НЛБ Банка

[Trtka]

Еве едно позитивно искуство со НЛБ.
На последен ден од одмор ми прочури термостатот на колата.
Како корисник на лично банкарство , платено смештај за наредни 3 дена за 4 лица + шлеп служба + рентакар од Переа до Прилепа града... Се со едно јавување.

 

[petkotrajko]

Погледнете го атачментот 164495

Дали добивате пораки со рандом карактери од официјалниот NLB_BANKA SMS сервис? 5-6 вакви ми стигнаа.

Не.

 

[389mk]

На мојот телефонски број имам поврзано две трансакциски сметки, но сепак функционираа сите електронски услуги.
Иако платата лани ја префрлив во друга банка, сепак дебитната картичка од двете НЛБ сметки успешно се дигитализираа во GPay. Сега кога го сменив телефонот, од стариот одјавив од НЛБКлик, но не одјавив од НЛБ Пеј, ај што треба директно да се јавувам за секое преинсталирање, не може да се дигитализира едната картичка, и по неколку јавувања во контакт центарот упорно ме убедуваа дека во Гпеј не може да стојат картички од две сметки, нешто што не е точно затоа што 2 години наназад ги користев баш така. Туку и го имаат сменето телефонскиот број од едната трансакциска сметка и сега не можам да ја дигитализирам картичката и од таа сметка.

И додека го правам сево ова неколку дена со ред, по сто обиди регистрации, сфатив дека обична порака за верификација на плаќање со смс МОЖЕБИ е побезбедно отколку преку апликација, во случајов НЛБПеј.
За да злоупотребиш верификација преку смс, треба цело време да имаш простап до телефонот или до смс сервисот.
А за да злоупотребиш нлб пеј доволно е само еднаш да имаш пристап до смс за верификацијата при најавување, потоа го имаш верифицирано на твојот уред.
Ова е за исклучителни ситуации, но кога имаш податоци за картичката, пинот, поправете ме ако грешам, сепак мислам апликација како нлб пеј е помалку безбедно.

Други банки имаат поинаков пристап за најавување во нивните апликации, но овде е полесно, доволно е да го знаеш матичниот број и да имаш еднаш пристап до смс сервисот

 

[kirev]

Значи сите банки во светот грешат со гаснењето на автентикацијата по СМС? Дури и Мајкрософт ја укина за нивните сметки

 

[389mk]

Значи сите банки во светот грешат со гаснењето на автентикацијата по СМС? Дури и Мајкрософт ја укина за нивните сметки

Се разбира дека смс е поранлива автентификација, но начинот на кој се најавува корисникот на нлб пеј, само со еден смс и матичен број е исто толку слаб.
Потребен е еден пристап до смс на корисникот и готово, веќе има пристап до картичката за онлајн плаќање и за дигитализција во гугл пеј.
Го напуштија начинот со најавување преку корисничко име и лозинка, и воведоа само матичен број и ЕДЕН смс. И потоа напаѓачот ја има апликацијата на својот уред.

Ова е теоретска ситуација која не е валидна за повеќето реални корисници, туку за одредени групи кои не користат телефони, на пример пензионери и слично.

Тука најслабата алка во синџирот за автентикацијата е најавувањето, и златно правило е дека секој систем е онолку јак колку што е јака неговата најслаба алка.
Џабе е енкрипција и апликација, кога до нив се здобива само со матичен број, кој е лесно достапен, и ЕДНО пресретнување на една смс порака. И не треба ни да ги внесуваш броевите од картичката, ти го дава на тацна откако ќе се најавиш.
Ако напаѓачот успее само ЕДНАШ да ги добие овие две работи, преку phishing, измама на постаро лице, SIM swap или привремен пристап до отклучен телефон, тој го совладал целиот систем.

Знам дека ова е направено како компромис помеѓу безбедност и едноставност за користење, но да не се лажеме дека нлб пеј, како што е поставена сега, е нешто многу побезбедна од обичен код на смс.

Дополнително, за да ја одјават апликацијата од претходниот уред, не е потребно да се одјавуваш од самиот уред, туку може во контакт центарот со читање на податоци од личната карта, значи нешто што е направено да биде потешкотија во злоупотребата на податоци, олеснува злоупотреба.

 

[kirev]

Се разбира дека смс е поранлива автентификација, но начинот на кој се …

Фала ти за деталното објаснение. И значи ова е баш школски пример на грешна имплементација. Стиснале од една страна (како и сите други) ама остаиле ОГРОМНА ДУПКА! Пријави им Или како се викаше оној на ЛинкедИн што ги објавува овие проблеми? Може да му го препратиш, можеби ќе ја сменат имплементацијата