→ tsunamimk2:比鼎泰豐難吃的的滿街都是啊02/15 03:43
→ tsunamimk2:鼎泰豐的東西一點都不普通 愛不愛吃就隨個人了02/15 03:45
推 overseaking:高雄－龍華市場－小籠包店 >>>>>>>>>>>>>>鼎泰豐02/15 03:45
→ tsunamimk2:那家很難吃耶 龍華的.. 至少上次我去 嗯02/15 03:45
→ overseaking:哇靠 龍華市場根本沒有小籠包店好嗎lol02/15 03:46
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 39.8.167.238 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Bank_Service/M.1563352221.A.E35.html
推 gottsuan: 這種app不要用 都把你帳號密碼拿去了 07/17 17:00
我也是怕怕的 所以就刪掉了
→ gottsuan: 要整合多銀行資訊 等到OpenAPI第二類開放後再用 07/17 17:01
→ gottsuan: 使用OpenAPI的話 不需要你提供帳密給app 07/17 17:01
→ gottsuan: OpenAPI架構的身分驗證是OP驗證 也就是各銀行自己驗證 07/17 17:02
→ gottsuan: app不代替驗證使用者 就類似現在很多的facebook登入app 07/17 17:02
→ gottsuan: 驗證都是facebook自己驗 app拿不到帳密 07/17 17:03
※ 編輯: lianpig5566 (39.8.167.238 臺灣), 07/17/2019 17:16:59
→ slchao: 現在很多網銀交易會有另一組密碼ex 台企銀 合庫，如果網 07/17 17:17
→ slchao: 銀帳密不會造成損失ex非約轉 買保險 買基金，也不太在意 07/17 17:17
→ slchao: 自己銀行資訊被非銀行人員看到，這類app有其他缺點嗎？ 07/17 17:17
→ slchao: 我是只怕被更改聯絡號碼 帳單地址 盜辦信用卡 用自家銀行 07/17 17:18
→ slchao: 扣繳，其他？？ 07/17 17:18
你喜歡把自己的帳戶紀錄給其他人看是你家的事
※ 編輯: lianpig5566 (39.8.167.238 臺灣), 07/17/2019 17:20:36
推 gottsuan: 偷盜你帳密先 之後再用社交工程手法偷你其他資訊啊 07/17 17:32
→ gottsuan: 到時候銀行電話照會 他都可以通過就能改你其他資料了 07/17 17:33
→ gottsuan: 不怕的話 你乾脆現在就公開帳密給大家看囉 07/17 17:33
推 leon1757tw: 除非OpenApi開放使用 不然完全不敢用這種App 07/17 17:39
推 tiana8873: 看了上面推文 立馬把MineyBook刪掉＋換網銀密碼== 07/17 17:55
噓 sp063439: 使用者自己也矛盾，怕人家看又給帳密 07/17 18:36
→ orange21: 等API吧 07/17 19:21
→ helpM: 其他銀行也有報表，差別是有沒有認真打給客人而已 07/17 19:48
推 slchao: 我自己是完全不敢使用啦，之前在卡板看到很多人討論，提出 07/17 20:11
→ slchao: 來是想多了解相關的風險，也想知道願意使用的人對於這些 07/17 20:11
→ slchao: 風險的想法，也謝謝g大的提醒 07/17 20:11
推 pr9558: 你用了沒刪哪天收到登入mail可能還會去報警哈哈哈 07/17 20:15
推 Scor: 很多銀行都有相關報表，差異在有些怕打去客戶會罵 07/17 21:01
→ bailan: 記得之前就這類東西，搞得網銀登入變麻煩吧 07/17 21:58
是說 蠻好奇這種APP是怎麼過圖形驗證的
※ 編輯: lianpig5566 (39.8.167.238 臺灣), 07/17/2019 22:00:52
推 shaform: 希望 API 趕緊發展起來 07/17 22:10
→ ChungLi5566: 有一種弱點叫CSRF 07/18 00:52
推 andrew5106: 我不懂為什麼網銀不要用2FA？是技術上有什麼困難嗎 07/18 01:55
推 shaform: 美國很多網銀有 2FA 啊，不過 SMS 的 2FA 不太安全 07/18 02:30
→ shaform: 用security key or one time pad 比較安全 07/18 02:30
→ shaform: 上面也提到有網銀雖然登入時沒2FA,但執行一些操作時有2FA 07/18 02:55
→ alex1973: 國泰世華某些網銀操作就需要2FA，至於登入就需要2FA也 07/18 06:54
→ alex1973: 有範例，匯豐就是了，但是很多人知道匯豐的下場…… 07/18 06:54
→ shaform: 太難登入嗎 XD 不過如果這樣也可以改成選用服務阿... 07/18 07:55
推 bitlife: 手機app比不上電腦的一點是電腦的網址列可以得知目前顯示 07/18 11:52
→ bitlife: 驗證頁面的網站是否真的是原網站而不是釣魚網站,但手機目 07/18 11:53
→ bitlife: 前因為螢幕尺寸因素,即使連瀏覽器預設都隱藏網址列,所以 07/18 11:54
→ bitlife: 這類第三方(非銀行出品)的app,仍要提防有釣魚可能,顯示與 07/18 11:54
→ bitlife: 原銀行一樣的登入頁面來騙取帳密 07/18 11:54
→ bitlife: 如果銀行端驗證是採取金鑰驗證(如早期的台新,以及目前華 07/18 11:56
→ bitlife: 銀)或者用另一組專用於第3方驗證的帳密並傳簡訊,會安全很 07/18 11:57
→ bitlife: 多,但另一組帳密顯然又增加不必要負擔,所以金鑰系統會比 07/18 11:58
→ bitlife: 較安全. (剛才忘了提到郵局也是有金鑰系統) 07/18 11:59
推 k83nk7agkc: 假鬼假怪，麻布不是絕對安全但是也沒有某些人想像的 07/18 13:42
→ k83nk7agkc: 那麼誇張好不好，真的以為你的網銀帳密就是用明碼存在 07/18 13:42
→ k83nk7agkc: db上那麼嗎，擔心這個不如擔心你平常其它的使用習慣， 07/18 13:42
→ k83nk7agkc: 未來銀行釋出API還是很多人會怕的要死啦 07/18 13:42
→ bailan: 好奇一問，這些網站跟網銀又沒相關登入API合作，帳號密碼 07/18 13:58
→ bailan: 若是存加密編碼過的，能夠送出相關資料去登入嗎？ 07/18 13:59
推 gottsuan: 沒有銀行密碼用明碼存在資料庫的 違反電子資料處理法 07/18 14:04
→ gottsuan: 儲存的密碼基本上都是hash+加密 07/18 14:04
→ gottsuan: 網站若有實施E2EE密碼加密 加密處理是在網頁(瀏覽器)端 07/18 14:06
→ gottsuan: 這些app拿到的是你的密碼明碼 登入時他幫你輸入到銀行網 07/18 14:06
→ gottsuan: 頁 經由網頁加密後送出驗證 07/18 14:06
→ asdfghjklasd: 我還給了很多家銀行帳密給麻布咧 07/18 14:07
→ asdfghjklasd: 有帳只能看收入出支跟消費,又能怎樣 07/18 14:07
→ asdfghjklasd: 錢還是轉不出去 07/18 14:08
→ gottsuan: 會怕就快去銀行變更密碼 07/18 14:08
→ asdfghjklasd: 是想知道我住什麼飯店買什麼東西嗎 07/18 14:08
→ gottsuan: 他有辦法去變更安控機制不就可以轉了 例如得到你個資打 07/18 14:09
→ gottsuan: 去變更聯絡方式 然後用他的電話接收SMSOTP 不就可轉帳了 07/18 14:09
→ gottsuan: 偷到帳密只是第一步而已 07/18 14:09
→ gottsuan: 你沒有盡到保管責任 到時候出事 銀行可以推責任給你 07/18 14:11
→ asdfghjklasd: 我沒開電話轉帳 07/18 14:13
→ asdfghjklasd: 是要怎轉,要去櫃台嗎? 07/18 14:13
推 gottsuan: 網銀轉帳用SMSOTP可以非約轉 只是額度較低 07/18 14:15
→ gottsuan: 另外如果你有多個業務往來 比如信用卡/基金/外匯之類的 07/18 14:16
→ gottsuan: 也有風險 被偷到帳密就是第一道關卡被攻破了 07/18 14:17
→ gottsuan: 風險意識薄弱... 07/18 14:17
推 gottsuan: 偷到你的帳密也不見得他自己要駭你 也可以賣給駭客集團 07/18 14:23
推 k83nk7agkc: 實務上現階段是做不到透過第三方驗證，MoneyBook的系 07/18 14:35
→ k83nk7agkc: 統架構如何除了內部外沒人會知道，但就我簡單理解，大 07/18 14:35
→ k83nk7agkc: 致是由App在本地以公鑰加密資料後，透過TLS傳輸並儲存 07/18 14:35
→ k83nk7agkc: 在GCP的VPC上，首先傳輸上的疑慮就沒了，再來是MoneyB 07/18 14:35
→ k83nk7agkc: ook持有資料的問題，原則上持有Key或是訪問權限的開發 07/18 14:35
→ k83nk7agkc: 人員誰都可以拿走使用者的資料，然而團隊內部不可能 07/18 14:36
→ k83nk7agkc: 對此不設防，GCP上也有提供相關的功能給企業管理保密 07/18 14:36
→ k83nk7agkc: 資料 07/18 14:36
→ asdfghjklasd: 網銀轉帳用SMSOTP可以非約轉? 07/18 14:45
→ asdfghjklasd: 我的帳號全都只能用金融卡,是要轉什麼帳? 07/18 14:45
→ asdfghjklasd: 打電話就能更換手機號,這銀行是管控有問題.不是用戶 07/18 14:45
→ bitlife: 不少行動網銀app可以SMSOTP約轉. 當你裝了一個釣魚app,根 07/18 15:10
→ bitlife: 本不用換手機號,只要安裝時被騙,授權了簡訊權限,OTP都可 07/18 15:11
→ bitlife: 以攔截轉發給駭客,駭客就得到了SMSOTP 07/18 15:12
推 slchao: 如果設定只有金融卡可以轉帳，如果銀行改電話需要本人現 07/18 16:25
→ slchao: 場才能更改，風險就比較低 07/18 16:25
→ slchao: 之前搬家，有些銀行地址要現場親自更改，有些接受電話更 07/18 16:27
→ slchao: 改，也許風險控管也不同 07/18 16:27
推 liontall2004: 因為客人會投訴說為什麼一定要現場改資料,然後出事 07/18 23:05
→ liontall2004: 再推說為什麼可以不用現場改資料 07/18 23:05
→ Kazamatsuri: Google Store上有人問資安問題 他們也有回答～ 07/18 23:12
推 Kazamatsuri: 另外有Youtuber說暗網早就有駭客駭到很多帳密了... 07/18 23:17
推 amygm307: 您們好，我是麻布記帳的麻編，真的很感謝大家對我們 07/20 14:31
→ amygm307: 的指教，關於資安部分，因為台灣的法規尚未明朗化， 07/20 14:32
→ amygm307: 所以我們參照各國資安標準做了相當多的努力，我們也知道 07/20 14:32
→ amygm307: 無論做得多完善，在金管會第二階段帳戶資訊API尚未推出 07/20 14:32
→ amygm307: 之前，一定還是會有很多人對於把帳密提交給我們感到疑慮 07/20 14:33
→ amygm307: 所以除了完善資安之外，我們也花了近一年的時間， 07/20 14:33
→ amygm307: 金管會監管。 07/20 14:34
→ amygm307: 今年金管會其中一項重點政策在於Open Banking， 07/20 14:34
→ amygm307: 金管會委託財金公司制定開放API以及銀行與第三方業者 07/20 14:34
→ amygm307: 串接API的規範，財金公司也在今年七月邀請我們加入 07/20 14:35
→ amygm307: 開放API的測試以及相關規格的制定，相信很快就會進展到 07/20 14:35
→ amygm307: 規劃第二階段帳務資訊API，我們會持續的更新與財金公司 07/20 14:35
→ amygm307: 和銀行合作的狀況給各位，有興趣但有疑慮的人也都可以在 07/20 14:36
→ amygm307: 完成第二階段API串接後再來使用Moneybook。 07/20 14:36
→ amygm307: QQ金管會那段漏字了..近一年來，我們持續努力和主管機關 07/20 14:44
→ amygm307: 溝通，希望像我們這樣的業者能夠被金管會監管。 07/20 14:45
推 amygm307: 國外類似的服務發展的相當成熟，像是美國的Mint、 07/20 14:50
→ amygm307: 日本的Moneyforward，麻布也向他們看齊，無論是在協助 07/20 14:51
→ amygm307: 政策推動，以及完善用戶許願的功能，我們都會繼續努力， 07/20 14:51
→ amygm307: 協助推動台灣Open Banking的進展 07/20 14:51
推 wang0920: 我從來不用非本行的app太危險了！而且出事銀行可以不用 07/21 11:31
→ wang0920: 處理的 07/21 11:31
→ prussian: 麻編你要不要直接回一篇就好了..這樣也比較好繼續討論 07/21 19:48