Mobilny kanał dostępu do banku
-
- 20.04.2010
Dobrym modelem jest rejestracja aplikacji w systemie z użyciem dodatkowego elementu zaufania, takiego jak klucz startowy, udostępniany poza głównym kanałem komunikacji. Po zarejestrowaniu, po obu stronach uzgodnione zostają informacje związane z daną aplikacją w konkretnym urządzeniu. Próba modyfikacji oprogramowania spowoduje alarm lub zablokowanie aplikacji, podobnie nieautoryzowane przeniesienie jej na drugi telefon.
"Chociaż nie jest to w pełni dwuskładnikowe uwierzytelnienie, aplikacja umożliwia identyfikację z użyciem numeru seryjnego telefonu, danych w karcie SIM lub certyfikatu umieszczonego w telefonie. W przypadku przeniesienia aplikacji do innego telefonu albo nie będzie ona działać, albo będzie wymagać ponownej rejestracji w systemie teleinformatycznym banku z użyciem dodatkowych elementów zaufania" - mówi Michał Sieczko.
Poważną zaletą aplikacji mobilnej jest potencjalnie znacznie silniejsza ochrona przekazywanej informacji oraz lepsza identyfikacja urządzenia w porównaniu do serwisu internetowego. Przeglądarka korzysta tylko z SSL, przy czym bank nie może w żaden sposób upewnić się, że z serwisem łączy się właściwy użytkownik. Zabezpieczenie WWW przed przejęciem sesji wcale nie jest proste, tymczasem aplikacja mobilna może - razem z wiadomościami związanymi z obsługą operacji na rachunku bankowym - przesyłać informacje uwierzytelniające.
"Dla lepszej ochrony stosuje się wielokrotne ukrywanie informacji - część komunikatów może być zaszyfrowana z użyciem szyfru RC-4, a następnie całość zaszyfrowana algorytmem AES-256. Produkt takiego szyfrowania jest wysyłany w połączeniu SSL, przy czym każdy z używanych kluczy jest generowany inaczej. Dzięki stosowaniu różnych kluczy i dołączeniu informacji uwierzytelniających w każdym zestawie wysyłanych i odbieranych danych, przejęcie sesji w aplikacji mobilnej jest niesłychanie mało prawdopodobne" - wyjaśnia Michał Sieczko.
W zależności od platformy, dla której pisane jest dane oprogramowanie, wybiera się różne narzędzia. Najpopularniejszą platformą telefonów klasy smartphone w Polsce jest Symbian OS, przy czym najszerszy rynek może mieć aplikacja napisana w Java J2ME, gdyż standard ten jest obsługiwany przez wiele telefonów. Przy tworzeniu aplikacji dla systemu Symbian wykorzystuje się środowisko IDE o nazwie Carbide, które jest odpowiednio przystosowanym do języka C++ i platformy zestawem narzędzi z Eclipse. Udostępniono także SDK zawierający emulator programowy telefonu oraz niezbędne biblioteki programistyczne.
Aby zapewnić integralność i autentyczność wyprodukowanej aplikacji, wykorzystuje się system podpisywania plików certyfikatami. Firmy rozwijające oprogramowanie mają możliwość podpisania aplikacji publicznym certyfikatem, a następnie dowolnie go dystrybuować zgodnie z potrzebami. Podpisanie odbywa się za pośrednictwem fundacji Symbian, po uprzednim spełnieniu przez aplikację określonych kryteriów (potwierdzonym przez niezależny Test House). Wybrane firmy (np. Psiloc) posiadają status self-certifier i same mogą publikować podpisane publicznym certyfikatem oprogramowanie co przyśpiesza cały proces wypuszczenia na rynek (nie trzeba przechodzić przez test house). Plik SISX jest instalowany w dowolny sposób w telefonie - przez Internet, w połączeniu Bluetooth lub WiFi, poprzez karty pamięci lub przy bezpośrednim połączeniu kablowym USB. W przypadku innych platform mogą wystąpić ograniczenia narzucone przez producenta. Przykładowo publikacja aplikacji dla iPhone wymaga wcześniejszej weryfikacji kodu przez Apple, co wydłuża czas wydania danego oprogramowania i nie gwarantuje udostępnienia produktu użytkownikom.
