Suverenost uporabnika slovenskih mobilnih in spletnih bank

By hook, 9 Marec, 2023

Metodologija in omejitve

Pod drobnogled smo postavili vse slovenske banke. Omejili pa smo se na storitve za fizične osebe.

Seznam bank, vključenih v analizo

Addiko bank
Banka Intesa Sanpaolo
Banka Sparkasse
BKS bank
Delavska hranilnica
Deželna banka Slovenije
Gorenjska banka
LON
(N26 – nismo stopili v stik, ker ni slovenska banka, tu kot tuja moderna referenca)
N Banka
NLB
Nova KBM
Primorska hranilnica Vipava
(Revolut – nismo stopili v stik, ker ni slovenska banka, tu kot tuja moderna referenca)
SKB banka
UniCredit banka Slovenije

Glavni metodi sta bili analiza javno dostopne dokumentacije in spletnih strani bank, ter anketa, ki smo jo posredovali vsem bankam. Banke smo pisno povprašali in po potrebi tudi stopili v dodatno korespondenco, da smo izvedeli kar nas zanima.

Zaradi stroškovnih razlogov nismo odpirali računa pri vseh bankah, smo pa testirali mobilne in spletne aplikacije vseh bank, pri katerih je kdo od sodelujočih imel račun. Kjer pa je bila ta možnost, smo osebno preverili kako aplikacije delujejo.

Prav tako, smo se pri mobilnih bankah omejili zgolj na Androidne aplikacije, ker iOS ni odprtokoden operacijski sistem.

Zavedamo se, da se v računalništvu stvari hitro spreminjajo, tako da bomo zelo verjetno ta članek še kdaj posodobili. Če bi kdo rad pomagal dopolniti ali posodobiti informacije v tem članku, naj piše Matijatu Šukljetu.

Mobilne banke

Uvod v Androidni svet in problem le-tega

Med operacijskimi sistemi za mobilne naprave dominirata Googlov Android in pa Applov iOS. Vsi ostali sistemi imajo neprimerljivo majhen tržni delež v primerjavi s tem duopolom.

Android Open Source Project (kratko: AOSP) se sicer razvija pod okriljem Open Handset Alliance, a ogromna večina naprav poganja kar Googlovo različico Androida.

Google v lasten Android vgrajuje vedno več in več lastnih zaprtih storitev, ki uporabnike in razvijalce vežejo na tega ponudnika, ter pogosto tudi vključujejo (anti)funkcionalnosti, ki so namenjene profiliranju uporabnikov za oglaševanje. To pa ni v korist uporabnika, ampak lahko celo ogrozi njegovo zasebnost.

Obstaja pa tudi še veliko drugih različic Androida, ki bazirajo na odprto-kodnem AOSP in nimajo Googlov storitev. Kot tipična odprto-kodna primera sta LineageOS ter Murena oz. /e/OS. Operacijski sistem /e/OS bazira na LineageOS, ampak odstrani še zadnje drobce Googla in jih zamenja s prostimi alternativami, tako da poustvari udobnost oblačnih storitev, ampak na varen in zaseben način. Med večjimi proizvajalci naprav, ki nimajo Googlovih storitev sta tudi Huawei in Amazon.

Glavni cilj analize je bil, ugotoviti, katere mobilne bančne aplikacije delujejo na Android sistemih, ki niso prežete z Googlovimi storitvami. Testirali smo primarno na /e/OS telefonih.

Zakaj in kdaj nekatere bančne aplikacije ne delujejo?

Glavni problem mnogih mobilnih bančnih aplikacij je, da uporabljajo SafetyNet API, ki je del Google Play Services in sam po sebi dokumentiran. Problem pa nastopi, ker je le-ta za določene funkcionalnosti odvisen od DroidGuard, ki pa je zaprt in niti ni javno dokumentiran.

Zato aplikacije, ki so odvisne od SafetyNet API in DroidGuard ne delujejo na napravah, ki ne poganjajo Googlove različice Androida, ki vključuje Google Play Services. To so npr. Huawei naprave ter vse naprave, ki poganjajo katerikoli Android, ki ni požegnan od Googla.

Ti dve komponenti pa nista nujno potrebni oz. edini, ki omogočata varno prijavljanje v aplikacije. Njihovo popularnost gre predpisati Googlovem monopolu in t.i. vendor lock-in efektu, ter odločitvi razvijalcev, da uporabijo kar je najhitreje najdejo in deluje »za večino«, namesto, da se potrudijo z drugimi rešitvami, ki bi omogočili delovanje širšemu spektru uporabnikov.

Rešitev za bančne aplikacije

Na srečo pa odprto-kodna skupnost ne spi in obstaja projekt microG (pride že vgrajen v /e/OS), katerega cilj je implementirati zaprto-kodne Googlove storitve, ki so potrebne za normalno delovanje raznih aplikacij, ki (nespametno) odvisijo od Google Play idp. storitev.

Tako je leta 2022 – sredi naše analize – microG izboljšal svojo podporo SafetyNet do te mere, da je velika večina bančnih aplikacij, ki prej niso, sedaj enostavno delovala. Pred tem je komaj katera bančna aplikacija delovala.

Ker pa stvari ne morejo biti enostavne, je Google že označil SafetyNet API kot zastarelo tehnologijo in jo nadomestil z Play Integrity API. SafetyNet API bo tako dokončno nehal delovati junija 2024 – in z njim vse aplikacije, ki ga uporabljajo, če jih ne bodo razvijalci spremenili, da uporabljajo Play Integration API. Upamo, da bo do takrat microG uspel pretentati tudi Play Integration API.

Katere mobilne banke delujejo na ne-Google Androidu?

Sledi seznam delujočih in nedelujočih mobilnih bank. Kjer smo jih izvedeli, bomo zapisali tudi podrobnosti.

Delujoče mobilne banke

Mobilne aplikacije, ki uporabljajo Rekono (namesto Google Play Services), delujejo normalno. To so:

Addiko bank – Mobilna banka Addiko Mobile Slovenija preverjeno deluje v praksi.
Delavska hranilnica – Mobilna banka DH Mobilni preverjeno deluje v praksi. (pozor! mobilna denarnica DH Denarnik ne dela)
Deželna banka Slovenije –Mobilna banka mDBS preverjeno deluje v praksi.
N Banka – Mobilna banka Mobilna N Banka je v Huawei Store in po trditvah banke deluje.

Seveda je tu vprašanje menjava enega »vendor lock-in« za drugega, saj je tudi Rekono gospodarska družba. Je pa res, da poslovni model Rekono ni odvisen od profiliranja uporabnikov. Tako, da v primerjavi z Google se nam zdi boljša opcija.

Druge banke, ki delujejo:

Banka Sparkasse – Mobilna banka M.Stik je na voljo v Huawei Store. Pri Sparkasse pravijo pa da »ne morejo garantirat, da dela«. Preverjeno v praksi deluje na SailfishOS, ki je povsem ločen Linux mobilni operacijski sistem, a je (omejeno) sposoben poganjati Android aplikacije. Tako, da sklepamo, da zelo verjetno deluje na ne-Google Android napravah.
(N26 – Mobilna banka N26 – The Mobile Bank preverjeno deluje v praksi.)
NLB – Banka zatrjuje, da mobilna banka Klikin deluje na Android 6.0 ali novejših, tudi na Huawei »brez Google aplikacij«, preverjeno dela. (pozor! mobilna denarnica NLB Pay ne dela)
Nova KBM – Mobilna banka mBank@Net in mobilna denarnica mDenarnic@ preverjeno delujeta v praksi.
(Revolut – Mobilna banka Revolut, po /e/OS forumu sodeč, deluje.)
UniCredit Banka Slovenija – mobilna banka Mobila Banka Go preverjeno deluje v praksi.

Nedelujoče mobilne banke

BKS bank – Banka pravi: »Mobilna banka mBanka je podprta za Android telefone z Google Play storitvami.«. Nismo pa uspeli preverit v praksi, če je temu res tako. To nas sicer čudi, saj zgleda, da uporabljajo Rekono.
SKB banka – Banka pravi: »Ne, za namestitev in pravilno delovanje MOJ@SKB je potrebna naprava z Google Play«. Nismo pa uspeli preverit v praksi, če je temu res tako.
Flik Pay – mobilna denarnica, ki jo uporablja več slovenskih bank. Preverjeno ne deluje.
DH Denarnik – mobilna denarnica, ki jo uporablja Delavska hranilnica. Preverjeno ne deluje.
NLB Pay – mobilna denarnica, ki jo uporablja NLB. Preverjeno ne deluje

Mobilne banke, za katere nimamo podatkov

Banka Intesa Sanpaolo – O mobilni banki Intesa Sanpaolo Bank Mobile (ISPS) nismo uspeli pridobiti podatkov. Banka ni odpisala podrobnosti. Je pa v Huawei store.
Gorenjska banka – Banka pravi, da je uradni pogoj za mobilno banko Link M Google trgovina (sic! niso omenjali Google Play storitev), vendar je APK dostopen tudi direktno na bankini spletni strani. Morda dela, nismo uspeli preverit.
LON – O mobilni banki mLon nismo uspeli pridobiti podatkov. Banka ni odpisala. Domnevamo, da deluje, saj bazira na Rekono avtentikaciji.
Primorska hranilnica Vipava – Nismo uspeli pridobiti podatkov. Banka ni odpisala. Zgleda, kot da mobilne banke sploh nima.

Katere banke nudijo spletna plačila brez Google Android telefona?

Dodaten, še bolj boleč problem, so spletna plačila.

Od 3. maja 2022 naprej je v veljavi Direktiva EU o plačilnih storitvah (PSD2) spremenila in od takrat dalje se spletnih nakupov brez močne več-faktorske avtentikacije ne da opraviti. Visa in MasterCard uporabljata sistem 3D Secure. Zato smo preverili tudi, če banke omogočajo potrjevanje spletnih nakupov, ne da je potrošnik vezan na Google.

Pri tem smo dodali posebej kategorijo še za 3D Secure, ki deluje povsem brez pametnega telefona. Sicer to ni bil osnovni cilj naše analize, se nam zdi pa pomemben podatek, za potrošnike, ki nimajo pametnega telefona, da lahko kupujejo preko spleta.

Delujoče 3D Secure aplikacije

Addiko banka – mobilna aplikacija Rekono OnePass
Banka Sparkasse – mobilna banka Halcom M.Stik
BKS banka – mobilna aplikacija Rekono OnePass
Delavska hranilnica – mobilna aplikacija Rekono OnePass
Deželna banka Slovenije – mobilna aplikacija Rekono OnePass
LON – mobilna aplikacija Rekono OnePass
N Banka – mobilna banka Mobilna N Banka
Nova KBM – mobilna denarnica mDenarnic@
Primorska hranilnica Vipava – mobilna aplikacija Rekono OnePass
UniCredit banka Slovenija – mobilna banka Mobilna Banka Go!

3D Secure možen brez pametnega telefona

Addiko banka – Rekono SMS OTP / web
BKS banka – Rekono SMS OTP / web
Delavska hranilnica – Rekono SMS OTP / web
Deželna banka Slovenije – Rekono SMS OTP / web
Gorenjska banka – HID Approve program na Windows računalniku
LON – Rekono SMS OTP / web
N Banka – čitalec bančnih kartic, ki generira OTP
Primorska hranilnica Vipava – Rekono SMS OTP / web
SKB banka – Rekono SMS OTP / web

Nedelujoče 3D Secure aplikacije

Delavska hranilnica – mobilna denarnica DH Denarnik
NLB – mobilna denarnica NLB Pay
SKB banka – mobilna banka MOJ@SKB (glej zgoraj)

Nimamo dovolj podatkov, če 3D Secure deluje

Banka Intensa Sanpaolo – Nismo uspeli pridobiti podatkov. Banka ni odpisala podrobnosti. Vemo le, da naj bi 3D Secure možen preko mobilne banke ISPS in uporabe funkcije #withKEY, z uporabo čitalca plačilnih kartic, in z mobilno denarnico Wave2Pay.
Gorenjska banka – Mobilna banka Link M ne vemo če deluje (glej zgoraj).
(N26 – Nismo preverjali, domnevamo pa, da je del mobilne banke ter da s tem deluje.)
(Revolut – Nismo preverjali, domnevamo pa, da je del mobilne banke ter da s tem deluje.)

Spletne banke

Linux? Firefox? Seveda!

Še večji monopol poteka na področju spletnih brskalnikov. Tu Google absolutno dominira. Ne le, da je Google Chrome najbolj popularen brskalnik, ampak praktično vsi drugi večji (Opera, Microsoft Edge, Vivaldi, Brave) prav tako bazirajo na Blink pogonu, ki ga razvija Google. Edini izjemi sta Apple Safari ter Mozilla Firefox (in par manjših oz. specifičnih brskalnikov). Pri je treba omeniti, da Safari bazira na WebKit pogonu, ki je zrasel iz KDE KHTML/KJS; Google pa je potem svoj Blink baziral na WebKit. Torej je Firefox in njegov Gecko pogon edina resna alternativa, če ne želite WebKit/Blink.

Z veseljem poročamo, da je vsaj kar se tiče spletnih bank za fizične osebe, postalo kar normalno, da v Linuxu tečejo povsem normalno. Nekih presenečenj tu ni bilo, tudi v Firefox ne.

(NLB ProKlik dandanes že zloglasno izstopa, da ne deluje na Linux. Sicer je namenjen za poslovne uporabnike, a je edina za katero vemo, da ne deluje.)

Spletna banka brez »pametnega« telefona?

Kjer se stvari zataknejo pa je, ko spletne banke zahtevajo za prijavo v spletno banko generiranje (OTP) gesla v mobilni banki ali drugi mobilni aplikaciji. To pa onemogoča dostop tako tistim, ki uporabljajo bolj zasebnosti prijazno različico Androida, ter še bolj tistim, ki pametnega telefona sploh nimajo oz. si ne želijo. Zato poizvedeli katere vse načine banke ponujajo za dostop do njihovih spletnih bank.

Banka Sparkasse za svojo spletno banko Net.Stik omogoča naslednje načine prijave:
- mobilna banka M.Stik
- digitalni certifikat na kartici oz. ključku
- (fizični generator gesel, verjetno se ukinja)
BKS bank za svojo spletno banko MyNet omogoča naslednje načine prijave:
- mobilna banka mBanka
- fizični generator gesel
Delavska Hranilnica za svojo spletno banko DH Osebni omogoča naslednje načine prijave:
- mobilna aplikacija Rekono OnePass
- geslo na SMS (prek Rekono spletnega portala)
- digitalni certifikat v brskalniku ali na kartici, npr. elektronski osebni izkaznici (prek Rekono spletnega portala)
Deželna banka Slovenije za svojo spletno banko DBS NET omogoča naslednje načine prijave:
- mobilna aplikacija Rekono OnePass
- geslo na SMS (prek Rekono spletnega portala)
- digitalni certifikat v brskalniku ali na kartici, npr. elektronski osebni izkaznici (prek Rekono spletnega portala)
Gorenjska banka za svojo spletno banko Link omogoča naslednje načine prijave:
- mobilna banka Link M
- program na računalniku HID Approve – pozor, deluje le na Windows!
LON za svojo spletno banko eLON omogoča naslednje načine prijave:
- mobilna aplikacija Rekono OnePass
- geslo na SMS (prek Rekono spletnega portala)
- digitalni certifikat v brskalniku ali na kartici, npr. elektronski osebni izkaznici (prek Rekono spletnega portala)
N Banka za svojo spletno banko Spletna N Banka omogoča naslednje načine prijave:
- mobilna aplikacija Rekono OnePass
- geslo na SMS (prek Rekono spletnega portala)
- digitalni certifikat v brskalniku ali na kartici, npr. elektronski osebni izkaznici (prek Rekono spletnega portala)
Nova KBM za svojo spletno banko Bank@Net omogoča naslednje načine prijave:
- mobilna banka mBank@Net
- geslo na SMS
Primorska hranilnica Vipava za svojo spletno banko Osebni HIP-net omogoča naslednje načine prijave (domnevamo, ker naj bi uporabljala Rekono, nismo pa uspeli preverit):
- mobilna aplikacija Rekono OnePass
- geslo na SMS (prek Rekono spletnega portala)
- digitalni certifikat v brskalniku ali na kartici, npr. elektronski osebni izkaznici (prek Rekono spletnega portala)

Spletne banke, ki ne delujejo brez pametnega telefona:

Addiko banka praviloma za prijavo v svojo spletno banko EBank zahteva uporabo mobilne aplikacije. Zaenkrat pa še podpira avtentikacijo prek fizičnega generatorja gesel za obstoječe komitente, ki ga še imajo.
Banka Intesa Sanpaolo za prijavo v svojo spletno banko Spletna banka po lastnih navedbah zahteva uporabo mobilne aplikacije. Banka pa ni odpisala glede podrobnosti, tako, da nismo sigurni.
(N26 za prijavo v svojo spletno banko sicer potrebuje samo geslo na SMS, vendar je mobilna banka nujna za prvo aktivacijo spletne banke.)
NLB za prijavo v svojo spletno banko Klik zahteva uporabo mobilne banke.
(Revolut za prijavo v svojo spletno banko potrebuje mobilno banko.)
SKB za prijavo v svojo spletno banko SKB NET zahteva uporabo mobilne banke.
UniCredit banka Slovenija praviloma za vpis v svojo spletno banko Online banka zahteva uporabo mobilne banke. Zaenkrat pa še podpira avtentikacijo prek fizičnega generatorja gesel za obstoječe komitente, ki ga še imajo.

Izvozni formati

Ker delovanje pod FOSS operacijskim sistemom ni problem, smo se pri spletnih bankah osredotočili na izvozne formate. To je nujno za uvoz transakcijskih podatkov v za to namenjene aplikacije za vodenje osebnih (ali poslovnih) financ. Saj, če želimo imeti bolj podroben in dolgoročen vpogled v svoje finance, jih moramo obdelati lokalno. Spletne in mobilne banke so tu funkcionalno zelo omejene in tudi praviloma hranijo transakcije samo za nekaj let nazaj.

Tu pa postanejo stvari precej tragične.

Formati, v katere spletne banke izvažajo
	XML	CSV	plain text	XLS(X)	PDF	QIF	OFX
Addiko bank	(v bodoče nedifiniran XML)				ja
Banka Intesa Sanpaolo
Banka Sparkasse			izgleda kot blagajniški račun	»Excel«, ki je v praksi HTML z .xls končnico	ja
BKS bank		ja		ja	ja
Delavska hranilnica	ISO 20022 samo za e-račune	ja		ja	ja
Deželna banka Slovenije	ISO 20022			ja
Gorenjska banka		ja			ja	ja
LON
(N26)		ja
N Banka				ja	ja
NLB			»TXT, podpičje kot ločilo«			ja
Nova KBM		ja		ja	ja
Primorska hranilnica Vipava
(Revolut)
SKB banka			ja	ja	ja		ja
UniCredit banka Slovenija				ja	ja

Za Banka Intesa Sanpaolo, LON, Primorska hranilnica Vipava in Revolut nismo uspeli dobiti podatkov.

Pri tem je treba poudariti, da vsak format ni primeren za ponovno rabo:

XML (Extensible Markup Language) je zelo fleksibilen format, za našo rabo je najbolj aktualen ISO 20022 Financial services – Universal financial industry message scheme.
CSV (Comma Separated Values) je zelo enostaven format, kjer so polja v tabeli ločena z ločili (tipično vejico). Je pa potrebno pravilno normirati tabele, da so direktno uporabne.
»plain text« oz. navadno besedilo je izjemno široka definicija, ki vsebuje vse od CSV do povsem prozaičnega besedila. To se je izkazalo tudi v tu, saj različne spletne banke proizvedejo zelo različne oblike »navadnega besedila«.
čeprav po imenu in izvoru zelo podobni sta Microsoft Excel formata zelo različna – .xls je star zaprt binarni format; .xlsx pa je nov (kvazi-)odprt format, ki bazira na komprimiranem XML
PDF (Portable Document Format) je super, da ga hranimo kot dokazno sredstvo namesto papirnatega bančnega izpiska, kaj več pa je z njem izjemno težko narediti.
QIF (Quicken Interchange Format) in kasnejši OFX (Open Financial Exchange) sta (starejša) odprta formata, za uvoz bančnih izpiskov. (Pozor: obstaja tudi zaprt Quicken QFX format!)

Od tega so za uvoz v aplikacije za osebne finance direktno uporabni le: ISO 20022 XML, QIF, OFX; z malo dela pa tudi CSV. Odprtokodne aplikacije za ta namen so npr. Skrooge, KmyMoney, HomeBank in GnuCash. Za izvoz raznih bančnih formatov v OFX se lahko poslužimo programa ofxstatement, je pa to dodaten korak, ki ne bi smel biti potreben.

Torej nudijo samo slednje spletne banke dejansko neposredno uporaben izvoz bančnih transakcij:

Deželna banka Slovenije – ISO 20022 XML
Gorenjska banka – QIF
NLB – QIF
SKB – OFX

Pogojno, z malo dela s CSV, pa še BKS bank, Delavska hranilnica in Nova KBM.

Tu bi radi še poudarili, da je ISO 20022 XML od uporabnih formatov najbolj moderen in dejansko ISO standard, ki se v bančnem sektorju že uporablja za med-bančne transakcije. Zato pozvamo vse slovenske banke, da začnejo nudit izvoz transakcij (in drugo) strankam v tem formatu.

Direktna uporaba FinTS API

Banke sicer veliko govorijo o EU Direktivi o plačilnih storitvah 2 (Payments Service Directive 2 oz. PSD2) in »odprtem bančništvu«, a v praksi za fizične osebe razen aplikacije Flik Pay nismo ne videli ne slišali ničesar.

Poslovnim uporabnikom mnogo bank omogoča dostop do FinTS ali podobnega API. Zelo bi nas veselilo, če bi tudi navadni potrošniki lahko (magari za razumno doplačilo) dostopali direktno prek odprtokodnih aplikacij do svojih bančnih transakcij ipd.

Nekaj se šušlja na to temo, tako, da bomo z enim očesom opazovali, če se kaj spremeni.

Povzetek

Digitalne storitve katerih bank lahko torej uporabljamo, če sploh ne želimo biti odvisni od pametnega telefona?

Addiko banka – potrjevanj spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke samo za že obstoječe komitente, ki še imajo fizični generator gesel
BKS banka – potrjevanje spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke prek fizičnega generatorja gesel
Delavska hranilnica – potrjevanje spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke s pomočjo digitalnega certifikata ali gesla na SMS (Rekono)
Deželna banka Slovenije – potrjevanje spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke s pomočjo digitalnega certifikata ali gesla na SMS (Rekono)
Gorenjska banka – potrjevanje spletnih plačil in dostop do spletne banke prek HID Approve programa na Windows(!) računalniku
LON – potrjevanje spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke s pomočjo digitalnega certifikata ali gesla na SMS (Rekono)
N Banka – potrjevanje spletnih plačil s pomočjo čitalca bančnih kartic, ki generira geslo; dostop do spletne banke s pomočjo digitalnega certifikata ali gesla na SMS (Rekono)
Primorska hranilnica Vipava – potrjevanje spletnih plačil prek Rekono SMS OTP / web; dostop do spletne banke s pomočjo digitalnega certifikata ali gesla na SMS (Rekono)

Digitalne storitve katerih bank lahko torej uporabljamo, če ne želimo biti odvisni od Google storitev na svoji mobilni napravi?

Addiko banka
Banka Sparkasse
BKS banka
Delavska hranilnica
Deželna banka Slovenije
LON
N Banka
Nova KBM
Primorska hranilnica Vipava
UniCredit banka Slovenija

Banke, ki nudijo neposredno uporaben izvoz bančnih transakcij:

Deželna banka Slovenije – ISO 20022 XML
Gorenjska banka – QIF
NLB – QIF
SKB – OFX

Pogled v prihodnost oz. pobožne želje

Kar bi radi videli v prihodnosti je, da bi vse spletne banke nudile ISO 20022 XML format za fizične osebe.

Odkar imamo novo elektronsko osebno izkaznico in SI-PASS tudi pričakujemo, da se, zaradi varnosti in zasebnosti, lahko za avtentikacijo direktno uporabi uradni eID, brez potrebe po posrednikih.