Jako wpływowy (sic!) blogger od czasu do czasu otrzymuję propozycje, nazwijmy to, "marketingowe". Zwykle je ignoruje i nawet o nich nie wspominam, ale tym razem robię wyjątek od tej reguły. Tym razem chodzi o Sofort Banking.
Sofort wciąż żyje
Pierwszy raz o Sofort Banking zrobiło się głośno chyba dwa lata temu. Przynajmniej w Polsce. Jeśli ktoś nie wie o co chodzi, krótkie przypomnienie. Sofort Banking oferuje usługę płatności on-line. Niby nic wyjątkowego, ale problem w tym jak ta usługa jest realizowana - użytkownik (płatnik) podaje swoje dane uwierzytelniające oraz dane wymagane do autoryzacji transakcji stronie trzeciej (właśnie Sofort) i to Sofort wykonuje operację w imieniu użytkownika.
Więcej informacji można znaleźć na przykład tutaj: Komisja Nadzoru Finansowego ostrzega przed pośrednikami w internetowych płatnościach. Również poszczególne banki publikowały podobne informacje ostrzegające klientów przed tego typu rozwiązaniami.
W tym miejscu pozwolę sobie zacytować fragment otrzymanej informacji:
Priorytetem firmy jest bezpieczeństwo użytkowników, dzięki czemu od jej powstania w 2005 r., w trakcie ponad 50 milionów transakcji, które zostały przeprowadzone za pośrednictwem tej metody płatności, nigdy nie doszło do nadużycia danych ani jednorazowego kodu weryfikacyjnego, które klient wpisuje w formularzu dokonując zakupu.
Jestem w stanie uwierzyć, że rzeczywiście nigdy nie doszło do nadużycia danych ani jednorazowego kodu weryfikacyjnego (choć osobiście raczej bym unikał stwierdzenia "nigdy", dość trudno jest udowodnić, że czegoś nie ma). To stwierdzenie jednak nie dotyka sedna problemu.
Sposób realizacji transakcji wykorzystywany przez Sofort jest sprzeczny z podstawowymi zasadami bezpieczeństwa, których banki starają się nauczyć swoich klientów:
- nigdy nie podawaj swojego hasła stronie trzeciej;
- nigdy nie podawaj danych do autoryzacji transakcji stronie trzeciej.
Sofort jest stroną trzecią i prosi nas o podanie czegoś, co powinno być podawane wyłącznie bankowi. (Głównym) problemem nie jest to, że Sofort te dane nadużyje. Problemem jest to, że użytkownicy są uczeni złych nawyków. W efekcie prawdopodobieństwo tego, że użytkownik poda swoje dane komuś, komu nie powinien (phishing), rośnie. I mogę zagwarantować, że w 99% takich przypadków "model biznesowy" będzie już zakładał nadużycie tych danych.
Na koniec - jak można nadużyć dane uwierzytelniające i kod jednorazowy do autoryzacji transakcji? W zasadzie skutki mogą być dwa:
- Ujawnienie danych;
- Wykonanie operacji innej niż zamierzona.
Gdyby druga sytuacja miała miejsce, klient byłby to w stanie zauważyć i w jakiś sposób zareagować. Problem jest z ujawnieniem danych. Nic nie ginie. Nikt nie wie, że ktoś na te informacje patrzył (sprawdzić, czy nie kryptografia kwantowa). Mało tego - patrzenie na te dane może być "autoryzowane" przez użytkownika (np. badanie zdolności kredytowej przez udostępnienie informacji o historii konta). Problemem jest tutaj wykorzystanie ujawnionych informacji do celów innych niż zamierzony ("autoryzowany" przez "właściciela informacji").
Jeśli ujawnione informacje wykorzystywane są w sposób "rozsądny", bardzo ciężko domyślić się, że właśnie tą drogą wyciekły. Żeby było jasne - nie twierdzę, że tak jest w przypadku Sofort. Twierdzę natomiast, że w ogólnym przypadku bardzo trudno jest stwierdzić, czy ujawniona informacja została następnie w jakiś sposób nadużyta.
Podobnie zresztą w innych kwestiach. Zakładasz konto w sklepie internetowym i za 5 sekund, Twoje tajne hasło przychodzi do Ciebie pocztą. No do cholery, jak zapomnę hasła to przecież można je zresetować. Dlaczego osoby, które piszą aplikację sklepową i teoretycznie powinny mieć większą świadomość, robią w ten sposób? Podobnie zresztą z wymogami odnośnie długości hasła. Wklepujesz swoje hasło, refren piosenki, fragment modlitwy (wersja dla babci) czy nazwy trzech najdroższych leków (też dla babci) a tu się okazuje - hasło musi mieć długość od 8 do 16 znaków i zawierać małe i wielkie litery oraz cyfry. No to ręce opadają i co z tego, że ojcu mówiłem jakie hasła ma stosować, ale w tekście Autobiografii nie występuje odpowiedni fragment, więc i tak wpisze Dupa1234. Ten ostatni przypadek mi się przydarzył niedawno i co najgorsze, w jakieś dużej firmie typu adobe, apple czy innym microsofcie.
Sofort, o którym piszesz, jest kolejnym tego typu czynnikiem, który wyrabia w ludziach złe nawyki.