22
— отсутствие либо недостаточная фильтрация и типизация данных,
обрабатываемых приложением;
Нередки случаи, когда проектирование программных средств для
мобильных устройств осуществляется аналогично классическому программному
обеспечению без учета специфики устройств и дополнительно возникающих
рисков.
Нередко возникают проблемы с безопасностью, связанные с неучтенной
спецификой мобильной платформы. Так, мобильные устройства одного из лидеров
рынка смартфонов при возникновении более приоритетной операции (например,
входящего звонка) делают «снимок» экрана и сохраняют его во временных файлах.
— использование идентификаторов устройства (IMEI, UUID) в качестве
аутентифицирующих параметров либо идентификаторов сессии;
— использование в качестве идентификатора сессии легко предсказуемых
значений;
— запись критичной информации в лог-файлы, «снимки» экрана, временные
файлы;
— перенос конфиденциальной бизнес-логики сервиса в мобильное
приложение;
— отсутствие контроля поступающих данных на стороне сервера
приложений.
Отдельно стоит отметить класс логических ошибок. Данный вид ошибок
практически не обнаруживается автоматизированными средствами и сложно
вычисляется при тестировании. В качестве примера приведем известную
уязвимость в дистанционном банкинге, обнаруженную специалистами ACROS
Security. Исследователи обратили внимание, что округление чисел при проведении
операций осуществляется до второго порядка. Таким образом, клиент банка мог
осуществить обмен 1 цента на 1 евроцент, притом что реальная разница курса
валюты составляла 25%, но 0,007 евро всегда округлялись до значения 0,01. В
классическом банковском обслуживании данная ситуация не привлекла бы
повышенного внимания. Но в дистанционном банкинге существует возможность
выполнения множества операций за небольшие промежутки времени без участия
23
человека. В описанном случае эта возможность приводит к многотысячным
потерям в сутки при выполнении вполне легитимных действий.
Нередко возникают проблемы с безопасностью, связанные с неучтенной
спецификой мобильной платформы. Так, мобильные устройства одного из лидеров
рынка смартфонов при возникновении более приоритетной операции (например,
входящего звонка) делают «снимок» экрана и сохраняют его во временных файлах
для возможности быстрого возврата к используемому приложению. В данной
ситуации при отсутствии маскирования значений «логин/пароль» во входной
форме злоумышленник может спровоцировать сохранение в незащищенном виде
критичной аутентифицирующей информации.
Следующий способ защиты от угроз безопасности информации —
встроенные в приложение защитные механизмы. На сегодняшний день самым
популярным и практически единственным из них является система
аутентификации пользователя. Выражается она в большинстве случаев в запросе
пары «логин/пароль», но может быть усилена дополнительными факторами.
Например, значением с PIN-калькулятора. Отметим, что использование
классической для интернет-банкинга схемы двухфакторной аутентификации
(помимо пары «логин/пароль» используется код, переданный через sms) в случае
мобильного банкинга практически бесполезно. Исключением служат лишь случаи,
когда для получения sms с кодом используется другое устройство.
Для мобильного банкинга неактуален еще один достаточно действенный
способ быстрого реагирования на несанкционированные операции — sms-
оповещение о списании средств со счета.
Как можно заметить, меры, действенные в других видах дистанционного
банковского обслуживания, оказываются нежизнеспособными при обеспечении
безопасности мобильного банкинга.
1.3 Анализ существующих разработок и выбор стратегии автоматизации
1.3.1 Анализ существующих разработок для автоматизации задачи
В России активно происходит проникновение мобильных интернет-сервисов
— 61% клиентов интернетбанкинга регулярно просматривают при помощи
мобильного телефона интернетресурсы, 24% — закачивают мобильные
24
приложения (по данным исследования ВТБ24, проведенного в конце 2010 г.). В
свою очередь, активное развитие мобильных интернетсервисов является
драйвером для быстрого роста рынка мобильного банкинга: если рост числа
активных пользователей интернетбанкинга в России до 2014 г. прогнозируется на
уровне 35%, аналогичный показатель для мобильного банкинга — 105%. По нашим
оценкам, к 2014 г. число пользователей мобильного банкинга финансовых
институтов достигнет 4,3 млн человек.
В то же время стоит отметить наличие большого количества разнородных
игроков (финансовые институты, платежные системы, мобильные операторы),
присутствующих или заинтересованных в выходе на рынок с различным уровнем
опыта в оказании финансовых услуг, продвижении продуктов и т.д., а также
возможных технологий реализации мобильного банкинга, что создает
пространство для внедрения кардинально отличающихся бизнесмоделей, включая
модели, предполагающие сотрудничество между финансовыми институтами и
мобильными операторами.
Стоит отметить, что всплеск активности использования интернет-сервисов
во многом связан с появлением на рынке удобных мобильных инструментов
управления и потребления контента: платформ iPhone, Android, iPad. Множество
сравнительных исследований лишь подтверждают этот факт. Однако не стоит
забывать, что на рынке до сих пор находится значительный парк устройств на
других платформах, таких как Smbian и WM.
Возможности современных платформ позволяют клиенту в удобном и
безопасном режиме использовать максимальный перечень сервисов: управлять
своими финансами, выполнять операции, получать в онлайн-режиме информацию
банка (геолокация банкоматов, офисов, курсы валют…), в случае необходимости
коммуницировать с банком.
Устанавливаемые приложения можно развивать в двух направлениях:
разрабатывать специально написанные под операционную систему смартфона
нативные приложения мобильного банка или использовать универсальные
J2MEпрограммы. Программы, написанные специально для операционной системы
смартфона или коммуникатора, рациональней используют ресурсы процессора и
потенциально могут обладать б льшим функционалом, чем «универсальные»
25
J2MEпрограммы. Создание нативных приложений сегодня неизбежно и в силу
того, что некоторые производители из маркетинговых соображений искусственно
урезают возможности операционной системы, не позволяя устанавливать на нее
программы других разработчиков и ограничивая способы распространения
приложений. Компания Apple, которая является законодателем мод среди
бесклавиатурных телефонов, позволяет устанавливать исключительно приложения
из магазина приложений App Store.
Определяя для себя путь развития, ВТБ24 ориентировался на
высокоактивных пользователей мобильных устройств и ставил своей целью
предложить безопасное, доступное, престижное, а главное — удобное и
современное решение. Поэтому мы отдали предпочтение развитию нативных
приложений.
При выборе платформ для разработки мобильных устройств мы исходили из
текущего положения рынка и трендов его развития. Основными конкурентами на
рынке сейчас являются платформа для смартфонов с открытым исходным кодом
Android и iS — операционная система телефонов iPhone. Разработка приложений
для этих платформ стала первым этапом создания современного мобильного банка
ВТБ24. Крупную долю среди инсталлированной базы также занимают компактная
ОС компании Microsoft Windows Mobile и операционная система телефонов Nokia
Smbian S.
Среди остальных платформ можно выделить не очень распространенную на
российском рынке BlackBerr S (RIM) и новую разработку компании Microsoft
Windows Phone 7. Доля этих и прочих платформ пока еще слишком мала, но мы
пристально наблюдаем за их развитием в частности и рынка в общем, чтобы
предвосхитить потребности наших клиентов в поддержке банком различных
операционных систем.
Тем не менее выбор наиболее удобного для использования канала стоит
оставить за пользователем, который сам сопоставит свои потребности и
возможности выбранного им устройства. Развитие технологий, используемых в
мобильных телефонах, и телекоммуникационного сектора уже превратило гаджеты
в незаменимых помощников современного человека. Целью мобильного банка
должно являться удовлетворение потребностей вечно занятых людей в простом,
26
удобном, безопасном и сравнительно дешевом способе управления своими счетами
и получения банковских сервисов. При этом никто, кроме самого пользователя, не
может знать, как и с помощью какого канала ему будет удобнее пользоваться
банковскими сервисами. Именно поэтому оптимальным решением будет внедрение
всех мобильных устройств (как и поступили, например, в ВТБ24), чтобы каждый из
клиентов банка мог воспользоваться всеми мобильными услугами и выбрать
наиболее комфортный и удобный для него способ.
С развитием электронных сервисов меняются и представления о
дистанционных банковских услугах: требования к финансовым интернет-сервисам
начинают формироваться исходя из глобального пользовательского опыта
клиентов в Интернете и мобильной среде (прежде всего это интерактивность,
удобство интерфейсов (информационный и функциональный дизайн) и интеграция
сторонних сервисов).
При этом сама природа мобильных приложений содержит в себе некую
игровую составляющую, и клиент изначально ожидает получить не только
функциональный инструмент, но и игрушку. Пользователи ожидают постоянного
обновления и добавления новых функций, которые позволяют перейти им на
«новый уровень владения» приложением, то есть задержавшиеся хоть на секунду
сервисы быстро теряют актуальность, а пользователи — интерес к ним. В свою
очередь, внедрение новых инновационных технологий создает дополнительную
ценность для клиента, а банк обеспечивает себе лояльность клиентов, что можно
рассматривать как дополнительные дивиденды. Необходимо учитывать
особенности и потребности пользователей разных платформ: например,
пользователи iPhone привыкли к стильным решениям интерфейса и более
капризны — от них поступает наибольшее количество замечаний по юзабилити и
дизайну приложения; пользователям Android важнее функциональное наполнение.
PDAверсия также не ограничится одной адаптируемой под все ведущие
браузеры и модели телефонов версией: в самое ближайшее время мы планируем
запустить как версию для любых устройств с доступом в Интернет, так и
специальную сенсорную версию для клиентов, привыкших к удобству и богатым
интерфейсным возможностям их телефонов.
27
Успех мобильного банка ВТБ24 уже оправдал затраченные на него усилия.
Приложения «Мобильный банк ВТБ24» для мобильных устройств на платформах
Android и iS (iPhone) были запущены осенью 2011 г. Спустя всего три месяца с
момента их появления на Androidмаркете и App Store приложением
воспользовались более 40 тыс. клиентов, что составляет уже более 3% от всех
пользователей каналов дистанционного обслуживания ВТБ24. Через мобильный
канал уже проводится более 1% операций от всех операций, осуществляемых через
дистанционные каналы.
Запуск мобильных приложений был воспринят клиентами очень
положительно, о чем мы можем судить по отзывам клиентов на различных
интернетплощадках, созданных специально для общения. Развитие мобильных
сервисов в банковском секторе в России находится сейчас на этапе активного
становления, и самым важным для ВТБ24 было не пропустить эту волну развития
рынка финансовых услуг. Мы не торопились с разработкой быстрого, но
урезанного (как функционально, так и архитектурно) мобильного решения для
наших клиентов, а постарались предоставить клиентам возможность работать с
полнофункциональным мобильным банком, который позволяет не только
просматривать информацию по своим счетам и картам и проводить элементарные
операции оплаты услуг сотовой связи, но и осуществлять более сложные операции,
например открывать и пополнять вклады, совершать переводы внутри банка и в
другие банки, покупать и продавать валюту, оперативно блокировать карту без
обращения в callцентр, а также найти ближайший банкомат, узнать время его
работы и доступные функции, проложить маршрут к нему, узнать актуальные
курсы валют и драгоценных металлов и многое другое. Еще до запуска приложение
прошло целый цикл тестирований, одним из этапов которого стало тестирование
юзабилити приложения в одной из ведущих российских юзабилитилабораторий.
Это тестирование позволило существенно оптимизировать приложение. В
ближайшее время мы добавим больше информации о банковских продуктах и
сервисах, новые операции, предоставим обновленный интерфейс, который
разрабатывается на основании пожеланий клиентов и рекомендаций
юзабилитиконсультантов.
28
1.3.2 Выбор и обоснование стратегии автоматизации задачи
Как это нередко случается в информационных технологиях, без
исторической справки возникновения программы, невозможно объяснить
некоторых нюансов, по этой причине сделаем исторический экскурс в развитие
операционной системы Android.
Android начали разрабатывать в 2003году, недавно сформировавшейся
компанией под названием Android Inc. Google в 2005 году приобрела эту
компанию. В это время и была определена специфика архитектуры Android.
Вливание финансовых ресурсов и уже имеющихся наработок компании Google во
многом повлияли на архитектурные концепции будующей операционной системы.
Ниже приведены некоторые примеры.
В начале 2000х годов AJAX приложения пользовались достаточно большой
популярностью. Так как Android приложения архитектурно больше соответствует
стандартному AJAX приложению нежели к десктомному графическому
приложению которое было написано на языках Java, C#, C++ и т.д. можно
предположить что основное влияние на архитектуру Android повлияли именно
популярные в то время AJAX приложения.
В то же время выходили полнофункциональные онлайн приложения такие
как: Google Docs или Gmail и подобные решения были стандартом. Это не
является плохим или хорошим решением, но отличия системы Android от
десктопных приложений нужно учитывать при разработке.
В 2008году официально вышла первая версия операционной системы
Android и вместе с ней первый полноценный пакет разработчика под названием
SDK. Наличие пакета SDK в свою очередь очень сильно повлияло на возможность
разработчикам создавать приложение под данную операционную систему
За 2009 год было выпущено 4 обновления системы такие как: 1.1, 1.5
«Cupcake» , 1.6 «Dunut».
В октябре 2009года была выпущена втора версия операционной системы
Andoid 2.0 которая поддерживала HTML5 спецификацию, это очень важное
29
дополнение которое в будущем позволит нам создавать гибридные мобильные
приложение.
До 2011 г также выпускались версии операционной системы, но в 2011г
была представленна первая универсальная платформа Android 4.0 которая
подходила как для смартфонов так и для планшетов
Android 4.4 была выпущена в 2013году, выпускалась для устройств с
минимальными параметрами ОЗУ 512 мбайт. Также Android 4.4 принесла
материальный дизайн частично используется в нашем приложении.
В 2014 выпущено обновление Android 5.0 с обновлением материального
дизайна.
2015г выпущена версия Android 6.0
В 2017 г. действует версия Android 7.1
Раньше, рынок мобильных операционных систем делили такие ОС как:
- Symbian
- Blackberry OS
- Android
- iOS
- Bada
Как видно из этого списка было 5-6 основных производителей ОС для
мобильных устройств. На данный момент это две лидирующие операционные
системы iOS и Android. В отчете за 2016год исследовательская фирма IDC
сообщила о том, что доля устройств Android составляет 85% в то время как iOS
14.3%. Прогнозы IDC относительно рынка операционных систем для мобильных
устройств говорят о том, что доля Android устройств будет увеличиваться. Эти
прогнозы отображены в таблице 1.2.
Таблица 1.2
Поставки мобильных устройств
Платформа
Поставки
2016(млн/шт)
Процент доли
рынка, %
Увеличение
объема в 2016, %
Android
1228,8
85
5,20
30
iOS
206,1
14.3
-11
Windows Phone
6,1
0.4
-79
Остальные
4,5
0.3
-50
Всего
1445,5
100
0.6
1.3.3 Выбор и обоснование способа приобретения ИС для
автоматизации задачи
Имеется три основных уровня операционной системы Android, они
разительно отличаются друг от друга, перечислим их:
- Фундамент системы это модифицированная версия Linux.
- Выше уровня Linux располагается уровень который содержит в себе
Dalvik VM(виртуальную машину), web-браузер, SQLite базу данных и другие
инфраструктурные решения API Java, это уровень инфраструктуры.
- Самый верхний уровень это уровень Android - приложений,
разработанных в Google это некоторое расширение уровня инфраструктуры,
поскольку сторонний разработчик может использовать эти приложения или их
части как строительные блоки для собственных разработок.
Dalvik VM отличается от других виртуальных машин разработанных на
языке Java следующими параметрами:
- Для хранения двоичных кодов, используется специализированный
формат данных DEX
- Во время разработки была проведена оптимизация виртуальной
машины Dalvik, оптимизация позволяет одновременно выполнять несколько
процессов.
- В виртуальной машине Dalvik используются архитектурные решения,
основанные на регистрах, а не на стековой архитектуре как это сделано в других
виртуальных машинах разработанных на Java дает уменьшение бинарных файлов
и ускоряет работу виртуальной машины
31
- Для виртуальной машины Dalvik был разработан индивидуальный
набор инструкций
- В одном процессе есть возможность запустить несколько
независимых приложений
- Выполнение приложения может затрагивать несколько процессов
виртуальной машины Dalvik «естественным образом»
- Создан специальный механизм сюрилизации объектов с помощью
которого данные занимают меньший объём и более терпимы к версионным
изменениям.
- Создан индивидуальный способ, выполнения вызовов между
процессами который, основывается на языке описания интерфейсов Android.
В Android используется архитектура, являющаяся фреймворк-
ориентированной на замену вольной архитектуре.
Приложения, использующие вольную архитектуру разрабатываемые на
языке Java в начале имеют метод main(), а разработка практически полностью
зависит от пожеланий программиста.
Фреймворк-ориентированные приложения основываются на
существующем фреймворке. Их разработка минимизируется расширением
определенных классов или изменением и разработкой определенных
интерфейсов, которые предоставлены фрейморком. Эти приложения могут
запускать вне фрейморка и без него.
При использовании фреймворк-ориентированной архитектуре
разработчикам предписывается корректная последовательность действий, при этом
вероятность повторения кода сводиться практически к нулю так как приходиться
тщательно следовать шаблонам.
Одной из причин разработки собственного фреймовика была потребность
поддержки специализированой системы управления памятью Android
Для взаимодействия между интерфейсом пользователя и логикой
приложения в Android используется архитектурный шаблон «Model-View-