Bezpieczeństwo bankowości mobilnej

Przeczytaj także: Publiczne komputery a wyciek danych

Telefon komórkowy w coraz większym stopniu technologicznie i funkcjonalnie upodabnia się do komputera w związku z tym, zagrożenia przed jakimi potencjalnie stoi użytkownik bankowości mobilnej są analogiczne do zagrożeń w bankowości elektronicznej, tj. wirusy, phishing, spyware, itp.

Pomimo, że współczesne telefony komórkowe oferują szereg zabezpieczeń, odpowiedzialność za poufność oraz bezpieczeństwo danych wrażliwych i operacji wykonywanych przez użytkownika, spoczywa na dostawcy aplikacji. Wachlarz zabezpieczeń jest szeroki, obejmuje m.in. różnorodne sposoby uwierzytelniania użytkownika, autoryzacji transakcji bankowych oraz szyfrowanie danych poufnych i finansowych na urządzeniu oraz transmisji danych pomiędzy aplikacją, a systemem bankowym.

Rodzaje zabezpieczeń

Klasycznym rozwiązaniem jest zastosowanie haseł maskowanych - system wymaga podania wybranych znaków z hasła, co zabezpiecza przed przechwyceniem go przez programy szpiegujące, w związku z tym nawet jeśli ktoś podejrzy wpisywane przez Ciebie znaki i tak nie uda mu się zalogować na Twoje konto, bo system za każdym razem wymaga innych znaków. Podczas logowania w kolejne aktywne pola należy wpisać odpowiadające im znaki z hasła do logowania. Dodatkowym elementem stosowanym do autoryzacji pojedynczych zlecanych operacji są hasła jednorazowe SMS oraz hasła jednorazowe – przesyłane przez bank w postaci nieaktywnej listy haseł, która przed użyciem musi zostać aktywowana.

• otrzymując przesyłkę z hasłami jednorazowymi upewnij się, że jest w nienaruszonym stanie
• otrzymane listy haseł jednorazowych przechowuj w bezpiecznym miejscu i nie udostępniaj innym osobom
• hasła jednorazowe są wymagane w internetowym serwisie transakcyjnym oraz aplikacji mobilnej, żaden bank nie prosi o podawanie haseł jednorazowych operatorowi lub konsultantowi w placówce,
• w przypadku zagubienia lub podejrzenia, że Twoja lista z hasłami jednorazowymi mogła być przez kogoś poznana (np. skopiowana) natychmiast zablokuj listę,
• hasła jednorazowe służą wyłącznie do zatwierdzania pojedynczych dyspozycji w internetowym serwisie transakcyjnym oraz podczas korzystania z kanału mobilnego – hasła nie są wymagane podczas logowania do serwisu transakcyjnego, przeglądania historii operacji na rachunku oraz zatwierdzania jakichkolwiek operacji w serwisie, których nie byłeś inicjatorem.

Jeśli wymagany jest najwyższy stopień bezpieczeństwa transakcji i poufności danych, możliwe jest też wprowadzenie rozwiązań sprzętowo programowych w postaci kryptograficznych kart SIM lub kryptograficznych kart MicroSD, które zapewniają najwyższy możliwy poziom bezpieczeństwa danych poprzez ich szyfrowanie i podpisywanie podpisem elektronicznym. W tym przypadku wszelkie operacje związane z bezpieczeństwem danych, tj. operacje kryptograficzne, prowadzone są w procesorze kryptograficznym specjalnych kart SIM lub MicroSD przy użyciu umieszczonego w nich klucza kryptograficznego.

„Co ciekawe, podpis dokumentu elektronicznego lub transakcji wykonany przy użyciu telefonu komórkowego, może nieść za sobą skutki prawne identyczne z podpisem odręcznym dokumentu papierowego. Istnieją więc rozwiązania techniczno-prawne pozwalające na bezpieczne podpisywanie umów bankowych np. o otwarcie konta, wydanie karty kredytowej czy kredyt gotówkowy w kanale mobilnym” – mówi Krzysztof Cetnarowski wiceprezes Mobile Experts sp. z o.o.

Innym ciekawym rozwiązaniem dostępnym na telefonach komórkowych jest mobilny token. mTOKEN jest dedykowanym systemem pozwalającym na silne uwierzytelnianie użytkowników za pomocą kodów jednorazowych generowanych przez aplikację J2ME (JavaPhone) instalowaną bezpośrednio w telefonie komórkowym. Aplikacja dzięki użyciu zaawansowanych algorytmów kryptograficznych pozwala na jednoznaczną i niezaprzeczalną identyfikację użytkownika. Oferuje on poziom bezpieczeństwa analogiczny do używanych przez banki tokenów sprzętowych, jednak bez konieczności noszenia przy sobie dodatkowego urządzenia. W celu osiągnięcia maksymalnego stopnia bezpieczeństwa, tu również mogą być zastosowane rozwiązania sprzętowo-programowe z zastosowaniem kryptograficznych kart SIM lub MicroSD.

Banki coraz częściej odchodzą od rozwiązań przeglądarkowych dostosowanych do urządzeń mobilnych na rzecz dedykowanych aplikacji bankowości elektronicznej. Aplikacje oferują lepszą wygodę dostępu do bankowości mobilnej jednocześnie zapewniając znacznie wyższy stopień bezpieczeństwa i odporności na ataki. W przypadku bankowości mobilnej  w wersji aplikacyjnej istnieje też możliwość nadzoru nad kanałem dystrybucji aplikacji, tj. drogą dostarczenia jej od zaufanego źródła do telefonu użytkownika. Możliwe jest też zastosowanie w samej aplikacji znacznie szerszego wachlarza mechanizmów bezpieczeństwa, jak silne uwierzytelnienie użytkownika i silne szyfrowanie i bezpieczny podpis transakcji.