iOS i mObywatel

Na SMSy, ostatnie taka rozmowa była kilka miesiacy temu. Obecnie może być inaczej. Dowiem się niebawem, podczas wycieczki do banku mam te brednie jak w banku. Powinni wypłacać odszkodowanie za trwałe uszkodzenia logiki w mojej małej głowie.

Od lat promują aplikację.

Albo wykryli, że nie używasz smartfona, albo takiego dinozaura to małymi kroczkami do przodu.

Zdaje się, że mają też rosnąca liczbę oszustw, stąd może nacisk, ale SMS tak sobie podnosi bezpieczeństwo - może nawet obniża.

J.

Ktoś je musi napisać. A producent telefonu/chipu raczej niechętny do ujawniania swojej pracy.

Czasem łatwo, czasem nie.

To i wtedy open source nie pomoże.

No ale trzeba wstawić ten porządny backdoor. To trzeba być programistą w firmie. I zadbać, żeby się nie wykryło.

Ale takich porządnych backdoorów to na razie chyba mało ujawniono.

J.

Też. Ale SMSy też i one są częciej oferowane jak osoba orientuje się, że są w użyciu karty kodowe. Może mają taki scenariusz: karty -> zaoferować sms.

Bardzo możliwe, wszystkie przelewy przez przeglądarkę. Typowy suweren w okularach z laptopem na serwetce, szukajacy literki "h" przez minutę. Taki obraz jest jak najbardziej możliwy, wciskanie suwerenowi appki to pewnie proszenie się o kłopoty.

"To najbezpieczniejsza metoda autoryzacji". Niestety panienki nie są zbyt rozmowne kiedy pytam "Dlaczego?". Obecnie już chyba się nie dowiem, bo zadzwonił pierwszy agent AI w sprawie usług bankowych (acz nie z PKO).

To typowy argument przeciwników.

No to mam kontrargument: Twój telefon może wyświetlić inną kwotę i numer konta.

Jedyna metoda obrony przed tym to zewnetrzny token z wyświetlaniem tych danych. Ale to by było dodatkowe $10. No to nie, aż tak to nie.

Dokładnie tak samo, jak w telefonie z backdoorem.

I tutaj wchodzi UE. Cała na tęczowo.

Pomoże. Jak trafisz na jakiś dziwaczny kod typu wykonywanie ciągu binarnego, to raczej się zorientujesz. Jak trafisz na dziwaczną flagę ustawioną gdzieś w CPU to się zastanowisz. To nie jest proste, ale jest od groma ludzi, a teraz też AI, rozumiejących. Sa ludzie których hobby to review takich flaków.

Backdoory do hardware mają długą historię. Tutaj przykłąd jednej z lepszych prezentacji jednej znalezionej sztuki:

Masz to OOTB w chińskich telefonach. Czy wszystkich? Pewnie w za dużej liczbie.

Tak, chińczyków jest w miliardy.

Nikogo to nie obchodzi, jest ich pewnie kilka. Backdoor na poziomie kernela jest raczej nie do wykrycia. A skompilowanie customowego kernela ze złosliwym kodem to się robi przed poranną kawką.

Z samych "bankowych" to "Anubis, Cerberos, TeaBot, FluBot, i pewnie pierdyliard odmian.

Zgenerycznych to Triada czy Guerilla.

Wszystko w telefonach ze sklepu, nawet w markowych. Są też podprogowe, takie jak AppCloud preinstalowany na Samsungach. Ludzie na serio pytają do dzisiaj czy to izraelski backdoor.

Niz w rzeczywistości, czy inną niż pokazuje strona www banku, gdzie zlecasz przelew?

Chyba droższe są, bo $10 to by bank odżałował. Albo przerzucił na klienta, i klient by odżałował.

problem w tym, że prosty token nic tu nie zmienia. Musi miec łącznośc z bankiem, żeb bank mógł wysłac dane o operacji, musi być większy ekran, żeby klient zobaczył choć kilka kluczowych danych - kwota, choc częsciowy nr konta, może bank odbiorcy.

I jak tą komunikacje zrobić?

-karta sim/e-sim?

-kamera i QRkod na ekranie komputera?

-BT/wifi?

-wypiszczeć w stylu modemowym?

Na dobrą sprawę - jakiś tani telefon ma potrzebny hardware, tylko program tokena wgrac ... i zabronić użytkownikowi innych operacji :-)

Ale o co tu chodzi - że wszystkie apki umożliwiają wyświetlenie alertu systemowego? i zasłoniecie swojego ekranu przez inną apkę?

J.

P.S. Okazuje się, że karty kodów nadal sa

Ciekawe, że nie proponują apki.

J.

Tak. Czymś całkiem naturalnym jest hackowanie apki w ten sposób, że nad nią wyświetlane są fałszywe napisy.

Masz rózne scenariusze: wpiszujesz numer konta w appce a w rzeczywistości wyświetla się inny. Pojawia się SMS, ale ma zmieniony numer nakładką. Potwierdzasz. To samo, ale zainicjowane z kompa, który ma wirusa działającego w tandemie z telefonem (synchronizują się przez jakieś command center). Ktoś może z innego urządzenia czekać z przelewem i kiedy Ty robisz swój, to oni robią swoj i podmieniają Ci na ekranie dane.

Nigdy nie pojmę dlaczego używanie super skomplikowanego, pełnego dziur OSa ma byc bezpieczenijsze niż izolowany kawałek specjalizowanego piasku.

Na te kilkanaście cyfr i literek, to ekran LCD pewnie będzie kosztował grosze i zmieści się w tokenie wielkości pendrive.

Nie ma takich opcji. Ostatni token z wyświetlaczem to pewnie >15 lat temu widziałem w jakimś banku. Od tamtego czasu SMS, a potem appki. Czekam na następną innowację, może kiwanie głową przed kamerą.

Możesz go przyłożyć do NFC. Wtedy nawet zasilania nie potrzeba, a LCD do zasilenia segmentów może spobie pociągnąc te miliwaty z NFC.

Wystarczy coś wielkości pendrive. SMSy wcale nie mają większych fontów.

NFC. Po to jest.

Że każdą appkę można przykryć warstwą grafiki, przez co "wyświetla się w appce banku więc zaufane" można o kant d... rozbić i cały ten model bezpieczeństwa potyka się o trywialny kawałek (G)UI OSa.

Nie, nie. Wpisujesz dane na kompie. oglądasz na kompie. potwierdzasz kodem z SMS. Trzeba zhackowac dwa urządzenia.

Wpisujesz w apce, potwierdzasz w apce ... apka ma niski limit :-)

Jesli pijesz do tokena, to oczywiscie, tylko jak pisze dalej - ten token sie komplikuje.

Ale dostawca z wiedzą widac chce więcej.

Wydaje mi się, że jeszcze są. Gogle donosi, że w iPKO biznesz jeszcze do 1 lipca,

Mille i CA cos piszą w FAQ ..

I popatrz - zrobili tak, jak pisałem.

Uwierzytelnienie behavioralne?

Już coś kombinowali, no i Apple FaceId ...

Nie mam w komputerze NFC. nie mam w laptopie. strona www na telefonie moze się skomunikować z NFC?

Czyli muszę mieć apkę na telefonie, i w niej autoryzacja tokenem ... czemu nie - przy odpowiednio dużych pieniądzach :-)

Chcesz wyswielić ze 16 cyfr konta, i kwotę.

W telefonach dość popularne. W komputerach prawie nie..

Ale coś tam piszą o domyślnym uprawnieniu.

A odczytać ekran apki też można? Bo żeby przykryć, to fajnie byłoby wiedzieć, w którym momencie to zrobić.

J.

W dniu 8.06.2026 o 19:28, J.F pisze:

Widziałem nie raz. Zamiast (przykład)

Właśnie, namawiają na potwierdzanie aplikacją. Chcą aby nie używać SMS-ów. Intuicyjnie, ale nie wiem czy słusznie, potwierdzam SMS-ami. Czy mam rację że SMS-y dają większe bezpieczeństwo?

W dniu 8.06.2026 o 10:29, pytający pisze:

A aktualizacje bezpieczeństwa przychodzą? Bo jak nie, to w przypadku aplikacji bankowych raczej zrozumiałe.

W dniu 8.06.2026 o 20:09, Mirek pisze:

Użytkownik tego 6S nie używa apki bankowej.

Są jak najbardziej. Nadal używam z Inteligo. Nie tak dawno używałem z niżej wymienionym PKO BP.

Apkę wstępnie zapewne autoryzujesz sms'em, ewentualnie kodem ze zdrapki, choć nie zbadane są meandry mysli bankowych IT w randze VP.

Trochę ostatnio wyszło backdoorów (czy jak to tam zwał) przez różne repozytoria. Nawet jeśli sam skompilujesz to życia nie starczy, aby każdą bibliotekę zweryfikować.

W dniu 08.06.2026 o 11:25, io pisze:

Nie dyskutujemy jednak o jakimś tam masowym oprogramowaniu, tylko o aplikacji firmowanej przez rząd mającej ułatwiać życie i funkcjonowanie w strukturach państwa. Dlatego moim zdaniem powinno się w takim przypadku utrzymywać kompatybilność najdłużej jak się da, żeby objąć zasięgiem jak największą liczbę obywateli, również tych, których np. nie stać na wymianę sprzętu. Z drugiej strony utrzymywanie kompatybilności ze starymi systemami operacyjnymi może blokować wprowadzanie nowości, a tych jest w perspektywie dużo. Pytanie, czy już się nie dało, czy też ktoś poszedł na łatwiznę. No ale tego pewnie się nie dowiemy.

Natomiast chciałbym się dowiedzieć, czy jeśli ktoś zainstalował starszą wersję mObywatela pod starszym iOS (albo pod starszym Androidem) to może jej dalej używać (pomimo braku aktualizacji), czy też aplikacja przestaje działać, bo np. zablokowano możliwość połączenia z serwerami. Ma ktoś doświadczenie?

W dniu 8.06.2026 o 20:16, pytający pisze:

mObywatel to ta sama kategoria