Можно ли взломать интернет-банк на смартфоне?

Цитата
Struzhkin пишет: Интересно, каким образом? X X

У банка нет возможности заблокировать приложение? В целях безопасности нормальный банк всё сделает

Цитата
theigor пишет: Как быстро это можно сделать злоумышленнику, если во время не заблокировал приложения? это может сделать только банк, на сколько знаю. При потере смартфона

1. При потере смартфона, лучше сразу позвонить в банк и заблокировать всё и вся.
2. Желательно включить в смартфоне шифрование изначально + возможность удалённого управления в настройках системы, когда можно удалённо очистить смартфон.
3. Насчёт того, что это может сделать банк - спорно. Если только программеры приложения не оставили специальную лазейку, но об этом банк врядли знает и уж точно нигде официально сия функция афишироваться не будет точно.

Цитата
N.i.C пишет: В приложениях некоторых есть пункт в настройках, где указываются доверенные устройства, на которых установлено приложение

ИМХО, в большинстве ИБ (да и не только в банках) есть опция "Выйти на всех устройствах", так что даже в банк идти не нужно для этого. Другое дело, что возможно будет уже поздно "пить боржоми"..
Ну и вообще, подобная возможность довольно эфемерна, единственный вариант пожалуй только выхватить телефон с открытым приложением из рук пользователя. Ну, или с "бесчувственного тела" (по разным причинам ), если вход и разблокировка и самого телефона, и банковского МП стоит по отпечатку пальца или фэйс-айди. Поэтому я вход в МП никогда не делаю по отпечатку в жертву удобству. Да и вообще, я не люблю банковских МП на телефоне, как минимум каждый раз выхожу из учетки.

Цитата
bor-kas пишет: - шифрование памяти телефона

Как Вы это предлагаете делать?

Цитата
bor-kas пишет: - пинкод и отпечаток на телефоне

У некоторых тефонов авторизация по отпечатку известно как ломается. А у некоторых китайских
клонах это вообше фикция - разблокируется любым отпечатком.

Цитата
user58 пишет: Как Вы это предлагаете делать?

Это встроено в современные андроиды, связано с разблокировкой. Главное это не отключать - ну или не пользоваться совсем старыми аппаратами, где этого нет. Но важна, конечно, только если блокировку не сняли (см. ниже, да).

Цитата
user58 пишет: У некоторых тефонов авторизация по отпечатку известно как ломается. А у некоторых китайских клонах это вообше фикция - разблокируется любым отпечатком.

Тогда только знать и использовать только пин-код. А ещё лучше, конечно, всё-таки брать менее навороченные за те же деньги, но хотя бы как-то известные марки телефонов под банк.

Но почитать про разблокировку именно любым отпечатком было бы интересно (конечно, если это какой-то ну хотя бы из более или менее известных - а не подделки под самсунг/эппли проч.), если можете кинуть ссылку.

P.S. У телефонов третьего эшелона другой не менее опасный вектор атаки. Непонятные обновления от производителя, которые могут прилететь в любой момент.

Как пример даже не совсем Китай: Highscreen Boost 3. После банкротства и ухода Highscreen через систему онлайн обновления прошивки у всех (кто не выдрал это руками - а это не совсем тривиально) прилетел и втихую установился вирус с рекламными просмотрами, баннерами и т.п. заточенный именно под Россию. А мог быть и банковский троян. Видимо, пароли от сервера обновлений попали "кому надо"....

Цитата
user58 пишет: Ошибаетесь. Вся память не шифруется. Шифруются только данные пользователя.

А зачем шифрование не-пользовательской памяти? Я про это даже не говорил, что всю - явный перебор для обычного смартфона, достаточно verified boot (если нет косяков с реализацией).

Да, Самсунг с knoxx неплох, и его можно советовать, согласен. Но всё же, качество шифрования данных для данного случая (доступ к МП банка) по мне вторично. Никто не будет доставать из пользовательской памяти данные банковского приложения и пытаться его расшифровать, как мне кажется. Поэтому другие "обычные" телефоны типа того же google pixel и проч. - не хуже.

Либо взлом блокировки, либо сим-карта и небезопасный вариант аутентификации в ЛК по номеру телефона и СМС (тому из безопасников банка, кто согласовал такой подход на поводу у маркетологов - гореть в аду).

Цитата
user58 пишет: Я говорил про разблокировку любым отпечатком именно у китайских клонов Самсунга. А вот про взлом биометрии в оригинальных телефонах:

Ну клоны - это совсем зло, понятно. Даже обсуждать смысла нет.

Про взлом биометрии спасибо, посмотрел, видел в новостях в своё время. Вероятность использования такой штуки в массовом сегменте (забытые телефоны) конечно исчезающе мала, т.к. нужно аппаратное вмешательство. При выборочной работе "по наводке" - да, может быть. Но наверное, часов 8-12 есть, на смену всего и вся с учётом времени до транспортировки телефона до аппаратного стенда.

Цитата
user58 пишет: А вот про взлом биометрии в оригинальных телефонах

Всё это слишком сложно для реальной жизни и относится скорее к лабораторным опытам, чем к реальным угрозам. Равно как и расшифровка памяти телефона, зашифрованной любым алгоритмом.

Цитата
theigor пишет: Как быстро это можно сделать злоумышленнику, если во время не заблокировал приложения? это может сделать только банк, на сколько знаю. При потере смартфона

Банк может заблокировать ДБО полностью. Блокировать приложение - вряд ли.
А так, все меры безопасности уже описаны неоднократно.
1. Блокировка смартфона
2. Отключение содержимого СМС на экране блокировки
3. Включение запроса пинкода симкарты.
4. Включение стандартной гугловской функции поиска телефона через учетную запись.
Позволяет стереть содержимое и заблокировать телефон, если он включен.
5. отдельный пинкод на вход в приложение банка.

При выполнении этих условий вряд ли реально получить доступ к деньгам по утерянному аппарату, слишком много уровней защиты.

Цитата
N.i.C пишет: А как же кнопочный телефон для банковской симки?

Считаю это излишеством, преимуществ не вижу особых, недостатки очевидны.

Цитата
orcus vulgaris пишет: Т. е. это шифрование с восстановимым секретом - фактически, не шифрование вовсе X

Не факт. Ключ шифрования может зависеть от установленного юзером пароля разблокировки.

Цитата
Alex133 пишет: Цитата N.i.C<noindex>пишет</noindex>: А как же кнопочный телефон для банковской симки? Считаю это излишеством, преимуществ не вижу особых, недостатки очевидны.

Весьма спорное утверждение. Возможно вы не слышали о приложениях, перехватчиках смс. И да, я далеко не про SS7.