Perché così tante banche hanno una sicurezza dell'e-banking relativamente debole? [chiuso]

Il motivo principale è perché, nonostante tutti questi problemi, non subiscono regolarmente violazioni o furti tali da essere un elemento di differenziazione del mercato.

Le password indebolite continuano a respingere la maggior parte degli attacchi online contro gli account dei clienti se abbinati ai blocchi di sistema, all'autenticazione a più fattori e ad altri controlli di intrusione. La maggior parte delle password dei clienti bancari vengono rubate tramite trojan sui loro sistemi, che funzionano indipendentemente dalla forza della password.

Analogamente alle deboli implementazioni SSL / TLS, solo un numero limitato di aggressori in una posizione (ad esempio accesso alla rete e risorse computazionali) ne approfitta per rubare gli account dei clienti o i soldi.

Alla fine della giornata le banche sono in affari per fare soldi. Mirano a implementare una sicurezza sufficiente per evitare perdite e punizioni regolamentari. In alcuni casi sono limitati da ciò che possono fare i sistemi legacy, ma la maggior parte non sarebbe mai all'avanguardia delle pratiche di sicurezza, indipendentemente dal fatto che non aggiunge molto valore.

Questo non vuol dire che la sicurezza di ogni banca sia dove deve essere, solo che tendono a proteggere le aree che causano loro problemi e potrebbero aspettare che questi problemi emergano per risolverli.

Hanno poco incentivo a farlo.

• Hanno polizze assicurative che coprono le frodi. Se il costo della riparazione di X hole è maggiore di quello che perde la frode, potrebbe non essere troppo motivato a risolverlo.

• Non c'è legislazione che li costringa a supportare tali tecnologie (Forward Secrecy, TLS 1.2, ecc.)

• Non c'è alcuna pressione da parte degli utenti a modi migliori, e quindi possono ignorare poche voci abbastanza facilmente.

Fortunatamente, non tutte le banche sono così, ma penso che spieghi abbastanza bene perché alcuni agiscono in questo modo.

Inoltre, è possibile che i loro esperti non sappiano / si preoccupino di X o abbiano un'opinione diversa (nel campo della sicurezza ci sono delle differenze su come considerare alcune caratteristiche ).

Informazioni sui punti che hai citato:

crazy low password requirements (no symbols allowed, low max length are the biggest 2);

Questo non è giustificabile IMHO.

buggy TLS implementations (article from Troy Hunt: http://www.troyhunt.com/2015/05/do-you-really-want-bank-grade-security.html), with many banks failing on stuff like Forward Secrecy, SHA-1, RC4 and TLS 1.2;

L'aggiornamento di qualsiasi cosa è davvero difficile per istituzioni come le banche. Usano versioni vecchie e il supporto dei nuovi protocolli (ad esempio l'aggiornamento) è difficile da fare. (Un sacco di test e preparazione)

weird password verification methods that usually prove that they're not hashing passwords (like asking for 2 specific characters from a password);

Questo non è necessariamente negativo se ben progettato. Consente a un utente malintenzionato che è riuscito a derubare la richiesta (tramite un phishing, di solito) di non ottenere le credenziali complete. Non lo consiglierei comunque per il tuo CMS.

weird ways to transfer account credentials (like asking a DM on Twitter, or support people giving your new credentials over the phone).

È strano, anzi.

Le banche non sono luoghi in cui la creatività viene premiata o dove il cambiamento fa parte della cultura. Inoltre, il settore finanziario non è ben noto per trattare bene i dipendenti, quindi il talento tende a partire.

Per queste ragioni, le banche operano come i dinosauri. Non devono innovare, quindi non lo fanno.

Non sarei troppo sicuro che non si verifichino violazioni, dal momento che anche il settore bancario è noto per l'estrema segretezza.