Sprzętowe zabezpieczenia bankowości internetowej.

W Polsce banki stosują różne zabezpieczenia bankowości elektronicznej i są to głównie zabezpieczenia programowe takie, jak na przykład maskowanie haseł lub klawiatura ekranowa, które mają chronić klienta przed ewentualnymi keyloggerami. Innym przykładem może być wyświetlanie specjalnych znaków, ustalonych przez użytkownika bankowości elektronicznej, które pojawiają się na stronie logowania do banku, aby klient miał pewność, że jest na stronie banku, w skrócie, zabezpieczenie takie chroni użytkownika przed phishingiem.

Na dzień dzisiejszy, osobiście nie spotkałem się jeszcze z zabezpieczeniami sprzętowymi stosowanymi przez banki w Polsce, a miałem okazję korzystać z tego typu zabezpieczenia w Holandii, gdzie miałem konto w jednym z banków.

Bankowość w Holandii wygląda zupełnie inaczej, niż u nas w Polsce. W bankach nie ma w ogóle kas, pieniądze można tylko przelewać z konta na konto lub wypłacać z bankomatu. Rachunki można płacić przelewem również przy pomocy bankomatu ale specjalnie do tego przeznaczonego. Gotówką w banku można płacić ale nie w kasie, no bo przecież ich nie ma, tylko przez specjalny bankomat, a dokładniej przez... wpłatomat ;) Jest to bardzo wygodne rozwiązanie, przynajmniej w bankach nie ma dużych kolejek.

Wracając do tematu. Przy zakładaniu konta, można zamówić sobie tak, jak i u nas, usługę bankowości elektronicznej, klient dostaje specjalne urządzonko, które wygląda dosłownie jak kalkulator kieszonkowy, urządzenie po angielsku nazywa się random reader. Urządzenie jest na tyle małe, że spokojnie mieści się w kieszeni spodni, kurtki czy bluzy. Służy ono do odczytu danych z karty bankomatowej.

Garfika: www.frankwatching.com

Logowanie do bankowoście eletroniczej.

Czytnik działa niezależnie od systemu, nie jest nawet podłączany przez żaden kabel do komputera. Po włożeniu karty do czytnika, należy wcisnąć odpowiedni klawisz w zależności od tego, co chce się zrobić (zalogować do konta lub potwierdzić transakcję), użytkownik zostanie poproszony o kod PIN do karty, po podaniu prawidłowego PINu, zostanie wylosowane 8‑cyfrowe hasło potrzebne do zalogowania się na stronie banku. Żeby się zalogować, na stronie logowania trzeba podać numer konta, który jest wybity na karcie (numery kont są krótkie, czytnik dodatkowo wyświetla numer konta), numer karty, który również wybity jest na karcie i kod wygenerowany przez random reader.

Potwierdzenie transakcji.

Gdy użytkownik wykona już przelew, musi jeszcze potwierdzić transakcję, u nas najczęściej użytkownik dostaje sms z kodem, natomiast w przypadku zabezpieczenia sprzętowego wygląda to podobnie, jak przy logowaniu do konta. Należy ponownie włożyć kartę do czytnika, wcisnąć odpowiedni klawisz (potwierdzenie transakcji), użytkownik znowu zostanie poproszony o kod PIN, po podaniu prawidłowego PINu należy podać czytnikowi karty kod wygenerowany przez stronę internetową banku, jeśli kwota przewyższa 500 euro, jako drugi kod należy podać kwotę przelewu i zatwierdzić. Jeśli wszystko się zgadza, tym razem czytnik wygeneruje kod potrzebny do zrealizowania przelewu, kod ten należy podać na stronie banku i jeśli wszystko się zgadza, przelew zostanie zrealizowany.

Wady i zalety.

Po co w ogóle o tym piszę? Ponieważ jest to dość ciekawe rozwiązanie i cieszyłoby mnie, gdyby było w przyszłości stosowane również w Polsce, a z drugiej strony jako ciekawostkę. Zabezpieczenia programowe stosowane w polskich bankach zapewne są dostatecznie bezpiecznie i wystarczające ale... no właśnie są wystarczające, za to zabezpieczenia sprzętowe oferowane przez banki holenderskie są zarówno bezpieczne, jak i wygodne, ponieważ:

- nie trzeba wymyślać, a tym bardziej pamiętać żadnych haseł, ponieważ jest ono losowane przy każdym logowaniu i osobno losowane przy transakcjach; - bez obaw można korzystać z bankowości internetowej na dowolnym komputerze, zarówno na komputerze znajomego, który może mieć zainstalowane wirusy w systemie, jak i w kafejce internetowej bez obaw, że ktoś pozna hasło do mojego konta; - nawet jeśli jakiś złodziej pozna numer mojego konta i numer karty, nadal pozostaje bez hasła, które jest losowe; - żeby wygenerować hasło, złodziej musi być w posiadaniu karty i znać kod PIN, dlatego kod powinien być strzeżony.

Jedyne wady tego rozwiązanie jakie można wymienić:

- kartę i czytnik trzeba mieć zawsze przy sobie, aby się zalogować do banku lub wykonać transakcję. Jednak urządzenie jest na tyle małe, że można spokojnie nosić je w kieszeni lub saszetce ale dla niektórych osób może to być uciążliwe; - trzeba strzec karty i kodu PIN.

Pomimo tych wad, jest to bardzo dobre rozwiązanie i mam nadzieję, że kiedyś zostanie wprowadzone również i u nas.