Subiektywnie o finansach

Oj, rozkręcił się nam sezon na bankowe innowacje. Kilka dni temu pisałem o tym, że BGŻ jako pierwszy rezygnuje z wysyłania PIN-ów do kart płatniczych zwykłą pocztą i będzie je przekazywał klientom SMS-em. Wcześniej pasjonowałem się słynnym pay-passem (może trochę na wyrost, przeczytacie o tym w jednej z najbliższych notek), tudzież biometrią.

Dziś kolejny pomysł bankowców na unowocześnienie naszych kontaktów z nimi oraz uczynienie tych kontaktów bezpieczniejszymi. Bank Pekao, drugi największy gracz na rynku, obsługujący 3,5 miliona klientów, wprowadza dziś nowy sposób autoryzowania przelewów o nazwie PekaoToken. Podobno to najnowocześniejszy tego typu system dzialający w polskich bankach. Od środy bank z żubrem w logo będzie standardowo proponował tę nowinkę każdemu nowemu klientowi. Dla dotychczasowych klientów będzie to jedna z opcji do wyboru, obok haseł jednorazowych na papierze i kodów SMS-owych.

Czym różni się PekaoToken od kodów SMS? W przypadku tych ostatnich klient, który chce nadać przelew, zgłasza żądanie przesłania mu na telefon komórkowy indywidualnego kodu transakcji. Bank przesyła ów kilkucyfrowy kod, który klient przepisuje z ekranu telefonu do okienka przelewu w komputerze. A PekaoToken?

Pekaowska nowinka działa na podobnej zasadzie, co hasła SMS-owe, ale jest bardziej zaawansowany. Klient, chcąc wysłać przelew przez internet, musi uruchomić w telefonie specjalny program (będzie on zainstalowany tam, gdzie inne aplikacje, np. gry - link do programu bank prześle zainteresowanemu klientowi SMS-em). I wpisać do niego dwie dane: pierwszą są cztery ostatnie cyfry numeru konta zleceniobiorcy, zaś drugą - kod podany w na ekranie komputera (pojawi się po wypełnieniu danych do przelewu). Dopiero wtedy program w komórce (czyli token) wytwarza hasło, które - wpisane na ekranie komputera, zatwierdza przelew.

Jak to dokładnie działa od strony technicznej? Nie pytajcie, bo nie wiem. Zresztą to chyba sekrety technologiczne, których bank nie za bardzo ma ochotę ujawnić. Token ma działać na wszystkich popularnych komórkach, w trybie off-line (czyli nie trzeba łączyć komórki z internetem, by wygenerować hasło).

W Pekao twierdzą, że to bezpieczniejsze, niż hasła SMS-owe, bo wśród danych, które służą do wygenerowania hasła z tokenu, jest również końcówka numeru rachunku odbiorcy przelewu. Ma to wykluczyć możliwość podłożenia przez hakera innych danych przelewu „pod” dany zestaw haseł wymienianych między bankiem, a klientem. Podobno w przypadku systemu autoryzacji hasłami SMS-owymi takie działanie internetowych złodziei jest teoretycznie możliwe. Nie znam żadnego przykładu, by ktoś taką lukę wykorzystał w praktyce, ale rozmawiałem z pewnym informatykiem, który mętnie tłumaczył, że jest coś na rzeczy :-). Zresztą po tym, jak złamany został system zabezpieczeń kart, oparty na PIN-ach instalowanych w czipie (no dobra, może nie złamany, ale mocno nadwerężony), chyba nic już nie jest stuprocentowo bezpieczne.

Nie jestem w stanie sobie wyobrazić milionów klientów Pekao, którzy instalują na swoich komórkach programu-tokena i z radością zamieniają na nowy sposób autoryzacji swoje ukochane listy haseł jednorazowych lub megawygodne hasła SMS-owe. Nie da się ukryć, że ten nowy sposób jest ciut bardziej skomplikowany z punktu widzenia klienta. A wygoda i prostota to najbardziej potrzebne cechy każdej bankowości elektronicznej...

Przez jakiś czas będzie to rozwiązanie tylko dla fanów, choć Pekao chce je proponować domyślnie każdemu nowemu klientowi, by usługę jak najszybciej upowszechnić. A jak już się to uda, to... ruszy lawina. Taka jak ta z tego klipu. :-). Filmik jest na czasie, bo temat lawin śniegowych, spadających z dachów, jest ostatnio tematem z pierwszych stron gazet :-)