Piatkový večer, búrka a dážď mi pokazili plány na večer. Tak som sa dostal aspoň k tomu, čo som už celkom dlho plánoval – ako a či vôbec banky používajú HTTPS. V dnešnej dobe ide takmer o povinnosť na bežných weboch, dôvodov je niekoľko – od lepšej pozície až po tú bezpečnosť a spísal som ich v článku 4 dôvody, prečo používať HTTPS na bežnom webe.

S rozmachom Let‘s Encrypt a výhod HTTP/2 nejde o žiadnu veľkú vedu a Domain Validation (DV) certifikát je tak dostupný naozaj každému. Pre eshopy a finančné portály je odporúčaný Extended validation (EV) certifikát. To je taký ten zelený prúžok vo vašom prehliadači. Jeho získanie je náročnejšie nakoľko sa overuje subjekt pre ktorý sa vydáva a autorita za to ručí.

Jedna vec je teda nasadenie HTTPS a druhou správne nasadenie. Za posledné roky sa našlo veľa bezpečnostných problémov – stačí spomenúť Heartbleed, na ktorý som otestoval viac ako 300 tisíc .SK domén, alebo POODLE attack.

Normálne by človek povedal, že subjekty ako banky musia mať toto vychytané, veď aj obyčajný blog ako je tento môže mať hodnotenie A+ od Qualys a ich SSL Labs. Opak je ale pravdou.

Ako test prebiehal

• zameral som sa na doménu na ktorej beží samotná webová prezentácia banky a na doménu internet bankingu, ak ho má banka k dispozícii
• v dobe testu je u nás registrovaných 14 bánk so sídlom na Slovensku a 14 zahraničných bánk
• pre testovanie bol použitý spomínaný online nástroj SSL Labs od Qualys a vo výsledkoch je jeho hodnotenie

Banky so sídlom na Slovensku

• OTP Banka, Privatbanka, Sberbank Slovensko nemá automatické presmerovanie z HTTP na HTTPS
• Sberbank Slovensko nemá HTTPS
• Tatra banka presmerováva z HTTPS na HTTP

Zoznam zahraničných bánk

• BKS Bank AG používa certifikát vydaný pre bks.at
• Citibank ma homepage na SSL, ale Slovenská podstránka nie je na HTTPS
• ING Bank N. V. používa certifikát vydaný pre ingwb.com
• Oberbank AG používa certifikát vydaný pre oberbank.at

Zhrnutie

Priznám sa, že osobne som očakával zelené pole. Myslím, že tolerantnejší môžeme byť pri webových prezentáciách bánk, no pri internet bankingu treba byť nekompromisný.

Samozrejme je možné sa v tom vŕtať hlbšie. Či nájdené problémy sú naozaj reálne, aký útok je možné zneužiť a či vôbec a podobne. To už nechávam na samoštúdium. Myslím, že je sa od čoho odpichnúť. Pri hľadaní podobných testov som narazil na jeden z Českej republiky, ktorý tak isto stojí za pozornosť.

Kapitolou samou o sebe sú bezpečnostné hlavičky, ktoré majú tak isto svoju váhu. Celkom komplexný nástroj nájdete na securityheaders.io. Do tohto sa už nebudem púšťat radšej vôbec, lebo by mi bolo ešte viac smutno.