Czym jest bankowoêç mobilna i dlaczego warto z niej korzystaç?

Transkrypt

1 Czym jest bankwêç mbilna i dlaczeg wart z niej krzystaç? BankwÊç mbilna jest jednym z elektrnicznych kanałów dst pu d banku, wykrzystujàcym w charakterze terminali dst pu telefny kmórkwe, a jak medium dst pwe, sieci peratrów telefnii kmórkwej. BankwÊç mbilna cieszy si wcià rsnàcym zaintereswaniem Klientów. Klientami bankwêci mbilnej stajà si przede wszystkim sby twarte na innwacje, ceniàce swbd zarzàdzania swim kntem w banku z ka deg miejsca na Êwiecie i ka dej prze dby. Wszystk, czeg ptrzeba d krzystania z bankwêci mbilnej, t dpwiedni telefn dstswany technlgicznie d wymagaƒ aplikacji ferwanej przez bank. Wi kszêç tzw. inteligentnych telefnów (smartfnów), w tym urzàdzenia działajàce pd kntrlà systemów Symbian, Windws Mbile, Andrid i iphne/ipad OS, dst pnych becnie na rynku, spełnia minimalne wymagania takich aplikacji. Z jakimi zagr eniami musi liczyç si u ytkwnik bankwêci mbilnej? Wraz z pst pem technlgicznym, telefn kmórkwy w craz wi kszym stpniu updabnia si d klasyczneg urzàdzenia kmputerweg, c bk rzlicznych krzyêci, takich chcia by, jak craz wi ksza funkcjnalnêç urzàdzenia, uniwersalnêç jeg zastswaƒ i przyjaznêç interakcji z u ytkwnikiem, niestety, ma tak e pewne negatywne skutki. RÊnie bwiem pzim isttnêci i liczba zagr eƒ, jakim u ytkwnik musi stawiç czł, chcàc, aby krzystanie z telefnu kmórkweg jak uniwersalneg urzàdzenia kmunikacji bezprzewdwej i dst pu d banku nadal pzstał czynnêcià bezpiecznà. Charakter wspmnianych zagr eƒ staje si craz bli szy temu, czemu sprstaç muszà stjàce na biurku lub przenêne, klasyczne kmputery pdłàczne d sieci. Bezpieczne krzystanie z bankwêci mbilnej jest z znacznym stpniu zale ne d bezpieczeƒstwa narz dzia dst pweg, jakim jest telefn kmórkwy. Tak, jak krytycznym czynnikiem decydujàcym bezpieczeƒstwie krzystania z bankwêci internetwej jest dpwiednie zabezpieczenie kmputera u ytkwnika, analgicznie w bankwêci mbilnej, równie wa ne jest spełnienie minimalnych wymagaƒ bezpieczeƒstwa w zakresie zabezpieczenia telefnu kmórkweg raz bezpiecznych praktyk jeg stswania. 1

2 Z jakimi zagr eniami musi liczyç si u ytkwnik bankwêci mbilnej? Craz wi kszym zagr eniem dla u ytkwników tzw. inteligentnych telefnów kmórkwych (smartfnów) staje si prgramwanie złêliwe takie jak wirusy, rbaki internetwe, prgramwanie szpiegujàce, wytrychy czy knie trjaƒskie. Ju teraz, pd pj ciem bezpieczneg smartfna rzumie si takie urzàdzenie, które bwiàzkw psiada zainstalwane dbre prgramwanie antymalware. Skala zjawiska twrzenia i prpagwania prgramwania złêliweg przeznaczneg d infekwania telefnów kmórkwych jeszcze, c prawda, nie jest tak du a jak w przypadku kmputerów, ale wykazuje stałà tendencj wzrstwà. Ze stałym wzrstem teg typu zagr enia nale y si wi c liczyç. Zagr enie, wynikajàce z infekcji telefnu prgramwaniem złêliwym ma dkładnie taki sam charakter jak dbrze znane zagr enia w Êwiecie klasycznych kmputerów. Zainfekwanie telefnu znacza ryzyk kradzie y pêwiadczeƒ t samêci (lginów i haseł dst pwych) nie tylk w bankwêci mbilnej (tak e na przykład d systemów pczty i prtali spłecznêciwych), ujawnienia numerów kart kredytwych, PIN-ów i innych wra liwych danych. Na tym jednak nie kniec. Infekcja telefnu w pewnych przypadkach wià e si tak e z pwa nym ryzykiem pdmiany danych transakcyjnych (na przykład knt beneficjentów zlecanych przelewów). Mwa tu czywiêcie klasycznych Êrdkach z arsenału ataków nale àcych d kategrii man-in-the-brwser. Na szcz Êcie jednak t zagr enie nie dtyczy klientów bankwêci mbilnej Raiffeisen Bank Plska S.A., bwiem aplikacja udst pniana przez bank jest w pełni niezale na d przeglàdarki. Trzeba pnadt nieustajàc pami taç, i telefn kmórkwy wypsa ny w interfejsy sieciwe w pstaci wbudwaneg mdemu GSM lub bezprzewdwej karty sieciwej (WiFi), d chwili nawiàzania płàczenia z siecià Internet, staje si takim samym, wyekspnwanym na ataki, elementem glbalnej sieci jak klasyczny kmputer. Jest zatem ptencjalnym celem ataków ze strny hakerów, btnetów czy prgramwania złêliweg. Nie pwinna wi c pdlegaç dyskusji ptrzeba wypsa enia g w skutecznà sbistà zapr sieciwà. Brak chrny przed atakami z sieci Internet m e skutkwaç na przykład infekcjà telefnu prgramwaniem złêliwym ze wszystkimi teg szkdliwymi skutkami (tak e dla bankwêci mbilnej), pisanymi wczeêniej lub wyprwadzeniem pufnych danych. Ârdkiem zaradczym jest instalacja na smartfnie zintegrwaneg pakietu zabezpieczeƒ, bejmujàceg jak minimum skaner antywiruswy i sbistà zapr sieciwà. Dst pne na rynku prdukty teg rdzaju na gół ferujà ddatkw chrn na pzimie kntrli prcesów, przeciwdziałania atakm z sieci Internet i czasem tak e szyfrwania plików. Przyjmujàc słuszne zał enie, i telefn kmórkwy jest wymagajàcym chrny urzàdzeniem kmputerwym, nie nale y instalwaç na nim prgramwania z niezaufanych êródeł (na przykład nielegalneg prgramwania pddaneg przeróbkm w celu złamania zabezpieczeƒ praw autrskich i licencyjnych). Pami tajmy, e takie prgramwanie nierzadk psiada wbudwane w kd funkcje tylnych wejêç (ang: backdrs), które mgà byç wykrzystane przez agresrów d złamania zabezpieczeƒ telefnu, wygenerwania wyskich rachunków za transfer danych, zainstalwania prgramwania złêliweg alb najzwyczajniej wyprwadzenia wra liwych danych z pami ci telefnu. Nie nale y zapminaç tak e tym, e êle napisana aplikacja cz st przyczynia si d słabienia mechanizmów bezpieczeƒstwa telefnu, pniewa jej pdatnêci ekspnujà ddatkw tak e system peracyjny i inne prgramwanie narz dziwe i u ytkwe zainstalwane na telefnie na atak agresrów, a wszak, nie d dziê wiadm, i bezpieczeƒstwie całêci dwlneg rzwiàzania zawsze decyduje najsłabsze gniw w łaƒcuchu jeg zabezpieczeƒ. Aplikacje instalwane na telefnie pwinny byç pdpisane cyfrw przez dstawc. Pdpis cyfrwy pzwala na zweryfikwanie pchdzenia aplikacji (d zaufaneg dstawcy) i jej integralnêci (nikt nie ingerwał w jej kd d mmentu jej skmpilwania przez zaufaneg dstawc ). Knsekwencjà instalacji aplikacji z niezaufanych êródeł m e byç słabienie mechanizmów zabezpieczeƒ telefnu (w pstaci na przykład aktywacji tylneg wejêcia, um liwiajàceg przej cie zdalnej kntrli nad urzàdzeniem, czy wyłàczenie mechanizmów zabezpieczeƒ, takich jak sbista zapra sieciwa raz skaner antywiruswy), wprwadzenie nwych pdatnêci, z których ka da jest ptencjalnym celem ataku m liweg d przeprwadzenia z sieci Internet. Wbec teg, c zstał napisane, zb dnym wydaje si dalsze pisywanie szkdliwych knsekwencji instalacji niezaufaneg prgramwania dla bezpieczeƒstwa krzystania z bankwêci mbilnej. Jednym z najpwa niejszych êródeł pdatnêci i luk w bezpieczeƒstwie ka deg rdzaju prgramwania sà jeg, ró neg rdzaju, usterki i wady. Przewa nie sà t wady istniejàce na pzimie kdu aplikacji. Prducenci prgramwania usuwajà ujawnine w nim bł dy i usterki pprzez pracwywanie raz dystrybucj d u ytkwników dpwiednich pprawek i aktualizacji czyli łatek (ang: patches). 2

3 Z jakimi zagr eniami musi liczyç si u ytkwnik bankwêci mbilnej? System peracyjny telefnu wraz z prgramwaniem standardwym tak e m e wymagaç kreswych aktualizacji, krygujàcych bł dy raz usuwajàcy pdatnêci i luki w bezpieczeƒstwie. Dtyczy t zwłaszcza twartych platfrm takich jak Windws Mbile, Symbian itp. Spsób przeprwadzenia aktualizacji nie jest jednak zawsze czynnêcià łatwà d wyknania. Bywa tak, e w mdelach telefnów niektórych dstawców takà peracj m na bezpiecznie wyknaç jedynie w dpwiednich, specjalistycznych punktach usługwych, nierzadk z autryzacjà prducenta. NiewłaÊciwie przeprwadzna aktualizacja systemweg prgramwania telefnu m e dprwadziç d niedwracalnej utraty cennych danych, a nawet awarii telefnu. Obwiàzkiem u ytkwnika, przed pdj ciem ewentualnej decyzji aktualizacji prgramwania systemweg jest przygtwanie kpii zapaswej danych telefnu. nie zwiàzane z jednym knkretnym prducentem skupiajà na sbie wi ksze zaintereswanie nie tylk legalnie działajàcych ekspertów d wykrywania pdatnêci ale tak e Êwiata hakerskieg. Zalecane jest Êledzenie dniesieƒ bezpieczeƒstwie wykrzystywaneg przez siebie rdzaju smartfna i instalwanie aktualizacji i łatek zalecanych przez prducentów. Klejnym wa nym czynnikiem decydujàcym bezpieczeƒstwie telefnu i zapisanych w jeg pami ci danych jest jeg chrna przed zagubieniem czy kradzie à. Wra liwe dane (na przykład hasła, numery kart kredytwych, numery PIN itp.) zapisane w pami ci telefnu lub na karcie pami ci muszà byç zabezpieczne przed ujawnieniem niepwłanym sbm. W praktyce zabezpieczenia takie sprwadzajà si d ich zaszyfrwania. Na rynku dst pnych jest wiele kmercyjnych prduktów ferujàcych szyfrwanie wra liwych danych w telefnie. Sà te dst pne, nie mniej skuteczne, rzwiàzania darmwe. Aktualizacj m na przeprwadziç we własnym zakresie jedynie wówczas jeêli jest t peracja bezpieczna, u ytkwnik wie jak jà przeprwadziç, ma d dyspzycji dpwiednie narz dzia w pstaci przeznaczneg d teg celu prgramwania narz dziweg d prducenta telefnu, właêciwe akcesria (jak chçby kable d pdłàczenia telefnu d kmputera), aktualizacja prgramwania pchdzi z wiarygdneg êródła (d prducenta telefnu), peracja aktualizacji nie narusza warunków gwarancji czy jakichklwiek warunków ewentualnych umów licencyjnych, zstały przygtwane wczeêniej (i przetestwane) kpie zapaswe danych z telefnu. W przypadku, kiedy u ytkwnik nie jest w stanie z pwdzenie przeprwadziç wszystkich czynnêci aktualizacji, pwinien rzwa yç m liwêç zlecenia teg specjalistycznej firmie usługwej. Nie tracà na aktualnêci tak e takie pdstawwe zasady jak niepzstawianie telefnu bez nadzru (na przykład w samchdzie alb w kieszeni płaszcza w publicznej szatni, w Êrdkach kmunikacji, w pkjach htelwych itp.) raz bezpieczne przenszenie telefnu (w taki spsób, aby nie wypadł lub nie zstał wyciàgni ty z kieszeni przez złdzieja). Zagubienie lub kradzie telefnu z niezabezpiecznymi danymi m e mieç dla pierwtneg właêciciela smartfnu fatalne skutki. Czy i ewentualnie jak cz st nale y takie aktualizacje przeprwadzaç, t czywiêcie zale y d knkretnej platfrmy prgramwej smartfna. PrawidłwÊcià jest, e twarte platfrmy, 3

4 Aplikacja dedykwana czy lekka strna WWW? Na pczàtek infrmacja pdstawwa: szereg rzwiàzaƒ mbilnej bankwêci dst pnych na rynku funkcjnuje w parciu prgramwanie, niezale neg d przeglàdarki internetwej, tzw. grubeg klienta, dst pneg dla wi kszêç platfrm smartfnów). Innym rzwiàzaniem zaê i t jest kluczwe rzró nienie jest dst p mbilny w parciu tzw. lekki serwis WWW i przeglàdark zainstalwanà w telefnie (czyli tzw. light web brwsing ). Ta właênie ró nica ma isttne znaczenie dla bezpieczeƒstwa i stanwi przewadze rzwiàzaƒ w pstaci dedykwanej aplikacji. Zacznijmy d mdelu zagr eƒ dla mbilnych kanałów dst pu, dzi ki któremu pznamy, jakie niebezpieczeƒstwa gr à u ytkwnikm kanałów mbilnych i jak sbie z nimi radzi nasz Mbilny Bank. Zagr enie Aplikacja parta niezale ne prgramwanie ( grubeg klienta ) Dst p party przeglàdark Web (web brwsing) w telefnie (bankwêç mbilna innych banków w Plsce) Pdsłuch sieciwy, przez agresrów, wra liwych danych (utrata pufnêci danych) przez zastswanie narz dzi d rejestracji ruchu na łàczach sieci (tzw. sniffery) raz serwerów pêredniczàcych (serwery Prxy). małe ryzyk du e ryzyk (z uwagi na łatwêç ataku) Atak man-in-the-middle ( pdsłuch raz naruszenie integralnêci danych) ingerwanie w strumieƒ danych w sesji (na przykład pdmiana elementów transakcji) typwe dla mdus perandi aktualnie wykrzystywaneg przez przest pców prgramwania złêliweg. małe ryzyk du e ryzyk Oprgramwanie złêliwe, infekujàce telefn, przechwytujàce pêwiadczenia t samêci u ytkwnika. małe ryzyk du e ryzyk Oprgramwanie złêliwe dpwiedzialne za przekierwania d fałszywych strn banków internetwych Pdmiana treêci strn internetwych Przekierwania d fałszywych serwerów bankwêci internetwej du e ryzyk du e ryzyk du e ryzyk 4

5 Niezale ne d przeglàdarki internetwej prgramwanie grubeg klienta na telefn kmórkwy charakteryzuje si : m liwêcià łatweg i wiarygdneg uwierzytelnienia êródła pchdzenia aplikacji (zagwarantwanie, e uzłêliwina przez hackerów aplikacja nie zstała pdstawina w miejsce legalnej aplikacji) raz zagwarantwania jej integralnêci (aplikacja nie zstała zmdyfikwana na przykład w celach ataku). Wszystk t dzi ki zastswaniu pdpisu elektrniczneg kdu prgramwania i jeg póêniejszej weryfikacji; m liwêcià kryptgraficzneg, dwustrnneg (wzajemneg) uwierzytelnienia aplikacji klienta i serwera (bie strny klient i serwer łàczàc si z sbà, mgà sbie nawzajem zaufaç). niezale nêcià aplikacji d przeglàdarki i przez t uzyskaniem dprnêci na typwe ataki, charakterystyczne dla aplikacji webwej (ataki z kategrii client site attack, czyli ataki, których celem jest nie bank lecz kmputer klienta), w tym kradzie pêwiadczeƒ t samêci (haseł, kdów itp), czyli tzw. phishing; szyfrwaniem infrmacji nieprzerwanie na całej Êcie ce jej przesyłania: d aplikacji klienta d serwera (end-t-end). Brak na tej Êcie ce jakichklwiek serwerów pêredniczàcych (prxy) znacza pdsłuchu, ataków typu man-in-the-middle, ujawnienia, czy przest pczeg wykrzystania przechwycnych pêwiadczeƒ t samêci u ytkwnika. Dst p party web brwsing i przeglàdarki w telefnie psiada nast pujàce cechy: Aplikacja dziedziczy bł dy i luki w bezpieczeƒstwie zastswanej przeglàdarki internetwej. Luki te wynikajà zazwyczaj z bł dów w kdzie przeglàdarek, a wart w tym miejscu ddaç bł dów tych jest spr. Sà wêród nich te krytyczne bł dy, niełatane przez prducentów d wr cz kilku lat. Spra ich cz Êç wynika tak e ze słabêci knfiguracji przeglàdarki. Pwa ne ryzyk ataków phishingwych, tym wi ksze, e najskuteczniejsze z nich pierajà swje działanie na przekierwaniach d fałszywych strn banków, na pdsłuchu klawiatury (keylgging) raz, tym samym, Êledzeniu przy u yciu prgramwania złêliweg, dialgu u ytkwnika z serwerem banku. Zauwa yç wypada w tym punkcie, e bardz niewielu u ytkwników smartfnów wypsa a swje urzàdzenia w prgramwanie antywiruswe, które mgłyby ptencjalnie t zagr enie zmniejszyç. Przeglàdarka Opera Mini i Opera Mbile, rekmendwane przez niektóre banki, działajà w parciu serwer pêredniczàcy, na którym wszystkie dane wymieniane pmi dzy u ytkwnikiem, w tym dane t samêci u ytkwnika (hasła, PIN-y itp.), a bankiem, pjawiajà si w pstaci niezaszyfrwanej jawnym tekstem. Zatem bezpieczeƒstw takiej frmy kmunikacji bazuje na zał eniu, e infrmacja nie ma szans wypłynàç z serwerów pêredniczàcych, c stanwi zał enie pczynine mcn na wyrst, wziàwszy pd uwag chçby incydenty ze spektakularnymi wyciekami danych, ujawninych nast pnie w serwisie Wikileaks. W Êwietle przedstawinych argumentów, kniecznêç rzekm kłptliwej dla klienta instalacji niezale nej d przeglàdarki internetwej, ddzielnej aplikacji na telefnie kmórkwym, w prównaniu d lanswaneg przez knkurencj niekłptliweg dst pu parteg lekki web brwsing, jawi si jedynie jak niewiele znaczàca, drbna niedgdnêç, którà wart pknaç, b w nagrd u ytkwnik trzymuje du wi ksze bezpieczeƒstw, ni w przypadku dst pu pprzez interfejs przeglàdarki internetwej w telefnie. 5