieku danych i zagrożenia (jak być może czytałeś) dużymi karami to TY musisz udowodnić, iż dochowałeś należytej staranności. Jeśli będą to tzw. druki ścisłego zaszeregowania

RODO nie ma pojęcia druków ścisłego zaszeregowania.
Co do danych wrażliwych, to nie ma wymogu prawnego przechowywania ich
w kasie pancernej, a sposobów zabezpieczania ich jest znacznie więcej.
Może wyjdz z lat 90-tych, co?

Jeśli np. CV kandydatów to wystarczy, iż nie będą się walały na wierzchu.
Urząd Ochrony Danych Osobowych nałożył właśnie pierwszą w swej historii karę - milion złotych.

Fascynujące i nie na temat.

[...]

Teoretycznie to głupstwo wobec wrażliwych dokumentów, które chciałbyś zabezpieczać... no właśnie... jak?

To zależy przed czym.

Rozumiem że pinu do telefonu nie masz? Blokady antykradzieżowej?

Nie mam.

No to nie wypowiadaj się o kwestiach bezpieczeństwa.

Cokolwiek? Rozumiem, że masz obowiązek mieć telefon razem ze sobą
w tej saunie? Rozumiem, że masz w koncu obowiązek trzymać oszczędności
życia na tym cudownym koncie do którego musisz mieć bieżący dostęp?

Oczywiście. W saunie potrzeby (112), a każdy z banków, z których korzystam WYMAGA podania numeru telefonu.

Jak potrzebujesz tylko dzwonienia na 112 to sobie kup nokię za 50 zł.
Nawet karty nie musisz do niej kupować.

Ale wtem! Magiczny token sprzętowy zmieni Twoje życie w cudowny,
czarodziejski, niewłamywalny sen. No sorry, ale zaczynasz
argumentować jak ta baletnica. :-)

Ale czego nie pojmujesz? Że łatwiej ukraść telefon z szafki na siłowni niż token z sejfu?

Ale czego nie pojmujesz? Że ludzie zabezpieczają telefony i nie mają
sejfów i tokenów? Że fraudy obecnie w 99,999 procentach polegają na manipulacji socjotechnicznej użytkownika, po to by *SAM* podał ten kod który trzeba?

Oczywiście "za rzeczy pozostawione w szatni hotel nie odpowiada".
Na szczęście często proponują wtedy skorzystanie z... sejfu.
No patrz! Ciekawe dlaczego....

Bo są tacy paranoicy i dziwacy na których można dodatkowo ekstra
ugrać trochę kasy. As simple as that.

Szczególnie, iż korzystanie z sejfu jest darmowe. ;-) W lepszych hotelach sejfy są w pokoju. W większości obiektów jest coś takiego jak "depozyt".

Co do hotelowych sejfów, to już pisałem.
A sejfy "depozytowe" są często ekstra płatne.

E tam. Wygody. Z wygody mają też facebooka przy sobie.

Jako żywo - znowu Gimbaza byłaby z Ciebie dumna! I pamiętaj, aby pokrowiec miał wycięcie na logo Apple'a. ;-) Inaczej nie będzie widać, z jakiego telefonu korzystasz.

A gdzieś pisałem o sobie? Pokażesz?

Zawsze kosztem czegoś. Wszedłem na Allegro. Dział telefony i sortowanie
wg popularności. Już na pierwszej stronie znalazłem MYPHONE HALO EASY -
132 osoby kupiły. Nie - nie jest to smartfon. Na szczęście ludzie mają
wybór.

A mówiłeś że nie mają :-)

Łopatologicznie: kupić telefon - tak. Zainstalować aplikację? Nie.
Jeszcze prościej: operator daje wybór - możesz mieć smartfona lub nie. Będzie działał z kartą sim i będziesz mógł dzwonić.

Ale już telefon działający tylko w systemie GSM900 (tak są takie) już wszędzie nie zadziała i niekoniecznie będziesz mógł dzwonić.

Bank ogranicza wybór.

Cały świat Ci ogranicza wybór, get over it.
Nikt Ci nigdy nie będzie oferował nieskończonego wyboru, bo Ty tak chcesz.

To trochę tak, jakby od jutro u operatora X działały tylko Samsungi S8. Cała reszta albo niemożliwa, albo kilka tysięcy razy droższa... Dziwne chyba jednak, a nie "normalne"?

Nie, to ani trochę nie jest tak.

Ale ten spadek wynika z fuzji, połaczeń, przekształceń czy wreszcie zmian
modelu biznesowego. Kiedyś miałeś BRE Bank, mBank i Multi Bank, teraz jest
jeden mBank (mimo że od zawsze był to jeden formalny bank). Kiedyś był KB, BZ
i WBK, potem BZWBK, potem BZWBK wchłonął KB, potem wchłonął DB, a w końcu
zmienił nazwę na Santander. Ale obsługuje wszystkich klientów z tego
sektora. To nie świadczy o zmniejszaniu się rynku bankowego, tylko
o jego konsolidacji w większych podmiotach. A te większe podmioty obsługują
teraz i corocznie coraz więcej kont. Więc twierdzenie o "likwidacji 2/3"
na bazie suchej liczby podmiotów to spore nadużycie.

Masz rację - konsolidacja, likwidacja itd. Ale nie masz racji, iż to nie powinno zmniejszyć liczby kont. Powinno. To nie jest tak, że gdy mam konto w EB i Mille, następuje konsolidacja to zostawię sobie 2 konta. Jasne, że jedno wyparuje wraz z likwidacją marki.
Bez większych problemów ustalisz, iż mnóstwo ludzi 10 lat temu korzystało z większej liczby kont/banków niż dziś.

Ludzie posiadający > jedno konto to raczej mniejszość.
A jak widzisz, statystyki pokazują że liczba kont rośnie.

I rozumieć mam, że 8-16 tego się nie da zrobić w miejscu pracy tylko
trzeba poza i stąd telefon wygodniejszy?

Ale ogarniasz, że nie wszyscy pracują 8-16 za biurkiem?

I znowu - zarzucasz mi, że chcę dostosować rynek do swoich unikatowych potrzeb, a robisz dokładnie to samo. ;-) Czy to aby nie projekcja? ;-)

W przeciwieństwie do Ciebie, ja w tym wypadku nie piszę o swoich potrzebach.
I w przeciwieństwie do Ciebie mam taki argument: skoro taka funkcjonalność
została dostarczona, to jednak widać ktoś na rynku tego wymagał.

Jutro dzień wolny od pracy. Tak- ogarniam, że nie dla wszystkich. I że ci nurkujący mogą chcieć zrobić przelew 3 metry pod wodą, zatem potrzebują telefonu. Upieram się jednak, iż są w mniejszości.

Nadal nie widzisz różnicy między wygodą a koniecznością.
Wygodnie jest "nie myśleć" gdzie mam urządzenie zabezpieczające,
notatnik, zegarek, dyktafon, player mp3, wygodniej jest mieć
to zawsze "pod ręką" w telefonie.

Co nie znaczy że co 5 minut musisz z tego korzystać. Ale fajnie
jest nie myśleć o tym "gdzie ja to mam" albo "jak się dostać do domu szybciej" jak się okaże że jednak musisz z czegoś skorzystać.

Trochę trudno byłoby Revolutowi posiadać takich klientów od 10 lat, prawda?

Aliorowi też, no i? Myślisz, że ten nie ma martwych kont?

Niestety znowu się mylisz. Alior zaczął działanie 17.11.2008, zatem może mieć martwe konta w definicji podanej (min. 10 lat bezczynności).

No to TMUB, czy Plus Bank. Mogą mieć martwe konta, czy nie?

Ostatnio mój zegarek podał, iż pobiłem prędkość maksymalną na rowerze.
Obecna to 214 km/h. Wcześniej było tylko 186 km/h. Powiedzmy, że jestem
dość sceptyczny wobec tych liczb, mimo iż to niezłej klasy urządzenie,
firmowe (Garmin), zasadniczo rzadko się myli itd.

Fascynujące ale nie na temat jakby.

A pomyśl chwilę. Naprawdę trudno zauważyć, iż to mało realne? Właściwie... nieprawdopodobne?

Po prostu nie w temacie.

Chyba mam prawo wątpić w te pół miliona klientów w PL. To liczba zbliżona do kredytów frankowych. W istocie trudno nie mieć znajomego zadłużonego we franku. W moim najbliższym otoczeniu jest kilku. Revoluta nie ma nikt, a większość nawet o tym nie słyszała.

Naprawdę chcesz iść w takie dowodzenie?
Nie mam znajomych zadłużonych we franku.
To raczej kwestia kręgu wiekowego znajomych (obecni
30-latkowe raczej nie mieli szans na kredyt we franku).
Za to i owszem większość z nich ma revoluta.

[...]

Nie ma bezpośredniego przełożenia. Myślę że o Citi słyszało więcej ludzi
niż o mBanku, a już na pewno nie jest tak że rozpoznawalność Citi jest
kilkukrotnie mniejszy (4.4 mln kont mBank vs 670 tys. Citi).

Nie podzielam tej opinii. Zdecydowanie łatwiej znaleźć osoby znające mB. Siłą rzeczy - każdy kto ma tam produkt zna markę. A rozpoznawalność Citi? Niby reklamą czy czym mieliby nadrabiać te blisko 4 mln kont?

No widzisz, Citi ma znacznie więcej kart kredytowych (2x) niż mBank.
O wiele lepiej ogarnia też sektor firmowy i korporacyjny. Jest też
rozpoznawalną marką międzynarodową, mBank jest zaś marką lokalną.

Ale nie chcesz za to płacic.

Chcę kwoty racjonalne. Nie - kup sobie iPhone'a i trzymaj w domu jako autoryzacja to nie jest racjonalny wydatek.

To zabezpiecz sobie już posiadany telefon, ustaw blokadę po 3-krotnym wpisaniu złego PINu, ew. zerowanie urządzenia po 10-krotnym wpisaniu
i już. Nie trzeba wydawać pieniędzy, tylko zaakceptować rozwiązania
przyjęte przez resztę świata.

Zatem... Chciałbym token sprzętowy do konta. Za darmo.

A ja kamienne tablice!

Nigdy nie były dostępne. Token był. To jednak "drobna" różnica.

W większości banków nie był.

Z ciekawostek - są kraje, które forsują obrót bezgotówkowy. Okazuje się jednak, iż opór jest coraz większy - odebranie czegoś ludziom, pozbawienie ich wyboru niekoniecznie się sprawdza.

Też mi ciekawostka. Bo gotówka pozwala na bycie w szarej/czarnej strefie.

Coś co jeszcze parę miesięcy temu miałem w CA i EB. I chciałbym
korzystać z komputera do logowania. Chcę argumentować, iż są
klienci - jak ja - którym to odpowiada.

No zapewne jacyś się znajdą, ale za mało jak widać. Życie.

Jakieś dane na ten temat, czy tak Ci się wydaje?

Tak. Brak ofert na rynku.

A pamiętasz ile mB musiał poświęcić czasu i środków, by oduczyć ludzi korzystania z list? Inteligo też miało... W końcu zaporowe ceny przyszły w mB na te listy. W niektórych bankach SMSy już są płatne.

A pamiętasz, że są ludzie którzy mają Windows XP?
Rózne są dziwactwa.

Zawsze możesz poprzestać na dostępie offline i wizytach w oddziale :)
Znam i takie osoby.

Ja też. Sęk w tym, że mają konta dawno wycofane z oferty. Obecnie założenie takiego konta nie jest łatwe.

Każde konto może mieć wyłączony dostęp internetowy.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-15 o 15:34, Wojciech Bancer pisze:

Zauważyłeś, iż tokeny zanim zniknęły na dobre przeznaczone były dla
klientów premium?

Nie, niespecjalnie. Były stosowane w niektórych bankach, ale najczęściej
w segmencie biznesowym. I z tego co kojarzę, to po prostu były lepszą
alternatywą dla list papierowych, ale jak już SMSy weszły do użytku,
to i z jednego, i z drugiego banki zaczęły się wycofywać.

No cóż. Założyłem konto Prestige w EB właśnie dlatego, iż token był darmowy. W CA Premium także pozwalało na darmowy token. W innych opcjach był płatny lub niedostępny - nie pamiętam. Tyle faktów. Oczywiście Ty wiesz lepiej...

Masz rację. Rzeczywiście do dziś wiele osób korzysta z w7 - także nowe
płyty główne mają do tego systemu sterowniki. Odnoszę wrażenie, iż
Microsoft bardzo głowi się jak przekonać ludzi do nowszej wersji. Pewnie
wywołają tradycyjne upiory z szafy... Bezpieczeństwo! ;-)

A Ty oczywiście wiesz, że oni wszyscy mówią nieprawdę. :)

Brytyjska flota atomowych łodzi podwodnych, złożona z HMS Vanguard, Victorious, Vigilant, i Vengeance to 4 z najbardziej niebezpiecznych okrętów jakie kiedykolwiek zbudowano. Wyposażone w broń nuklearną patrolują oceany i odstraszają potencjalnych zamachowców przed atakiem na Wielką Brytanię. Każda z nich posiada rakiety Trident II i 40 głowic jądrowych. To siła wystarczająca by niszczyć całe kraje.Okręty zostały zamówione w latach 90 dwudziestego wieku. Windows XP został w nich zainstalowany ponieważ miał być tańszy niż alternatywne systemy.

Amerykańska Marynarka Wojenna również pracuje na XP. Jednak płacą oni dodatkowe pieniądze za aktualizacje i zabezpieczenia podczas przechodzenia na nowocześniejsze systemy operacyjne. Umowa wsparcia technicznego z Microsoftem warta 9 milionów dolarów będzie trwała jeszcze do lipca 2016 roku z możliwością przedłużenia o kolejny rok za 31 milionów. W przypadku marynarki brytyjskiej nic o takim interesie nie wiadomo. Ministerstwo obrony podkreśla jednak, że łodzie są całkowicie bezpieczne.

Mówisz, że za czasów tokenów nie było fraudów?

Było mniej. To raczej oczywiste. Spróbuj zarazić tokena wirusem. Sam niedawno rozpisywałeś się na temat sklepów Apple'a i Google. Wszystkie te zagrożenia odpadają przy tokenie.

Piszę o zegarkach które się "ostały" czyli oznakach sukcesu u mężczyzn.
Te roleksy, omegi itp. Nie widzę żadnego szczególnego boomu na "zegarki
sportowe", już prędzej smartwache, ale w tej grupie która ceni roleksy,
to smartwatche są wręcz traktowane z pogardą.

A mieszkasz w PL? Pytam, bo nie dostrzec wprost mani teraz na bieganie/pływanie/rower - a czasami wszystko razem - to naprawdę trzeba się wysilić. Nawet emeryci chwycili na kijki i biorą udział w rywalizacjach Nordic Walking. ;-) Federacje, Puchar Polski, Mistrzostwa etc. Co ciekawe - to już nawet nie kwestia maratonów, ale ultramaratonów czy podwójnego Ironmana. Ale to tu, w Polsce. Jeśli mieszkasz gdzieś poza to może faktycznie sport, a tym samym zegarki sportowe, nie są aż tak widoczne.

Firm telekomunikacyjnych masz cztery i jakoś dają radę.

Wydaje się jednak, iż to złe porównanie. Liczba usług bankowych, ich specyfika jest zupełnie inna niż firm telekomunikacyjnych.

Czyli chcesz zabezpieczać środki, ale nie chcesz w tym kierunku zadziałać
i zabezpieczyć sprzętu? No litości.

Nie sądzę, aby PIN w telefonie był godnym uwagi zabezpieczeniem. W efekcie jego stosowanie/nie stosowanie jest tożsame.

Teraz wyobraź sobie taką sytuację - mam tablet bez hasła, odcisku itd. A
w nim zapamiętane hasła. Chyba przyznasz, że pozyskanie z niego danych
jest banalnie proste. To sytuacja przypominająca noszenie karty z
zapisanym pinem na kartce.

I nie widzisz nic złego w tym, że masz taką sytuację?

Nie. Znam ludzi, którzy mają PIN. I znam ich kod. ;-) Widzisz różnicę? ;-)

I jeszcze wypowiadasz się o bezpieczeństwie?

Oczywiście. Aspekt bezpieczeństwa musi być EFEKTYWNY.

A już paradoksem jest, że człowiek który mówi że bezpieczeństwo
mu leży na sercu, że kartę kodów należy trzymać w domu, albo
wręcz w sejfie uważa że telefon / tablet na którym trzyma hasła
może sam nie mieć zabezpieczeń i to dobry pomysł. No sorry,
ale w tym już mi popłynąłeś.

Nie twierdzę, że to dobry pomysł. Nie zrozumiałeś. Cały czas wypowiadam się, iż nie chcę nosić narzędzia autoryzacyjnego przy sobie. Natomiast twierdzę, iż są ludzie, którzy mają komórki niezabezpieczone z hasłami. Oczywistym jest, że łatwo wówczas o naruszenie bezpieczeństwa. Twierdzę też, że są osoby z komórkami zabezpieczonymi. Twierdzę, że w przypadku np. napadu/wymuszenia/groźby, a może tylko podpatrzenia PIN-u (zupełnie tak samo jak w przypadku karty, a właściwie dużo łatwiej), ich poziom bezpieczeństwa jest zbliżony do tych bez-PIN-u i oczywiście dużo niższy niż z tokenem przechowywanym w bezpiecznym miejscu.

Zaskakujesz mnie. A np. hasła - począwszy od wifi przez admina do
serwerów to niby gdzie trzymać?

W 1Password.
Z dostępem przez komórkę.

Trudno mi sobie wyobrazić, iż ktoś mający pojęcie o bezpieczeństwie coś takiego zrobi.
Co ciekawe - papier jako nośnik danych mimo setek lat uznawany jest za najlepszy materiał. Nie wymaga źródła energii, jest wstrząsoodporny, tani, nie ulega degradacji pod wpływem magnesu, promieni słonecznych, powietrza itd. Pewnie dlatego dokumenty papierowe mają się dobrze.

Z ciekawości - gdy komórka ulegnie uszkodzeniu - co z nią zrobisz? Oddasz do serwisu czy potraktujesz młotkiem mając świadomość danych przechowywanych w ten sposób?

I telefon bez PINu.

Oczywiście! Gimbaza sprawdza telefon milion razy dziennie. Wpisując PIN, tudzież smyra paluszkiem jakieś kreski. ;-) Doprawdy poznać ten PIN jest niesamowicie trudno. ;-) A jako, że gimbaza za bystra nie jest - ustawia sobie PIN taki jak na karcie. Bo też 4 cyferki i łatwiej zapamiętać. Pisać dalej, czy już zauważyłeś do czego zmierzam?

Jesteś niesamowitą abstrakcją. Nie chcesz korzystać z zabezpieczeń
darmowych, ale wymagarz korzystania z tych kosztujących fortunę.

Podobno wczoraj konto Ewy Farny zostało zhakowane. ;-) iPhone'a ma. w FB korzystała...
Moje konto na FB jest nie do ruszenia. Tak je zabezpieczyłem, iż nie masz szans się do niego dostać. Ot - jak widzisz - kwestia bezpieczeństwa.

Ktoś tu podnosił wątek szkolnictwa - żłobków, przedszkoli etc. Otóż
każda szkoła ma sejf. Każdy posterunek policji, a właściwie każda
służba, co oczywiste.

Jak ich obligują przepisy to oczywiste.

To teraz sejf jest już oczywistym, a chwilę temu nie byłeś w stanie wymienić kogokolwiek, kto by korzystał?

Każda poważna firma

Kłamiesz.

Haha... Wiesz - nawet Coca-cola trzyma przepis na swój napój w sejfie.
Pancerne drzwi, za którymi przechowywany jest przepis, dołączyły do wystawy w muzeum "World of Coca-Cola" w Atlancie. Otwarcie nowej wystawy stanowi część obchodów 125. rocznicy powstania firmy. Podczas ceremonii zebrani obejrzeli wideo, na którym widać było, jak Kent chowa za pancernymi drzwiami metalowe pudełko. Pozostanie ono jednak niedostępne dla zwiedzających World of Coca-Cola. Długa sala z sejfem kończy się wielkimi drzwiami oddzielonymi barierką. Na drzwiach znajduje się klawiatura numeryczna oraz skaner odcisków dłoni.
-- -- -- -- -- -- -
Oczywiście to PR, ale rozbroiłeś mnie swoimi stwierdzeniami... Ach! A może Coca-cola to nie jest "poważna firma"?

Mówisz o tych zajebistych sejfach z master kodem 000000?

Nie jestem ekspertem od sejfów. Te, z którymi się spotkałem były na klucz. Natomiast co tam sobie kto kupi - jego sprawa.

https://niebezpiecznik.pl/post/nie-ufaj-sejfom-w-hotelowych-pokojach/
Masz panie poważna firma.

"Raz już zdarzyło mi się trafić na sejf, który nie działał poprawnie (zacinał się) i konieczna była pomoc pracownika zewnętrznej firmy, co zabrało mi sporo czasu." - słusznie. Idealnego zabezpieczenia nie ma, ale opóźnienie jest bardzo istotne np. w przypadku napadu. Nie zastanowiło Cię dlaczego w oddziałach stosowane są blokady czasowe?

Powyższy przykład wskazuje nie na problem z sejfem, ale obsługą. Innymi słowy poszli na łatwiznę. No cóż - wiele osób kupuje router i nie zmienia domyślnego admin/admin tudzież innych "skomplikowanych" operacji.

Wszedłem na Allegro i wpisałem "sejf" - oferta na 100
stron. Niektóre aukcje po 119 kupionych... Hasło "kasa pancerna" daje 19
stron wyników. Zadziwiasz mnie...

To ma czegoś dowodzić?

Ty nie widziałeś sejfu. Pokazałem Ci, iż jednak się sprzedają.

Wpisałem "klocki lego", też mam 100 stron.

A widziałeś na oczy klocki Lego? Ja tak, zatem nie musisz dowodzić, że jednak ktoś tam je kupuje.

RODO nie ma pojęcia druków ścisłego zaszeregowania.

Naprawdę? Zatem najwyraźniej według Ciebie RODO nie dotyczy danych wrażliwych. ;-)

Co do danych wrażliwych, to nie ma wymogu prawnego przechowywania ich
w kasie pancernej, a sposobów zabezpieczania ich jest znacznie więcej.

Na przykład?

Może wyjdz z lat 90-tych, co?

Haha... OK. Czyli np. paszporty, prawa jazdy, dowody rejestracyjne, blankiety dyplomów etc. to mam trzymać na iPhonie tak?

Jeśli np. CV kandydatów to wystarczy, iż nie będą się walały na wierzchu.
Urząd Ochrony Danych Osobowych nałożył właśnie pierwszą w swej historii
karę - milion złotych.

Fascynujące i nie na temat.

To, że Ty nie potrafisz dostrzec analogii nie znaczy, że to nie jest na temat. ;-)

Teoretycznie to głupstwo wobec wrażliwych dokumentów, które chciałbyś
zabezpieczać... no właśnie... jak?

To zależy przed czym.

:-) Przed dostępem osób nieupoważnionych. Zawsze do tego sprowadza się tego typu ochrona. ;-)

Rozumiem że pinu do telefonu nie masz? Blokady antykradzieżowej?

Nie mam.

No to nie wypowiadaj się o kwestiach bezpieczeństwa.

Dobrze, wstukam sobie "0000". Już mogę się wypowiadać?
Doprawdy nie widzisz absurdalności swoich twierdzeń?

Oczywiście. W saunie potrzeby (112), a każdy z banków, z których
korzystam WYMAGA podania numeru telefonu.

Jak potrzebujesz tylko dzwonienia na 112 to sobie kup nokię za 50 zł.
Nawet karty nie musisz do niej kupować.

Nie doczytałeś albo umknęło. Korzystam z telefonu także w formie mp3.

Dziś w GW napisali o Tajlandii i prostytucji: Można powiedzieć, że praca w seksbiznesie to wolny wybór Tajek, bo nikt ich wprost nie zmusza do zarabiania na chleb swoim ciałem. Kiedy jednak przyjrzymy się innym możliwościom, wychodzi na jaw, że te kobiety w gruncie rzeczy nie mają innego wyjścia. Pracując w innych dostępnych dla nich zawodach, większość z nich nie byłaby w stanie utrzymać rodziny.

Tłumaczę, bo pewnie nie zauważysz analogii: Można powiedzieć, że autoryzacja telefonem to mój wolny wybór, bo nikt ich wprost nie zmusza do korzystania. Kiedy jednak przyjrzymy się innym możliwościom, wychodzi na jaw, że w gruncie rzeczy nie mam innego wyjścia. Korzystając z innych dostępnych dla mnie rozwiązań, większość z ludzi do mnie podobnych nie byłaby w stanie utrzymać rodziny wydając pieniądze na dodatkowe zabezpieczenia.

Różnica miedzy nami polega na tym, iż ja nie chcę, by banki robiły ze mnie tajską prostytutkę, ale oczywiście mam świadomość, iż niektórym to nie przeszkadza.

Ale czego nie pojmujesz? Że ludzie zabezpieczają telefony i nie mają
sejfów i tokenów? Że fraudy obecnie w 99,999 procentach polegają na
manipulacji socjotechnicznej użytkownika, po to by *SAM* podał ten
kod który trzeba?

No! Brawo! I teraz chodzi o to, by uchronić użytkownika przed manipulacją. A zatem by nie zainstalował wirusa, nie ściągnął fałszywej aplikacji, a nawet nie był w stanie podać stosownych danych zaatakowany w ciemnej bramie z nożem przy szyi.

Gdy dostaję SMS nie mam informacji jak długo on jest ważny. W przypadku tokenów odliczany jest czas ważności kodu. Czy uważasz, że wpisanie go i użycie 1-2 sek. przed końcem nie jest dobrym zabezpieczeniem?

Jako żywo - znowu Gimbaza byłaby z Ciebie dumna! I pamiętaj, aby
pokrowiec miał wycięcie na logo Apple'a. ;-) Inaczej nie będzie widać, z
jakiego telefonu korzystasz.

A gdzieś pisałem o sobie? Pokażesz?

Nie, ale podświadomie wyczuwam, iż z tym poziomem wiedzy/przekonań dot. bezpieczeństwa musisz mieć sprzęt Apple'a.

Ludzie posiadający > jedno konto to raczej mniejszość.

Nie pomyliłeś się? Jeszcze raz: według Ciebie ludzie posiadający więcej niż 1 konto to mniejszość?
Ach! A może słowo "konto" różnie definiujesz? Masz na myśli pewnie ROR, tak?

A jak widzisz, statystyki pokazują że liczba kont rośnie.

W ten sposób dojdziesz szybko do masy krytycznej. Liczba kart SIM w PL wynosi ponad 40 mln. Zatem teza, iż ludzie posiadają 1 numer byłaby wątpliwa.

W przeciwieństwie do Ciebie, ja w tym wypadku nie piszę o swoich potrzebach.

Naprawdę? ;-) Nie wydajesz się uwzględniać moich ;-)

I w przeciwieństwie do Ciebie mam taki argument: skoro taka funkcjonalność
została dostarczona, to jednak widać ktoś na rynku tego wymagał.

Prezes wie lepiej. ;-)

Wygodnie jest "nie myśleć" gdzie mam urządzenie zabezpieczające,
notatnik, zegarek, dyktafon, player mp3, wygodniej jest mieć
to zawsze "pod ręką" w telefonie.

OK, ale skoro Ty nie zamykasz auta, bo wygodniej to dlaczego innych zmuszać, by też tego nie robili?

Co nie znaczy że co 5 minut musisz z tego korzystać. Ale fajnie
jest nie myśleć o tym "gdzie ja to mam" albo "jak się dostać
do domu szybciej" jak się okaże że jednak musisz z czegoś
skorzystać.

Ten argument często pada w przypadku KK - zazwyczaj robię zakupy na kilkadziesiąt zł, ale dobrze mieć kilka tysięcy kredytu.
Tudzież wśród fanów gotówki - owszem, przeciętnie dziennie nie wydaję więcej niż kilkadziesiąt zł, ale jak portfel gruby i setki się wysypują to tak jakoś... lepiej na laski działa. ;-)
No OK. Jest to jakiś argument.

Naprawdę chcesz iść w takie dowodzenie?

Dowodzenie opierające się na faktach chyba nie jest znowu takie złe?

Nie mam znajomych zadłużonych we franku.

Cud! Albo gimnazjalista... ;-) Widziałem. ;-)

To raczej kwestia kręgu wiekowego znajomych (obecni
30-latkowe raczej nie mieli szans na kredyt we franku).

Tak, masz rację. Jednak założyłem, że rozmawiamy o dorosłych ludziach. Zazwyczaj w pracy chociażby przekrój jest nieco większy niż 30-latkowie lub młodsi. No ale OK - to rozszerzmy znajomych jeszcze o znanych... Słyszałeś o Adamowiczu? Albo Tomaszu Lisie? A może Joannie Musze (PO)? Albo Krystynie Pawłowicz?

Za to i owszem większość z nich ma revoluta.

No tak - faktycznie specyficzne środowisko.

Nie podzielam tej opinii. Zdecydowanie łatwiej znaleźć osoby znające mB.
Siłą rzeczy - każdy kto ma tam produkt zna markę. A rozpoznawalność
Citi? Niby reklamą czy czym mieliby nadrabiać te blisko 4 mln kont?

No widzisz, Citi ma znacznie więcej kart kredytowych (2x) niż mBank.

To jeszcze mało, szczególnie, iż liczba KK to zaledwie 15% wszystkich kart wydanych.

O wiele lepiej ogarnia też sektor firmowy i korporacyjny. Jest też
rozpoznawalną marką międzynarodową, mBank jest zaś marką lokalną.

No ja pisałeś o PL. Ale domyślam się, iż Twoje poglądy mogą wynikać z miejsca zamieszkania poza PL. Jeśli tak i rozważasz skalę międzynarodową to faktycznie np. w USA mB może być mniej znany.

To zabezpiecz sobie już posiadany telefon, ustaw blokadę po 3-krotnym
wpisaniu złego PINu, ew. zerowanie urządzenia po 10-krotnym wpisaniu
i już. Nie trzeba wydawać pieniędzy, tylko zaakceptować rozwiązania
przyjęte przez resztę świata.

Poruszasz ciekawy problem. Jak to jest w "reszcie świata"? Czy w istocie autoryzacja przelewów to SMS?

A ja kamienne tablice!

Nigdy nie były dostępne. Token był. To jednak "drobna" różnica.

W większości banków nie był.

Ja korzystałem z 2, ale nie wiem czy to były "jedynie 2" czy "2 z wielu" - trudno mi się do tego odnieść.

Też mi ciekawostka. Bo gotówka pozwala na bycie w szarej/czarnej strefie.

Biorąc pod uwagę, że mowa o Skandynawii to znowu dość śmiałe tezy stawiasz.

A pamiętasz, że są ludzie którzy mają Windows XP?
Rózne są dziwactwa.

No tak - jak widać wyżej - nawet okręty atomowe im powierzają. "Dziwactwo".

Ja też. Sęk w tym, że mają konta dawno wycofane z oferty. Obecnie
założenie takiego konta nie jest łatwe.

Każde konto może mieć wyłączony dostęp internetowy.

Niestety to nieprawda. I nie jest też prawdą, że w każdym banku można wyłączyć jeszcze bardziej niebezpieczny dostęp telefoniczny.

On 2019-08-15, Szymon <z@wp.pl> wrote:

[...]

Nie, niespecjalnie. Były stosowane w niektórych bankach, ale najczęściej
w segmencie biznesowym. I z tego co kojarzę, to po prostu były lepszą
alternatywą dla list papierowych, ale jak już SMSy weszły do użytku,
to i z jednego, i z drugiego banki zaczęły się wycofywać.

No cóż. Założyłem konto Prestige w EB właśnie dlatego, iż token był darmowy. W CA Premium także pozwalało na darmowy token. W innych opcjach był płatny lub niedostępny - nie pamiętam. Tyle faktów. Oczywiście Ty wiesz lepiej...

No sam piszesz, że "nie pamiętasz".
Tak, wiele rzeczy w kontach premium jest za free.

Masz rację. Rzeczywiście do dziś wiele osób korzysta z w7 - także nowe
płyty główne mają do tego systemu sterowniki. Odnoszę wrażenie, iż
Microsoft bardzo głowi się jak przekonać ludzi do nowszej wersji. Pewnie
wywołają tradycyjne upiory z szafy... Bezpieczeństwo! ;-)

A Ty oczywiście wiesz, że oni wszyscy mówią nieprawdę. :)

Brytyjska flota atomowych łodzi podwodnych, [...]

Jak będą podpięte do internetu, to wtedy będzie bardziej na temat.

Mówisz, że za czasów tokenów nie było fraudów?

Było mniej. To raczej oczywiste. Spróbuj zarazić tokena wirusem. Sam niedawno rozpisywałeś się na temat sklepów Apple'a i Google. Wszystkie te zagrożenia odpadają przy tokenie.

Nadal pozostaje komputer, którego najłatwiej zarazić wirusem, więc niespecjalnie. I pomijasz fakt, że nadal najsłabszym elementem
jest człowiek.

Piszę o zegarkach które się "ostały" czyli oznakach sukcesu u mężczyzn.
Te roleksy, omegi itp. Nie widzę żadnego szczególnego boomu na "zegarki
sportowe", już prędzej smartwache, ale w tej grupie która ceni roleksy,
to smartwatche są wręcz traktowane z pogardą.

A mieszkasz w PL? Pytam, bo nie dostrzec wprost mani teraz na bieganie/pływanie/rower - a czasami wszystko razem - to naprawdę [...]

Ale nie ma obowiązku posiadania zegarka do tych czynności.

[...]

Czyli chcesz zabezpieczać środki, ale nie chcesz w tym kierunku zadziałać
i zabezpieczyć sprzętu? No litości.

Nie sądzę, aby PIN w telefonie był godnym uwagi zabezpieczeniem.

Case Apple vs FBI temu przeczy.

[...]

A już paradoksem jest, że człowiek który mówi że bezpieczeństwo
mu leży na sercu, że kartę kodów należy trzymać w domu, albo
wręcz w sejfie uważa że telefon / tablet na którym trzyma hasła
może sam nie mieć zabezpieczeń i to dobry pomysł. No sorry,
ale w tym już mi popłynąłeś.

Nie twierdzę, że to dobry pomysł. Nie zrozumiałeś. Cały czas wypowiadam się, iż nie chcę nosić narzędzia autoryzacyjnego przy sobie.

Twoje "chcenie" nie ma nic do rzeczy. Możesz zapewnić bezpieczeństwo przy użyciu istniejących i dostępnych metod. Nie chcesz, to Twoja sprawa,
tylko nie stękaj.

Natomiast twierdzę, iż są ludzie, którzy mają komórki niezabezpieczone z hasłami.

Są też ludzie którzy nosili hasła papierowe w portfelu.

W 1Password.
Z dostępem przez komórkę.

Trudno mi sobie wyobrazić, iż ktoś mający pojęcie o bezpieczeństwie coś takiego zrobi.

A jednak.

Co ciekawe - papier jako nośnik danych mimo setek lat uznawany jest za najlepszy materiał.

No chyba że zaginie. I potem udowadniasz że pracowałeś "świadkami"
(patrz procedury ZUS).

Z ciekawości - gdy komórka ulegnie uszkodzeniu - co z nią zrobisz?

Wymienię na inną.

[...]

Pisać dalej, czy już zauważyłeś do czego zmierzam?

Do tego że problemem jest człowiek, a nie PIN. Ale to wszyscy
sensownie myślący wiedza.

Jesteś niesamowitą abstrakcją. Nie chcesz korzystać z zabezpieczeń
darmowych, ale wymagarz korzystania z tych kosztujących fortunę.

Podobno wczoraj konto Ewy Farny [...]

Fascynujące, ale bez związku.

Ktoś tu podnosił wątek szkolnictwa - żłobków, przedszkoli etc. Otóż
każda szkoła ma sejf. Każdy posterunek policji, a właściwie każda
służba, co oczywiste.

Jak ich obligują przepisy to oczywiste.

To teraz sejf jest już oczywistym, a chwilę temu nie byłeś w stanie wymienić kogokolwiek, kto by korzystał?

Bo pisaliśmy o firmach. Posterunki policji czy "służba" to nie jest
firma w ujęciu podmiotu gospodarczego. Zmieniasz temat.

Każda poważna firma

Kłamiesz.

Haha... Wiesz - nawet Coca-cola trzyma przepis na swój napój w sejfie.

Nieistotne.
Nie ma związku przyczynowo-skutkowego między "poważna firma"
a "sejf". Są poważne firmy, bez sejfu, są i niepoważne z sejfem.
Przykładem tej drugiej niech będzie Amber Gold. Chcesz drążyć dalej?

Oczywiście to PR, ale rozbroiłeś mnie swoimi stwierdzeniami... Ach! A może Coca-cola to nie jest "poważna firma"?

Nic takiego nie napisałem, więc kłamiesz.

[...]

Wszedłem na Allegro i wpisałem "sejf" - oferta na 100
stron. Niektóre aukcje po 119 kupionych... Hasło "kasa pancerna" daje 19
stron wyników. Zadziwiasz mnie...

To ma czegoś dowodzić?

Ty nie widziałeś sejfu.

W kontekście o którym pisaliśmy: przechowywanie Mitycznych Ważnych
Dokumentów (tm) w biurach. Nie sejfów w ogóle.

Pokazałem Ci, iż jednak się sprzedają.

Pokazałeś coś o czym w ogóle nie dyskutowaliśmy, stąd i odniesienie
do klocków lego.

RODO nie ma pojęcia druków ścisłego zaszeregowania.

Naprawdę? Zatem najwyraźniej według Ciebie RODO nie dotyczy danych wrażliwych. ;-)

Dane wrażliwe to dane wrażliwe. "druki ścisłego zaszeregowania" to termin
nieznany ustawie RODO.

Co do danych wrażliwych, to nie ma wymogu prawnego przechowywania ich
w kasie pancernej, a sposobów zabezpieczania ich jest znacznie więcej.

Na przykład?

Np, szyfrowanie w postaci elektronicznej.

Może wyjdz z lat 90-tych, co?

Haha... OK. Czyli np. paszporty, prawa jazdy, dowody rejestracyjne, blankiety dyplomów etc. to mam trzymać na iPhonie tak?

Ale rozmawialiśmy o firmach, a nie urzędach.
I tak, nie musisz mnie przekonywać, że urzędy tkwią w latach 90-tych.

Urząd Ochrony Danych Osobowych nałożył właśnie pierwszą w swej historii
karę - milion złotych.

Fascynujące i nie na temat.

To, że Ty nie potrafisz dostrzec analogii nie znaczy, że to nie jest na temat. ;-)

Nadal twierdzę że jest nie na temat. Oczywiście możesz wykazać że kara
miała związek z nieprawidłowym przechowywaniem danych a nie tym o czym
było napisane, czyli nierzetelnym *poinformowaniem* podmiotów.

To zależy przed czym.

:-) Przed dostępem osób nieupoważnionych. Zawsze do tego sprowadza się tego typu ochrona. ;-)

Ja się zajmuję dokumentami w obiegu elektronicznym.
Te są dostępne z konkretnych adresów i w konkretny sposób.
Sejfu brak.

Nie mam.

No to nie wypowiadaj się o kwestiach bezpieczeństwa.

Dobrze, wstukam sobie "0000". Już mogę się wypowiadać?

Nie.

Jak potrzebujesz tylko dzwonienia na 112 to sobie kup nokię za 50 zł.
Nawet karty nie musisz do niej kupować.

Nie doczytałeś albo umknęło. Korzystam z telefonu także w formie mp3.

To kup nowszą nokię za 100. Nadal nie musisz do niej karty kupować.

Dziś w GW napisali o Tajlandii i prostytucji: [...]

Nie na temat.

manipulacji socjotechnicznej użytkownika, po to by *SAM* podał ten
kod który trzeba?

No! Brawo! I teraz chodzi o to, by uchronić użytkownika przed manipulacją.

Token tego nie potrafi.

[...]

Ludzie posiadający > jedno konto to raczej mniejszość.

Nie pomyliłeś się?

Nie.

Jeszcze raz: według Ciebie ludzie posiadający więcej niż 1 konto to mniejszość? Ach! A może słowo "konto" różnie definiujesz? Masz na myśli pewnie ROR, tak?

No o tych statystykach była mowa (kont osobistych aka RORach).
I do takich Ci podałem linka.

A jak widzisz, statystyki pokazują że liczba kont rośnie.

W ten sposób dojdziesz szybko do masy krytycznej. Liczba kart SIM w PL wynosi ponad 40 mln. Zatem teza, iż ludzie posiadają 1 numer byłaby wątpliwa.

Karty sim nie mają rozdzielenia na biznesowe, osobiste, inwestycyjne,
oszczędnościowe, czy techniczne. Ale też nie twierdziłem, że ludzie posiadają tylko 1 numer (chociaż tych posiadających więcej niż 1 też jest
mniejszość).

W przeciwieństwie do Ciebie, ja w tym wypadku nie piszę o swoich potrzebach.

Naprawdę? ;-) Nie wydajesz się uwzględniać moich ;-)

I nadal spokojnie z tym śpię.

[...]

To raczej kwestia kręgu wiekowego znajomych (obecni
30-latkowe raczej nie mieli szans na kredyt we franku).

Tak, masz rację. Jednak założyłem, że rozmawiamy o dorosłych ludziach.

Twierdzisz że osoby mające 30 lat nie są dorosłe?

Zazwyczaj w pracy chociażby przekrój jest nieco większy niż 30-latkowie lub młodsi.

https://www.businessinsider.com/median-tech-employee-age-chart-2017-8?IR=T
 - facebook, mediana 28
 - google, mediana 30
 - apple, mediana 31

Ale to pewnie nie sa poważne firmy.

To zabezpiecz sobie już posiadany telefon, ustaw blokadę po 3-krotnym
wpisaniu złego PINu, ew. zerowanie urządzenia po 10-krotnym wpisaniu
i już. Nie trzeba wydawać pieniędzy, tylko zaakceptować rozwiązania
przyjęte przez resztę świata.

Poruszasz ciekawy problem. Jak to jest w "reszcie świata"? Czy w istocie autoryzacja przelewów to SMS?

No na pewno wg PSD2 token i karty kodów są nieakceptowalne.
Tak więc masz już ogarniętą Europę.

Ja korzystałem z 2, ale nie wiem czy to były "jedynie 2" czy "2 z wielu" - trudno mi się do tego odnieść.

Ja korzystałem z ~10 (podawałem "szczytową" listę, ale w innych bankach też miałem) i tam nie było tokenów w ofercie, poza zakresem "korporacyjnym".

Też mi ciekawostka. Bo gotówka pozwala na bycie w szarej/czarnej strefie.

Biorąc pod uwagę, że mowa o Skandynawii to znowu dość śmiałe tezy stawiasz.

W Skandynawii też istnieje szara/czarna strefa.

Każde konto może mieć wyłączony dostęp internetowy.

Niestety to nieprawda.

Wpisz błędnie hasło 3-10x i powiedz mi czy nadal masz dostęp.

--
Wojciech Bańcer
wojciech.bancer@gmail.com

W dniu 2019-08-15 o 22:22, Wojciech Bancer pisze:

Brytyjska flota atomowych łodzi podwodnych, [...]

Jak będą podpięte do internetu, to wtedy będzie bardziej na temat.

Czyżbyś twierdził, że "urządzenie" niepodpięte do Internetu jest bezpieczniejsze?
Jeśli tak to rozważ token/smartfon w tym kontekście.

Było mniej. To raczej oczywiste. Spróbuj zarazić tokena wirusem. Sam
niedawno rozpisywałeś się na temat sklepów Apple'a i Google. Wszystkie
te zagrożenia odpadają przy tokenie.

Nadal pozostaje komputer, którego najłatwiej zarazić wirusem,
więc niespecjalnie. I pomijasz fakt, że nadal najsłabszym elementem
jest człowiek.

1. Nie jest prawdą, że komputer łatwiej zarazić wirusem. Wszystko zależy od okoliczności.
2. Przede wszystkim stawiam na człowieka. Powinieneś to już zauważyć.

Ale nie ma obowiązku posiadania zegarka do tych czynności.

Podobnie jak można żyć bez konta (chyba). Gdy już kiedyś "zauważysz" jednak wzrost aktywności sportowej Polaków to przypatrz się ich nadgarstkom. Da Ci to pewne pojęcie o rzeczywistości.

Nie sądzę, aby PIN w telefonie był godnym uwagi zabezpieczeniem.

Case Apple vs FBI temu przeczy.

W PL nie obowiązuje prawo precedensu, a już orzecznictwo w USA ma się nijak do PL.

Co ciekawe - papier jako nośnik danych mimo setek lat uznawany jest za
najlepszy materiał.

No chyba że zaginie. I potem udowadniasz że pracowałeś "świadkami"
(patrz procedury ZUS).

Sejf/kasa ma to do siebie, iż dostęp do nich jest ściśle określony procedurami. A zatem "zaginie" nie ma tu racji bytu. Bo właśnie po to owe środki bezpieczeństwa są!

Co ciekawe - swego czasu pojawił się wątek namawiający na kupno złota. Oczywiście można nosić przy sobie, bo a nuż się przyda, ale można też - chyba jednak bezpieczniej - przechowywać w domu. Ostatnio trafiłem na cennika Mennicy odnośnie przechowywania. Do 1 kg. 420 zł/rok kosztuje taka usługa.

Z ciekawości - gdy komórka ulegnie uszkodzeniu - co z nią zrobisz?

Wymienię na inną.

Rozumieć mam, iż uszkodzoną niszczysz z uwagi na możliwość przechwycenia istotnych danych np. w serwisie?

To była istota tego pytania.

Pisać dalej, czy już zauważyłeś do czego zmierzam?

Do tego że problemem jest człowiek, a nie PIN. Ale to wszyscy
sensownie myślący wiedza.

Ściślej - ilość haseł, który przeciętny Kowalski musi dziś zapamiętać. Upraszcza to sobie nadając te same PIN-y/hasła w wielu miejscach. Zatem tak - problemem jest człowiek, ale także ten, który tworzy system, a nie tylko ten, który z niego korzysta.

Podobno wczoraj konto Ewy Farny [...]

Fascynujące, ale bez związku.

Postaram się częściej tłumaczyć z polskiego na polski...

To teraz sejf jest już oczywistym, a chwilę temu nie byłeś w stanie
wymienić kogokolwiek, kto by korzystał?

Bo pisaliśmy o firmach. Posterunki policji czy "służba" to nie jest
firma w ujęciu podmiotu gospodarczego. Zmieniasz temat.

Podałem policję czy służby jako przykład oczywisty. Sądziłem, że możesz negować np. oświatę. Także niepubliczną. Otóż szkoła niepubliczna także posiada sejf. Spełnia kryteria podmiotu gospodarczego.
Pewnie kasę/sejf posiada także każdy podmiot operujący większą gotówką. I pewnie niejednokrotnie może używać ich do przechowywania najważniejszych dokumentów/haseł. Podobnie jak Kowalski mający sejf w domu zapewne nie tylko będzie trzymał tam większą gotówkę, ale złoto, biżuterię czy token.

Haha... Wiesz - nawet Coca-cola trzyma przepis na swój napój w sejfie.

Nieistotne.
Nie ma związku przyczynowo-skutkowego między "poważna firma"
a "sejf". Są poważne firmy, bez sejfu, są i niepoważne z sejfem.
Przykładem tej drugiej niech będzie Amber Gold. Chcesz drążyć
dalej?

Wolałbym przykład tej pierwszej "poważnej" bez zabezpieczonej dokumentacji.

Oczywiście to PR, ale rozbroiłeś mnie swoimi stwierdzeniami... Ach! A
może Coca-cola to nie jest "poważna firma"?

Nic takiego nie napisałem, więc kłamiesz.

Zadałem pytanie, więc jeszcze nie zdążyłem "skłamać". ;-) Dopiero zdanie twierdzące mogłoby na to wskazywać.

W kontekście o którym pisaliśmy: przechowywanie Mitycznych Ważnych
Dokumentów (tm) w biurach. Nie sejfów w ogóle.

Ojej... Łopatologicznie: tak jak nie każdy w firmie ma dostęp do tokena, tak nie każdy jest uprawniony do korzystania z sejfu. W każdym większym urzędzie jest kasa pancerna, ale nie w każdym pokoju. W każdej poważnej firmie jest sejf, ale nie każdy reprezentant firmy ma do niego dostęp.

Pokazałeś coś o czym w ogóle nie dyskutowaliśmy, stąd i odniesienie
do klocków lego.

Może zapomniałeś. Przypomnę: narzędzie autoryzacyjne warto trzymać w bezpiecznym miejscu. W firmie najbezpieczniejszym miejscem wydaje się być sejf. W domu - jak ktoś ma (a sprzedaż na Allegro wskazuje, iż sporo ludzi kupuje) to też.

Dane wrażliwe to dane wrażliwe. "druki ścisłego zaszeregowania" to termin
nieznany ustawie RODO.

Ciekawa interpretacja... Czyli tak... Mam dyplom wyższej uczelni in blanco. I wtedy to mogę sobie robić z nim, co chcę? W momencie wpisania danych Iksińskiego - do sejfu, bo RODO? ;-))

Praktyka jest taka... Druki ścisłego zarachowania (jak już mówimy o terminie precyzyjnie) podlegają rozliczeniu - nawet te, w których wypełniający popełni błąd - ot, chociażby oczywistą pomyłkę. W tym znaczeniu czy są wypisane czy nie są - muszą być chronione i to TY jesteś za to odpowiedzialny. To TY musisz się wykazać należytą starannością.

Co do danych wrażliwych, to nie ma wymogu prawnego przechowywania ich
w kasie pancernej, a sposobów zabezpieczania ich jest znacznie więcej.

Na przykład?

Np, szyfrowanie w postaci elektronicznej.

Mistrzu... Ale jak Ty chcesz zaszyfrować w postaci elektronicznej np. dowody rejestracyjne przed wydaniem ich właścicielom pojazdu?

Jak już sobie zaszyfrujesz te swoje dane to gdzieś one muszą leżeć. Te, które w ogóle się da zaszyfrować. W chmurę ich nie wrzucisz, bo - jak twierdzisz - masz pojęcie o bezpieczeństwie. Kopia zapasowa wydaje się oczywistością. Nawet nie jedna. I gdzie to chcesz trzymać? W swoim "biurze" na biurku?
Musisz się liczyć, że Twój iPhone może się zepsuć. Pracodawca musi się liczyć, że możesz wpaść pod samochód. Do tego może przyjść pożar czy powódź. Zatem należy opracować procedury na różne scenariusze.

Ale rozmawialiśmy o firmach, a nie urzędach.

A to ma znaczenie? W biedronkach też są sejfy. ;-) OK. Jeśli rozmawiamy o pani z warzywniaka to faktycznie w jej firmie może się obyć. Wystarczy pewnie kasetka.

I tak, nie musisz mnie przekonywać, że urzędy tkwią w latach 90-tych.

OK. Ostatnio sobie rozmawialiśmy o gimnazjach. Otóż przybywa do gimnazjum kurier z arkuszami egzaminacyjnymi. Około 5-6 rano, a egzamin rozpoczyna się o 9:00. Dokumenty do czasu egzaminu są prawnie chronione. Dostęp do nich ma tylko dyrektor. Przechowuje je kilka godzin (audiotele) w:
a/ chmurze, zaszyfrowane
b/ zaszyfrowane w iPhonie
c/ sejfie?

Szkoła niepubliczna, a zatem firma, bo to po prostu działalność gospodarcza, choć regulowana oczywiście dodatkowymi przepisami (jak wiele innych, z innych branż).

:-) Przed dostępem osób nieupoważnionych. Zawsze do tego sprowadza się
tego typu ochrona. ;-)

Ja się zajmuję dokumentami w obiegu elektronicznym.
Te są dostępne z konkretnych adresów i w konkretny sposób.
Sejfu brak.

Zatem jesteś małym trybikiem w większej machinie. Albo pracujesz w bardzo specyficznej firmie (brak istotnych dokumentów, brak obrotu gotówkowego, brak kontaktu z ludźmi z zewnątrz), albo może owe miejsce bezpieczne jest poza Twoim zasięgiem.

Nie doczytałeś albo umknęło. Korzystam z telefonu także w formie mp3.

To kup nowszą nokię za 100. Nadal nie musisz do niej karty kupować.

Cały czas tłumaczysz mi jak WYDAĆ pieniądze. Pokaż jak zaoszczędzić. ;-)

No! Brawo! I teraz chodzi o to, by uchronić użytkownika przed
manipulacją.

Token tego nie potrafi.

Może Ty nie umiesz z niego w ten sposób korzystać?

Jeszcze raz: według Ciebie ludzie posiadający więcej
niż 1 konto to mniejszość? Ach! A może słowo "konto" różnie definiujesz? Masz na myśli pewnie ROR, tak?

No o tych statystykach była mowa (kont osobistych aka RORach).
I do takich Ci podałem linka.

Pojawia się pewien problem interpretacyjny w tych kontach, zauważasz? Jak zdefiniować ROR/konto osobiste?

Tak, masz rację. Jednak założyłem, że rozmawiamy o dorosłych ludziach.

Twierdzisz że osoby mające 30 lat nie są dorosłe?

W moim przekonaniu do osoby 18+, przy czym mam wrażenie, iż średnia wieku w PL to trochę więcej niż 30. A zatem "dorośli ludzie" nie ograniczają się do max. 30-latków.

Zazwyczaj w pracy chociażby przekrój jest nieco większy niż 30-latkowie
lub młodsi.

https://www.businessinsider.com/median-tech-employee-age-chart-2017-8?IR=T
  - facebook, mediana 28
  - google, mediana 30
  - apple, mediana 31

Ale to pewnie nie sa poważne firmy.

haha... Dobre! W kontekście kredytów frankowych w PL... bardzo dobry argument. Pamiętasz jeszcze, że chodziło o porównanie frankowiczów do revolutionistów? ;-)

Ja korzystałem z ~10 (podawałem "szczytową" listę, ale w innych bankach też miałem) i tam nie
było tokenów w ofercie, poza zakresem "korporacyjnym".

Wniosek mam wyciągnąć, że jedynie Premium lub korporacje miały dostęp do tokenów? Czyli... mniejszego bezpieczeństwa niż Kowalski? Śmiała teza.

Każde konto może mieć wyłączony dostęp internetowy.

Niestety to nieprawda.

Wpisz błędnie hasło 3-10x i powiedz mi czy nadal masz dostęp.

Dobre! Naprawdę.
A masz też pomysł jak zablokować dostęp telefoniczny w banku, który twierdzi, że się nie da?

W dniu 2019-08-16 o 14:54, Wojciech Bancer pisze:

Nie zmienia to niczego w znaczącym stopniu, ponieważ
głównym problemem jest człowiek. Aktualizowany smartfon
jest bezpiecznym narzędzie, a do tego o wiele bardziej
użyteczne.

Swego czasu była afera dot. spowolnienia iPhone'a po aktualizacji. Można byłoby dyskutować czy wolniejsze urządzenie jest "bardziej użytecznym".
OK - zgadzamy się - głównym problemem jest człowiek. Może się zgodzić, że nie tylko Klient, ale też bankowiec?

1. Nie jest prawdą, że komputer łatwiej zarazić wirusem.

Jest prawdą.

Uwzględnij człowieka!

Wszystko zależy od okoliczności.

Ale mówimy o statystyce a nie okolicznościach.
Statystycznie łatwiej to zrobić z komputerem, bo ten ma mniej
ograniczających go trybów pracy.

Uwzględnij człowieka! Sekretarka, która bez wylogowania wychodzi z sekretariatu jest większym zagrożeniem z punktu widzenia wycieku danych niż użytkownik domowy nawet jeśli tenże w ogóle nie ma hasła.

2. Przede wszystkim stawiam na człowieka. Powinieneś to już zauważyć.

Nie. Ty stawiasz na to że:
  - człowiek używający tokena jest mądry

Nie pomyślałem o tym, ale skoro zauważyłeś, że tokeny były dla Premium i korporacji to pewnie ludzie dostający je w garść rzeczywiście byli bardziej odpowiedzialni niż przeciętny zjadacz chleba.

  - człowiek używający smarfona jest debilem o IQ doniczki

Niekoniecznie. Zbyt surowy jesteś w swoich ocenach.

I na tym opierasz swoją argumentację. Człowiek z tokenem trzyma
sejfy w każdym miejscu, w tych sejfach te tokeny i w ogóle ich
nie nosi, jest rozważny w chuj. A człowiek ze smartfonem
to "Gimbaza" z odruchem wpisywania PINu.

Rozumiem, że te skrajności mają pokazać błędy w argumentacji.
1. Niekoniecznie sejf i niekoniecznie w każdym miejscu. Token w domu starczy. Zazwyczaj jest tak mały, że da się go ukryć.
2. Nie da się ukryć, iż dla nastolatków smartfon to prawdziwy fetysz. Fakt.
3. Rzeczywiście dziwi mnie, iż nigdy nie poznałeś żadnego PIN-u osoby, która go wpisywała w telefon - np. w autobusie, tramwaju etc.

Zwróć uwagę jak Klient wpisuje PIN w bankomacie (często zasłaniając ręką, rozglądając się na boki itd.), a jak w telefonie. Z ręką na sercu - nie widziałem, aby ktoś równie ostrożnie wpisywał w telefonie, co w bankomacie, a przed płatnościami bezstykowymi przy kasie.

Ty sobie wyśniłeś jakieś tezy o tym, że nie zauważam polaków
i ich aktywności sportowej, ale mnie do tego nie mieszaj.

Jeszcze niedawno tak twierdziłeś - przypomnę, iż nie dostrzegałeś boomu na zegarki sportowe. Najprościej je zauważyć właśnie przy aktywności fizycznej.

A odzywka o "rzeczywistości" jest po prostu chamska,
podobnie jak przyrównywanie użytkowników smartfonów do Gimbazy.

Kwestia dyskusyjna. Ktoś mógłby to nazwać ironią, ktoś być może sarkazmem, a jeszcze inny peryfrazą. Nie ma natomiast wątpliwości, iż nie używam w dyskusji wulgaryzmów. Te - owszem - możesz nazwać "chamskimi".

Nie piszę o prawie, tylko o przypadku w którym FBI miało problem
z odbezpieczeniem telefonu zabezpieczonego *tylko* PINem.
Wg Ciebie czymś niewartym uwagi.

Apple daje milion hakerowi, który włamie się do iOS. ;-)
Pomieszałeś tu zupełnie kontekst. FBI próbowało uzyskać dostęp do konkretnego aparatu. Złodzieja na ulicy może nie interesować obywatel X czy Y. Okradnie tego, który mu to ułatwi.

Tak, w końcu sobie poradzili. Doczytaj jak i pomyśl, czy statystyczny
złodziej ma szansę na używanie takich technik (klonowanie pamięci NAND
urzadzenia).

Tylko co to ma do rzeczy?

Rozumieć mam, iż uszkodzoną niszczysz z uwagi na możliwość przechwycenia
istotnych danych np. w serwisie?

Nie, nie ma takiej potrzeby. A możliwość którą opisujesz należy do
kategorii urojonych.

Strasznie trudno Ci przychodzi odpowiedź na to pytanie. Zupełnie niepotrzebnie. Serwis sprzętu nie jest niczym nadzwyczajnym. Gdy oddaję komputer - zawsze wyciągam z niego dysk. W przypadku iPada jest to pewien problem. Oczywiście zależy co uległo uszkodzeniu. Najrozsądniej byłoby zniszczyć sprzęt, ale ponosi to za sobą duże koszty. Czasami udaje się pewne rzeczy naprawić względnie tanio.

To była istota tego pytania.

Pokazująca jak mało wiesz o współczesnych metodach zabezpieczania
danych w aplikacjach.

To nie o to chodzi... OK - spróbuję jaśniej i prościej... Padła matryca w komputerze. Może tylko pękła. Zauważyłem, iż często komputer jest oddawany do serwisu "z powodu matrycy", a użytkownik w ogóle nie myśli o danych na dysku. W komputerze stosunkowo łatwo wymontować HDD/SDD (oczywiście nie każdym). To rozwiąże problem. W urządzeniu przenośnym - jest problem.

Ściślej - ilość haseł, który przeciętny Kowalski musi dziś zapamiętać.

Mniej więcej 2-3, reszta może być zabezpieczona w odpowiednio do tego
celu stworzonych programach.

Sprowadzi się to właściwie do tego samego. Odgadnięcie 2-3 haseł daje dostęp do reszty. Rozumiem, że te hasła mają odblokowywać owe programy.

Rozumiem, że owe programy masz w komórce. A gdy padnie komórka albo zdarzy Ci się wypadek śmiertelny? Co wtedy?

Upraszcza to sobie nadając te same PIN-y/hasła w wielu miejscach. Zatem
tak - problemem jest człowiek, ale także ten, który tworzy system, a nie
tylko ten, który z niego korzysta.

Człowiek który tak sobie życie upraszcza, upraszcza sobie
też życie nie mając tokena w sejfie, tylko przy sobie.

??? Upraszczam sobie życie nosząc to, czego nie muszę??? Ciekawa koncepcja.

Podałem policję czy służby jako przykład oczywisty.

Czego? Firmy? Podmiotu gospodarczego?

Instytucji używającej sejfu.

"Do wniosków takich prowadzi art. 83a ust. 1 ustawy o systemie oświaty, który
stanowi, że do prowadzenia szkoły lub placówki nie mają zastosowania przepisy
o działalności gospodarczej. Oznacza to, że ustawodawca przyjął, że działalność
oświatowa polegająca na prowadzeniu szkoły nie jest działalnością gospodarczą."

Wątpliwa interpretacja.
W Ustawie o systemie oświaty nie występuje Art. 83a. Jest Art. 83 ust. 1, który stanowi: "W szkołach i placówkach, z zastrzeżeniem ust. 6, działają rady rodziców, które reprezentują ogół rodziców uczniów.". Żadnego "a" nie ma w tym artykule ani innych literek alfabetu. Może jakąś starą i wątpliwą interpretację znalazłeś?

Prowadzenie szkoły działającej w ramach systemu oświaty nie jest traktowane jako działalność gospodarcza i odbywa się na zasadach podanych w przepisach odrębnych.
Prywatną szkołę możesz natomiast prowadzić w dowolnej formie, poza spółką partnerską.
Działalność ta może być zarejestrowana jako:
     jednoosobowa działalność gospodarcza
     spółka cywilna
     jedna ze spółek prawa handlowego: spółka jawna, spółka komandytowa, spółka komandytowo-akcyjna, spółka z ograniczoną odpowiedzialnością lub spółka akcyjna
-- -- -- -- -- -- -- --

OK, ale zostawmy, bo sama "działalność gospodarcza" nie jest nigdzie jednoznacznie zdefiniowana i US niejednokrotnie mają problem z jej interpretacją. Zatem nie chciałbym teraz rozwodzić się czy szkoła prywatna to jest/nie jest, a niepubliczna itd.

Ale rozmawialiśmy o przypadku sejfu stricte do dokumentów.

Takich stricte jest z pewnością dużo mniej.

Nie na temat. Rozmawialiśmy o przypadku firmy (w rozumieniu potocznym)

W "Psach" Pasikowskiego firmą nazywano policję. Natomiast OK - można doprecyzować. Już wiem, że wyłączamy z tego oświatę, czyli największą grupę zawodową (ok. 700.000 pracowników jeśli dobrze pamiętam statystyki Broniarza z okresu strajku), do tego wyższe uczelnie, wszelkie służby od zdrowia do specjalnych. Potem jeszcze urzędy, a urzędników to mamy wiadomo ilu... No i sejfy, w których trzyma się tak dokumenty, jak i gotówkę. Gdy już nam została Pani Gienia sprzedająca rzodkiewkę w naszym koszyku "firm" to tak! Masz rację. Dostęp Polaków do sejfu w "firmach" jest żaden.

i posiadaniu sejfu stricte do dokumentów. Takie podmioty zapewne są,
ale ani nie są mniej, ani bardziej poważne niż inne, które wybrały
inne bezpieczne sposoby przechowywania dokumentów ważnych.

Pani Gienia sejfu nie ma, ale ma przy sobie iPhone! Może zatem robić przelewy. ;-)
A teraz poważnie - z pewnością w swojej firmie przeżyłeś parę kontroli różnego szczebla. Czy takie dokumenty elektroniczne wystarczały? Jak rozumiem papierowe są niszczone lub w ogóle nie wytworzone na rzecz elektronicznych.

a "sejf". Są poważne firmy, bez sejfu, są i niepoważne z sejfem.
Przykładem tej drugiej niech będzie Amber Gold. Chcesz drążyć
dalej?

Wolałbym przykład tej pierwszej "poważnej" bez zabezpieczonej dokumentacji.

Peszek. Do obalenia Twojej tezy wystarczy Amber Gold.

No nie. Ja szukam POWAŻNEJ bez. To jednak co innego niż NIEPOWAŻNA z. ;-)

Ciekawa interpretacja... Czyli tak... Mam dyplom wyższej uczelni in
blanco.

Czyli najprościej jak wskażesz punkt ustawy, który definiuje termin "druk
ścisłego zaszeregowania" zamiast tworzyć blubry.

Nie bardzo wiem, co to ten "blubr", ale odpowiem Ci tak: to nie ma znaczenia. Sądziłem, że logika wystarczy i nie trzeba Ci będzie ustawy.

I wtedy to mogę sobie robić z nim, co chcę?

Jak podpada pod restrykcje wynikające z innych ustaw, to możesz
robić to co wynika z tych ustaw. Ale pisałeś o RODO.

Chyba faktycznie zbyt skomplikowanie to opisałem. Masz rację: nie każdy dokument chroniony RODO musi wylądować w sejfie. Nie każdy druk in blanco musi trafić do sejfu.

[...]

Praktyka jest taka... Druki ścisłego zarachowania [...]

A czyli jednak nie "zaszeregowania" tylko "zarachowania",
a to już wchodzi w rachunkowość i dokumenty księgowe.

Nie znam się. Tak w pierwszym odruchu wydaje mi się, że dowody osobiste, paszporty, świadectwa, certyfikaty itp. itd. to nie są dokumenty rachunkowe czy księgowe. Przyznaję - mogę się mylić.
Zaszeregowania/zarachowania - to był pewien skrót myślowy. Być może faktycznie zbyt skomplikowany.

Ale specjalnie nie ma nic wspólnego z RODO.

Myślałem o dokumentach, których druk jest ściśle ograniczony (np. dyplomy), a który w pewnym momencie pokrywa się danymi osobowymi (i tu RODO).
Tak mi się teraz przypomniało - a wiesz, że u mnie w firmie wszelkie pieczątki także trafiają do sejfu? Oczywiście na koniec dnia. Na początku pobiera je upoważniona osoba. I pewnie znowu - pani Gienia od rzodkiewki nie będzie takich procedur stosować, jak "poważna" firma. Gdybyś zechciał sobie wpisać do Google "Jarucka, Cimoszewicz, faksymile" to poczytasz o aferze związanej właśnie z pewną pieczątką ;-)

No dobrze. Mamy spis z natury, ktory ewidentnie jest takim drugiem.
Pokaż przepis nakazujący mi robienie spisu w formie papierowej.

Ale to głupstwo. Ja mówię o poważnych rzeczach. Spis z natury porównujesz do hasłem do kont czy sieci?

Idąc dalej: jest sobie np. studio dżwiękowe, gabinet masażu,
studio filmowe, studio architektoniczne, czy gabinet fryzjerski,
czy firma hostingowa.

Niech będzie, że część ma osobowość prawną, a część nie (spółki
osobowe lub 1-os działalności). Wkaż mi prosze które z tych
podmiotów muszą mieć sejf i jakie dokumenty w nich muszą
przechowywać i z jakich przepisów to wynika.

A to akurat bardzo proste. Studio dźwiękowe. Nagrywa materiał i musi dochować wszelkiej staranności, aby nie wyciekł. W przeciwnym razie pozew o odszkodowanie może je zrujnować. Dlatego solidna kasa, system zabezpieczeń, aby udowodnić przed sądem swoje racje jest priorytetem. Podobnie ze studiem filmowym.

Masaż, fryzjer... No tak - tu masz niewątpliwie rację... ;-) Jeszcze pani Gienia!
Firma hostingowa? W sejfie będzie trzymać kopie bezpieczeństwa i hasła, w tym admina.

Czy możesz przyjąć do wiadomości, że jednak się na tym (obiegu
elektronicznym dokumentów) nie znasz i krążysz wokół tematu jak
Ci którym "rowery rozdają na placu czerwonym"?

Dlaczego? Bo tak mówisz, czy może masz jakiś argument?

Ale rozmawialiśmy o firmach, a nie urzędach.

A to ma znaczenie?

To że najpierw posługiwałeś się pojęciem ogólnym "firma",
a teraz próbujesz udowodnić, że te same reguły dotyczą
"urzędu" co i owej "firmy".

Już przyznałem rację - firmy od rzodkiewki faktycznie obejdą się... Byle nie większe, bo te mogą np. stawać do przetargu, opracowywać oferty, a te z pewnością będą chronione przed np. szpiegostwem gospodarczym. Wówczas pewnie - na pewnym etapie rozwoju - pojawią się najpierw pomieszczenia nieco bardziej chronione, a później także ów... sejf!

Pojawia się pewien problem interpretacyjny w tych kontach, zauważasz?
Jak zdefiniować ROR/konto osobiste?

ROR to ROR. Rachunek Oszczędnościowo Rozliczeniowych.

Cudowny jesteś! A potem masz pretensje i żale o porównania do Gimbazy. "ROR to ROR" - świetna definicja.

Nie jest to konto oszczędnościowe.
Nie jest to lokata.
Nie jest to rachunek bieżacy.
Nie jest to konto techniczne.
Nie jest to rachunek kredytowy.

OK, to już wiem, czym nie jest ROR. A teraz wracamy do pytania: Jak zdefiniować ROR?

https://pl.wikipedia.org/wiki/Rachunek_oszczędnościowo-rozliczeniowy

W tej definicji konto a'vista z Pekao się mieści. Jest dla osoby fizycznej, jest podstawowym kontem, można się za jego pomocą rozliczać, jest umowa. I choć Wiki podaje: "Rachunek oszczędnościowo-rozliczeniowy jest rachunkiem a vista" to jednak Pekao rozróżniało ROR (Eurokonto wtedy) i a vista.

Wydaje się, iż konto w kantorze Aliora też spełniać może definicję ROR-u z Wiki, a za takowe nie uchodzi w definicji banku.

Przypomnę: pisaliśmy o tym, że Ty masz wśród znajomych ludzi
40+, a ja ludzi w okolicach lat 30, których problem frankowy
nie dotyczy. I pisałem, żebyś nie tworzył statystyk i wyobrażeń
(tu: "na pewno revolut nie ma tylu kont ha ha!") wyłącznie na bazie
Twojej grupy wiekowej, z którą masz kontakt.

Hmm... Jeśli chcę się dowiedzieć czegoś o Kowalskim to przyglądam się grupie 18-70 lat. Ty grupie max. 30 i uważasz, że otrzymane dane są porównywalne pod względem wiarygodności?

Nie wszyscy pracują w spółkach skarbu państwa z nadania partyjnego,
gdzie pracę dostają spady polityczne 40+.

Jeśli jednak mówimy o systemie masowym (bankowość) to jednak mam wrażenie, iż budżetówka więcej nam powie niż oddział Facebooka w PL.

Tokeny miały wyższy poziom bezpieczeństwa niż uwcześnie stosowane karty kodów.

Z tym, że owe dwa banki od tokenów - CA i EB - nie miały karty kodów. A zatem nie była to naturalna migracja czy alternatywa. Swego czasu w EB był token GSM jako alternatywa wobec sprzętowego. Wychodzi na to, iż właśnie znikający EB był prekursorem bezpieczeństwa.