ha már n-faktoros autentikációnál tartunk, akkor a témához értő emberek segítségét szeretném kérni abban, hogy segítsenek értékelni az alábbi helyzetet biztonsági szempontból:

1:
erstés vagyok, eddig úgy működött az internetes kártyás vásárlás, hogy megadtam a kártyaszámom, cvc kódom majd jött egy SMS kód, ezt beírva teljesült a tranzakció, goranga.

most, gondolom extra szabályozás okán (n+1 faktor) amellett, hogy megadom a kártyaszámot, egyéb infókat (név, lejárat, cvc) meg kell adnom a netbanki belépő jelszavamat is, majd SMS kód (vagy appos jóváhagyás).

kérdésem, hogy az milyen módon növeli a biztonságot, hogy én lépten-nyomon megadogatom az egyetlen korbendallas ebankos jelszavamat minden tranzakciónál, amivel egyébként (egyéb faktorokkal védve ugyan, de ezek a faktorok vannak a vásárlásnál is) teljes hozzáférésem van az összes bankszámlám összes forintjához?

számomra, laikusként ez pont a biztonság csökkenésének az érzetét kelti, hiszen mindeddig az volt a mantra, hogy a netbank jelszót soha semmilyen körülmények között, csak az egyszent banki honlapon sehol máshol.

- értem hogy van még n faktor
- értem hogy nézzem meg az oldal tanúsítványát (laikus vagyok, azt írnak oda amit akarnak)
- értem hogy telepítsek appot (erről majd később)

de mi az öreg ürdüngért nem lehet akár erre egy külön vásárláskorbendallas jelszót definiálni az egyszentbankhozzáférős helyett, és miért kellene ettől nekem nagyobb jót éreznem mint eddig?

2:
netbank app megy, george (gyuri) app jön. nagyszerű.

george app by design két alap módon hozzáférhető, művelhetó:

a) megadok egy n jegyű számsort a bazi nagy jól látható billentyűzeten minden lépésnél (belépés, jóváhagyás, aláírás, megtekintés) hogy aki elsőre nem tudta lelesni, biztos legyen lehetősége javítani

b) biometrikusan azonosítom magam ujjlenyomattal (más mókusok arccal)

előbbi eset értelemszerűen nem tetszik, utóbbit választottam, még ha nem is szeretem megadni a biometrikát mindenre, de gyuri okos app, biztos jól vigyáz rá.

ugyanakkor a véletlen rányomás elkerülése, illetve a telefon egyéb biometrikus azonosításától való elhatárolás miatt úgy próbáltam megadni az ujjlenyomatom gyurinak, hogy ne az általánosan használt (mutató)ujjam azonosítson gyurinál, hanem egy másik, amit egyébként nem használok és nem is regisztrálok a telefonon másra.

igen ám, de ezt nem lehet, ugyanis gyuri csak a telefonon regisztrált ujjlenyomatokat fogadja el, mást, újat megadni nem lehet, sőt, ha több ujj azonosítva van a telefonban akkor mindre ugrik, korlátozni sem lehet mondjuk a bal kéz középső ujjára.

nem tudom van-e technikai akadálya annak hogy a telefonon egy globálistól eltérő biometrikus azonosítást felvegyünk külön egy-egy appnak.

ha van, akkor értem miért a limitáció, viszont akkor nem világos, hogy miért csak ez a két, számomra erősen támadhatónak tűnő opció létezik az app autentikációjára, miért nem lehet kérni adott esetben legalább egy hagyományos SMS alapú kódot az egyes lépésekre (akár műveletenként differenciálva, pl. belépés kódsor, jóváhagyás biometrikus, utalás SMS)

miért kéne a fenti változtatások miatt erősebb biztonságban éreznem magam?