Názory k článku Fintech revoluce pokračuje. Ve jménu PSD2 budou muset banky otevřít svá API

Jediné místo, kde mám uloženo číslo platební karty je účet u PayPalu. Všude jinde vždy zadávám ručně a vůbec mi nevadí, že to tak dělám i několikrát týdně. Když jde o účet s penězi, tak je právě ta nejvyšší obezřetnost tím "použít trochu rozum".
Dát přístup k účtu nějaké třetí straně, je pak čiré bláznovství a pan Sechter si může říkat co chce, ale nikdy mu nebudu věřit, že jsou ty údaje u nich v bezpečí.

A pak je ale něco mezi tím (mezi jeskyní a dát všem svoje kreditky a přístupy na účty), ne?

Využívejte. Každýmu co jeho jest...

To se pletete. Většina lidí je dost dementních na to, aby pod vlivem nějakého PR žvástu a vidiny slevy 50 kč na první nákup zadali cokoliv kamkoliv. Kdo vůbec přemýšlí, na co klikne, co kam vyplní a jaké to má důsledky? Když je u nákupu zbytečností, na které evidentně nemají (třeba drahý mobil, který ani neumí ovládat), nevystraší ani možnost exekuce, proč by je měly strašit nějaké přístupy. Finanční a IT gramotnost se u dost lidí blíží k nule a nezapojí ani selský rozum. Nejsou to ale nejspíš ti, co čtou Lupu, takže tady si můžeme říkat "nikdy", přesto bude nemyslících oslíků více než málo.

Budou klienti ochotni sdílet přístupy ke svým bankovním účtům a data tam uložená skrze Fintech aplikace?
- Ne. Nikdy.

Ano, bude jich dost. Ale to pak už jenom jejich problém (a jejich boj).
A myslím, že případnejma reklamacema apod. (natož "chytánim" ztracenejch identit) ztratěj pak i řádově víc času, než ušetřej těmahle "cool" pitomostma...

Btw, bude taky "chytrá" ruka šmátralka (samozřejmě pro "cool", "mega", "giga" efekt vytištěná na 3D... vlastně 7D tiskárně), co bude občanům sama vytírat zadek?!
Kdy to už bude, strašně se těším, koupím to hned!

Hoďte si iPad s úhlopříčko 120cm na záda a vyražte za novinkamu do budoucnosti. Cestou si promyslete komu prospěje, když všechny informace o vás dostane kdosi jedním kliknutím. A hlavně žijte v přesvědčení, že je to váš rozum, kdo rozhoduje o cestách vašich dat. Jo, dědečka s babičkou nechte dál rozhodovat o jejich penězích ze složenky. Aspoň při jejich správě nepracují po přihlášením do banky jako její úředníci, aby za to ještě platili poplatky.

nějakou formu API, pro vlastní potřebu k automatizaci stahování pohybů ano. Jenže to PSD2 nepřináší, k API nebudeš mít jako jednotlivec přístup.

Takže jsou v podstatě dvě možnosti:
- buď umožníš třetí straně přístup k účtům v jedné bance, což bude maximálně duplikovat tou bankou nabízené elektronické kanály = minimální přínos
- budeš chtít třetí stranou řešit reporting, cashpooling apod. a z toho důvodu jim dáš přístupy ke všem svým ústavům a účtům = dost děsivá představa.

Ale že to bude úspěšné, o tom nepochybuji.

Ano, bude jich dost. Ale to pak už jenom jejich problém (a jejich boj).

To bohužel není až tak úplně pravda. Jakmile se provozovatelům podaří přesvědčit dostatečně velkou většinu, mohou obezřetnou menšinu prostě odepsat a své služby jim znepřístupnit.

Já třeba zásadně odmítám současnou módu bezkontaktních (a hlavě bezpinových) plateb a dokonce jsem si u své banky vyžádal kartu, která bezkontaktní platby neumožňuje (nebylo to jednoduché, ale nakonec stačilo vysvětlit jim, že to, že jsem jejich klientem skoro 20 let, ještě neznamená, že bych nevěděl o existenci jiných bank). Ale docela se bojím, že jakmile se podaří zmasírovat dostatečně velké procento klientů, začnou se postupně šířit terminály, které jiný než bezkontaktní způsob placení neumožní (už teď se s nimi počítá třeba pro MHD). A pak už to nebude problém jen těch, kdo se zmanipulovat nechají.

Tady bych rozlišoval mezi blbostí uživatelů a používáním bezkontaktních karet.

To je jen kvantitativní rozdíl, ne kvalitativní.

Platba funguje pouze na několik centimetrů, tj. pohádky o tom jak někdo stojící vedle mně v tramvaji provede platbu mojí kartou jsou totální nesmysly.

Se snímačem, který je ve standardních platebních terminálech, ano. Neexistuje ale žádný principiální důvod, proč by to s citlivějším nešlo i na větší (naopak, experimenty potvrzují, že to jde). A už jsem viděl i práci, kde se ukazovalo, že s dostatečně dobrým datovým připojením není až tak velký problém udělat "proxy", za pomoci které je možné provést transakci v podstatě na libovolnou vzdálenost. Takže ne, tahle technologie pro mne prostě dostatečně bezpečná není.

A pak je tu samozřejmě i ta bezpinovost. Opravdu nestojím o to, aby když si kartu někdo "vypůjčí", mohl s ní do ne úplně zanedbatelného limitu platit podle libosti. Takže oproti tomu, o čem je článek, je rozdíl jen v tom, jak velkou míru (ne)bezpečnosti je který uživatel ještě ochoten akceptovat, ne že by jedno byla "blbost" a druhé naprosto bez rizika.

Haha...dobre kecy od CS. Ona je jen direktiva neni implementace v zakonech jednotlivych clenskych statu ani neni konkretni implementacni detail a oni jsou prej pripraveni. Peknej bullshit. Jestli nam banky ve vsem takhle lzou tak potes kleste.

Ověřeno experimentálně: jedna anténa o průměru cca 1.6m v podlaze (pod kobercem) a jedna anténa o průměru 60 cm (v reklamním poutači). Umělo to začít komunikovat s bezdrátovou kartou na vzdálenost cca 1 metr.

Instalace by byla možná: na chodník položím anténu a překryju jí vhodným "kobercem" s reklamou. A druhou dám do stojatého reklamního poutače. Proč musely být dvě já nevím, u experimentu jsem byl jako divák.

Toť asi tak vše k fyzické realizovatelnosti a "sotva na pár centimetrů". SW stránku věci jsme neřešili, jen jsme si chtěli ověřit, nakolik ty velké brány, co seskenují všechny RFID tagy na paletě, která jí projede, dokáže komunikovat s bankovní kartou české spořitelny.

A nyní k vašim podmínkám:
- hodně lidí - třebas ulice
- po jednom - to není podmínkou, ne každý má u sebe kartu, nepotlučou se
- několik sekund - platba sice trvá pár sekund, ale vlastní aktivní komunikace s kartou je okamžik
- rozměrná anténa viz výše. Všimněte si, kolem čeho chodíte a na co všechno šlapete

- banka blokující platby - u nás je to problém, ale Ruským bankám to bývá dost jedno. Všimněte si už jen toho, kde a jak je populární skimming.

Můj názor: v ČR je používání bezkontaktních karet bezpečné. Pokud ale pojedete někam do zahraničí (třebas právě Rusko), tak bezkontaktní kartu rozhodně nechat doma.

A jedna věc: čím dál častěji vidím lidi, co rozdělují v obchodě nákup a platí ho bezkontaktní kartou po částech. Zaráží mě, že prodavačky hned nevolají ochranku a policajty. Přitom mne osobně napadá jen jediný důvod, proč místo nákupu za 500Kč platit tři nákupy po 160Kč. Osobně si proto myslím, že pro zloděje je riziko zcela nulové.

zabýval se někdo bezpečností těch informací ?

- bankám, které reguluje legislativa je nařizováno a stále auditováno vše včetně prostředí a ochrany proti úniku dat
- těmto subjektům nikoli
- takže po kratší brigádě si DB admin odnese z shopu polovinu dat, možná včetně i té historie a nikdo na nic nepřijde.

jako klient chci zaplatit, ideálně anonymně a z obchodu zmizet. vidina zkounámí mého účtu a dělání reportů s bigdatama a spamování nabídkama z pojišťoven apod..to teda díky

nicméně to co máte v trezoru v podstatě nesete ven před dům ukázat všem co si o to řeknou.. velmi nadsazeně. Opět je vidět že sice někdo něco vymyslel, ale nezamyslel se nad možnými riziky.

A taky existuje predplacenka paypalu, kde chlapci z PP znaj max cislo uctu, ze keryho chodi kredit.

A teda aby se odpovedelo, zrovna PP se da celkem v klidu duverovat. Prilis velci aby...

No jiste, vetsine lidi jde o to, aby si mohli psat libovolne klienty napric ucty, ze...

A celkem by me zajimalo, jak si objednate zbozi z Ciny bez kreditky (pomineme-li PayPal a popdobny veci)? Neco o tom jiste vite, rad se necham poucit, sam heldam reseni.

Ad 1, a proč hned vlastního klienta? Problém je krmit i již existující, nebo se pletu?

Ad 2, normálně debetní kartou, vázanou na separátní účet. Kreditka s vysokým úvěrovým rámcem, stejně jako api/debetka k účtu kam chodí běžné příjmy je riziko které nikdy nepodstoupim.

> Pokladni si nikoho pamatovat nebude, proc by mela? Denne odbavi tisice lidi.

Tisíce jak kdy jak kde. Samozřejmě, běžného člověka si nezapamatuje, ale lidí co zapomněli (nebo "zapomněli") PIN zas za den tolik není. A taky neříkám, že hned zavolá policii, ale riziko tu je a vzhledem k nízké získané částce se prostě nevyplatí.

No vždyť píšu, že v laboratoři funguje ledacos. V praxi je to ale jiná otázka. Asi to realizovatelné je, ale rozhodně to není úplně triviální. A dá se tomu jednoduše bránit kovovým obalem na kartu, to jen tak mimochodem.

> po jednom - to není podmínkou, ne každý má u sebe kartu, nepotlučou se

Samozřejmě to nemusí být striktně po jednom, ale velké skupinky jsou spíš na škodu. Možná jak jsou dvě antény o 90 stupňů proti sobě, tak by se dala i "vybrat" konkrétní karta z prostoru, ale pokud by se ti lidi hýbali, tak by to asi nebylo tak jednoduché.

> čím dál častěji vidím lidi, co rozdělují v obchodě nákup a platí ho bezkontaktní kartou po částech. Zaráží mě

Zajímavé, já to neviděl ještě ani jednou. Pokud tedy nepočítám že na benzínce někdo zaplatí benzín firemní kartou a pak si koupí soukromou něco pro sebe.

A jinak AFAIK karty ten denní limit načítají a/nebo požadují pin při každé n-té transakci (implementace se liší), takže rozdělením na víc plateb si moc nepomůžete, spíš naopak.

Nejde o to, že by na něj pokladní hned zavolala policii. Ale že si ho všimne a zapamatuje si ho. A pokud tam jsou kamery, tak tím hůř pro něj.

> Api pro pristup do banky ma davno kazda firma implementovano,
> protoze jej kazda banka nabizi.

Fakt? Můžeš mě odkázat na popis API třeba pro Equa bank nebo Air Bank?

Dovzdelejte se, s RFID lze komunikovat klidne se stovkou i vice zaroven. Nejzasadnejsi problem RFID je ten, ze nelze garantovat, ze budou nacteny vsechny, ale temer libovolne velke mnoztvi jich lze nacist najednou, v tom zadny problem neni.

Proto se (mimochodem) neujalo RFID namisto carovych kodu na produktech, nebot nic neprinasi. Nekde se to pouziva kuprikladu tak, ze sada produktu projede cteckou, a pokud nejsou nactene vsechny predem zname komponenty, vyradi se k manualni kontrole. Ale nelze to pouzit napriklad v obchode pri placeni zpusobem, ze projedete vozikem a zaplatite. Protoze zkratka (v prumeru) 30% nebude nacteno.

Pokladni si nikoho pamatovat nebude, proc by mela? Denne odbavi tisice lidi.

No vida, ona ta Evropská unie je i k něčemu užitečná. Palec nahoru! Pro banky palec dolu - styďte se, mohli jste mít API už dávno!

Tady je jedna zásadní věc. S platbou přes internet nemám problém ale NIKDY nebudu zadávat číslo platební karty jinam než do platební brány banky.
Pokud se má "automaticky" platit moji kartou pouze na základě toho, že jsem přihlášenej na facebook, google apod. tak to opravdu nechci i kdyby to bylo tisíckrát cool.
Mám zcela záměrně nastavenou autorizaci všech plateb přes sms kód protože to chci mít pod kontrolou.
Pokud tohle znamená být "zaseklý v pravěku" tak jsem tam rád a nechci na tom nic měnit.

Jste velmi naivni, bezkontatni kartu lze zcela bez potizi kontaktovat na 1-2m. Pravda, je na to treba trochu vetsi antena, ale tu neni problem nekde vhodne umistit. Nehlede na to, ze (nejen) v MHD se k vam dostane kdokoli daleko blize, takze mu staci mala ctecka v kapse.

Api pro pristup do banky ma davno kazda firma implementovano, protoze jej kazda banka nabizi. Jiz drahne let jsem nevidel nikoho, kdo by nekde vytvarel platebni prikaz. Proste spusti nejakou funkci ve svem SW a bance pak pouze autorizuje prevod.

> . Neexistuje ale žádný principiální důvod, proč by to s citlivějším nešlo i na větší

Tak, "principiálně" jde ledacos, třeba doletět s lidskou posádkou k Plutu, že... Pointa je právě v té praktičnosti. Aby to vůbec prakticky fungovalo, musí být splněno několik podmínek:

- Musíte najít prostor, kde chodí dost lidí

- Ale chodí tam pokud možno po jednom (jinak se jejich karty potlučou)

- Zdržují se v něm alespoň po několik sekund

- Můžete do něj nepozorovaně zabudovat rozměrnou anténu

A to byla ta jednodušší část. Aby to nebyl jen laboratorní experiment, tak na tom musíte vydělat::

- Buď budete strhávat peníze ve prospěch nějakého obchodníka - ale takového banka rychle zablokuje a bude popotahován

- Nebo zkusíte udělat proxy, ale tam je problém že těžko budete synchronizovat placení u pokladny s výskytem "vhodného" jedince v prostoru pokrytém vaším zařízením. Navíc zda je jedinec "vhodný" nezjistíte dokud nezkusíte zaplatit - nevíte, zda se karta nerozhodne požadovat PIN.

- A to pomíjím technický problém jak vyrobit "proxy" kartu aby to obchodník nepoznal.

Tedy vzhledem k tomu, že celá záležitost je technicky a organizačně dost komplikovaná a že i v případě úspěchu získáte maximálně pár stokorun, tak se podobné věci nevyplatí dělat jinde, než jako kuriozitu v laboratoři.

> Opravdu nestojím o to, aby když si kartu někdo "vypůjčí", mohl s ní do ne úplně zanedbatelného limitu platit podle libosti.

Teda, to musí být dost nepohodlné, nenosit s sebou vůbec hotovost. Protože tu když si někdo "vypůjčí", tak jí může celou utratit a ještě nehrozí, že někdo spáruje záznam z kamer s časem provedení transakce, takže je ještě horší, než bezkontaktní karta.

Osobní zkušenost: Ukradli mi tašku s peněženkou, kartami a doklady. Našel jsem ji vyhozenou peníze samozřejmě fuč, bezkontaktní karta tam ale byla a ani se s ní nepokusili zaplatit. S největší pravděpodobností právě kvůli výše uvedenému: Zloděj získá maximálně pár stokorun a riziko, že ho na základě té transakce někdo dohledá není zanedbatelné.

Pokud bude nastavení na straně banky umožňovat omezit klientovi API jen na čtení a napřiklad jen na x dnů zpětně či další filtry tak proč ne. Jinak nic pro mě.

> Banka nepozná, kdo do ní příkaz odesílá ...

A na to jste přišel jak? Napojení rozhodně nebude fungovat tak, že třetí straně sdělíte svoje přihlašovací jméno a heslo. Banka musí vědět, kdo příkaz autorizuje, už z čistě právního hlediska.

Proč tedy dáváš ten přístup PayPalu?

Tady bych rozlišoval mezi blbostí uživatelů a používáním bezkontaktních karet.
Pokud někdo schválí komukoliv přístup k údajům na svém účtu tak je prostě blbec.
Nevidím jediný důvod proč by obchodník měl mít jakýkoliv přístup na můj účet nebo vědět platební údaje k mojí kartě.
Pokud na tom někdo bude trvat, tak prostě budu nakupovat jinde.
Sice nebudu cool a in ale zase budu mít svoje peníze pod kontrolou.

Bezkontaktní karta je stejně bezpečná jako ta kontaktní. Platba funguje pouze na několik centimetrů, tj. pohádky o tom jak někdo stojící vedle mně v tramvaji provede platbu mojí kartou jsou totální nesmysly.

Api pro přístup do banky dává smysl hlavně pro firmy, které mohou integrovat tento přístup přímo do svých systémů. Pak je možné např. automaticky párovat zaplacené objednávky, platil faktury apod. přímo z interního systému firmy bez nutnosti zadávat/importovat tyto údaje ještě jednou do internetového bankovnictví.

Problem jsou jen lidi co se zasekli v praveku, proste kdyz vyuzivam aliexpres, uber nebo rohlik.cz, tak nikdo nechce stale vyplnovat kreditku, ale zada vse jednou. Pak staci pouzit trochu rozum, komu dam kde jaky pristup k memu uctu a neni problem. Samozrejme ze dedecek s babickou si radeji zajdou podat slozenku na postu, ale ja vyuzivam svuj cas jinak.

" komu dam kde jaky pristup k memu uctu"

Ono to vypadá, že si můžete vybrat komu kde, ale ne jaký. Buďto třetí strana smí vystupovat vaším jménem, nebo nesmí. Banka nepozná, kdo do ní příkaz odesílá, zda vy nebo třetí strana. Takže těžko ověří, zda zrovna danou transakci povolit má nebo ne.