[oslet]

W piekle jest specjalne miejsce dla ludzi, którzy wymyślili wylogowywanie z banku po 4 minutach.

#zalesie #mbank #nestbank #aliorbank #pkobp #pekao #ing #bnpparibas #getinbank #bankmillennium #takaprawda #banki #bankowosc #creditagricole #santander

[megawatt]

bezpieczeństwo nie musi się podobać użytkownikowi. Tutaj zasada jest tylko jedna, ma być bezpiecznie i kropka.

@oski94: widzę pan od compliance (nie mylić z security bo to są dwie oddzielne kwestie najczęściej nie mające wspólnych elementów), to wylogowywanie nie ma wiele wspólnego z secuirty a w większości ma zabezpieczać banki przed ryzykiem prawnym

pracując w IT dla branży finansowej zamiast złożonego hasła mam hasło Home1221 (w styczniu będzie Home 0122)

[denerwujesie]

@xqwzyts: No i co z tego, że małpy? To w takim razie zakazać im bankowości internetowej. Co to ma wspólnego z limitem pięciu minut?

Nie rozumiecie, że jak się prowadzi firmę to najlepiej mieć otwartą kartę banku przez cały czas bo się sprawy załatwia na bieżąco. No, ale oczywiście pan zapasiony programista wie lepiej i będzie mi narzucać swoje gówniane sposoby działania.

A propo gówna - wysrać się też mam w limicie pięciu minut? Mam klikać jak małpa podczas rozmowy telefonicznej, żeby znowu nie weryfikować się w aplikacji podczas kolejnego

[o.....4]

@oski94: widzę pan od compliance (nie mylić z security bo to są dwie oddzielne kwestie najczęściej nie mające wspólnych elementów), to wylogowywanie nie ma wiele wspólnego z secuirty a w większości ma zabezpieczać banki przed ryzykiem prawnym

@megawatt: no to się zgadza, że to jest zarządzanie ryzykiem. Jakbym miał słuchać użytkowników to nawet recaptcha bym nie mógł stosować. Ostatecznie to mnie obchodzi to co o programie myśli góra,

[zGdyniMlodyG]

@oslet: w bnp jest taki myk ze jak czekasz na odpowiedz na czacie to cie wylogowuje i #!$%@?, trzeba sie logowac ponownie i wznawiac czat, czekac na odpowiedz

[m0rgi]

@denerwujesie: Żadne badania. Po prostu w normie ustawili niezbędne minimum które patrząc realnie, pewnie wystarcza w 90% przypadków.

Jedyne co bym dodał, to opcje wydłużenia tego na infolinii dla zainteresowanych do powiedzmy 15min.

[Fajka]

@oslet: Wylogowanie po 5 minutach jest narzucone przez europejską regulację bankową PSD2. Zobacz sobie 4(3)(d) DELEGATED REGULATION (EU) 2018/389 (RTS), https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32018R0389&from=EN ("the maximum time without activity by the payer after being authenticated for accessing its payment account online shall not exceed 5 minutes.").

[megawatt]

no to się zgadza, że to jest zarządzanie ryzykiem.

@oski94: przy czym w branży finansowej to jest głównie ryzyko prawne, bo nie powiesz że zmiana długie hasło plus token kryptograficzny jest mniej bezpieczne niż proste, przewidywalne 8 znakowe hasło - a do tego prowadzi polityka częstej rotacji haseł.
Myśmy działali wg rekomendacji, nam się włamali, panie ubezpieczyciel daj kasę mam chory system

[techninja]

@oslet: Czy w piekle jest też specjalne miejsce dla grupy pracującej nad frameworkami bezpieczeństwa takimi jak OWASP ASVS na przykład? https://owasp.org/www-project-application-security-verification-standard/

[Kotznapedemjonowym]

@oslet: to jest takie gowno, że robi się od tego niedobrze. Na dodatek mają usera za małpę, debila, polmozga, który loguje się do banku w wydumanej kafejce internetowej. Instaluj sobie wtyczkę od odwiedzania strony i kij im w oko. Acha i loguj się potwierdzając w aplikacji, skanując siatkówkę oka czy inne.

@denerwujesie: bo statystyczny user w Polsce to małpa, debil i półmózg.

[oslet]

@McKeyPL no dobrze i zainfekowanie w ciągu np 10 min albo 15 min od zamknięcia karty uznano za wysoce prawdopodobne przy analizie ryzyka, tak? A dopiero 5 min za względnie bezpieczne. Przekonuje Cie to? A jeśli człowiek o infekcji nie wie, to za godzinę znów się zaloguje. I nic to nie dało.
Nie chodzi o to żeby podać jakikolwiek wydumany przykład, tylko realnie prawdopodobny wektor ataku. Dla mnie to jest właśnie naciągany wektor.
Poza tym można po prostu sprawdzać karta jest otwarta i jeśli nie jest, to dopiero unieważniać sesje, nawet po minucie.

@m0rgi jeśli już tak koniecznie chcesz wiedzieć to radzę sobie - własnym skryptem JS do Greasemonkey. Wtyczki auto refresh nie bardzo się nadają bo mogą zrobić odświeżenie w trakcje gdy user cos robi na stronie, nie sprawdzają czy user idluje czy nie, po prostu odświeżają (przynajmniej te, które sprzedałem).
A przykład oczywisty, ale znów, w praktyce

[denerwujesie]

@oslet: Możesz podzielić się tym skryptem?

[R4vPL]

@megawatt powodzenia przy zewnętrznym audycie/pentescie/redteamingu z takim hasłem. Zgadzam się że wymuszanie zmiany hasła tak często jest głupie ale to nie jest rozwiązanie, password spraying to częsty atak

[Miecz12]

@oslet kiedyś był limit 10min chyba i to było ok, a teraz to jest #!$%@?ące

[Cragir]

@R4vPL: PSD2 to dyrektywa UE, nie wiem co mają do tego banki w USA. W UE sesja musi trwać max 5 min.

[monarchista]

@marsellus: ja mam sobie sam ratować dupe i dbac o bezpieczenstwo swoich danych a nie zeby ktos za mnie myslal. Do szalu doprowadzają mnie te smsy z kodami, jakeis telekody, potwierdzanie logowania w nowej przegladarce w telefonie. #!$%@?.