BankID Norges planer for PSD2 TLP: GREEN. PSD2 workshop 30 mars Frode Beckmann Nilsen, Produktutviklingssjef

Transkript

1 BankID Norges planer for PSD2 PSD2 workshop 30 mars 2017 Frode Beckmann Nilsen, Produktutviklingssjef TLP: GREEN

2 Situasjonsbildet tilsier at BankID må levere en PSD2-tilpasset innpakning av produktet PSD2 lovgivning (into force) PSD2 tekniske krav (into force) Push Demo v1 Pilot Pull Push v2 Pull PSD2-tjeneste fra BankID råvaren Annen PSD2- innpakning

3 Den naturlige tilnærmingen for 3.parter i dag er å betjene den ordinære nettbanktjenesten på sluttbrukers vegne AUTH Nettbanktjeneste 3. part

4 Kunden velger vare og går til kassen i nettbutikken Ved check-out blir kunden sendt til PSP Hos PSP velger kunden betaling via 3. part

5 Kunden velger sin bank Kunden fyller inn personnummer Kunden fyller inn mobilnummer

6 3. part logger inn i nettbank på vegne av kunden

7 3. part henter kontostatus og initierer betaling i nettbank på kundens vegne Banken bruker BankID for å signere betalingen

8 Betaling er gjennomført og kunden sendes tilbake til nettbutikken

9 Utfordringen er at dagens nettbanktjeneste er designet for å bli betjent av sluttkunden selv og ikke via en 3. part selv om det er på sluttbrukers vegne

10 BankIDs PSD2-tjeneste tilbyr et repertoar av autentiseringsopsjoner og leverer tokens for å autorisere 3. parts API-tilgang mot kontobank kontobanker (ASPSP) Strong Customer Authentication (SCA) PSD2-service by BankID third-party providers (PISP, AISP) Frictionless payment (SCA exemption) ASPSP Auth options Risk-based Auth (TRA) token Note PSD2 data APIs Value-added data APIs

11 xid-produktet posisjoneres for PSD2s unntak fra SCA slik at friksjonsfri brukeropplevelse kan tilbys samtidig som god sikkerhet ivaretas Note One-click No-click

12 Med en PSD2-tilpasset tjeneste fra BankID vil det være tydelig for alle parter hvilke autorisasjoner 3. part får på sluttbrukers vegne mot kontobanken Autentisering og autorisasjon API for kontotilgang 3. part

13 Kunden velger vare og går til kassen i nettbutikken Ved check-out blir kunden sendt til PSP Hos PSP velger kunden betaling via 3. part

14 Kunden velger bank og Trustly ber BankID om token for å hente kontostatus Bankens policy er at autentisering med xid er tilstrekkelig for å hente kontostatus 3. part bruker token for å hente kontostatus hos banken

15 Kunden velger konto og 3.part ber banken om token for å gjennomføre betaling xid gjenkjenner kunden slik at han slipper å taste fødselsdato og mobilnr i BankID Bankens policy er at BankID må benyttes for å bekrefte betalingen

16 Kundens aksept gir et token som inneholder detaljer om betalingen 3. part bruker token for å betale via banken før kunden sendes tilbake til nettbutikken

17 Essensen i BankIDs PSD2-tjeneste er å spisse OAuth2-profilene som benyttes slik at de blir financial-grade Høye krav til nøkkellengder og kryptoalgoritmer som benyttes Sterk autentisering ikke bare av sluttkunde, men også av 3.part Benytte signering (og evt. kryptering) av både requester og responser Binding av token til kanalen det skal benyttes i (høyere sikkerhet enn bearer token) Tokentype for kontospørringer. Lang levetid, By-reference verdi. Valideres ved oppslag mot BankIDs PSD2-tjeneste. Kan trekkes tilbake. Tokentype for betalinger. Kort levetid. Signatur over transaksjonsdata (dynamic linking). Evt. også kryptert. Self-contained kan valideres uten oppslag mot BankIDs PSD2-tjeneste

18 Proprietært API BankID er allerede tilgjengelig over OpenID Connect i en pilot som i Q217 utvides med xid og som i Q317 utvides til en PSD2-demonstrator End-user X509 certs OIDC REST API ID Token web-app Cloud service Access token Java server BankID OpenID Connect BankID PKI

19 Takk for oppmerksomheten Frode Beckmann Nilsen Produktutviklingssjef, BankID Norge AS