PSD3: Po novem potrjevanje spletnih plačil brez pametnega telefona

Da je to vsekakor smiselna sprememba in da niti pod razno ne bo pomenila tega kar ti potegneš v zaključku. Sprememba se nanaša zgolj na to da bo potrebno omogočiti potrjevanje spletnih plačil in nakupov (beri plačevanje online s kartico) na alternativen način, ki ne bo zahteval uporabe mobilnega telefona. V 99% primerov bo to pomenilo povratek "kalkulatorčkov" za tiste, ki bodo to želeli.

zkproof ne rabi neta.

Jaz imam račun pri Sparkasse in za enkrat še vedno uporabljam tak kalkulatorček za dostop. Lahko ga uporabim za dostop do spletne banke in za potrjevanje plačil preko klasičnega IBAN nakazila. Ne morem ga pa uporabljati pri potrjevanju plačil preko njihovih Mastercard debetnih/kreditnih kartic, ker te funkcije niso dodali v spletno banko, samo v mobilno. Kljub temu pa sem bil malo razočaran, ko so lani oktobra spremenili pogoje poslovanja in s tem te njihove kalkulatorčke enkratnih gesel prenehali izdajati. Meni so te napravice veliko bolj všeč, kot pa kaka aplikacija, saj so ločene naprave brez dostopa do omrežja, zato pri njih ne more priti do okužbe s kakimi virusi, ipd. Gledam pa druge banke, ki počnejo podobno in ukinjajo te naprave. Ena izmed bank, ki jih zaenkrat še ponuja, je BKS banka.

RSA ključek je bil čisto OK.

Potrjevanje v brskalniku samem, kot navaja OP, bi precej znižalo raven varnosti. Mora bit nek tretji device, po možnosti brez internetne povezave.

Knowledge factor

This is something you know. It can't be physically lost or found, but it can be copied -- like a password or PIN code.

Possession factor

This is something you have that can't be easily copied, but can be stolen -- like a bank card or physical key.

Inherence (biometric) factor
This is something you are, which can't be easily faked -- like a fingerprint or face ID.

Kaj pa tale FIDO2 U2F tehnologija, ki je v bistvu nek pameten USB ključek (npr. YubiKey ali NitroKey), ki ima naložen certifikat na zaščitenem mediju? Dovolj je, da imaš tak ključek vtaknjen v računalnik in ti ga potem brskalnik zazna. Pri prijavi v spletno stran pa te potem sistem avtomatsko prepozna in omogoči login. Se tega nihče ne poslužuje?

https://fidoalliance.org/fido2/

delavec44 je 10. sep 2024 ob 11:52 izjavil:

Je na sparkasse možno spletno plačilo z novimi karticami, če nimaš spletne ali mobilne banke kar je spet dodaten mesečni strošek?

Če te pravilno razumem, mislim, da ni povsem. Ti ponavadi potrebuješ dostop do neke elektronske storitve, preko katere lahko potem plačila potrjuješ in izvajaš. Čeprav nisem čisto prepričan kako je s tem. Po zakonu naj bi vsi spletni trgovci v EU zahtevali močno avtentikacijo strank, ampak mislim, da so tudi izjeme. Npr. meni se je zgodilo, da so mi ponekod težili, drugje pa nič. Pri nemškem amazon.de mi še nikoli ni bilo treba kakšnega nakupa potrjevati ločeno, na Steam-u pa so vedno težili.

Lahko bi bilo to potrjevanje preko telefona vsaj brezplačno, ne da pogojujejo z mobilno banko in jo mesečno zaračunavajo. Bi raje EU to odredila, če želi imeti dostopno vsem.

Vsaj za nekatere banke vem, da imajo ločene mobilne aplikacije za potrjevanje plačil. OTP banka in NLB recimo (mDenarnic@ in NLB Pay), verjetno pa še kaka. Pri teh torej prav mobilna banka ni pogoj.

V vsakem primeru se vse plača na nek način. Če ne zaračunavajo posebej, se pač strošek izdelave in vzdrževanja teh sistemov pokriva skozi ceno vodenja računa oz. bančnega paketa.

ja, to bi pilo vodo, če bi govorili o tem, da uvajajo neke dodatne zahteve za dobrino/storitev, ki je v osnovi zastonj oziroma regulirana. Samo plačilne kartice niso nekaj kar bi ti moralo pripadat brezplačno. V bistvu še bančni račun ni nekaj kar mora bit brezplačno na voljo, kaj šele dodatne storitve. Se pa povsem strinjam, da bi banke morale omogočat app za potrjevanje transkacij ločeno od mobilne banke, samo IMO je to dobra volja banke. Zagotovo pa tudi alternativne rešitve, ki so zahtevane s PSD3 ne bodo brezplačno na voljo, ker si ne znam predstavljat, da bi jih banke implementirale brez dodatnega hardweara,

Kar se pa SMS tiče, pa mislim, da že že pri PSD2 ni bilo čisto jasno ali SMS zadostuje ali ne. EBA je izdala menenje da ja, ampak ne v smislu, da je SMS kot tak oziroma njegova vsebina OK, ampak se je nanašalo na to, da je preko SMS mogoče izpolnit element posesti (something you have) v kontekstu posesti sim kartice. Ključen problem SMS je, da PSD2 zahteva, da mora bit izmenjava informacij narejena na varen način, ki zagotavlja zasebnost, kar pa plain tekst sporočilo, ki ga je relativno enostavno prestreč ne izpolnjuje. IMO uporaba SMS kot OTP ne bi zdržala v primeru zlorabe, kot ustrezen način zagotavljanja varnosti po PSD2.

Zato so tudi banke po večini opostile to verifikacijo, oziroma se uporablja v omejenem obsegu, recimo pri migraciji na nov aparat v kombinaciji z drugimi varnostnimi elementi.

Predvidevam da PSD3, podobno kot PSD2 ne be eksplicitno deifnirala ali je SMS ok ali ne, ampak da bo to v veliki meri odvisno od tega zakaj in kako bo SMS potencialno uporabljen.

Osnovni problem SMS v konkretnem kontekstu pa je v tem, da morata nujno bit izpolnjena dva pogoja in če imaš zgolj OTP kodo na SMS to še ni dovolj za verifikacijo online plačila. Zato je app na telefonu dejansko najenostavnejša implementacija, ker ob enem lahko izpolni pogoj something you have (sam aparat) in something you know (koda za dostop do appa) oziroma something you are (če se namesto kode uporabi biometrija). Zgolj z SMS to ne pije vode, ker plaint tekst sporočilo ni varno skladno z zahtevami PSD.

Je pa treba pazit, ker tukaj se pogovarjamo o verifikaciji spletnih plačil. Zato je tudi zahteva, da tak sistem deluje offline popolnoma zgrešena.

Zanimivo je tudi, da bo nova direktiva PSD3 odpravila določene omejitve pri avtentikaciji.
Pri trenutni PSD2 morata biti pri avtentikaciji uporabljeni dve ločeni kategoriji izmed naštetih treh, pri PSD3 pa to ne bo več zahtevano.
Lahko se bo uporabila tudi kombinacija dveh enakih skupin npr. dva gesla (2x nekaj, kar veš).