Jenom BLBEC (tím nemyslím běžné "BFU", ale banky) může udržovat současný systém platebních karet v době, kdy je velmi dobře zvládnutá technologie elektronického podpisu (teoreticky neexportovatelným) soukromým klíčem uloženým na kartě. Před deseti lety jsem programoval čipové karty a už tehdy to byla klasika, žádný výzkum nebo ultramoderní hypertechnologie.
Když strčím kartu do nedůvěryhodné čtečky a zadám PIN, riskuji, že jsem teď jednou poslal jinam jiné množství peněz nebo že mi to kartu zablokuje. Lumpárny končí s vytažením karty. Když platím sdělením údajů ke kartě, vydávám se na milost a nemilost napořád. Rizika jsou pro platícího, příjemce i banku (rizika banky a příjemce tak či onak stejně nakonec zaplatí klient nebo daňový poplatník). Jinak karty považuji za paskvil, je to jakýsi duplicitní platební styk. Kdyby mezibankovní převody fungovaly tak, jak by měly (max. pár vteřin a nikoli dnů), tak by byly karty úplně zbytečné.
Když opomenu historický kontext (karta znamenala materializaci faktu, že banka někomu přiznala úvěr), tak karta představuje fakticky jednoduchou přednastavenou formu souhlasu s inkasem (ať už z běžného nebo úvěrového účtu).
Běžný bezhotovostní platební styk nepředstavuje plnohodnotnou alternativu, protože je s ním zkrátka více práce.
A co se týče té nedůvěryhodné čtečky: já jsem se ptal, jestli se BFU odváží do ní tu kartu strčit a PIN zadat. Tj. jestli BFU bude mít Vaši bezmeznou důvěru v neexportovatelnost privátního klíče. Která mimochodem zřejmě tak bezmezná není, protože v prvním postu píšete o teoretické neexportovatelnosti.
S kterou v současné době běžnou formou to porovnáváte?
Podle mne autorizace transakcí bez fyzické přítomnosti jednorázovým heslem zaslaným přes SMS přináší poměrně vysokou míru bezpečnosti.
Podle mne v některých ohledech dokonce vyšší než to, co navrhujete Vy: správně vyřešená dvoukanálová autorizace v podstatě eliminuje ohrožení spočívající v tom, že Váš vlastní počítač bude kompromitován, protože můžete srovnat údaje, které vidíte na počítači a údaje v SMS. Pokud budete spoléhat jen na soukromý klíč na kartě a PIN, jste svému počítači vydán na milost a nemilost.
Samozřejmě, pokud "zabezpečení" spočívá jen v tom, že část textu opisujete z přední strany karty a část ze zadní, o žádné zabezpečení nejde. Ale zase je to komfortní. A spousta BFU ten komfort oceňuje, zejména když ví, že v rámci neautorizovaných transakcí nesou ztrátu jen do 150 EUR (= zbytek jde k tíži banky).
... a klávesnici, abyste PIN zadával přímo na kartě a ne na počítači.
Kromě ceny bych se obával i mechanické zranitelnosti takového zařízení, pokud by mělo být natolik tenké, aby se dalo nosit v peněžence. Míval jsem několik kalkulaček o rozměrech (ovšem asi 5x tlustší) kreditní karty, ale žádná neměla velkou životnost.
Ale tím se dostáváme daleko od původní otázky, která zněla, jestli řešení s certifikátem a čipovou kartou má až o tolik větší přidanou hodnotu oproti platbě platební kartou se sekundární autorizací jednorázovým heslem zaslaným přes sms.
Ano, máte pravdu, pro dosažení (teoreticky) 100% bezpečnosti by musela karta zobrazit, co a kam posílá a PIN by se musel vyťukávat přímo na kartě. (Což je nereálné.) Mně by plně uspokojila varianta, kdyby se PIN vyťukával na čtečce, částka by se zobrazovala na čtečce a karta by podepisovala soukromým klíčem, který by z ní bylo tak těžké vymlátit, jako z rozumě nakonfigurovaných dnešních čipových karet. I to by byl velký krok vpřed. Drogy, šlapky, ilegální windows nebo zbraně od pašeráků bych tímhle způsobem neplatil (což by mi až tak nevadilo :-) ), ale placení v jakémkoli aspoň trochu normálním obchodě by už o strach nebylo.
Velmi zjednodušeně máte samozřejmě pravdu. Ďábel je ovšem v detailu. Aby se Vaše představa s platebními příkazy vyrovnala dnešním platebním kartám,
(1) musela by se vybudovat infrastruktura, která by nejen umožnila klientovi autorizovat platbu, ale také by informovala obchodníka, že peníze už přišly. A všechno by muselo být ďábelsky rychlé, abyste nezdržoval na kase. Místo toho, že u karet řešíte v reálném čase jen autorizaci, že platba může proběhnout, muselo by v reálném čase proběhnout (i) předání pokynu z terminálu Vaší bance, (ii) vygenerování a předání platby do clearingového centra, (iii) předání platby bance obchodníka a zaúčtování na účet obchodníka a (iv) informování obchodníka že platba proběhla. Tuto potřebu v současné době eliminuje karetní asociace, která prostřednictvím složité struktury smluv garantuje, že peníze přijdou, byť za několik dnů.
(2) tuhle infrastrukturu byste musel protáhnout i do zahraničí, tj. takhle ďábelsky rychlý (a unifikovaný) by musel být i zahraniční platební styk.
(3) musel byste vyřešit situace, kdy core systém Vaší nebo obchodníkovy banky nebo clearingové centrum bude off-line, ať už z důvodu poruchy, nebo nějakých výpočtů "konce dne/měsíce/roku". V současné době se to řeší tím, že v systému jsou na řadě úrovní různé stand-by limity, které umožní autorizaci i v případě, kdy některý článek autorizačního řetězce vypadne.
(4) stejně by z pohledu uživatele bylo žádoucí, aby tento mechanismus platebního styku byl nezávislý na mechanismu, kterým autorizuje stávající platební styk, protože jinak by hrozilo, že se zablokováním kompromitované karty či ztrátou karty odřízne od běžného platebního styku.
V rozvojových zemích takhle "ďábelsky rychlou" infrastrukturu mají (konkrétně třeba i Indii), takže to vybudovat lze. Důvod, proč to tam mají, je ten, že se tam lidi tak často podvádí, že jinak než "z ruky do ruky" se nic neprodává. A takto rychlé bankovní operace ten prodej "z ruky do ruky" simulují.
A proto se podle indické centrální banky v Indii 60% bezhotovostních plateb realizuje papírovými instrumenty jako jsou šeky?
http://www.rbi.org.in/scripts/PaymentSystems_UM.aspx
Jinak jsem se na uvedeném odkazu dočetl, že v Indii vypořádání plateb probíhá v hodinových intervalech a okamžité vypořádání je pouze pro platby od 200 000 rupií výš (kurzový ekvivalent asi 70 000 Kč, ovšem při přepočtu podle parity kupní síly spíš tak 130 000 Kč).
Při těchto omezeních je samozřejmě mnohem snažší vybudovat robustní infrastrukturu, i proto, že při této velikosti transakcí jsou snesitelné náklady, které by při běžných transakcích snesitelné nebyly.
Jenomže tato omezení současně znamenají, že nejde o použitelný ekvivalent karetních plateb.
Jinak já netvrdím, že je nemožné takto ďábelsky rychlou infrastrukturu mít. Ale je to drahé, což je poměrně významná komplikace.
Tak si říkám, že pro klienta je tím výhodnější, čím méně informací bance sdělí. Pokud jen suše nahlásí, že "platbu u Syntotu neprovedl", musí mu banka neprodleně peníze vrátit.
Když řekne, jakým způsobem (pravděpodobně, protože (opravdu hodně) teoreticky může jít o shodu náhod a podvodník se k údajům mohl dostat i jinak) se podvodník k údajům dostal, může se banka točit právě na tom, že nedostatečně ochránil informace o své kartě.
Na jednu stranu máte pravdu, ale na druhou stranu je reklamace nesporně možná i pro "chargeback", tedy kdy člověk plně potvrdí, že zaplatil sám a dobrovolně, ale nedošlo k dodání služby atd. Mimochodem sám jsem toto měl (bohužel) možnost ověřit a fakt to funguje, sice to bylo otravné, ale reklamace úspěšná.
Proto si myslím, že v tomto popsaném případě je asi lepší "mluvit pravdu" a pojímat to jako chargeback, než předstírat, že člověk vůbec o ničem neví.
Však mluvit pravdu určitě ano, jinak jde o podvod, ale nevidím jako nezbytně nutné bance "vyzvonit", že jsem číslo karty zadal na jakési pochybné stránce.
Prostě - platbu do Synotu jsem neprovedl (pravda), požaduji okamžité vrácení reklamované platby (na které mám nárok). Není důvod sdělovat bance zbytečné podrobnosti.
Ještě poznámka k v článku citovanému bodu smlouvy - ono je to evidentně cíleno (a praxe to potvrzuje) zejména na prozrazení PIN. Hodně lidí žije v představě, jak je skvělé, že se místo podpisů začalo skoro všude v obchodech vyžadovat PIN, jen si neuvědomují, že když už jim PIN někdo "okoukne", tak jsou transakce s ním téměř nereklamovatelné. Už na to narazilo pěkných pár lidí :-( Extrémem pak jsou aféry s "upravenými" bankomaty.
Paradoxně transakce na internetu, které "běžní občané" vnímají jako víc nebezpečné, se reklamují daleko snáze...
To, co je v článku popsané, je čistě problém bank, pokud chtějí vůbec systém karet provozovat. Je to prostě dost riskantní ziskový bankovní byznys, který si nikdo jiný než banky ošéfovat nemůže. Pokud se jim to nelíbí, tak ať karty zruší a vrátíme se k hotovosti.
Jednak banka vydávající kartu si má zavést 3Dsecure, druhák banka zajišťující inkaso z karet má zajistit na základě reklamace okamžité vrácení platby.
A že si za to může sám uživatel? To těžko, pokud by neklofl na tenhle podvod, mohl zadat své údaje v nějakém podvodném internetovém obchodě (šance to poznat je nulová), nebo na nepodvodném, ale data jsou ukradená z napadeného PC, napadené komunikace, napadeného obchodu nebo jakéhokoli článku řetězce na zpracování plateb, vydávající banky, apod. Mně takhle taky najednou zmizely před 2 roky 2x5 tisíc do nějaké irské sázkařské kanceláře. Banka na základě reklamace peníze do pár dnů vrátila, vyjádření k reklamaci jsem ani přes 2 upomínky nikdy nedostal.
Přesně tak. Jen jsem zvědat, jak to budou řešit banky po cca 5 násobném snížení provizí. Asi se budou snažit z takovýchto případů více vykroutit s odkazem na porušení povinností ze strany uživatele. Tedy o důvod víc postupovat vůči bance více sebevědomě až agresivně - platbu jsem neprovedl, okamžitě mi ji vraťte. Pokud v rozumné době (řekněme 3 pracovní dny) není platba zpět, obrátit se na finčního arbitra.
a co kdyz platis kartou v obchode ani si nevsimnes ze tam maji kameru ta zaznamena tvoji kartu. a prodavac pak muze na internetu klidne nakupovat :D taky bys byl proto aby ti banka nevracela transakce ktere jsi ty neudelal? Je to predevsim problem banky a ma mit smlouvy nastavene tak aby v pripade oznameni v rozumne dobe veskere transakce, ktere majitel karty oznaci za jim neprovedene stornuje
A tedy bezpečnější, než v obchodě.
V normální zemi majitel karty projde měsíční výpis, bance oznámí platby, které neprovedl a banka mu peníze s omluvou vrátí.
Banky v normálních zemích nemají své klienty za nepřátele. Spíš se povozí po obchodnících, kteří přesáhnou procento povolených chargebacků. Smluvní pokuty jsou opravdu šílené.
V bankách pracují lidé. Obvykle ta samá populace, co žije v okolí. U nás máme banky za nepřátele a chceme s nimi bojovat. No a někteří z těhle bojovníků pak dostanou místo v bance. Jenže do hlavy už mají vtlučeno, že banka a klienti jsou nepřátelé, kteří jsi jdou po krku, navzájem si lžou a podvádí se. No a tak jdou klientům po krku, lžou jim a podvádí je. To od nich přeci naše obyvatelstvo čeká, ne? A když náhodou na tuhle hru nepřistoupí, tak první vyčuraný klient je rychle vyléčí z optimismu.
Je to možná drsné, ale banky u nás máme přesně takové, jaké chceme. Sice si tu a tam popláčeme, jak by bylo skvělé, kdyby nějaká banka vracela peníze s omluvou jakmile jí sdělíme, že to nebyla oprávněná platba. Ale také víme, že jakmile to nějaká banka začne dělat, tak ji půjdeme pořádně podojit, pardon, vzít si zpět co mi za ta leta ukradli. A když se objeví skupinky lidí, kteří s pomocí bílých koňů a falešných plateb ukradnou miliony, tak jim ještě zatleskáme.
Rozdíl je velmi podstatný a vychází už ze samotného názvu daného kódu.
CVC/CVV je zkratka pro Card Validation Code / Card Validation Value
Jde tedy o ověření, že ten, kdo platí, drží skutečně kartu v ruce. Je tam proto, že číslo karty se ukládá na účtenku při každé platbě, tedy libovolný obchodník, kde jste kdy kartu použili má k dspozici její číslo. Z toho důvodu je toto číslo vyraženo na kartě.
PIN je personal identification number, ověřuje tedy, že s kartou manipuluje oprávněná osoba - z toho důvodu by měla toto číslo vědět skutečně jen tato osoba (i v databázi by mělo být uloženo zašifrované).
převod z účtu na účet trvá zpravidla 1 den, když se sejdou nepříznivé okolnosti (čas zadání hodně pozdě večer), tak 2 pracovní dny a to ještě do toho může padnout víkend (platba zadná v pátek večer může dorazit až v úterý dopoledne).
A to může rozhodnout o saknční pokutě a v případě hodně špatné souhry okolností i záznamu do registrů a problémů se schválením úvěrových produktů (např. hypotéky) v budoucnu.
Takže možnost poslat peníze na libovolný účet on-line by se mohla někdy hodit. Občas funguji jako takové "clearingové centrum", kdy se na mě někdo obrátí se žádostí o okamžitý převod nějaké drobné částky na účet u některé z bank :).
Nezdá se Vám tohle trochu podivné?:
Mám na účtu –25 Kč, neposlal bys mi prosím 30 korun? Mám udělanou stránku, kde to zaplatíš rovnou z karty. Moc by jsi mi pomohl. Dám ti pak klidně 200 Kč, ale nemám to jak poslat a musím to mít dneska.
1. I kdyby se přihodilo, že by byl někdo kvůli -25 Kč na účtě v takové krizi, která by vyžadovala tak urgentní a zároveň krkolomné řešení (považuji to za velmi nepravděpodobné), musel by to být člověk u kterého (protože ho znám) to mohu předpokládat - respektive typ který dlouhodobě problémy neřeší. (nikoli náhodný kamarád z FB)
2. Myslím, že mezi kamarády u kterých by taková výpomoc přicházela v úvahu se nenabízí 200 Kč zpět za 30 Kč půjčených.
Kdyby mi tohle někdo napsal, tak asi vezmu telefon, zavolám mu a zeptám se, co se děje, že má tak urgentní problém... čímž by bylo vyřešeno.
Takže celý problém spíš spočívá ve FB vypatlaném mozku, u nějž nutnost okamžité reakce na cokoli, co mu kdo pošle daleko předbíhá schopnost vyhodnotit obsah napsaného.
V internetových transakcích to nepomůže, ale pří placení v obchodech a restauracích velmi: Na platební kartě mám trvale černou elektroizolační páskou přelepeno datum expirace a CVV kód, což jsou údaje, které obchodník při manipulaci s kartou nepotřebuje, nicméně si je může během pár vteřin snadno zapamatovat / vyfotit a následně zneužít pro platby online, viz nedávný případ:
http://zpravy.idnes.cz/prodavacka-si-pamatovala-cisla-na-kartach-f10-/krimi.aspx?c=A110328_160852_liberec-zpravy_alh