Mobilní platby: Zabezpečí vás při nich lépe hardware, nebo software?

Google oznámil svou platformu Android Pay a jedná s operátory o předinstalaci tohoto systému do telefonů se systémem Android. Samsung zase o prázdninách v Evropě zprovoznil svůj vlastní platební systém Samsung Pay, PayPal se oddělil od firmy eBay a koupil dodavatele platební technologie, firmu Xoom.

Pro spotřebitele se rozhodnutí pravděpodobně zredukuje na to, zda mít telefon iPhone nebo Android a jaké aplikace je snadnější používat a jsou akceptované většinou obchodníků.

Obchodníci pokračují v implementacích podpory pro mobilní platby. Naštěstí se nebudou muset rozhodovat mezi podporou platforem Apple a Google – přidání podpory pro jednu automaticky znamená schopnost akceptovat druhou.

Ale co používané back-endové technologie? Jak na tom jsou z hlediska bezpečnosti? Podle bezpečnostních expertů existuje několik způsobů realizace a každý má své vlastní bezpečnostní důsledky.

Hardware versus software

Hlavním rozdílem mezi platformou Apple Pay a většinou ostatních mobilních platebních platforem je, že Apple Pay používá hardwarové zabezpečení a bezpečnostní prvek uvnitř telefonu, chráněný proti neoprávněné manipulaci.

V telefonech iPhone se pro další zabezpečení používá kombinace se čtečkou otisků prstů.

Podle Adama Kujawy, šéfa antimalwaru ve společnosti Malwarebytes, se nepřenášejí žádné nešifrované osobní údaje. Jediné dosud ohlášené bezpečnostní problémy se týkají úvodního nastavení, kdy podvodníci dokázali přesvědčit operátory k přiřazení ukradených platebních karet ke svým telefonům iPhone.

Zloději by navíc teoreticky mohli dokázat oklamat čtečky otisků prstů a uskutečnit neoprávněné platby, uvádí Kujawa. Největší nevýhody platformy ApplePay však podle něj nejsou technické, ale spíše praktické.

Tyto telefony jsou totiž relativně drahé a neexistuje žádný způsob placení v případě, když například dojde k vybití baterie iPhonu.

Hlavní alternativou pro bezpečnostní prvek je HCE (Host Card Emulation – hostitelská emulace karty, kterou v tuzemsku nyní začíná jako prý první lokální banka provozovat Komerční banka). Je to softwarová alternativa k hardwarově založenému zabezpečení a používá cloudový tokenizační proces.

„Z bezpečnostního hlediska poskytuje HCE nejlepší ochranu, protože šifrování a předávání vašich finančních informací je v rukách příslušné banky a neexistuje spojení mezi platebními informacemi a samotným zařízením v případě, že dojde k jeho krádeži,“ tvrdí Kujawa.

Existuje zde však riziko, že by mohly speciálně vytvořené škodlivé aplikace unést proces HCE a ukrást uživatelům peníze.

Ideální kombinací by podle Kujawy byl bezpečný prvek v zařízení v kombinaci s HCE a biometrickou autentizací.

Mobilní telefony versus web

Přes všechny diskuze týkající se ApplePay a toho, co Google a Samsung mohou nebo nemohou dělat, nemá většina uskutečněných mobilních plateb se žádnou z těchto technologií nic společného.

Namísto toho jsou webové platby vykonané jednoduše prostřednictvím prohlížečů v mobilních zařízeních nebo specializovaných aplikacích. Například Amazon má nákupní aplikaci pro chytré telefony či tablety a PayPal disponuje mobilní aplikací, která vám umožní poslat peníze přátelům.

Podle platební společnosti Adyen tyto dva druhy mobilních plateb tvoří 27 procent všech on-line plateb v prvním čtvrtletí letošního roku, což je nárůst o 39 procent ve srovnání se stejným obdobím loňského roku.

Malá část těchto mobilních plateb se týká lokálních nákupů – například tak můžete platit v kavárnách Starbucks a za svou jízdu s využitím služby Uber pomocí jejich aplikací.

Tyto osobní mobilní platby vytvořily podle agentury Forrester Research jen v USA obrat 3,74 miliardy dolarů. Forrester však očekává, že porostou rychleji než další druhy mobilních plateb a do roku 2019 dosáhnou 34,2 miliardy dolarů.

S ohledem na bezpečnost je nevýhodou tohoto přístupu totéž co u jakéhokoli webového platebního systému, popisuje Andrew Blaich, bezpečnostní analytik ve společnosti BlueBox Security. Pokud by došlo k úniku dat, mohli by počítačoví zločinci potenciálně ukrást všechny uložené finanční informace o uživatelích.

„Pokud někdo ukradne vaše uživatelské jméno a heslo, může se za vás vydávat a vaším jménem i platit,“ upozorňuje Blaich.

Kromě toho může dojít ke kompromitaci samotných mobilních aplikací, popisuje Andrew McLennan, viceprezident společnosti Metaforic, která se zaměřuje na mobilní bezpečnost. To se již stalo oběma aplikacím – Starbucks i Uber.

Hackeři mohou stáhnout aplikace, udělat root zařízení, v případě potřeby vypnout bezdrátovou konektivitu a poté vynaložit veškerý potřebný čas k analýze aplikací.

„Jakmile to dokončí, mohou na základě získaných informací vytvořit zbraně pro hromadné útoky – od jednoduchých krádeží po zákeřnější sbírání osobních dat pro budoucí použití daleko od původní aplikace,“ varuje McLennan.

Není to buď, anebo

Vzhledem ke způsobu, jakým funguje technologie NFC, pokud terminál akceptuje jeden platební systém, například Apple Pay, potom dokáže automaticky akceptovat další, jako je například Google Wallet...

Tento příspěvek vyšel v Security Worldu 3/2015.Oproti této on-line verzi je výrazně obsáhlejší a přináší další poznatky a tipy, které lze využít při praktické implementaci u vás ve firmě.

Časopis (starší čísla i předplatné těch nadcházejících) si můžete objednat na adrese našeho vydavatelství.