Več slovenskih bank načrtuje oziroma so že pripravljene na skorajšnjo ukinitev potrjevanja spletnih plačil izključno z enkratnim geslom, ki ga uporabnik prek sporočila SMS prejme na mobilni telefon. Prehod na druge, zanesljivejše načine izkazovanja identitete plačnika finančnim institucijam v EU zapoveduje nova regulativa, ki začne veljati 14. septembra.
Strokovnjaki za informacijsko varnost že nekaj časa opozarjajo na pomanjkljivosti v signalizacijskem protokolu SS7, ki velja za hrbtenico usmerjanja telefonskih klicev, sporočil SMS in mobilnih podatkov.
Določene ranljivosti v protokolu SS7 je po mnenju strokovnjakov za informacijsko varnost nemogoče odpraviti, zato je treba za izmenjavo občutljivih vrst podatkov, kot so enkratna gesla za spletna plačila, čim prej najti in predvsem začeti uporabljati alternative, opozarjajo.
Predvsem kritična je ranljivost, ki morebitnemu napadalcu omogoča, da brez vednosti telekomunikacijskega operaterja prevzame nadzor nad uporabnikovo telefonsko številko. To mu lahko med drugim omogoči pooblaščanje spletnih plačil v uporabnikovem imenu. Treba je poudariti, da ne gre zgolj za teoretično možnost, saj so se takšni napadi že dogajali.
Evropski bančni organ (EBA) je 21. junija objavil tri sezname alternativ, ki jih bodo finančne institucije v EU lahko oziroma kar morale uporabljati namesto SMS OTP.
Ponudniki storitev plačil se bodo morali o identiteti plačnika ob izvedbi plačila prek spleta obvezno prepričati na vsaj dva od treh načinov za overjanje identitete. Ti so določeni po načelu:
- nekaj, kar veš (geslo, koda PIN, odgovor na varnostno vprašanje),
- nekaj, kar imaš (pametni telefon ali druga mobilna naprava, naprava ali kartica za generiranje digitalnih žetonov, koda QR),
- nekaj, kar si (biometrični podatki, kot so prstni odtis, roženica, obraz, glas, celo ritem srčnega utripa).
Biometrične lastnosti uporabnika veljajo za vrsto podatkov, ki jih je praviloma najtežje potvoriti, zelo težko oziroma (z izjemo največjih skrajnosti) v večini primerov nemogoče pa jih je tudi ukrasti.
Za Siol.net so priprave na postopno ukinitev potrjevanja plačil z SMS OTP in prehod na druge metode, ki so v skladu z direktivo PSD2 in standardi SCA, potrdili tudi v več slovenskih bankah.
"Sledimo vsem varnostnim zahtevam, ki jih na področju spletnega plačevanja predvidevajo slovenski in evropski bančni regulatorni organi. Tako imamo v načrtu tudi uvedbo varnejše oblike potrjevanja spletnih plačil od obstoječe, ki temelji na enkratni kodi, posredovani s sporočilom SMS. O uvedbi te rešitve bomo uporabnike spletnih plačil pravočasno obvestili," so pojasnili pri SKB.
V Delavski hranilnici so zatrdili, da skupaj s posrednikom, ki pri procesiranju spletnih plačil sodeluje tudi z večino drugih slovenskih bank, iščejo novo ustrezno rešitev, ki bo poenotena za vse uporabnike. Točnega datuma uvedbe novosti še ne morejo napovedati, bodo pa uporabnike o tem pravočasno obvestili.
Pri Gorenjski banki so medtem pojasnili, da imetnikom plačilnih kartic že zdaj ponujajo načine potrjevanja identitete, ki so v skladu z novimi zahtevami Evropske unije, zato drugih sprememb ne načrtujejo.
Odgovore Unicredita, NKBM, Sberbank, Abanke, banke Intesa Sanpaolo in NLB še čakamo, objavili jih bomo, ko jih prejmemo.
Preberite tudi:
Komentarji
5Pridružite se razpravi!
Za komentar se prijavite tukaj. Strinjam se s pogoji uporabe.
ROLI, točno tako. Nkbm ga je uvedla šele lani. Mislim pa, da to sploh ni slaba rešitev, saj gre za enkratno geslo, ki ga uporabnik vpiše takoj, potem pa to geslo ni več funkcionalno.
+5 - 1čudno, da naj bi bil stalen dodaten pin/geslo, ki ga lahko prestrežejo keyloggerji (skrit program, ki spremlja, kaj tipkate), in je nekje tudi shranjen za preverbo, bolj varen od gesla za eno uporabo, ki ga dobite po drugi (sms) poti.. biometrični podatki morajo biti tudi nekje shranjeni za preverbo.. dodatne kartice in čitalci pa so dragi in zahtevajo dodatne opravke za pridobitev..
+4 0Kako pa lahko ukradejo enkratno geslo? Proti shranjenim biometričnim podatkom ali geslom? Nekomu se je skisalo...
+2 0