Názor k článku Postřehy z bezpečnosti: další a další zranitelnosti produktů Ivanti od Filip Jirsák - Však já to vím taky: protože je tam...

Však já to vím taky: protože je tam přidaný další faktor: podpis zařízení (TPM...) - a tedy to není přihlášení jen jménem a heslem. ;o)
No konečně.

Úplně stejně by vyhovělo, pokud by bankovnictví na PC (v prohlížeči) umělo ten počítač jednoznačně identifikovat - a přesně proto lze použít přihlášení jméno+heslo+to­ken/čipovka.
Nikoli, nejde o identifikaci, ale o autentizaci. Kdyby šlo jen o identifikaci, útočník by mohl ten identifikátor získat a komunikaci podvrhnout.

Když se na desktopu používá token či čipová karta, bezpečnost zajišťuje právě ten token či čipová karta a desktop tam je jen v roli nezabezpečeného terminálu, přes který se lépe zadávají údaje, než přes token či čipovou kartu (které zpravidla možnost vstupu a výstupu pro uživatele nemají). Nevýhodou je, že nevíte, co doopravdy podepisujete – můžete si myslet, že podepisujete svůj příkaz k úhradě, nebo jen přihlášení, a přitom podepisujete příkaz k úhradě útočníka. Proto se od toho upouští.

Když elektronické bankovnictví začínalo, měl eBanka token ve formě „kalkulačky“, kam se naťukalo číslo účtu, specifický symbol, částka, a zobrazilo to ověřovací kód, který se přepsal do bankovnictví. Bylo to bezpečné, protože jste věděl, co podepisujete, ale nepohodlné.

Mimochodem: i ta SMS by vyhovovala, pokud by nebylo tak jednoduché naklonovat SIM kartu - chybí tam ta jednoznačnost.
Nejde jen o klonování, ale o to, že SMS nejsou šifrované a transportní kanál může být šifrovaný velmi slabě. Opět ta eBanka pak zavedla šifrované SMS, které se dešifrovaly klíčem v SIM toolkitu (na SIM kartě). To bylo bezpečné, ale chytré telefony si se SIM toolkitem moc nerozuměly, bylo to čím dál méně pohodlné a pak už to nechtěli podporovat ani operátoři.