Płacenie telefonem może zyskać dodatkowy etap zabezpieczenia. W Portfelu Google odkryto ustawienie pozwalające wybrać ponowne potwierdzenie tożsamości przed zbliżeniem urządzenia do terminala. Funkcję ujawniono w przygotowywanej wersji interfejsu, a Google doprecyzował jej przeznaczenie.
Fot. PintoArt / Shutterstock.Nowa opcja pojawiła się w ustawieniach weryfikacji
Informację o przygotowywanej zmianie opublikował Android Authority, którego zespół uruchomił niewidoczne standardowo elementy aplikacji. Pierwsze doniesienie pochodziło z 27 października, a w materiale z 1 listopada pokazano już działający ekran nowej opcji. Pozycja oznaczona jako „Tap to pay” znalazła się w ustawieniach weryfikacji Portfela Google. Towarzyszący jej opis wskazuje, iż urządzenie przez cały czas musi być odblokowane, a użytkownik może wybrać dodatkowe potwierdzenie bezpośrednio przed płatnością. To istotne rozróżnienie: odkrycie przygotowanej funkcji nie oznacza jeszcze udostępnienia jej wszystkim posiadaczom aplikacji.
W aktualizacji wcześniejszego artykułu z 2 listopada serwis przekazał doprecyzowanie Google. Firma wyjaśniła, iż nowa pozycja nie ma służyć pomijaniu uwierzytelnienia przy zwykłych zakupach. Chodzi o dodatkową weryfikację przy płatnościach innych niż transportowe, z potwierdzeniem wykonanym w ciągu trzech minut przed zakupem. Nie przesądza to jednak, iż każda kolejna transakcja w tym czasie będzie wymagała osobnego skanu palca, niezależnie od wcześniejszego odblokowania urządzenia.
Telefon już teraz może poprosić o ponowne potwierdzenie
Obecne zasady Portfela Google przewidują weryfikację z wykorzystaniem blokady ekranu. o ile użytkownik potwierdził swoją tożsamość w ostatnich kilku minutach, aplikacja może nie wymagać ponawiania tej czynności przy następnym zakupie. Po upływie tego czasu trzeba zweryfikować się ponownie. Dlatego dwie wizyty przy terminalu nie zawsze wyglądają tak samo: przy zakupie kawy może wystarczyć niedawne odblokowanie telefonu, a po dłuższej przerwie przy kasie sklepu pojawi się kolejny komunikat. Sama obecność takiej prośby nie dowodzi więc, iż na konkretnym urządzeniu uruchomiono właśnie nową, eksperymentalną funkcję.
Odcisk palca i twarz to nie jedyne dopuszczone metody
Google wymienia w aktualnej pomocy kilka sposobów potwierdzania tożsamości: PIN blokady ekranu, wzór, hasło oraz obsługiwane odblokowanie biometryczne klasy 3. Nie ogłoszono zastąpienia wszystkich tych metod obowiązkowym skanowaniem palca albo twarzy. Osoba korzystająca z kodu do odblokowania urządzenia nie powinna zatem zakładać, iż dotychczasowy sposób płacenia zostanie wyłączony wyłącznie z powodu braku zapisanych danych biometrycznych. Ważne jest również rozróżnienie kodów: gdy Portfel prosi o PIN blokady ekranu, chodzi o kod telefonu, a nie o PIN karty bankowej wpisywany na terminalu.
Dlaczego rozpoznawanie twarzy może odblokować ekran, ale nie wystarczyć do zakupu
Android rozróżnia trzy klasy siły zabezpieczeń biometrycznych. Najwyższa, klasa 3, odpowiada kategorii określanej jako silne uwierzytelnianie. Słabsze rozwiązania również mogą służyć do otwierania ekranu blokady, ale nie otrzymują automatycznie tych samych uprawnień w aplikacjach. W praktyce dwa telefony z funkcją rozpoznawania twarzy mogą więc inaczej zachowywać się przy płaceniu. Liczy się spełniany standard bezpieczeństwa, a nie sama nazwa funkcji w specyfikacji. Odblokowany ekran nie zawsze oznacza, iż przed chwilą zastosowano metodę akceptowaną do potwierdzenia zakupu.
Dobrym przykładem jest telefon, na którym użytkownik na co dzień korzysta z wygodnego rozpoznawania twarzy, ale mechanizm ten nie spełnia wymagań dla płatności. Po podejściu do terminala urządzenie może zażądać PIN-u albo innej obsługiwanej metody. Nie musi to oznaczać awarii czy ponownej weryfikacji danych w banku. Jest konsekwencją różnicy pomiędzy otwarciem ekranu a potwierdzeniem uprawnienia do zapłaty. Dokumentacja Androida przewiduje także ochronę danych biometrycznych w wydzielonym, bezpiecznym środowisku urządzenia. Użycie odcisku palca do zatwierdzenia operacji nie jest więc tym samym co przesłanie sprzedawcy jego obrazu.
Co ma być opcjonalne, a co pozostanie warunkiem płatności
W wykrytym interfejsie przełącznik dotyczy dodatkowego potwierdzenia przed zbliżeniem telefonu. Podstawowy obowiązek zabezpieczenia urządzenia i uwierzytelnienia do zwykłych zakupów pozostaje odrębną sprawą. Z dostępnych materiałów nie wynika kompletny opis wszystkich sytuacji, w których nowa opcja będzie wywoływała kolejny komunikat. Nie należy więc przedstawiać jako przesądzonego ani każdorazowego, osobnego skanu przy terminalu, ani możliwości dowolnego wyłączenia dotychczasowych wymagań. Dla użytkownika najważniejsze będzie to, jakie działanie Google ostatecznie opisze przy publicznie udostępnionym ustawieniu.
Zmiana dotyczy Portfela Google, a nie każdej płatności na Androidzie
Doniesienia opisują konkretną aplikację i jej ustawienia. Nie są komunikatem o zmianie zasad wszystkich portfeli mobilnych, wszystkich banków ani płatności plastikową kartą. W przypadku Portfela Google do zakupów telefonem przez cały czas potrzebne są między innymi włączone NFC, prawidłowo dodana karta, adekwatna aplikacja domyślna oraz spełnienie wymagań bezpieczeństwa. Google wyjaśnia również, iż nie trzeba za każdym razem otwierać samego Portfela: przy odpowiednio odblokowanym urządzeniu można zbliżyć je do czytnika. Dodatkowy komunikat weryfikacyjny, wybór karty i samo uruchomienie aplikacji to osobne elementy obsługi płatności.
Transport publiczny ma odrębny wyjątek
Źródłem części nieporozumień jest istniejące już ustawienie dotyczące przejazdów. W obsługiwanych systemach transportu publicznego Portfel pozwala wyłączyć wymóg potwierdzenia przy płatności kartą za przejazd, dzięki czemu nie trzeba wcześniej odblokowywać telefonu. Nie każdy system transportowy obsługuje ten wyjątek, a ustawienie nie przenosi się automatycznie na zakupy w sklepie. Właśnie dlatego obecność podobnej pozycji dla zwykłych płatności początkowo wywołała pytania o możliwość pominięcia blokady. Doprecyzowanie przekazane przez Google wskazuje jednak na dodatkową kontrolę, a nie rozszerzenie wyjątku transportowego na wszystkie terminale.
Dodatkowe potwierdzenie pełni inną rolę niż ochrona numeru karty
Portfel ma już zabezpieczenia działające niezależnie od tego, jak często poprosi o potwierdzenie tożsamości. Google opisuje szyfrowanie płatności i wykorzystywanie dla obsługiwanych kart wirtualnego numeru zastępującego rzeczywisty numer karty podczas transakcji w sklepie. Te mechanizmy dotyczą ochrony danych płatniczych. Weryfikacja użytkownika odpowiada natomiast na inne pytanie: czy osoba korzystająca z urządzenia może zatwierdzić zakup. Nowy przełącznik ma dotyczyć właśnie tej drugiej warstwy. Nie oznacza to, iż dotychczasowe płatności odbywały się bez zabezpieczeń albo iż sama obecność biometrii rozwiązuje każdy możliwy problem z realizacją transakcji.
Co sprawdzić w aplikacji i jak przygotować się do płacenia
Ustawienia dotyczące potwierdzania tożsamości można sprawdzić po otwarciu Portfela, dotknięciu zdjęcia profilowego i przejściu do ustawień weryfikacji w sekcji bezpieczeństwa. Nie oznacza to jednak, iż każdy zobaczy tam nowy przełącznik dla zwykłych zakupów. Przywołane doniesienia nie wskazują daty jego powszechnego udostępnienia w Polsce. Samo zainstalowanie najnowszej wersji aplikacji nie daje podstaw do zakładania, iż ekran ujawniony przez badaczy będzie już dostępny. Oceniając ewentualną zmianę, warto przeczytać opis widoczny na własnym telefonie, zwłaszcza informację o wymaganej metodzie i momencie ponownego potwierdzenia.
Jeżeli problemem jest płatność przy kasie już teraz, najpierw należy sprawdzić jej komunikat. Prośbę o potwierdzenie tożsamości trzeba wykonać obsługiwaną metodą na urządzeniu, natomiast brak reakcji terminala może wymagać sprawdzenia NFC, aplikacji domyślnej albo sposobu przyłożenia telefonu. Google zaleca również aktualny Portfel oraz kontrolę statusu dodanej karty. Gdy bank zawiesił kartę lub odrzucił transakcję, samo ponowne zeskanowanie palca nie rozwiąże przyczyny. Dla codziennych zakupów najważniejsze jest więc rozpoznanie, czy telefon oczekuje uwierzytelnienia, czy komunikat dotyczy połączenia z terminalem albo samej karty.
