Když jsem měl tu čest být na nějaké z přednášek nebo prezentací kryptologa Tomáše Rosy, působícího v Raiffeisenbank, odcházel jsem vždy z pocitem, že okamžitě přestanu používat internetové bankovnicví, platební karty včetně bezkontaktních a z mobilu se už do banky nikdy nepřihlásím. Už nikdy nevezmu do ruky mobilní telefon s operačním systémem a budu používat jen ty mobily, co umějí jen volat a psát. Na web, který nezačíná https, už nikdy nepáchnu a pečlivě budu kontrolovat všechny certifikáty, které na mě vyskočí.
Naštěstí z této paranoie jsem se dostal obratem poté, co sepnul selský rozum. Stačí si jednoduše dávat pozor, kam lezu, kam klikám, co potvrzuji a co stahuji. Nicméně ani přes maximální obezřetnost běžný člověk nemůže ovlivnit způsob, jak se chová ten či onen program. A je jedno, zda je instalovaný v počítači nebo v chytrém mobilu. Jen dobrý vývojář dokáže poznat, zda designově pěkná aplikace je zároveň bezpečná. Tedy zda pod rouškou božích mrkacích a kňučících pejsků, které rozhodně musíte mít (jsou přece free), náhodou neběží procesy, které by neměly být jen tak vidět pro případného útočníka. Zda po ukončení jinak uživatelsky příjemné aplikace náhodou nezůstávají viditelné klíče, podle kterých útočník získá přístupy. Pro bankovní aplikace toto platí dvojnásobně.
Z prezentací Tomáše Rosy jsem pochopil, že většina mobilních aplikací českých bank (zatím) tento problém má. Běžného uživatele chytrého mobilu tato bezpečnostní absence nepostihne, pokud snad náhodou nepatří mezi cíle sledování tajnými službami. Ale bát by se měli lidé používající iOS s jailbreakem či s rootnutým Androidem. Z takového mobilu by se do banky přihlašovat neměli (to se netýká vývojářů, kteří jistě potřebují zjistit chování aplikací na nezabezpečených mobilech). To netvrdím já, ale kryptogové. A nejen ten z Rajfky. Pokud nevěříte, rozhodně si přečtěte podrobný přehled, jak by měla být zajištěná bezpečnost mobilního banmovnictví ze strany banky i uživatele.
Asi před třemi měsíci jsem se dozvěděl, že i Raiffeisenbank bude mít svoji aplikaci pro mobilní bankovnictví. Proto mě zajímalo, jak dokáže vyřešit bezpečnostní otázku, když si na centrále chová „paranoidního kryptologa“ (bez urážky). Při náhodném setkání s vývojáři z Inmite, kteří aplikaci pro Rajfku vyrobili, jsem se jen dozvěděl, že je to pro ně „docela záhul“ programovat a že se při tom sami učí. A že fakt bude jiná, než ostatní. Pojďme se tedy na ten bezpečný zázrak podívat.
Aplikaci exkluzivně testovaly server Měšec.cz a portál iDNES.cz.
Apple a Google. Microsoft a Blackberry ne
Aplikace Mobilní eKonto je dostupná pro mobilní operační systémy iOS a Android. Windows a Blackberry zatím mají smůlu, RB je vnímá jako minoritní operační systémy. Aplikace pro iPady a androidí tablety budou o pár týdnů později, už se vyvíjejí.
Přímé odkazy na aplikaci Mobilní eKonto
Pět různých zařízení
Aplikaci můžete používat z pěti různých zařízení. Tím by mělo být zajištěno, abyste se na účet dostali ze soukromého i služebního mobilu či tabletu. Aplikace pro iOS a pro Android mají mírné designové odchylky, subjektivně je aplikace pro iOS hezčí, nicméně funkčně jsou obě totožné (zkoušeno na Apple iPhone 4S/64, iOS 6.0.1, Apple iPad 3/64, iOS 6.0.1, a ZTE Blade, Android 2.3.5)
Bezpečnost především
Podrobné parametry bezpečnosti najdete ve článku Bezpečnost mobilního eKonta. Mimo to si zapamatujte dvě čísla. 25 minut zbývá do odhlášení při nečinnosti a 2 minuty běží na pozadí. Poté se opět odhlásí. Jsou aplikace jiných bank, které se odhlásí okamžitě po stisknutí tlačítka home.
QR platby
Novinkou je podpora QR plateb. To znamená, že naskenujete QR kód a ten se přenese do příkazu k úhradě. Narozdíl od OCR skenování složenek, kde chtě nechtě existuje chybovost, skenování QR kódu je téměř se stoprocentní úspěšností, pokud jde o přenos naskenovaných dat. Jinými slovy, buď se sken provede a data jsou přenesena se 100% úspěchem, anebo se neprovede (např. pro špatnou viditelnost, nebo chybný QR kód). QR kódy budeme nyní častěji vidět na fakturách dodavatelů energií, telekomunikačních služeb, zhruba tisícovce eShopů apod. QR platba je velmi rychlá a příjemná, stačí jen načíst data, zkontrolovat a potvrdit platbu.
První oficiální podporu QR plateb sice (chytře) oznámila Komerční banka po nedělním update své aplikace Mobilní banka 2 (protože Raiffeisenbank čekala na úterní tiskovou konferenci), ale za samotným projektem stojí skromně dva lidé: Petr Dvořák a Aleš Dynda. Myšlenku two mens show podpořila oficiálně i Česká bankovní asociace a QR platba se tak stala standardem pro české mobilní platby. Mimochodem, z aplikace si můžete vygenerovat vaše číslo účtu v QR kódu.
Hledání nejlepší ceny
S aplikací Mobilní eKonto můžete naskenovat čárový kód a ten vyhledá (z databáze tajného dodavatele dat) informace, kde lze daný produkt koupit a za jakou cenu. Zapomeňte na zboží denní spotřeby, levnější máslo nebo jogurty s ní nenajdete. Ale relativně funguje při použití EAN elektronických výrobků prodávaných v ČR. Pro rychlou orientaci, zda se dá někde koupit levněji např. telefon či vysavač stačí.
Tip: Zatřeste si mobilem. Když budete mít spuštěnou záložku „Hledání nejlepší ceny“ a zaštěrcháte s mobilem, uslyšíte zvuk peněz v měšci. (A můžete si vzpomenout na náš server Měšec.cz.) Jde o funkci, kterou si tam navrhli sami zaměstnanci Rajfky. Mohli si vybrat, kterou fičuru by nechali naprogramovat a řinčící peníze v měšci zvítězily.
Sphere card
Aplikaci RB uvítají nejen její klienti. S ní totiž dostáváte i mobilní seznam obchodních míst, kde dostanete slevu po předložení slevové karty Sphere. Aplikace vám ukáže nejbližší obchodní místa v místě, kde se nacházíte, včetně adresy, kontaktů a výše poskytnuté slevy. Je to velmi praktické na rozdíl od hledání v oficiálním katalogu Sphere.
Kurzovní lístek
Kurzovní lístek není potřeba představovat, najdete v něm 18 měn. Kurzovní lístek vám bohužel neukáže historii, zná jen vždy aktuální stav.
Pobočky a bankomaty
S aplikací najdete pobočku RB jako po másle včetně bankomatů všech provozovatelů. Rozdíl je jen v tom, že bankomaty RB jsou žluté. Samozřejmostí je zobrazení na mapě a otevírací doba.
Zprávy jen z banky
Své bance stále přímou zabezpečenou zprávu nepošlete. Podobně jako v eKontu, tak i v jeho mobilní aplikaci jsou zprávy pouze jednostranným komunikačním kanálem z banky.
Úvěr za pár kliknutí do displeje
Jste-li aktivním klienty RB, pravděpodobně jste už viděli předschválené nabídky v internetovém bankovnictví. Stejné nabídky na úvěry, kontokorent, kreditní kartu či její navýšení limitu vidíte i v mobilní aplikaci. Stačí přečíst, potvrdit a žádost odejde ke schválení. Za pár minut máte výsledek a třeba peníze na účtu. (Teoreticky, neměl jsem to jak ověřit.)
Historie od doby Expandia banky
Vidíte kompletní, barevně odlišenou historii na účtu. Zajímavostí je, že historie je neomezená. Když jsem zadal datum pondělí 4. 5. 1998 (den oficiálního otevření Expandia banky), dostal jsem se až k počáteční historii na účtu. Na webu přitom vidíte posledních 365 dnů. Pokud si chcete nostalgicky zavzpomínat, máte příležitost.
Transakce a karty
S aplikací můžete zadávat jen jednorázové tuzemské platby, zato bez omezení výše částky. Naopak nelze zadávat, povolovat, měnit či rušit trvalé příkazy, inkasa či SIPO. Ty ani v aplikaci nevidíte. Neumí ani zahraniční platby.
U platebních karet vidíte jejich přehled včetně detailních limitů transakcí, vidíte i autorizace karetních transakcí. Nerozumím ale tomu, proč pro blokaci karty musím volat telefonního bankéře, když by z prostředí aplikace stačilo jen kliknout na (neexistující) tlačítko „zablokovat kartu“. Ke dni publikace článku nebyla funkční ani možnost kartu zamknout a odemknout, přestože tlačítko na tuto funkci existuje.
Samotné zadání platby je pohodové, jak manuálně, tak pomocí QR kódu.
Aktivace
Pro aktivaci aplikace se přihlásíte do internetového bankovnictví, kde nově máte menu „Mobilní bankovnictví“. Nejde o nic složitého, aktivaci zvládne každý majitel eKonta. Může se vám stát snad jen to, že budete rychlejší než systém, takže když na webu potvrdíte kódy dříve, než v telefonu, zobrazí se vám chybové hlášení. Toho se neděste a vše opakujte, poté jistě uspějete.
Zhodnocení
Jste-li klientem jiné banky a už využíváte jinou mobilní aplikaci, bude vám ta od RB připadat podobná, možná stejná. Každá banka má ve své aplikaci něco navíc, chce něčím přitáhnout, odlišit se. Spořka má skenování složenek, s Komerčkou si můžete hrát s různými simulacemi úvěrů a spoření, Citibank láká na slevy partnerů atd. Na druhé straně existují vyloženě uživatelsky nepřátelské aplikace. Aplikaci UniCredit Bank můžete mít jen jednu v jednom zařízení a bez přihlašovacích kódů s ní nic neuděláte. U Equa bank si musíte zvolit tak paranoidně bezpečné heslo, že si ho asi někam budete muset napsat a spolehlivě jej zapomenete, protože to vaše, na které jste zvyklí, nebude pro banku dost bezpečné. Další aplikace po vás chtějí vždy uživatelské jméno a heslo, máte-li více bank, musíte si minimálně přihlašovací loginy pamatovat nebo někam napsat.
Aplikace RB je v tomto ohledu opravdu jednoduchá. V základním módu i neklientům banky nabídne běžně použitelné služby a pro přihlášení a potvrzení transakcí jí stačí 4 až 8místný numerický PIN. Výjimečnou ji dělá hlavně vnitřní bezpečnostní architektura, kterou jen tak (podle RB) v současných bankovních aplikacích nenajdete. Toto sice běžný uživatel nepozná, ale podcenit bezpečnost se nevyplácí. Pro zajímavost, všimněte si, že mobilní aplikace konkurenčních bank mají většinou nastavené nízké limity pro platbu a s některými limity trvale nehnete. V aplikaci RB bezpečnostní limity chybí. Jestli jde opravdu o tak úžasný produkt, na který jsou RB a vývojáři hrdí, posuďte sami. Prostě si ji stáhněte a vyzkoušejte.
ČLÁNKY DO MAILU