Source: https://czasopismo.legeartis.org/2019/07/silne-uwierzytelnianie-uzytkownika.html
Timestamp: 2019-08-21 02:45:48
Legal References Found: art. 2
 art. 4
 art. 32

art. 32

art. 22
 art. 32
 art. 49
 art. 59
 art. 59
 art. 32
 art. 32
 art. 11
 art. 2

Document Content:
Silne uwierzytelnianie użytkownika serwisów bankowych (wymogi PSD2)
Od kilku dni banki szturmują nas informacjami o zmianach w sposobach logowania się do serwisów transakcyjnych oraz o tym jak będzie wyglądało silne uwierzytelnienie użytkownika w kontekście wdrożenia dyrektywy PSD2. Zmiany mają przyjść już 14 września 2019 r. — toteż jest już chyba dobry czas, żeby rozkminić temat od strony prawnej.
Silne uwierzytelnianie użytkownika w mBanku dotyczy nawet gości wchodzących do ich łódzkiego biura: po okazaniu dowodu osobistego dostajemy imienną przepustkę, którą trzeba się odbić przy wyjściu i wejściu (fot. Olgierd Rudak, CC-BY-SA 3.0)
Dalej będzie we w miarę niedługich, na pewno nie bankowych (i mam nadzieję nie aż tak po prawniczemu), punktach:
silne uwierzytelnienie użytkownika korzystającego z usług płatniczych to jedna ze zmian wymuszonych dyrektywą 2015/2366 w sprawie usług płatniczych w ramach rynku wewnętrznego (tzw. Paymet Services Directive, PSD2);
jak przystało na dyrektywę, PSD2 obowiązuje o tyle, o ile jej postanowienia zostały inkorporowane do krajowego porządku prawnego — w polskim przypadku chodzi o nowelizację ustawy o usługach płatniczych z maja 2018 r., która generalnie już obowiązuje, ale niektóre postanowienia należy stosować dopiero od 14 września 2019 r.;
nowelizacją ustawy dodano m.in. definicję silnego uwierzytelniania użytkownika — jest to wymóg dwustopniowego uwierzytelniania użytkownika: (i) to co wiem (np. znam moje hasło do serwisu, znam mój numer karty płatniczej i PIN do karty); (ii) to co mam (token lub aplikację bankową, którymi potwierdzam operację); (iii) to kim jestem (cechy biometryczne klienta);
art. 2 pkt 26aa ustawy o usługach płatniczych (Dz.U. z 2019 r. poz. 659)
26aa) silne uwierzytelnianie użytkownika — uwierzytelnianie zapewniające ochronę poufności danych w oparciu o zastosowanie co najmniej dwóch elementów należących do kategorii:
a) wiedza o czymś, o czym wie wyłącznie użytkownik,
b) posiadanie czegoś, co posiada wyłącznie użytkownik,
c) cechy charakterystyczne użytkownika
— będących integralną częścią tego uwierzytelniania oraz niezależnych w taki sposób, że naruszenie jednego z tych elementów nie osłabia wiarygodności pozostałych
ważne: warunek silnego uwierzytelnienia użytkownika jest spełniony jeśli bank zastosuje dwa elementy — do potwierdzenia przelewu nie wystarczy samo hasło, klient będzie musiał dodatkowo potwierdzić operację np. odciskiem palca (używający kart płatniczych w internecie na pewno wiedzą na czym polega usługa 3-D Secure — mam kartę płatniczą (znam jej numer) i potrafię przepisać kod wysłany na mój telefon);
zgodnie z PSD2 stosowanie silnego — opartego na dwóch filarach — uwierzytelniania użytkownika będzie obowiązkowe w przypadku konkretnie wskazanych w przepisach operacji: (i) dostępu do rachunku przez internet (logowanie się); (ii) dokonywania płatności elektronicznej (przelew, płatność kartą); (iii) wykonywania operacji przez internet lub na odległość („kanał zdalny” zdefiniowany jest w art. 4 pkt 6 dyrektywy, nb. w sposób podobny do redakcji art. 32i ust. 2 uup), która to operacja wiąże się z potencjalnym ryzykiem oszustwa;
art. 32i ust.1-2 ustawy o usługach płatniczych
1. Dostawca stosuje silne uwierzytelnianie użytkownika, w przypadku gdy płatnik:
1) uzyskuje dostęp do swojego rachunku w trybie on-line;
2) inicjuje elektroniczną transakcję płatniczą;
3) przeprowadza za pomocą kanału zdalnego czynność, która może wiązać się z ryzykiem oszustwa związanego z wykonywanymi usługami płatniczymi lub innych nadużyć.
2. Jeżeli płatnik inicjuje elektroniczną transakcję płatniczą z wykorzystaniem połączenia z siecią Internet lub za pośrednictwem środków, które mogą być wykorzystywane do porozumiewania się na odległość, dostawca stosuje silne uwierzytelnianie użytkownika obejmujące elementy, które dynamicznie łączą transakcję płatniczą z określoną kwotą transakcji oraz określonym odbiorcą.
dla jasności: silne uwierzytelnienie transakcji wykonywanej przez kanał zdalny musi dotyczyć konkretnej czynności (kwoty, odbiorcy płatności), natomiast cała zastosowana przez dostawcę technologia musi odpowiadać potrzebom w zakresie bezpieczeństwa, poufności i integralności danych uwierzytelniających (art. 32i ust. 3 uup);
dlaczego zatem silne uwierzytelnianie użytkownika pojawia się w komunikatach banków dopiero w kontekście daty 14 września 2019 r.? ano dlatego, że chociaż związana z PSD2 nowelizacja ustawy o usługach płatniczych weszła w życie już 20 czerwca 2018 r., to przepis szczególny wydłużył termin obowiązkowego silnego uwierzytelniania — pozwalając instytucjom finansowym na prace nad pełnym wdrożeniem właśnie do dnia 14 września 2019 r.;
art. 22 ust. 1 ustawy z 10 maja 2018 r. o zmianie ustawy o usługach płatniczych oraz niektórych innych ustaw (Dz.U. z 2018 r. poz. 1075)
Dostawca usług płatniczych jest obowiązany spełniać wymogi, o których mowa w art. 32i ustawy [o usługach płatniczych], oraz wymogi (…) regulacyjnych standardów technicznych dotyczących silnego uwierzytelniania klienta i wspólnych i bezpiecznych otwartych standardów komunikacji, o których mowa w art. 49a ust. 2 pkt 3, art. 59r ust. 3 pkt 4 i ust. 4 pkt 1, art. 59s ust. 2 pkt 3 i ust. 3 pkt 1 ustawy [o usługach płatniczych], od dnia 14 września 2019 r.
Zamiast komentarza: czekają nas ciekawe czasy — przyznam, że właśnie z tego względu zdecydowałem się na zainstalowanie aplikacji bankowej (potwierdzenia w aplikacji są znacznie wygodniejsze niż przepisywanie kodów z esemesów, a eksperci mówią, że znacznie bezpieczniejsze, chociaż też nie idealne, por. tekst „Dlaczego (nie) warto używać aplikacji mobilnej do autoryzacji przelewów?” opublikowany w Niebezpiecznik.pl).
Jestem też ciekaw jak silne uwierzytelnianie użytkownika będzie interpretowane przez sądy w kontekście odpowiedzialności banków (art. 46 uup) za nieautoryzowane transakcje wywołane błędem (niedopatrzeniem, brakiem uwagi) klienta i ciężar dowodu autoryzacji operacji (art. 45 uup). Osobiście zaryzykowałbym tezę, że bank, który wdroży owo dwustopniowe silne uwierzytelnianie będzie miał znacznie łatwiejsze pole do popisu jeśli chodzi o wykazanie, że klient wiedział co robi, no i że nie było żadnej usterki lub awarii, w tym jakiegokolwiek „włamu do systemu”…
Tags: art. 32i uup bank biometria finanse usługi płatnicze
← Masz wtyczkę Facebooka w swojej witrynie — więc jesteś administratorem danych osobowych (C‑40/17)
Czy fakt, że mąż wypłacił pieniądze dwa dni po cofnięciu przez żonę pełnomocnictwa do jej rachunku oznacza zmowę małżonków? →
Przecież dwustopniowość jest już teraz. Hasło do banku i SMS. 3D secure można obejść. Pozostałe jak odcisk palca – raczej nierealne – kto ma płacić za czytniki i za ich podłączenie do sieci?
Nest Bank już stosuje odcisk palca (ponoć).
Dzisiaj, coraz więcej modeli szprytfonów ma taką opcję (choć jest ona wadliwa i relatywnie łatwa do obejścia).
Jak można obejść 3D-Secure?
Jak sądzę chodzi o to, że można sobie wyrobić duplikat karty SIM.
Bodajże opisywane były też sposoby na „nie, nie” (dokładnie nie pamiętam), ale jeśli już to nie jest obejście, lecz błąd systemu.
3D-secure nie jest obligatoryjne dla merchanta – mozna obciazyc karte bez niego.
Zaraz, zaraz, o czym dokładnie mowa? Do znanych mi banków logujemy się loginem i hasłem, bez dodatkowego uwierzytelnienia — czyli brak spełnienia warunków z art. 32i uup. Dopiero wykonanie przelewu wymaga autoryzacji np. kodem przesłanym w esemesie (ustawa w takim przypadku także wymaga dwuskładnikowego potwierdzenia, ale jak rozumiem pierwszym krokiem jest właśnie konieczność zalogowania się do systemu). Czytników palców ponoć na rynku jest coraz więcej (na oko 1/4 sprytofonów ma takie wbudowane i 1/2 laptoków), natomiast można mieć innego rodzaju wątpliwość — czy bank może polegać na środkach, które są poza jego rozeznaniem (bank nie ma wpływu na działanie tego… Czytaj więcej »
Tak się zastanawiam… czy to nie wymusza drugiego składnika przy płaceniu zdalnie kartą kredytową? Do tej pory wystarczało samo posiadanie karty, bo na niej jest imię, nazwisko, numer, ważność, CVV.
Przy płaceniu kartą już teraz w większości wypadków było 3D-Secure, teraz będzie dodatkowy SMS lub potwierdzenie w aplikacji mobilnej
Co ciekawe (dla mnie) autoryzacja w aplikacji mBank zastępuje 3D-Secure — nie ma esemesa, jest tylko potwierdzenie w aplikacji.
Co sumarycznie — zakładając, że mam ustawione hasło lub wzór do odblokowania telefonu oraz hasło do aplikacji — oznacza większe bezpieczeństwo użytkownika (a co za tym idzie większe bezpieczeństwo banku ;-)
BTW jesteś pewien, że będzie podwójna autoryzacja? Mnie się wydaje, że nadal wystarczy nr karty („wiem”) + kod / aplikacja („mam”) — w tym sensie 3D-Secure już dziś jest PSD2-friendly ;-)
Tak, ale 3D-Secure to chyba tylko aplikacja Visy. I na dodatek dobrowolnie stosowana przez sklepy internetowe – nie chcą, nie muszą korzystać.
A to bank ma zapewnić silne uwierzytelnienie, więc albo SMS, albo apka (token mobilny)
Chyba tylko nazywa się inaczej:
https://www.mastercard.pl/pl-pl/punkty-handlowo-uslugowe/bezpieczenstwo/secure-code.html
(Natomiast ciekawe co na to wszystko pozostałe organizacje i dostawcy — np. Diners Club, który chyba nie ma aż takiego przełożenia na instytucje finansowe.)
” 2) inicjuje elektroniczną transakcję płatniczą; ”
Czyli płatność kartą (transakcja elektroniczna) w sklepie także PIN plus SMS
i zakaz zbliżeniowo bez atoryzacji ?
Tak (chociaż „elektroniczna” transakcja nie jest zdefiniowana ani w ustawie, ani w PSD2 — strzelałbym, że to synonim „zdalna”, ale przecież to niemożliwe). Na szczęście tutaj mamy rozporządzenie delegowane KE 2018/389 uzupełniające PSD2 w odniesieniu do regulacyjnych standardów technicznych dotyczących silnego uwierzytelniania klienta i wspólnych i bezpiecznych otwartych standardów komunikacji (tzw. „RTS”), a w niej art. 11-12: Artykuł 11 Płatności zbliżeniowe w punktach sprzedaży Dostawcy usług płatniczych mogą nie stosować silnego uwierzytelniania klienta, z zastrzeżeniem spełnienia wymogów określonych w art. 2, w przypadku gdy płatnik inicjuje zbliżeniową elektroniczną transakcję płatniczą i jeżeli spełnione zostały następujące warunki: a) pojedyncza kwota zbliżeniowej… Czytaj więcej »
Właśnie dostałem informację, że każdorazowe logowanie się do banku będzie wymagało podania loginu, hasła i hasła z SMS. Ciekawe jak dadzą sobie radę z milionami SMS’ów dziennie więcej. Skończy się przeglądanie stanu konta „na szybko”, trzeba będzie mieć telefon przy sobie. A jak ktoś nie ma? Nie zaloguje się?
Z RTS wynika, że podgląd transakcji (za ostatnie 3 miesiące) powinien być bez esemesa; ale już system transakcyjny za esemesem.
o ile bank zaimplementuje taki „uproszczony” tryb pracy – a nie jest to trywialne.
Oczywiście — wyjątki są opcjonalne, RTS w każdym przypadku mówi, iż dostawcy usług płatniczych „mogą nie stosować” jakiegoś rozwiązania w ściśle określonym przypadku.
Ciekawostka odnośnie aplikacji mBanku – zapisuje limity kart kredytowych otwartym tekstem w konfiguracji.