Seminárka bezpečnost internetového bankovnictví

jedním 
číslem. Tato jednoduchost je ovšem také velkou nevýhodou tohoto bezpečnostního prvku. Protože 
může být uveden na více náležitostech, ke kterým má případný narušitel přístup, například výpis 
z účtu případně účtenka z obchodu nebo potvrzení z bankomatu. Tento údaj tedy není úplně tajný 
a ani sám klient nemůže důsledně dohlédnout na to, aby se tento údaj nedostal do špatných rukou. 
Druhým   častým   problémem   u   přidělovaných   PID   byla   skutečnost,   že   PID   bylo   přidělováno 
postupně.   První   klient   tedy   dostal   číslo   123451,   druhý   klient   123452   a   čísla   byla   lineárně 
přidělována. Této skutečnosti mohl využít útočník v tom, že mu silně zužovala počet možností, 
ze kterých PID vychází. V dnešní době se PID stále používá, ale vždy v kombinaci s dalšími 
zabezpečovacími prvky.
8
2.2 PIN
Osobní číselný kód, známý z používání bankovních karet. Je to tajná číselná hodnota, která nám 
slouží k přístupu k bankovnímu účtu. PIN se generuje náhodně a není tedy možné ho uhodnout 
z pořadí klienta jako u PID. Výhodou PIN pro klienta je fakt, že se jedná v drtivé většině případů 
o čtyřmístné číslo, které se dá lehce zapamatovat. Bohužel definice PIN jako pouze číselné hodnoty 
s omezenou délkou dává možnost útočníkovi v případě znalostí dalších informací PIN uhodnout 
hrubou silou, protože k dispozici je pouze 10 000 možností. Proto se také PIN využívá pouze 
v kombinaci   s   dalšími   bezpečnostními   prvky,   například   jednoznačným   uživatelským   jménem 
a certifikátem. Velice se oslabuje hodnota PINu jako bezpečnostního prvku v případě, kdy má klient 
možnost zvolit si vlastní PIN, protože má tendenci volit čísla související s jeho osobou případně 
kombinace snadné pro zapamatování. Tomuto problému se budu více věnovat v části věnované 
lidskému faktoru u bezpečnosti.
2.3 Uživatelské jméno a heslo
Stejně   jako   v   předchozích   případech   může   být   přiděleno   nebo   klientem   zvoleno.   Jedná   se 
o jednoznačný   identifikační   údaj,   který   by   ovšem   měl   splňovat   určité   požadavky.   V   praxi 
rozlišujeme  hesla   slabá a  silná.   Mezi  slabá  hesla  se  řadí  jakákoliv   hesla,  která mají spojitost 
s uživatelem, dále pak tzv. slovníková hesla, což jsou slova běžného významu, pojmenování věcí 
a osob   a   řada   dalších   hesel,   které   je   možné   snadno   odvodit   nebo   dokonce   uhodnout. 
Charakteristikou silných hesel je to, že nemají žádnou logickou strukturu, která by se dala odvodit, 
vyskytují se zde kombinace velkých a malých písmen, číslic a také speciálních znaků, které jsou 
k dispozici. Přidělená hesla splňují požadavky na sílu hesla ale tím pádem jsou pro klienta opět 
špatně zapamatovatelná a v případě, že má možnost jejich změny, velice často zvolí hesla slabá a tím 
sníží sílu zabezpečení svého účtu.
9
2.4 Kalkulátor
Zajímavým způsobem, jak posílit bezpečnost přístupu ke svému účtu, je kalkulátor přístupového 
kódu. Jedná se o technické zařízení, které nám v případě potřeby vygeneruje kód pro přístup 
k našemu účtu. Tento kód je ovšem časově omezený a po stanovené době vyprší jeho platnost. 
Kalkulátory pracují na principu sladění vnitřních hodin s hodinami v bance a v daném čase spočítají 
aktuální kód. Výhodou je, že se kód stále mění a nikdy se neopakuje, takže i v případě prozrazení 
starého kódu nehrozí žádné nebezpečí. Nevýhodou u kalkulátorů je jejich cena, která je vyšší 
a klient banky ji musí uhradit. Možnost zabezpečení pomocí výpočetních kalkulátorů využívají na 
českém trhu prozatím pouze tři banky.
2.5 Tokeny
Jako   tokeny   jsou   označována   hardwarová   zařízení,   která   obsahují   určité   bezpečnostní   údaje. 
Bez připojeného   tokenu   tedy   není   možná   autorizace   uživatele.   Většinou   se   jedná   o   tokeny 
připojitelné k USB a slouží tedy jako klíč, který je třeba mít u sebe vždy, když chceme operovat 
s bankovním účtem. Výhody a nevýhody mají také mnoho společného s klíči v realitě: bez klíče se 
nemůže   autorizovat   oprávněná  ani   neoprávněná  osoba.   Naopak   pokud   získá útočník   můj   klíč 
a jednalo by se o jediný způsob zabezpečení, získal by tím přístup i k mému účtu. V některých 
případech by dokonce stačilo pouze informace obsažené v tokenu zkopírovat na jiné médium. 
V současné  době  se   ovšem   tato   metody   vždy   kombinuje   ještě  s   dalším   prvkem   zabezpečení. 
V dřívějších dobách byl také občas problém s možností připojit svůj token, protože některé starší 
typy   počítačů  nepodporovaly   USB   konektory.   Tento   problém   v   dnešní  době  už  naštěstí  není 
potřebné řešit.
10
2.6 Digitální certifikát
Jedná  se   o   další  možnost   zabezpečení účtu,   která  sama   o   sobě  kombinuje   několik   možností 
zabezpečení. Digitální certifikát je elektronický soubor, který může být obsažen na disku počítače, 
na přenosném médiu případně na speciální digitální kartě. Tento soubor slouží k jednoznačné 
autentifikaci a autorizaci uživatele stejně jako token. Certifikát je ale sám o sobě zaheslovaný a je 
možné  je   použít   pouze   v   souvislosti   s   heslem   k   certifikátu,   které  si   klient   zvolí.   V   případě 
digitálních certifikátu na čipových kartách je ke správné funkčnosti potřeba i přítomnost čipové 
karty v počítači. Velkou výhodou je tedy kombinace složitého klíče, který má klient s sebou, 
s heslem a v některých případech i s čipovou kartou. Certifikát bez hesla a ještě případně bez karty 
pro  útočníka   neotevře   můj   bankovní  účet.   A   v   případě  čipové   karty   by   muselo   dojít   nejen 
ke zkopírování údajů, ale ke zcizení celé karty. Častější nevýhodou bývá u čipových karet absence 
čteček čipových karet u řady osobních počítačů a proto se může stát, že tato metoda zabezpečení nás 
omezí v přístupech z jiných počítačů. 
2.7 SMS autorizace
Jedná  se   o   velice   jednoduchou   a   efektivní  ochranou   metodu,   jejíž  použití  umožnilo   masivní 
rozšíření mobilních telefonů. V principu metoda funguje tak, že při zakládání účtu do smlouvy 
vepíšu   telefonní   číslo   mého   soukromého   mobilního   telefonu.   Při   vstupu   do   elektronického 
bankovnictví, po zadání jména a hesla, je na můj telefon zaslán časově omezený klíč, který musím 
zadat pro vstup na účet. Stejným způsobem mohou být ověřovány také jednotlivé platby, kdy 
před provedením příkazu dojde k zaslání kódu prostřednictvím SMS. Tento způsob zabezpečení je 
velice   jednoduchý  a   velice  účinný,   protože   při   vstupu  útočníka   na  účet   případně  při   pokusu 
o manipulaci s penězi dojde potvrzovací kód. Pokud by chtěl tedy útočník zneužít můj účet, musel 
by se dostat k mému mobilnímu telefonu, případně určitým způsobem napadnout telefonní síť. 
V některých   případech   banky   využívají   i   šifrovaného   přenosu   SMS   zpráv,   kdy   je   tedy 
11
pravděpodobnost úspěchu útočníka minimální. Nevýhodou může pro některé uživatele být nutnost 
mobilního telefonu, která je ale pro většinu uživatelů zanedbatelná. Další nevýhodou může být 
například při pobytu v zahraničí omezená schopnost mobilního operátora nám bezpečnostní SMS 
doručit, tyto případy jsou však ojedinělé.
2.8 Další prvky zabezpečení
V souvislosti se stále se rozvíjejícími možnostmi a růstem uživatelů internetového bankovnictví 
banky přichází s řadou konceptů a modelů, jak ještě zvýšit zabezpečení přístupu k účtu aniž by to 
významně ovlivnilo funkčnost a uživatelskou přívětivost.
Zajímavým prvkem zabezpečení je například u České spořitelny grafická klávesnice pro zadávání 
bezpečnostních údajů. Tento prvek tedy zamezuje „odposlechnutí“ hodnot zadávaných z klávesnice 
prostřednictvím programů na bázi softwarových keyloggerů případně hardwarových snímačů stisků 
klávesnice.
Také  zajímavým   způsobem   je   přístup   k   zamezení  operací  s  účtem   u   ING.   V   případě  jejich 
bezhotovostního ING Konto klient při založení konta přesně vepíše čísla účtů, na které bude možné 
peníze   převádět.   Změna   těchto   údajů   je   pak   možná   pouze   dodatkem   smlouvy   s   využitím 
podpisového   vzoru   případně   osobně   s   ověřením   totožnosti.   I   když   tedy   ING   využívá 
pro zabezpečení svého účtu pouze PID, PIN a heslo, přístup k účtu útočníkovi umožní zaslání účtů 
předem definovaných a není tedy možné peníze poslat na jakýkoliv jiný účet.
Některé banky také ke zvýšení bezpečnosti využili možností SMS ještě jedním způsobem. Kromě 
zasílání informačních SMS při změně zůstatku peněz na účtu je možné nechat si volitelně zasílat 
SMS zprávy také při každém vstupu na účet. Tímto klient okamžitě zjistí, že někdo získal přístup 
k jeho účtu a může zakročit a účet zablokovat dřív, než útočník napáchá škody na jeho majetku.
12
2.9 Souhrnný přehled současných metod zabezpečení
V následujících tabulkách je uveden přehled současného zabezpečení internetového bankovnictví 
jednotlivých bank. V první tabulce jsou uvedeny možnosti autentizace klienta, ve druhé tabulce jsou 
pak vypsány používané formy autorizace jednotlivých operací na bankovním účtu. Do srovnání byly 
zařazeny české banky, ze zahraničních bank byla zařazena pobočka polské banky mBank. Tato 
banka bude hojně využívat internetového bankovnictví, svoje služby ovšem spustila teprve minulý 
týden a proto nejsou ještě veškeré informace dostupné.
Jednotlivé možnosti autentizace uživatele při přístupu k internetovému bankovnictví
Název banky Uživatelské 
jméno a heslo
Certifikát SMS kód Čipová 
karta
Kalkulátor PIN
BAWAG Bank ano
Citibank ano
Česká spořitelna ano ano ano
ČSOB ano ano
eBanka ano ano ano
GE Money Bank ano ano
HVB Bank ano ano
ING ano ano
Komerční banka ano ano ano
mBank ano
Poštovní spořitelna ano
Raiffeisenbank ano
Volksbank ano
Živnostenská banka ano ano
13
Způsoby autorizace u operací na účtu
Název banky Heslo Certifikát Čipová karta SMS kód Kalkulátor 
BAWAG Bank ano
Citibank
Česká spořitelna ano ano
ČSOB ano ano
eBanka ano ano
GE Money Bank ano
HVB Bank ano
ING
Komerční banka ano ano ano ano
mBank
Poštovní spořitelna ano
Raiffeisenbank ano
Volksbank ano
Živnostenská banka ano ano
Z tabulek je tedy vidět, jakým způsobem banky přistupují k zabezpečení. Někde je možné využít 
více možností, jinde je nastavená pouze jedna možnost zabezpečení. U autorizace operací některé 
banky možnost dalšího zabezpečení vůbec nevyužívají. U některých je opět mechanizmů více. 
Jejich zavedení v některých případech vůbec nebylo v plánu, i když se nejedná o technicky složitá 
řešení. Známý je případ Komerční banky, která zavedla SMS autorizaci příkazů po medializaci 
případu, kdy klient ponechal přihlášenou aplikaci a útočník tak mohl převádět peníze libovolně. 
SMS   autorizace   byla  úspěšně  spuštěna   během   přibližně  dvou   dní.   Spolu   s   Komerční  bankou 
k tomuto řešení přistoupily i další banky. Zde je tedy patrné i to, že banky nevyužívají maximální 
možnosti zabezpečení a využívají je až v případě tlaku ze strany konkurence. 
14
3 Ovládací rozhraní a software pro internetové
bankovnictví
3.1 Ovládací software
V tomto bodě se přímo nejedná o zabezpečení jako takové, ale spíš o konkrétní omezení, která 
vyplynou z technologie využité bankou. Jde o to, jakým způsobem uživatel přistupuje ke svému 
bankovnímu účtu. V počátcích elektronického bankovnictví bylo obvyklé instalování celých balíků 
speciálního   software   dodávaného   bankou,   který   umožňoval   přípravu   jednotlivých   příkazů 
a nastavení   v   offline   režimu   a   následně   jejich   odeslání   prostřednictvím   dávky   po   připojení 
k internetu.   V   souvislosti   s   rozšířením   a   dostupností  internetu   se   od   tohoto   modelu   upustilo 
a v dnešní době drtivá většina veškerých operací probíhá v online režimu. Stále však některé banky 
vyžadují instalaci speciálního software, kter