Ce trebuie sa stiti despre UniCredit M@bile Banking pentru Windows Phone (Mobile)

În urmă cu vreo câteva săptămâni am fost contactat de la Call Center-ul UniCredit pentru a activa serviciul de Mobile Banking și totodată să mi se propună folosirea aplicației de mobil M@bile Banking de la la UniCredit. Întrebând dacă există posibilitatea de a testa și pe Windows 10 Mobile (sau Phone) am primit un răspuns pozitiv care m-a intrigat: da, există aplicație M@bile Banking de WIndows Phone (Mobile) pentru România și e gratuită, la fel și serviciul.

Hmm. Tentant. De ce să nu o testez mi-am zis? Pentru că sunt ceva lucruri pe care e absolut necesar să le cunoști înainte de a folosi o astfel de aplicație care printre altele are și rolul de a înlocui digipass-ul clasic, adică să îți transformi smartphone-ul în instrument de accesare a contului bancar pentru care să nu mai fie nevoie de digipass. Am în vedere aici mai multe elemente funcționale plus multe chestii mai tehnice, legate de securitatea datelor.

Interesant este că după ce mi-am exprimat pe Twitter intenția de a testa MobileB@nking de la UniCredit, am și fost contactat de către echipa UniCredit și mi s-a oferit tot suportul de care aveam nevoie în vederea lămuririi tuturor aspectelor ce mă țineau deoparte de testare. Așa am avut ocazia să discut mai în detaliu despre MobileB@nking cu oamenii din spatele produsului și să îmi fac o idee mai clară despre ce este aplicația, cum funcționează serviciul și care sunt lucrurile ce ar trebui știute.

Am creat un set de întrebări pentru acele lucruri care erau foarte importante pentru mine despre aplicația M@bileBaking de la UniCredit România pentru Windows Phone (Mobile 10), la care am și primit răspunsuri:

MOBzine: Cum se face autentificarea prin aplicația de mobil pe serverul UniCredit (prin browser se folosește digipass, pe aplicație am înțeles că nu mai e nevoie). Există opțiune de autentificare în 2 pași?

UniCredit: Autentificarea pe serverul UniCredit se efectuează folosind următorul proces:

Activarea aplicației: aplicația se activează utilizând UserID primit de la Bancă în momentul solicitării serviciului și codul de activare primit separat prin SMS – tot în momentul solicitării serviciului. Clientul își setează un cod PIN care întrunește anumite condiții de securitate (fără 6 cifre consecutive, fără 3 cifre consecutive, minim 6-maxim 15 cifre, fără grupe de către 2 cifre consecutive crescătoare).Pe serverul de autentificare, din codul PIN și din numărul IMEI (unic al telefonului), este derivată printr-un algoritm de hash o cheie (token virtual).

Accesul în aplicație: PIN ul definit la autentificare este folosit la accesul în aplicație – pe serverul de autentificare, PIN-ul +IMEI este folosit pentru a autentifica și utiliza tokenul virtual alocat în timpul activării.

 

Aplicaţia are un sistem de acces cu trei niveluri de securitate:

1. Nume de identificare pentru utilizator (User ID) introdus la activare

2. Solutie Soft-Token integrată în aplicație activată prin codul de activare.

3. Codul PIN din minim 6 cifre, care este necesar pentru a genera intern un token OTP (cod numeric parola de unică folosința). Codul este valabil 30 de secunde de la generare, doar pentru o singură autentificare. Dacă în acest interval aplicația nu se conectează, codul expiră și trebuie introdus din nou codul PIN.

MOBzine: Cum e protejată conexiunea dintre aplicația mobile banking și server-ul UniCredit?

UniCredit: Întreaga comunicație între aplicația de pe terminalul mobil și serverul băncii se desfășoară prin intermediul unui protocol securizat, prin criptografie asimetrica RSA de 1024 biți pentru inițierea sesiunii și prin criptografie simetrică AES pentru criptarea datelor în timpul sesiunii. Comunicațiile dintre serverele infrastructurii Mobile B@nking este securizată prin sesiuni SSL autentificate reciproc.

MOBzine: E vreun moment în care datele pleacă în plain text de pe smartphone? Dacă da de ce, când?

UniCredit: Da, în modul tutorial al aplicației, și trebuie știut că în acest moment aplicația nu este conectată la backend.

De asemenea în momentul preluării ratelor de schimb valutar, acestea sunt plain text.

MOBzine: Pot folosi mobile banking de pe doua telefoane cu același cont? (ex: Tableta/Telefon sau telefon/telefon)? De ce nu?

UniCredit: În acest moment aplicația nu poate fi activată și deci utilizată simultan pe mai multe device-uri cu același UserID – în cazul în care clientul dorește accesul la conturile sale și utilizarea aplicației pe mai multe device uri, soluția este să dețină 2 sau mai multe UserID-uri configurate cu aceleași conturi.

Funcționalitatea de multidevice este în stadiul de dezvoltare și se va pune la dispoziția clienților în viitor.

MOBzine: Ce se întamplă dacă am aplicația instalată/autorizată să funcționeze pe un telefon și doresc să o instalez pe un altul (să zicem că cel inițial a fost furat, pierdut sau pur și simplu resetat)? Se pierde sau se va anula autorizarea primului telefon în server?

UniCredit: În cazul unui telefon pierdut, furat, clientul are responsabilitatea contactării Bancii pentru a reinițializa aplicația. Banca îi va genera un nou cod de activare, clientul va reactiva de la zero aplicația pe un nou device.

În cazul unui device resetat, se vor pierde credențialele de login și clientul va trebui să contacteze Banca pentru generarea unui nou cod de activare, aplicația va fi activata de la zero.

MOBzine: Ca utilizator am opțiuni de revocare a folosirii aplicației de mobil în mod remote, de pe server-ul/contul UniCredit? Dacă nu, de ce nu? Cine are dreptul să facă revocarea? Care e procedura?

Există opțiunea de revocare a accesului în aplicația Mobile Banking astfel:

                – prin CallCenter – Banca va efectua setările necesare pentru a bloca accesul în aplicația Mobile Banking

               – prin aplicația Online banking – clientul își poate bloca singur accesul în aplicația Mobile Banking

MOBzine: Exista opțiuni de a vedea din contul (cloud) UniCredit istoricul de accesare prin aplicația de mobil?

UniCredit: Din aplicațiile Mobile și Online Banking clientul nu are acces la istoricul de accesare. Acest tip de istoric se obține de client din CallCenter. Din aplicațiile mai sus menționate clientul are acces doar la istoricul de tranzacții.

MOBzine: Cum/ce date se stochează local pe telefon (unde?) în mod specific pentru iOS, Android, Windows Phone? Sunt bazele de date criptate/parolate?

UniCredit: Următoarele date sunt stocate local:

– Datele specifice pentru localizare – pentru a fi folosite in modul offline

– Ratele de schimb valutar – pentru a fi folosite in modul offline

– Ordinea iconițelor din meniul principal

MOBzine: Ce mecanisme de protecție antifraudă sunt asociate aplicației mobile banking?

UniCredit: Utilizăm Sniper – aplicația antifraudă

MOBzine: Care sunt limitările aplicației mobile banking în comparație cu accesarea mobile banking via browser web?

UniCredit: Câteva lucruri care se pot face în OnlineBanking si nu le avem în varianta Mobile de Windows Phone (Mobile 10):

– Ordonare plăți programate

– Plata utilități pentru toți providerii (în Mobile nu avem toți providerii de utilități)

– Setări direct debit

– PFM (Personal Finace Manager)

– În versiunile următoare dorim să aducem cât mai multe funcționalități și în mobile banking.

MOBzine: Ce date colectează/păstrează UniCredit despre utilizator, aplicație, telefon, număr de telefon, adrese IP folosite etc.?

UniCredit: Utilizator, telefon, numar de telefon, IP.

Astea sunt datele de start pe care oricine e interesat să folosească serviciul/aplicația M@bileBanking de la UniCredit România ar trebui să le știe.

În condițiile în care piața din România duce lipsă de aplicații specializate (cu o complexitate peste medie) pentru accesul și managementul conturilor, inițiativa UniCredit România de a oferi o soluție pentru utilizatorii de Windows Phone/Mobile este de lăudat și mă bucur să fiu printre primii care testează acest serviciu.

Pentru mine e un început bun pentru că în zilele următoare o să încep să testez serviciul pe Windows 10 Mobile (build 10581 sau mai nou dacă va ieși) sau pe Windows Phone 8.1 cu Lumia 640/1520– am înțeles că aplicația de Windows 10 Mobile nu este încă finalizată și deși este în Windows Store (se poate descărca M@bileBanking România de aici) poate să mai genereze erori. Și pe măsură ce o să am mai multe informații le voi publica.

Sper să vă fie de folos informațiile obținute și să vă ajute în a lua decizia de a folosi serviciul. Iar dacă o faceți deja și aveți feedback, aș fi mai mult decât bucuros să îl aflu!