Азия: закрытая и инновационная
В странах Азии, Африки и Ближнего Востока преимущественно работает модель централизованного заказчика: когда запросы на все цифровые проекты выдает кто-то один – в частности, государство. Это сказывается на эффективности интеграции GovTech-решений. Например, в Китае существует государственная цифровая программа «Создание системы социального кредита», необходимая для помощи и наблюдения за гражданами. Она формирует «социальный рейтинг». На первом этапе реализации программы каждый участник получает стартовое число баллов, которое увеличивается или уменьшается в зависимости от нарушений или заслуг.
«Ключевая задача программы – предоставлять социальные блага и льготы тем категориям граждан, которые оправдывают доверие государства, и ограничения для участников с низким рейтингом. В отношении последних действуют или могут быть введены запреты выезд за границу, отказ в кредитах, сложности при трудоустройстве», – поясняет Антон Ларсен, директор отдела промышленных решений компании Skymec.
В вопросе же формирования эффективного и удобного цифрового правительства лидирует Сингапур: с 2010 года в рамках программы Smart Nation государство выделяет около $2 млрд ежегодно на трансформацию. По заказу правительства наименее перспективные отрасли вроде электроэнергетики здесь цифровизуют подрядчики: например, в рамках такого заказа была построена сенсорная сеть «умного города». Она собирает данные о потреблении энергии и состоянии окружающей среды (погода, освещенность) в разных районах города. А электронные госуслуги в Сингапуре развиваются с 2011 года.
В целом цифровое развитие Азии хоть и началось позднее, чем на Западе, но стремительно набрало темпы и сегодня впечатляет, особенно в секторах AR, VR, кибербезопасности. Сингапур и Гонконг, по мнению Harvard Business Review, – самые цифровые страны мира: здесь максимально выстроена экосистема, обеспечена доступность интернета, государство не мешает этому процессу, а население в него активно вовлечено. Тайвань и Южная Корея также в числе лидеров, Китай пока просто самый перспективный, а вот динамика Японии немного снизилась.
Не могу удержаться, извините)) Платежная система может базироваться на QR-кодах ровно в той же степени, в которой розничная торговля базируется на штрихкодах. То есть это удобный интерфейс, но никакой критической функциональности на него не завязано. А подаётся это так, будто это прям какой-то технологический рывок и прорыв.
Для некоторых рынков это действительно технологический рывок, поскольку позволил организовать мгновенные электронные платежи на имеющейся у целевой аудитории аппаратной базе (дешёвый смартфон с камерой). По сравнению со стандартным баркодом QR-код может нести значительный объём информации, включая необходимую для безопасного проведения транзакции криптографическую информацию.
Забавный сайд-эффект, смартфоны с Ali Express для китайского рынка как правило не имеют NFC модуля, который на российском рынке востребован как раз для проведения бесконтактных платежей в платёжных терминалах.
У нас, впрочем, собственная импортозамещённая гордость, и НСПК Мир, которая при своём создании казалась пятым колесом в телеге, неожиданно сделала совершенно офигенную Систему Быстрых Платежей по номеру телефона, в результате чего микробизнес теперь принимает безналичные платежи легко и непринуждённо, не говоря уже о неожиданно свалившихся в безнал "сборах на день рождения", "расчётах после вечеринки" и прочих платежах между физлицами.
> в результате чего микробизнес теперь принимает безналичные платежи легко и непринуждённо
Разве что если микробизнес согласится на ваши уговоры о включении СБП в настройках Сбера.
Микробизнес редко отказывается от возможности получить деньги, так что даже у клиентов Сбербанка СБП включена. Или есть вторая карта другого банка.
Для защищённых платежей важен не сам NFC модуль, это опять же не более чем механизм передачи данных. Нужно ещё что-то (например спец. симка, это же смарткарта, туда можно зашить что угодно в дополнение к стандартному телефонному приложению), что собственно и будет подписывать/шифровать транзакцию от вашего имени таким образом, что подделать её будет невозможно. А если забить на безопасность, то и QR-кода, и номера телефона или даже пароля из трёх букв может быть достаточно. И правда, зачем, если и так сойдёт)) Так даже удобнее!
Вы, видимо, не вполне представляете архитектуру этих платёжных систем. Все криптографические операции выполняются оператором ПС на своих серверах, транзакцию с банком тоже авторизует ПС, а на телефон вы получаете одноразовый зашифрованный токен для своей транзакции. Поэтому вам не нужен ни криптопроцессор в устройстве, ни специальная SIM-карта. Только вот размер токена сильно превосходит "пароль из трёх букв", и вам надо как-то решить задачу по передаче пары килобайт с устройства продавца на устройство покупателя, и с помощью QR-кода на экране и камеры в телефоне это получилось дёшево и надёжно.
Как раз для авторизации криптопроцессор и нужен, не? Иначе как убедиться в том, что транзакцию запросил/подтвердил именно владелец аккаунта, а не хакер, который назаметно скопировал данные с чьего-то телефона.
Авторизация *транзакции* идёт между банком и платёжной системой. У банка и ПС в дата-центрах HSM достаточно. А аутентификация пользователя в платёжной системе обеспечивается приложением на телефоне и серверной инфраструктурой ПС, без дополнительной аппаратуры. Копировать данные с телефона в целом бесполезно, хотя разлоченный телефон вполне имеет смысл.
Скопированные данные неотличимы от оригинала. Если запрос, которые приходит в вашу платёжную систему от имени пользователя, не содержит в себе чего-то принципиально некопируемого и в то же время верифицируемого, то этот запрос можно подделать без ведома и согласия пользователя. И он будет неотличим от настоящего запроса, инициированного настоящим пользователем. Увы.
Вы забыли про идентификацию устройства, которое здесь выступает вторым фактором. Клонирование устройства несколько более сложная задача, чем копирование данных (которое, кстати, тоже не сказать, чтобы тривиально). По факту сравнение рисков выливается в сравнение рисков кражи карты и телефона.
Ну да, вторым фактором можно свести риски к минимуму, но тогда не получится просто махнуть телефоном и расплатиться.
Давайте по шагам пройдём. У нас есть продавец Си и покупатель Ли. У обоих дешёвые смарты и суперапп WeChat. В аккаунтах WeChat включено платёжное приложение, и может быть привязан банковский счёт. Денег на терминал МПС/UnionPay у Си нет.
Поторговавшись Си решает, что за свой дайкон хочет 45 юаней. Пишет эту сумму в платёжное приложении, в ответ получает QR код, содержащий сумму, уникальный номер транзакции, номер аккаунта Си, время и цифровую подпись WeChat, обеспечивающую целостность информации. Дальше Си показывает этот QR код, Ли читает его камерой своего телефона в том же платёжном приложении WeChat, проверяет сумму, и подтверждает оплату, через пуш-сообщение в том же приложении. Второй фактор живёт здесь - это телефон Ли, зарегистрированный им в WeChat (What you have) и Ли залогинен в приложении (What you know). Дальше приложение отправляет документ в WeChat с подтверждением Ли, WeChat проверяет наличие у Ли средств на счёте WeChat/денег в банке/кредита, и подтверждает Си оплату по его QR коду.
В целом, роль QR кода только в быстрой передаче информации о платеже между телефонами Си и Ли. Но без этого звена вся схема развалится.
Если всё происходит через интернет, то в общем случае мы не знаем, что за устройство шлёт нам IP пакеты. Телефон это Ли или это Ху научился логиниться от имени Ли (причём не факт, что с телефона) - в общем случае мы ничего про это не знаем, ни типа устройства, ни его физического местоположения, вообще ничего. А дальше Ли (или Ху от имени Ли) переводит деньги со счёта Ли на счёт Си. Если пуш-сообщение приходит к Ли (или Ху) с виде смски, а не через интернет, то это действительно несколько усложняет хакеру задачу, так как теперь нужно уметь перехватывать смски, что без помощи оператора проблематично (хотя, насколько я понимаю, тоже возможно). Это так, на вскидку, а чтобы конкретнее описывать сценарии взлома, нужно лучше представлять как эта система работает, а мне лень разбираться.
Принципиальный вопрос - информация, необходимая для удалённой авторизации и имперсонизации, копируема или же требует физического доступа к некому гаджету (и вдобавок к этому, как правило, знания пина, пароля или чего-то такого). Это разные классы сценариев, с разными рисками и разными подходами к взлому.
Вот я бы хотел, чтобы в интернет-банке меня авторизовали через сим-приложение или банковскую карту (в ней есть NFC, почему бы и нет), но пока я не встречал банков, которые так умеют - предлагается только пароль+SMS или собственное приложение. А я такое приложение, например, гоняю в эмуляторе андроида, я вижу в какие файлы оно лезет, где оно хранит свои секреты, при желании я бы мог написать своё собственное, но мне опять лень :) Так что в этом смысле китайцы ничем не хуже, на самом деле.
Начнём с банального, даже самый дешёвый смартфон имеет уникальные идентификаторы устройства и SIM-карты (IMEI/IMSI), к котором приложение может получить (и получает) доступ через стандартные системные API, и которые достаточно дорого клонировать (и невозможно без физического доступа к устройству). Позиционирование мобильных устройств и доступ к позиции через API тоже стандартные функции.
И пуш-сообщение у вас придёт именно через интернет, по зашифрованному каналу, обеспечивающему с одной стороны аутентификацию Ли и его устройства (если Ху, конечно, не стащил его в разблокированном состоянии), а с другой стороны сервера WeChat. И оператор связи у вас в худшем случае сможет обрушить этот канал, вызвав отказ в обслуживании, но не влезть в этот канал с ложной информацией, как это возможно с SMS.
В любом случае, эти механизмы работы платёжного приложения с системой ничем принципиально не отличаются от работы приложений банков. Но банки, в отличие от WeChat не смогли/не захотели решить проблему передачи реквизитов безналичного платежа. Может быть из-за инерции, может быть потому-что зарабатывали на обслуживании карт и терминалов. А WeChat нашёл этот механизм, и им оказались QR коды.
IMEI/IMSI - это коротенькие последовательности цифр, которые легко копируются. Их трудно подделать с целью регистрации модема с базовой станцией, но если мы говорим про IP пакеты, то там IMEI, а уж тем более IMSI, абсолютно ни при чём. Ежели протокол подразумевает, что клиент сообщает свой IMEI, то клиент может подсунуть какой угодно и ему ничего за это не будет. Шифрование канала более-менее гарантирует, что никто не перехватит трафик, но ничего не говорит о том, кто находится с другой стороны соединения. Влезть в зашифрованный канал кстати не так уж и невозможно. Ну и так далее.
Ещё раз повторяю, с точки зрения безопасности (или взлома) интернет коммуникаций, принципиальный момент - информация, необходимая для авторизации и имперсонизации, копируема или нет. От этого и танцуем.
За любое удобство обычно приходится расплачиваться дополнительными рисками. В обратную сторону эта логика, кстати, не работает - если что-то неудобно, то это абсолютно ничего не говорит о том, насколько это надёжно))
И ещё раз. Возможности по аутентификации клиента, устройства, защите канала у банковского приложения и платёжного приложения WeChat не отличаются никак. Наличие NFC модуля банковскому приложению в этом никак не помогает, никакого дополнительного "платёжного элемента" в NFC нет. Но WeChat придумал использовать QR-коды, а банки нет.
"Платёжный" или любой другой элемент может быть в банковской карте, которую выдал мне банк, NFC полезен только как способ доступа к смарткарте, вместо кардридера (удобство!), больше ни для чего NFC в этой схеме не нужен.
Банковская карта и платёжный терминал в этой схеме не используется. И именно за счёт этого сервис подбирает огромное число пользователей (продавцов прежде всего), которые до этого безналичными платежами не пользовались вообще.
Банковскую карту я привёл в качестве примера, для авторизации сойдёт любая смарткарта, умеющая выполнять элементарные криптографические операции неизвлекаемым приватным ключом (публичная часть ключа хранится в базе у того, кто вас авторизует). В Европе подобный сервис встраивается в сим-карты, например.
Да не важно, на самом деле. Если бизнес у китайцев прёт, значит риски оказались на приемлемом уровне, значит молодцы, чо.
Вторым фактором, например. Но это не важно, система с qr ничем принципиально не отличается от обычных платежей по карте, ее минус в отсутствие универсальности. Зачем такое запилили - тоже очевидно - чтобы уйти от МПС.
Скорее чтобы предоставить услуги безналичных платежей тем, кому услуги МПС (то же обслуживание терминала) не по карману.
Кстати, кейс НСПК СБП в целом из той же оперы. Пока пытались напрямую конкурировать с МПС и делали платёжные карты - никому нафик были не нужны. А СБП народ распробовал очень быстро.
ИМХО не совсем так. Сначала банки должны начать использовать для операций эту ПС, а потом уже ПС начинает предоставлять услуги мерчантам, или этот процесс должен идти параллельно. С НСПК, кстати, так и вышло. Когда взлетели СБП, все банки были уже подключены к НСПК.
Безусловно банки к НСПК подключали насильно и внутренние карточные платежи МПС идут через неё, но их собственные карты МИР по факту никто кроме бюджетников не использовал и не использует, и ни один банк их особо не предлагает.
А СБП по факту открыла совсем другую рыночную нишу.
Кристина, спасибо за обзор. А в чем на ваш взгляд секрет успеха супер-аппов в Азии и почему Европа ещё не там?