O kakvoj enkripciji pričamo? Komunikacija svakako jeste bezbedna, ali QR kodovi za IPS skeniraj i pokaži su takođe čitljivi, mada se razlikuju između banaka.
Što se tiče IPS skeniraj, evo recimo sadržaja QR koda za plaćanje struje preko EPS-ovog portala za uvid u račun:
K:EK|V:01|C:1|R:160600000182461802|N:EPS AD Beograd |I:RSD28,78|SF:221|M:4900|RP:1000169926044563720
Novac, dakle, ide na EPS-ov račun u Intesi (160), a tu su i ostali očekivani parametri: iznos, šifra plaćanja, poziv na broj (zapravo šifra transakcije, nema ličnih podataka u tome). Ovo se skoro ni po čemu ne razlikuje od sadržaja QR koda za plaćanje računa, recimo. Ne znam samo šta je ovo M, a K definiše vrstu plaćanja, tj. pravi razliku između tipova QR kodova. Uopšteno, svi IPS skeniraj kodovi koje sam dosad video su ovakvi, budući da sam se samo sa Intesinim i susretao. Ne znam nudi li to uopšte neka druga banka.
Što se tiče IPS pokaži, evo maskiranog sadržaja (crtice su zamena za proizvoljna slova i brojeve) QR koda koji generiše aplikacija BPŠ (200), za mene kao fizičko lice:
K:PK|V:01|C:1|O:200-|P:-|JS:-|RK:-
Svakako, parametar O je moj broj računa, P su podaci platioca (u formi osmocifrenog broja, koji nikako ne prepoznajem), a JS i RK su nekakvi kratki pozivi na broj (možda nešto na foru autorizacionog koda u slučaju plaćanja karticom). S tim u vezi, ako neko zna postoji li negde specifikacija IPS-a, bilo bi lepo postaviti taj dokument, ako je javan uopšte.
Sličan kod generišu Raiffeisenova (265) i Aikova (105) aplikacija, s tim što je kod njih parametar P tekstualan, tj. navedeni su ime, prezime i adresa. S druge strane, Yettel (115) i Halk (155) uopšte nemaju parametar P, pa je svakako jasno da je to polje opciono, tj. da je broj računa dovoljna identifikacija platioca.
Što se tiče prirode parametara JS i RK, primećujem da se RK od nabrojanih banaka menja samo kod Yettela, dok je kod ostalih konstantan za klijenta, pa je izgleda i to nekakva identifikacija platioca, dok je JS pri svakom generisanju različito u svim bankama. I moralo bi biti, jer bi baš veliki propust bio da se jedan kod može koristiti više puta.
Sve u svemu, što se tiče komentara ovog Majkla, ako čovek uopšte postoji (čini se da je bot, izvinjavam se ako grešim), uglavnom se ne bih složio za IPS skeniraj. Nema tu nekih posebnih dodatnih koraka. QR kod se skenira aplikacijom mobilnog bankarstva, transakcija se potvrđuje (uz naziv primaoca i iznos kao ono što se prikazuje na ekranu) i to je to. Čak suprotno, ja bih lično želeo da je tako i sa IPS pokaži. Nekako mi je bez veze što mi trgovac skenira QR kod i transakcija bezuslovno prolazi, a da ja pritom baš i nisam u prilici da proverim da li je unet tačan iznos. Kod plaćanja karticom sam makar vrlo često u prilici da proverim da li je dobar iznos pre prislanjanja kartice, odnosno telefona u mom slučaju.
dođem na kasu, generšem QR kod, kasir/ka očita i ništa, kasa se smrzne dok ne odradi timeout i neće da se skinu pare sa računa paušalca.
Donekle povezano, meni se ovo ranije više puta dešavalo na NIS-ovim pumpama, ali sa ličnim računom, i za to sam dosad krivio nedostupnost sistema BPŠ.