Czy nadchodzi zmierzch karty plastikowej?

Portfel wypełniony po brzegi kartami plastikowymi przestał w Polsce być czymś wyjątkowym dopiero kilkanaście lat temu. Na świecie logo banków, firm zarządzających kartami czy kolor kart imitujący metale szlachetne był od dziesiątków lat czymś naturalnym lub wręcz nieodzownym w kieszeni konsumentów.

Przez lata ciężar płatności mobilnych i wypłat gotówki przesunął się powoli z pieniędzy papierowych w kierunku plastikowych. Wraz z tą tendencją zaczęli się przesuwać przestępcy, którzy zmienili upodobania i bardziej zaczęły im pachnieć pieniądze plastikowe niż banknoty. Nic w tym dziwnego, skoro od dawna nikt nie nosi przy sobie poważniejszej gotówki, a na karcie, jak w bombonierce - nie wiadomo, na jakie miłe niespodzianki można się natknąć.

Wyścig z przestępczością elektroniczną trwa już dobrych parę lat i przybiera na sile. Rzeczywistym problemem staje się nie kształt czy forma nośnika danych do identyfikacji, tylko jego bezpieczeństwo. Wiadomo już, że skala kradzieży związanych z kartami plastikowymi staje się plagą. Świat w ciągu ostatnich 20 lat dokonał rewolucji technologicznej w wielu dziedzinach. Elektronika zdominowała współczesne realia - karta plastikowa wyposażona w pasek magnetyczny odeszła już prawie do lamusa, los chipów może być podobny. Staje się oczywiste, że tradycyjna karta plastikowa, niezależnie od zabezpieczeń, nie odpowiada wymogom stawianym przez dzisiejszy świat. Co klient może otrzymać w zamian? Boi się kart zbliżeniowych preferowanych przez banki. Nie ma zaufania do bezpieczeństwa czytników i trudno jest się temu dziwić.

Kto wie, może największym hamulcowym nowych technologii w tym zakresie będą same banki? Nie byłoby w tym nic dziwnego. W 2010 r. według RBR na świecie było 2,1 mln bankomatów, w 2015 ma być ich 3 mln. Koszt jednego bankomatu wynosi w przybliżeniu 100 tys. euro. Najnowsze bankomaty biometryczne kosztują ok. 115 tys. euro. Przeróbka istniejących nie wchodzi w rachubę. Nietrudno wyobrazić sobie gigantyczny koszt wymiany bankomatów na świecie. Nie odbędzie się to zatem w sposób rewolucyjny, tylko ewolucyjny, choćby z powodu przywiązania klientów do kolorowych gadżetów w portfelach. Polska ma szansę zatrzymać się w pół drogi, współczynnik nasycenia bankomatami w naszym kraju należy do najniższych w całej Europie, zajmujemy pod tym względem trzecie miejsce od końca.

Nie jest dzisiaj jasne, w jakim kierunku pójdą zmiany w zdalnym płaceniu i pobieraniu gotówki z bankomatów. Należy zaznaczyć, że banki, mimo że niektóre zmiany wprowadzają opornie, to jednak one właśnie są często pionierami zastosowania nowoczesnych rozwiązań.

W Europie miała już miejsce próba generalna o podobnym charakterze. Od północy 1 stycznia 2002 r. wszystkie bankomaty w 12 krajach Unii Europejskiej musiały zacząć wydawać inną walutę - euro. Koszt zmiany kalibracji banknotów, to technicznie inny problem niż dodanie funkcji identyfikacji biometrycznej. A przecież wprowadzenie nowych sposobów identyfikacji dostępu nie jest festiwalem nowych rozwiązań, to także konieczność wybrania w efekcie jednego, dwóch mających obowiązywać w przyszłości standardów. Podobnie jak kiedyś z systemem VHS, zanim zdominował na wiele lat odtwarzanie wideo, walczył z wieloma innymi rozwiązaniami.

Stajemy się oto świadkami wojny rozwiązań identyfikacyjnych, wojny, z której wyłoni się kilku zwycięzców. Warto przyjrzeć się temu, co proponują firmy nowych technologii.

Oferowane rozwiązania można podzielić na trzy podstawowe grupy:

1. Zaawansowane technologie związane z urządzeniami mobilnymi

2. Technologie zbliżeniowe z zastosowaniem mało skomplikowanych nośników

3. Urządzenia biometryczne

Zaawansowane technologie związane z urządzeniami mobilnymi, to wykorzystanie najbardziej rozwojowej dziedziny, jaką są mobilne urządzenia komunikacyjne. Visa Europe prognozuje, że do 2020 r. połowa transakcji płatniczych na kontynencie będzie odbywała się za pomocą urządzeń mobilnych. Według firmy doradczej Frost & Sullivan, liczba użytkowników mobilnej bankowości w Europie w ciągu następnych sześciu lat wzrośnie czterokrotnie.

W największym uproszczeniu jest to przerzucenie cech karty płatniczej do telefonów, smartfonów i innych urządzeń mobilnych. Chip w formie fizycznej lub softwarowej znajduje się w urządzeniu mobilnym. Dotychczas wykorzystuje się SMS do potwierdzania transakcji, jednak jest to rozwiązanie o niskim stopniu komplikacji. Wykorzystanie smartfonów, wyposażonych w wiele aplikacji daje o wiele więcej możliwości wykorzystania płatności mobilnych. Przez wbudowany w smartfonie chip technologia NFC odnajdzie go z niedużej odległości i dokonanie transakcji potrwa kilka sekund. W ten sposób można będzie identyfikować klienta w dowolnym miejscu, tworzyć profil jego zainteresowań konsumenckich, informować go o najbliższym sklepie, którego szuka itp. Czy jednak o to właśnie klientowi banku chodzi? Identyfikacja jego konta bankowego przez urządzenie mobilne może okazać się bronią obusieczną. Sieci handlowe, firmy reklamowe i setki chętnych do sprzedania swoich towarów i usług mogą zasypać smartfon klienta informacjami bardziej agresywnymi niż spam w skrzynce pocztowej, w dodatku zupełnie legalnymi. Co wówczas, kiedy nie będziemy mogli spokojnie przejść ulicą, żeby nie otrzymywać na smartfona setek reklam pt. właśnie przechodzisz koło naszej niepowtarzalnej pizzerii. Wstąp, druga pizza gratis.

Wygląda na to, że to udogodnienie jest dodatkową szansą na spersonalizowaną reklamę, której pole rażenia ulega nieuchronnemu odrzucaniu przez klientów. Jeżeli posiadacz smartfona z dostępem do sieci szuka produktu czy usługi, to z łatwością ją sam odnajdzie. Nie musi w tym celu być tworzony przez jakieś organizacje algorytm preferencji konsumenckich danej osoby, regularność jakiejś płatności będzie wymuszana wówczas przez niechcianą agresję reklamową (tydzień temu, w sobotę, byłeś w naszym kinie, zapraszamy cię dzisiaj ponownie). E-ślady, to dalszy krok w kierunku oplecenia obywatela pajęczyną, która pod pozorem ułatwienia mu życia, tak naprawdę to życie będzie za niego usiłować kreować.

Argument, że za pomocą telefonu i smartfona można dokonywać także internetowych przelewów, nie wydaje się sensowny. Nic nie potwierdza takich preferencji klientów banków. Wolą oni w dalszym ciągu dokonywać transakcji w sieci z domu czy w placówce banku. Przelewy mobilne traktują incydentalnie. I dobrze.

Użycie przeze mnie niespotykanego sformułowania "mało skomplikowane nośniki" ma swój cel. Można je ująć we wspólną grupę identyfikatorów, których celem jest wyłącznie uwiarygodnienie dostępu do konta przez przyjmującego płatność. Nieważne jest, czy dysponuje tym identyfikatorem osoba upoważniona, czy zna PIN i czy w ogóle jest tej samej płci co posiadacz konta. Ważne, żeby pieniądze legalnie zostały przyjęte jako zapłata.

Tego typu gadżetów jest już na rynku finansowym wiele. Niektóre z nich nie są możliwe do rozpoznania przez osoby postronne. Wśród tych nośników znajduje się póki co tradycyjna karta plastikowa, ale to anachronizm i z łatwością tę fizyczną formę nośnika pieniędzy można by wyeliminować, gdyby nie miliony terminali i bankomatów, które należałoby wymienić. Bezstykowym terminalom jest to już obojętne, co się do nich zbliża - czy jest to nalepka, zegarek, breloczek... czy właśnie karta.

Najważniejszymi elementami tego typu płatności jest identyfikacja chipa przez bezstykowe urządzenia działające w różnych systemach, np. NFC czy RFID. Nawiasem mówiąc, w systemach tych rozpoznawane są także wszystkie urządzenia mobilne.

Mamy zatem do dyspozycji:

- tradycyjne karty wyposażone w chip działający w technologii zbliżeniowej,

- breloczki, które przez swoją niepozorność mogą nie być oczywistym obiektem nadającym się do kradzieży,

- nalepki, które można umieszczać prawie wszędzie. Naklejone na telefon komórkowy mogą stwarzać wrażenie telefonu podłączonego do płatności mobilnych opisywanych powyżej.

- zegarki, nie wiadomo, czy jest to dobry pomysł. Zegarek od zawsze bywał naturalnym łupem złodziei. Po co złodziejowi dodawać bonus?

- pendrive'y , pozwalają one na płacenie za zakupy on-line oraz uiszczanie opłat w specjalnie do tego przygotowanych zautomatyzowanych terminalach. Wystarczy umieścić urządzenie w porcie USB komputera lub terminala i wpisać kod PIN. Mają te pendrive'y zablokowaną możliwość zapisywania i odczytywania danych. W gruncie rzeczy "podszywają" się one pod pendrive'a. Skoro nie można na nich nic zapisywać ani kopiować, to kradzież i próba skopiowania lub użycia jest mocno utrudniona.

Wszystkie te urządzenia mogą być dowolnie modyfikowane i łączone. Do zegarków wkłada się subkarty służące dodatkowej identyfikacji, karty PIN do telefonów mają wbudowane chipy bankowe. Fantazja w tym względzie wydaje się nieograniczona.

Kolejny raz życie dogania fikcję literacką. Przez długie lata w dziesiątkach filmów, literaturze sensacyjnej i SF unikalne cechy człowieka były wykorzystywane jako efektowny element dramaturgii. Skanowanie tęczówki oka, całej twarzy, odcisków dłoni, samych palców, ba, nawet identyfikacja całego ciała umożliwiały upoważnionym wejście do sejfów, laboratoriów, tajnych ośrodków badawczych. Widzowie i czytelnicy do tego przywykli, przestały robić na nich wrażenie najbardziej wyszukane identyfikatory, mimo że osobiście, w realnym świecie nigdy czegoś takiego nie widzieli. Do niedawna. Bank Polskiej Spółdzielczości, jako pierwszy w kraju, wymienił już ponad 90 proc. ze swoich 60 bankomatów na urządzenia, w których potwierdzeniem transakcji jest skan układu krwionośnego palca w technologii Finger Vain, która została opracowana przez firmę Hitachi z Japonii. W Kraju Kwitnącej Wiśni 1/3 bankomatów korzysta już z tego rozwiązania. Technologia opiera się na identyfikacji układu naczyń krwionośnych, co daje lepsze efekty zabezpieczające niż skan samych linii papilarnych. BZWBK szykowało się do wprowadzenia tego typu bankomatów na terenie całego kraju, ale zrezygnowało z tej operacji, uznając ją na obecnym etapie za nieopłacalną. Skanowanie samych linii papilarnych w bankomatach, zanim się zadomowiło, jest już powszechnie krytykowane - bezpieczeństwo tego rozwiązania poddawane jest w wątpliwość. W sieci dostępne są już podręczne zestawy naklejek na opuszki palców imitujące linie papilarne. Wystarczy zdjąć np. ze szklanki czyjeś odciski palców, a następnie po skopiowaniu, przy użyciu acetonu, kleju cyjanoakrylowego, kawałka folii zrobić nakładki na palce i dowolnie wybierać czyjeś środki z bankomatów. To nie jedyna obawa. Podczas gdy typową kartę płatniczą możemy zablokować i zmienić PIN, zachodzi pytanie, jak zmienić wzór linii papilarnych w banku, jeśli zostanie użyty w przestępstwie.

Technologia Finger Vain eliminuje te obawy, pozostaje jednak inny problem. Codziennie dokonywane są na całym świecie miliony operacji wypłaty środków przez osoby, które nie są upoważnione, małżonków, członków rodziny, przyjaciół. Dopóki ktoś nie zgłosi kradzieży karty, nikt nie zaprząta sobie tym głowy. Jak jednak pójść do bankomatu biometrycznego z palcami męża, który leży z 40 stopniami gorączki w łóżku?

Wszystko to i tak drobiazg w porównaniu z bezpieczeństwem klientów. Wzór linii papilarnych czy sieci naczyń krwionośnych zdeponowany w banku, jako równoważnik wzoru podpisu, znaleźć się musi we wszystkich bazach na całym świecie, aby można było korzystać z bankomatów biometrycznych. Skala nadużyć, jaka może nastąpić w połączeniu z możliwością skanowania i fałszowania linii papilarnych jest niewyobrażalna. Nieuchronnie prowadzić to będzie do implikacji w kierunku przestępczości pozabankowej. Policja na całym świecie bazuje na identyfikacji linii papilarnych przestępców. Baza osób notowanych na policji będzie siłą rzeczy zawierać się w globalnym zbiorze danych osobowych wraz z klientami banków. Co prawda USA od dawna prowadzi taką bazę danych obejmującą osoby przekraczające granicę, ale istnieje zapewne gdzieś granica orwellizacji. Dzisiaj nie wiadomo, czy unikalna mapa naczyń krwionośnych człowieka zapisana zapewne w technologii cyfrowej nie może być również skopiowana i wprowadzona do systemu przez osobę nieupoważnioną.

Ale odczyt biometryczny to nie tylko identyfikacja linii papilarnych czy naczyń krwionośnych. Identyfikacja tęczówki oka pozwala zmniejszyć skalę niebezpieczeństwa kopiowania i wykorzystania, pozostaje jednak problem sprawności skanerów i długość czasu operacji. Nowe czytniki tęczówki mierzą także ruchy fiksacyjne oka, co nie tylko identyfikuje właściciela, ale także pozwala stwierdzić, czy oko jest w ogóle w żywym organizmie. Cała biometria jako sposób identyfikacji postrzegana jest przez wiele osób makabrycznie, zapewne z racji setek filmowych przykładów.

Nowatorskie rozwiązania biometryczne sięgają także po cechy, które nie wiążą się z niebezpieczeństwem pozbawiania części ciała człowieka i zakładają nawet identyfikację... oddechu. Skład wydychanego przez człowieka powietrza jest bowiem, podobnie jak linie papilarne, niepowtarzalny. Brzmi to wiarygodnie, chociaż w żadnym filmie nie widziałem scen, w których bohaterowie przemieszczali by się po mieście i wszędzie dmuchali w czytniki - w restauracji, w banku, na parkingu czy w metrze. Takie społeczeństwo przyszłości nie nosiłoby ze sobą żadnych dokumentów, ani pieniędzy, tylko wszędzie dmuchało-chuchało. W dodatku nie wiadomo, czy owe czytniki nie wariowałyby np. w sytuacji, gdy wyczuwalny w oddechu byłby alkohol.

Kolejnym tego typu pomysłem biometrycznym jest identyfikacja głosu. Są na świecie, np. na Węgrzech, w Turcji i Indonezji pierwsze próby użycia identyfikacji głosu, np. do potwierdzenia danych w łączności telefonicznej klienta z bankiem, identyfikacji głosowej pracowników w obrębie budynku banku czy polecenia blokady karty, ale użycie głosu jako identyfikatora budzi także wiele obaw. Nagranie czyjegoś głosu w technologii cyfrowej i odtworzenie go do mikrofonu bankomatu to dziecinna zabawa. Aby ta technologia była skuteczna, bankomat musiałby z klientem rozmawiać i zadawać pytania. Być przepytywanym przez terminale i bankomaty? Już dziś klienci mają dość przepytywania w celu identyfikacji w rozmowach telefonicznych z pracownikami banków, a co dopiero z maszynami.

Pod pojęciem biometrii rozumiemy wszystko, co jest związane z identyfikacją osoby na podstawie jej unikalnych cech fizycznych. Mankamentem wszystkich tego typu rozwiązań jest niezmienność charakterystyki zapisu. Nie wiadomo dotychczas, jak przebiegałoby wymazywanie danych, które uległy sfałszowaniu i zastąpienie ich nowymi. Dodatkową trudnością staną się również problemy z uszkodzeniem lub zaburzeniem struktury tkanki odczytywanej biometrycznie, np. rana na palcu czy choroba gardła.

Firma Sony dawno, dawno temu wymyśliła pewien gadżet, jako jeden z setek innych wychodzących z laboratoriów, nie przewidując w najśmielszych prognozach rewolucji, jaką to urządzenie rozpocznie. Był to walkman.

Wiele lat później, inna firma, konstruując zręby telefonii komórkowej, dodała niejako przy okazji pewną aplikację, nie przypuszczając, że ta w niektórych krajach, np. Polsce, przebije w popularności użytkowania samą ideę telefonii komórkowej, czyli rozmowę bezprzewodową na odległość. Tą aplikacją jest SMS - Short Message System.

Wspominam te genialne wynalazki dlatego, że naturalną koleją rzeczy droga od konstruktora do powszechnej używalności wiedzie przez wieloletnią akceptację, a następnie przywiązanie użytkowników do wynalazku. Innej możliwości nie ma.

Jakie rozwiązania zdominują świat w płatnościach poza oddziałami banków i zaciszem domowym, pokaże czas. Warto zwrócić wszakże uwagę na kilka rozwiązań oraz tendencji:

- w Japonii już 1/3 bankomatów ma identyfikację układu krwionośnego palca lub całej dłoni,

- nikt nie kwestionuje prostej łączności bank-telefon-klient-akceptant płatności za pomocą wspomnianych SMS-ów,

- pomysł z imitacją pendrive'a wydaje się świetny, gniazda USB mamy wszędzie, cóż za problem dodać je do terminali i bankomatów. Brak możliwości kradzieży danych, kopiowania jest cechą idealną, a wymagany PIN? Wystarczy indywidualnie ustalić listę zmiennych PIN-ów i nikt się do konta nie dobierze.

Oczywiście logika i bezpieczeństwo zastosowań niektórych rozwiązań nie muszą być zbieżne z oferowanymi lub wręcz narzucanymi, jak karty zbliżeniowe, przez banki. Klienci w gruncie rzeczy też potrafią głosować nogami, muszą mieć tylko możliwość wyboru.

Wiesław Sędzicki