App2app provisioning что это

Эксперт спрогнозировал рост оборота карт «Мир» в премиальном сегменте

Ожидается рост оборота по картам «Мир» после подключения к Apple Pay в связи тем, что карта данной платежной системы с возможностью добавления в продукты Apple станет более востребована в премиальном сегменте. Об этом заявил «Известиям» Александр Вдовин, главный архитектор департамента технологического развития СКБ-банка, комментируя сообщения пресс-службы «Мир» о том, что банки подключили карты этой системы к Apple Pay во вторник, 20 июля.

Бесконтакт налажен: карты «Мир» начнут подключать к Google Pay 26 октября
Как новая технология упростит использование национального пластика

По словам Вдовина, в премиальном сегменте традиционно выше средний чек, обороты и заинтересованность в продукции Apple. Он добавил, что нововведение, безусловно, мотивирует нынешних владельцев карт «Мир» активнее пользоваться ими. Эксперт отметил, что карты этой платежной системы сейчас принимаются в России везде, а их держатели ожидают возможности добавить их в один кошелек остальным своим картам, чтобы получать выгоды от программ лояльности системы «Мир», например, в транспорте.

Факт подключения «Мир» к Apple Pay благоприятно скажется на росте количества платежей по этим картам, заявил «Известиям» Дмитрий Попов, исполнительный директор платежного агрегатора IntellectMoney. Он рассказал, что к 2020 году Россия вышла на второе место в мире по числу пользователей Apple Pay. На сегодняшний момент, по его словам, насчитывается порядка 25 млн пользователей этого сервиса в стране, и все они теперь могут перейти в экосистему Национальной системы платежных карт (НСПК, оператор системы «Мир»). По его словам, РФ уступает по числу бесконтактных платежей в мире только США. «Что касается прогноза роста: за счет различных инициатив ЦБ и правительства РФ «Мир» уже растет на десятки процентов год к году», — сказал он. По словам Попова, если за подключением к Apple Pay последуют дальнейшие «логичные шаги» по подключению возможности совершать другие бесконтактные платежи, доля «Мира» в обороте безналичных операций может существенно вырасти, потеснив Visa и Mastercard.

Он выразил мнение, что если НСПК будет более активно работать с другими государствами и возможность расплачиваться картами «Мир» появится в большинстве стран, в сочетании с бесконтактными платежами это закроет большинство потребностей пользователей банковских карт. Владельцам карт этой платежной системы не будет смысла пользоваться картами других систем, заключил специалист. После реализации сервиса Apple Pay Московский кредитный банк (МКБ) прогнозирует увеличение оборота по картам «Мир» более чем на 20%, сообщила «Известиям» Татьяна Брюхина, начальник управления развития карточного бизнеса банка. Она добавила, что дополнительный прирост даст реализация функционала App2App provisioning, которая позволит держателем карт моментально привязать карту в мобильном приложении. «В целом токенизация банковских карт напрямую влияет на транзакционную активность клиентов и рост оборота по картам», — сказала Брюхина. Ранее в этот же день пресс-служба «Мир» сообщила, что владельцы карт этой системы теперь могут пользоваться функцией Apple Pay. Трансакции доступны на устройствах iPhone и Apple Watch, через приложение Apple Pay на iPhone, iPad или Mac и на сайтах, открытых в браузере Safari. Услугу для держателей карт «Мир» внедрили следующие российские банки: Сбербанк, ВТБ, Россельхозбанк, Промсвязьбанк, Почта банк, банк «Центр-инвест», Тинькофф банк и Примсоцбанк. Держатели карт «Мир» могут подключаться к Samsung Pay с августа 2019 года. С 26 октября этого года банки начнут подключать эти карты к Google Pay. До настоящего времени для оплаты картой «Мир» с помощью смартфона можно было пользоваться приложениями Mir Pay и Samsung Pay на базе Android. С 27 апреля банки могут токенизировать национальный «пластик» на устройствах Apple для платежей с помощью Apple Pay. Но пока ни одна кредитная организация не реализовала такой функционал.

Опыт внедрения сервиса мобильных платежей Apple Pay в банке

В этой статье мы бы хотели поделиться своим практическим опытом внедрение сервиса мобильных платежей Apple Pay, какие проектные подходы мы использовали при решении этой непростой задачи, и какие моменты нужно учесть, если вы планируете внедрение этого сервиса у себя.

Не будем далее сильно вдаваться в технические детали внедрения (по этому поводу чуть позже выйдет отдельная статья), но если на пальцах, то вся инфраструктура Apple Pay состоит из следующих компонент, которые будет необходимо друг с другом подружить:

1. Платформа выпуска и управления жизненным циклом токена (виртуального «псевдо» номера карты) на стороне платежной системы. У MasterCard она называется Mastercard Digital Enablement Service (или MDES), у VISA — Digital Enablement Program (или VDEP)
2. Ваша карточная процессинговая система
3. Приложение мобильного банка
4. Сервис шифрования, необходимый для передачи данных в Apple и Платежную систему при привязке карты через мобильный банк (в терминологии Apple это называется In-app provisioning)

Если п.1 является коробочным решением и уже разработан (потребуется только небольшая настройка под ваши карточные продукты и специфику), по п.2 вендоры процессинговых решений (например OpenWay) предлагают частично или уже полностью реализованные доработки, то вот п.4 — сервис шифрования придется разрабатывать с нуля. Отнеситесь к планированию и реализации этой компоненты очень внимательно, так как у нас на ее отладку ушло больше всего времени и сил).

С одной стороны задача выглядит как классический проект (есть фиксированный срок запуска, понятен конечный результат), поэтому вооружайся water fall’ом и вперед, но с другой стороны очень важна скорость внедрения, качество (почему это важно, расскажем в конце статьи), и тот факт, что наш Банк сейчас повсеместно переходит на agile фрейм-ворки разработки (в частности, на Scrum). В итоге получился гибридный подход, не претендующий на идеальность, но подошедший нашей команде в период agile-трансформации:

• За точку отсчета был взят проектный план MasterCard и VISA (от этого никуда не уйти, у компаний свои стандартные процедуры ведения проектов, по которым работают они сами и взаимодействуют с внешним миром)

• План был дополнен внутренними работами (Процедуры бюджетирования и заключения договоров, разработкой архитектуры, утверждением решения с Информационной безопасность, доработкой внутренних систем, тестированиями, сертификацией и т.д.), а даты завершения проставлены таким образом, чтобы выйти на желаемую дату запуска (с запасом в 2 недели, конечно же). На основе этого плана была выявлена потребность в участниках проектной команды, и сформирована эта временная команда

• Далее мы распланировали регулярные конфколлы со всей командой (раз в неделю в начале проекта, 2 раза в неделю в середине, и каждый день по 15 минут на финальной стадии перед запуском), где брали текущие и будущие задачи из большого проектного плана, били их на под-задачи, назначали ответственных, рассылали на всех этот мини-план (он же протокол встречи) и работали по нему до следующего конфколла.

• Если проектный план «ехал» по датам, мы сразу же смело его меняли, чтобы он соответствовал действительности, и не делали из этого трагедию

• Как только тот или ной компонент был полностью готов и оттестирован, выводили его на боевую среду, и уже после вывода на бой какое-то время тестировали работу сервиса на закрытой группе реальных пользователей (все это были сотрудники банка)

• И так, маленькими шажками двигались к цели.

Если внимательно присмотреться, то можно увидеть некоторые аналогии с событиями и артефактами Scrum:

• Проектный план + спецификации Apple и платежных систем – это бэклог
• Декомпозиция проектного плана на под-задачи для работы до следующего еженедельного конфколла – это PBR и планирование спринта, длительностью в неделю
• Ежедневные конфколлы – daily scrum

Но были и отклонения от фрейм-ворка, в частности мы не делали ретроспективы, тестировали не в конце каждого спринта, а когда уже большая часть компонент была разработана и интегрирована на тестовой среде, и у нас не было демо.
Что интересно, данный подход именно «родился» по ходу работы, а не был спроектирован заранее, т.е. подстраивался под подробности команды. Надеемся, что эта история вдохновит Вас к экспериментам в области управления проектами, и более гибкому подходу для достижения целей.

Почему так важно внедрять Apple Pay очень качественно? Дело в том, перед запуском в коммерческую эксплуатацию вам придется пройти обязательное независимое тестирование (сертификацию) вашего решения, развернутого на бою, в одной из 3-х тестовых лабораторий, авторизированных Apple. И это будет непросто, дело в том, что лаборатории очень скрупулёзно подходят к тестированию (обычно оно занимает порядка 2х недель).

Например, будут проверены абсолютно все ваши дизайны карт на соответствие физического пластика и картинки в кошельке (причем, если расходится дизайн логотипа или цвет шрифта плохо читается на экране телефона, вас попросят эти недостатки срочно устранить), будут проверены все возможные сценарии использования, на всех поддерживаемых устройствах (включая IPad Pro 12” )), внимательно вычитаны Terms & Conditions (нас например, просили исправить в некоторых местах знаки препинания). В общем, Apple и партнеры относятся к выпуску продуктов очень внимательно, закрыть глаза на шероховатости не получится, и к этому нужно быть готовым заранее.

Итак, работы все выполнены, тестирование и сертификация пройдены, а решение запущено. Что мы имеем в остатке:

1. Выполненный проект;
2. Интересный опыт и необычный подход к решению проекта;
3. Несколько подразделений в компании, которые приняли практики, использованные на проекте и продолжают использовать подход к решению различных задач и проектов.

В следующей статье мы постараемся рассказать больше технических деталей и особенностей, с которыми вы столкнулись в ходе внедрения Apple Pay, а пока можете задавать вопросы в комментариях.

Кузин Сергей, scrum-мастер банка «Открытие»

Распространение приложений Управление DVD и медиа, пакетами приложений, установка при помощи уникальных скриптов на уникальные конфигурации создает массу. — презентация

Презентация на тему: » Распространение приложений Управление DVD и медиа, пакетами приложений, установка при помощи уникальных скриптов на уникальные конфигурации создает массу.» — Транскрипт:

7 Распространение приложений Управление DVD и медиа, пакетами приложений, установка при помощи уникальных скриптов на уникальные конфигурации создает массу вопросов и проблем Данные и конфигурации Пользовательские данные оказываются разбросанными по отдельным ПК, так же как и разнообразие пользовательских конфигураций. В случае сбоев это приводит к потерям данных или длительным простоям, сложности инфраструктуры Управление портфолио приложений Network support and managed services Проблемы с обеспечением проверенного, лицензионного доступа к локальным приложениям и их ресурсам, потенциальные угрозы со стороны непроверенных приложений Готовность к задачам бизнеса Изменение любых технологических аспектов вызывает опасения со стороны бизнеса, поскольку может привести к невозможности продолжения процессов

11 User Applications Policies Delivery Channels

13 Основные настройки пользователя Перемещаемые профили, перенаправление папок Специфические пользовательские настройки приложений User State Virtualisation Удаленные процессы Веб доступ к удаленным процессам Virtual Presentation Потоковое распространение приложений с APP-V MED-V поддержки устаревшей инфраструктуры (XP) Приложения.NET (развертывание путем копирования xcopy) Virtual Application(s) Физическое развертывание через boot-from-vhd (Windows 7+) Виртуальное развертывание в Hyper-V или другую технологию гипервизора Virtual OS

14 Hardware OS User Settings Applications User Data Windows XP / Vista Hardware OS User Settings Application s User Data Windows Vista / 7 + App-V (Today) Hardware OSOS User Settings Application s User Data Windows Next + Native VHD (2012+) Эволюционная адаптация виртуализации десктопов под задачи

16 Эволюционирование рабочих мест

17 Hardware Operating System Data, User settings Applications Что изменяется Разрыв связей с технологиями типа виртуализации обеспечивает гибкость Проблемы IT Компоненты PC тесно связаны, сложно изменить hardware/software

26 Анализ сценарием и создание стратегии

28 Mobile Bitlocker Drive Encryption Application Virtualization Folder Redirection Replaceable PC flexibility, easy to migrate users Office Application Virtualization Folder Redirection Terminal Services (LOB Application) Hot-desking flexibly, compliance, free seating Task Terminal Services (Desktop) Extending PC life security, low cost, carbon– neutral Anywhere on non company PC Windows Vista Enterprise Centralized Desktop Windows Server 2008 Terminal Services Gateway Working from Anywhere security, emergency access Contract/ Offshore Windows Vista Enterprise Centralized Desktop Hosted Image security, right apps and data

29 Один ПК, всегда подключен локально Высокомобильный, работает онлайн/офлайн Низкая автономность и потребность в приложениях и данных Высокая автономность и потребность в приложениях и данных Mobile Workers Office WorkersTask Workers Deskless Workers

30 Один ПК, всегда подключен локально Высокомобильный, работает онлайн/офлайн Низкая автономность и потребность в приложениях и данных Высокая автономность и потребность в приложениях и данных Mobile Workers Office WorkersTask Workers Deskless Workers Call Center Admin, Support, Control, IT First Level Management VIP Sales, Management Production line Workers

31 5 Sales, Management Production line Workers First Level Management Admin, Support, Control, IT Call Center 6VIP OfficeСвойства Доступ только к Intranet Менее чем 10% времени за PC Между 20% и 60% времени за PC 10 /день 80%-90% времени за PC /день 50%-80% времени за PC /день Между 90% и 100% времени за PC /день Комментарий нет ов Работа с Intranet порталами Транзакционные LOB Apps Сбор и ввод данных Микс между LOB Apps и средствами обработки и распространения информации Очень низкое использование LOB Apps Средства обработки и распространения информации Мобильность Транзакционные LOB Apps LoB

32 Distributed Applications Streamed Applications Centralised Applications Local Desktop OS Mainstream viable now Mainstream viable 2 to 5 years Mainstream viable now Streamed Desktop OS Niche viable in 2 to 5 years Not recommended Niche viable in 2 to 5 years Hosted Desktop OS Mainstream viable in 0 to 2 years Mainstream viable 2 to 5 years No Desktop OS Mainstream viable now * Source – Gartner Feb 2010

33 А каковы Ваши требования? Сейчас не существует единого решения, способного удовлетворять всем требованиям Ваша стратегия должна базироваться на требованиях бизнеса, т.е. предоставлять Desktop as a Service

34 Client / HW Driven Approach Application Driven Approach Basic Environment ActiveDirectoryDeployedActiveDirectoryDeployed Group Policy Per Role Configured Group Policy Per Role Configured 80% Desktops >2GB Ram 80% Desktops >2GB Ram 80% Desktops > 25GB Free Space 80% Desktops > 25GB Free Space Regulatory / SecurityCompliance SecurityCompliance Network > 10Mb/s to the desktop Network > 10Mb/s to the desktop No recognition of the applications, or users needs and requirements Contract / Offshore Task Mobile Office Anywhere non company PC Environment Building Blocks (Profile / Role / Security / Data Management) GroupPolicyGroupPolicyCorporate Base Image Corporate SecurityPolicySecurityPolicyDataSyncronizationDataSyncronization StartStart SpecialPeripheralsSpecialPeripherals Volume Local Printing Printing RequiresMobilityRequiresMobilityRequiresOfflineRequiresOfflineRequiresRoamingRequiresRoaming Applications Require Special or Full HW Applications Require Special or Full HW Administrator Access needed Administrator LocalHostingNeededLocalHostingNeeded SmartClientSmartClient SmartClientSmartClient Mobile Smart Client Mobile SmartClientSmartClient VDIVDI Local Hosted VDI VDIRemoteDesktopServicesRemoteDesktopServices YesNo Can the applications be delivered via Remote Desktop Services Can the applications be delivered via Remote Desktop Services Application Delivery and Requirements App Public Cloud App i.e. Online CRM i.e. Online CRM App Private Cloud RemoteApp Remote i.e. Remote Business App i.e. Remote Business App App Federated CloudRemote CloudRemote i.e. Remote Vendor App i.e. Remote Vendor App App Private Cloud VirtualizedApp Virtualized i.e. Office i.e. Office App Centrally Controlled Locally Deployed App Centrally Controlled Locally Deployed i.e. Unified Comm. i.e. Unified Comm. App Legacy or EmulationApp Emulation i.e App i.e App

35 Rich Client TS Remote Client Virtualized Applications VDI or Blade PC Contract/ Offshore Task Mobile Office Anywhere -on non company PC

36 Управляемые рабочие места Управление неуправляемыми местами User State Virtualization Microsoft Application Virtualization Personalized Remote Desktops (VDI) (VDI) Shared Remote Desktops (RDS) (RDS)

38 D1:Ability to Work on customer sites Движители Внешние D2:Ability to collaborate with key partners D3:Security Accreditation D4:Globalization D5:Dynamic Demand (Redundancies/ Recruitment) Внутренние D6:Expectations from gen next D7:Agility (IT reacting to biz requirements) D8:Obsolescence D9:Lower cost/unit D10:Minimise Disruption D11:User Choice/ empowerment D11:User Choice/ empowerment D12:Exploiting IT assets Цели O1:Work Anywhere O7:Flexible IT provisioning O2:Work Offline O8:Improve License Management O9:User focussed rather than device focussed O10:Respond to Biz change quickly O11:Continuous & Manageable Change O12:Reduce cost/unit for desktop Выгоды и их качественные показатели O3:Simplify O4:Improve Reliability O5:Improve Performance O6:Effective End user training B8:Reduce spend on Software Licensing Metrics (TBD) Better exploitation of Microsoft Enterprise Agreement Identify areas of centralised procurement of licences B8:Reduce spend on Software Licensing Metrics (TBD) Better exploitation of Microsoft Enterprise Agreement Identify areas of centralised procurement of licences B9:Faster turnaround for new Application delivery Certify & Deploy new Applications in x months B9:Faster turnaround for new Application delivery Certify & Deploy new Applications in x months B10:Minimise End User Disruption End user disruption to Operation System upgrade – x mins (Desktop), x hours (laptop) Applications Upgrade (e.g. Office) – x mins B10:Minimise End User Disruption End user disruption to Operation System upgrade – x mins (Desktop), x hours (laptop) Applications Upgrade (e.g. Office) – x mins B7:Keep IT Current Deploy Applications/Operating System x months after accreditation Refresh HW every x years B7:Keep IT Current Deploy Applications/Operating System x months after accreditation Refresh HW every x years B11:Reduced cost for providing desktop service Cost/unit/year metric (TBD) B11:Reduced cost for providing desktop service Cost/unit/year metric (TBD) B1:Applications/Data follows user Core Apps available in x mins Productivity Apps available in x mins Heavy weights Apps (Design tools) – x hr B1:Applications/Data follows user Core Apps available in x mins Productivity Apps available in x mins Heavy weights Apps (Design tools) – x hr B2:Restrict elevated security privilege Max % of devices with elevated rights B2:Restrict elevated security privilege Max % of devices with elevated rights B3:Simplified App Provisioning max x mins delivery Consumer like experience Apps delivered within x — x mins depending on complexity) Ability to schedule deployment B3:Simplified App Provisioning max x mins delivery Consumer like experience Apps delivered within x — x mins depending on complexity) Ability to schedule deployment B4:Maintain Reliability x mins lost user time/year B4:Maintain Reliability x mins lost user time/year B5:Improve Performance Desktop start-up time – x mins Desktop shutdown – x mins Consistency in reboot after patching B5:Improve Performance Desktop start-up time – x mins Desktop shutdown – x mins Consistency in reboot after patching B6:Improve End User training Target CSAT measure (TBD) B6:Improve End User training Target CSAT measure (TBD)

39 Image Engineering Image Deployment — APP-V — RemoteApps — RUP — Folder Redirection MDT 2010 and Hyper-V Virtual PC Reference ClientReference WIM Image AUTOMATION ConfigMgr 2007 Thick — Windows XP – Refresh/Replace Thick — Windows 7 – Rebuild VDI — Client build AUTOMATION Migrate User State Migrate User Data — App-V — RemoteApps — RUP — Folder Redirection — App-V — RemoteApps — RUP — Folder Redirection Thick Install / XenClient Thick Client / Thin Client Personal VDI Pooled VDI Remote Desktop Services Pooled or Personal VDI

45 Distributed Applications Streamed Applications Centralised Applications Local Desktop OS Mainstream viable now Mainstream viable 2 to 5 years Mainstream viable now Streamed Desktop OS Niche viable in 2 to 5 years Not recommended Niche viable in 2 to 5 years Hosted Desktop OS Mainstream viable in 0 to 2 years Mainstream viable 2 to 5 years No Desktop OS Mainstream viable now * Source – Gartner Feb 2010

47 Для локальных ПК Консолидация и стандартизация образов приложений Постоянная доступность ПО для бизнес-пользователей Приложения могут работать в режиме офлайн Для служб терминалов Консолидация серверов Устранение проблемы профайлов для ферм терминалов Трансформация терминальных серверов в динамическую инфраструктуру Разработано для низкой пропускной способности каналов For Terminal Services Ускоряет развертывание ПК. Минимизирует проблему совместимости App2App и тестирование. Отчеты об использовании в реальном времени.

48 Что стоит за понятием виртуализации приложений

49 Быстрая упаковка приложений с помощью технологии активного мониторинга действий и анализа зависимостей. Администратор имеет возможность создать MSI пакет для доставки на сменных носителях (бессерверная среда) Virtual Application (SPRJ, OSD, ICO and SFT) Sequencing (сборка, упаковка) Sequencer создает пакет с виртуальным приложением содержащий все необходимое для его работы

50 Microsoft Application Virtualization Clients VECD Terminal server Desktop Microsoft Application Virtualization Clients VECD Terminal server Desktop Microsoft Application Virtualization Clients VECD Terminal server Desktop Standalone Microsoft Application Virtualization Client System Center Application Virtualization Streaming Server System Center Application Virtualization Management Server SMS/SCCM Distribution Point SMS/SCCM Management Console Microsoft Application Virtualization Management Console SMS/SCCM Database Microsoft Application Virtualization Database Active Directory Management Web Service Microsoft Application Virtualization Sequencer Streaming + manifest SMS/SCCM application delivery Virtualized application MSI-wrapped virtualized application Application delivery via MSI on CD Windows application

51 Непрерывность бизнеса Упрощенная миграция ОС Уменьшение затрат на сопровождение Роуминг пользователей Сокращение времени тестирования И внедрения Меньше звонков У техподдержки Консолидация и Стандартизация Образов ПК Консолидация серверов Terminal Services

53 Клиенты и серверы RDP безопасно разделены firewall Для подключения используется HTTP / HTTPS (TLS 1.0) Проверка политик соответствия и разрешений доступа через AD / ISA / NAP Требуется новая версия Remote Desktop клиента (RDC 6.1) AD / IAS / NAP Обращение к Web-странице TS Web Access Установление соединения HTTP/S к TS Gateway Terminal Servers or XP / Vista TS Gateway TS Web Access Интернет DMZКорпоративная сеть Соединение RDP через HTTP/S к TSG RDP3389 к серверу Проверка AD/ISA/NAP Терминальный клиент Vista/XPsp3

55 Улучшенные инструменты управления Автоматизация рутинных задач с помощью PowerShell, улучшенная установка, брокер соединений и управление профилем RDS и VDI – интегрированное решение Единый диспетчер подключения пользователей к терминальным сессиям или виртуальным машинам, встроенное решение для VDI с Hyper-V Улучшенные возможности для пользователей Передача мультимедиа, интеграция с VoIP, aero glass в удаленной сессии, поддержка нескольких мониторов RemoteApp и Удаленный рабочий стол Централизованно хранимые приложения с интеграцией в меню «Пуск», десктоп и др. Приложения могут работать без установки на компьютер. Инвестиции в платформу Несколько уровней расширяемости для дополнительных компонентов и решений партнеров

56 Удаленный доступ к приложениям Интеграция RDS и VDI Интеграция Удаленный доступ к приложениям Hyper-V для виртуальных рабочих столов Единая инфраструктура публикации и доступа Поддержка SCVMM RemoteApp и Desktop Connections RemoteApp и Desktop & Web Access RemoteApp и Desktop & Web Access Улучшения RD Gateway Security Полная поддержка нескольких мониторов Мультимедиа и двунаправленное аудио 2D и 3D с поддержкой DirectX 10.1 Платформа и Управление Новый API, расширения Connection Broker, поддержка Powershell, Best Practices Analyzer Платформа и Управление Новый API, расширения Connection Broker, поддержка Powershell, Best Practices Analyzer

57 Distributed Applications Streamed Applications Centralised Applications Local Desktop OS Mainstream viable now Mainstream viable 2 to 5 years Mainstream viable now Streamed Desktop OS Niche viable in 2 to 5 years Not recommended Niche viable in 2 to 5 years Hosted Desktop OS Mainstream viable in 0 to 2 years Mainstream viable 2 to 5 years No Desktop OS Mainstream viable now * Source – Gartner Feb 2010

58 Режим Windows XP 58 Первый шаг Совместимость Каждый виртуальный ПК запускает собственную операционную систему на едином физическом компьютере Каждая виртуальная машина имитирует стандартный x86-совместимый компьютер со всеми основными компонентами оборудования за исключением процессора. Каждая виртуальная машина работает как отдельный физический компьютер

59 Windows 7 для приложений Windows XP 59 Закрепление приложений Windows XP на панели задач Windows 7 и их запуск из нее Закрепление приложений Windows XP в меню «Пуск» Windows 7 и запуск из него

61 Приложения, установленные в виртуальной машине, доступны в Start Menu физической.

62 Приложения из XP VM отображаются пользователю как «родные» приложения со всеми возможностями.

63 y VM Image Management End User Management Server Mgmt. Console Applications OS Virtual PC

64 Windows Client Workstation MED-V Admin Console ExportExport Policy Virtual PC ConfigMgr Client MED-V Client Image (optional) System Center Configuration Manager Deploy Packages

67 Distributed Applications Streamed Applications Centralised Applications Local Desktop OS Mainstream viable now Mainstream viable 2 to 5 years Mainstream viable now Streamed Desktop OS Niche viable in 2 to 5 years Not recommended Niche viable in 2 to 5 years Hosted Desktop OS Mainstream viable in 0 to 2 years Mainstream viable 2 to 5 years No Desktop OS Mainstream viable now * Source – Gartner Feb 2010

App2App Mobile Architecture

App2App is a financial-grade design pattern where a mobile app can authenticate users via a separate high-security mobile app. This provides an out-of-the-box Strong Customer Authentication (SCA) solution.

The European Bank Authority is encouraging App2App as part of PSD2 implementations, and the Financial Grade API (FAPI) Working Group is including App2App in its FAPI-RW profile.

In this article, we will describe the App2App flow, then dive deeper into Open Banking solutions, where merchant apps can use App2App to login via a bank app.

App2App OpenID Connect Flow

The App2App flow is illustrated below, showing that the mobile app simply needs to open a browser at the identity server’s authorization endpoint. This requires login, which the authorization server handles by redirecting the browser to a URL registered on the mobile device. This URL is handled by a login application installed on the same device.

As a result, the login app is presented to the user, and the user signs in. The login app then invokes a URL that is again handled by the browser, which completes the authorization request by redirecting to the client app’s redirect URI. This brings up the app with the authorization code, representing the end user’s authorization. The app exchanges this for an access token, using PKCE to protect against redirect interception. The resulting token can then be used to call APIs.

The following technical steps are performed to sign the user in, manage browser redirects securely, then get tokens with which to call APIs:

Step	Description
1. App Opens System Browser	Before starting authentication, the client app presents a system browser, which will handle HTML responses
2. Authorization Request Sent	The client app creates an OpenID Connect authentication request and sets the browser URL to trigger a login redirect
3. Redirect Response Received	The client app receives a redirect response from the authorization server, containing a deep link URL to the login app
4. Login Redirect Followed	The browser follows the login redirect, which lands on a page from which the user is deep linked to the login app
5. User Authenticates	The end-user signs in via the login app, using multi-factor authentication
6. Login Completes	The login app posts the login result to the authorization server (directly or indirectly)
7. Polling Completes	During login, the system browser page in the client app polls the authorization server for a login result
8. Authorization Code Returned	A login result is returned to the system browser containing an authorization code to complete the sign-in process, after which the browser is closed
9. Access Token is Retrieved	The mobile app then swaps the authorization code for OAuth tokens
10. Access Token is Used	The mobile app then uses the access token as a message credential when calling APIs

Mobile AppAuth Implementation

Although the above picture has quite a few moving parts, the client app only needs to implement the AppAuth Pattern described in RFC8252. This can be done relatively easily by integrating the open-source libraries:

Library	Features
AppAuth for iOS	Invokes a Chrome Custom Tab browser window on which to perform logins, then handles all OAuth messages
AppAuth for Android	Invokes an ASWebAuthenticationSession window on which to perform logins, then handles all OAuth messages

User Onboarding

The Login App implements OpenID Connect via a Claimed HTTPS Scheme, which means an HTTPS URL is used for deep linking, using mobile platform features:

• iOS uses Universal Links
• Android uses App Links

Claimed HTTPS schemes prevent malicious mobile apps on user devices from registering the same URL and intercepting login responses. In this way, the scheme, combined with the mobile operating system’s key verification, establishes the provenance of the application. It also enables the following two scenarios to be handled gracefully for end-users:

User Scenario	Login Behavior
Login app is not installed	The client app’s browser renders a public web page to prompt the user to download and install the app
Login app is already installed	The client app’s browser invokes the deep link URL to start the login app on the same device

Specialist Security Apps

Some companies offer specialist apps to manage the mechanics of Multi-Factor Authentication (MFA). An example provider is BankID, which multiple banks can use as part of their mobile banking solutions.

App2App for Open Banking

In an Open Banking scenario, a merchant app can quickly meet its PSD2 Strong Customer Authentication (SCA) requirement by implementing App2App via a bank app. However, any real-world solution is likely to include merchant APIs, so the merchant will also need to protect their own data. In this case, the problem with the App2App flow is that bank access tokens are not designed to secure merchant APIs.

In the final step above, the merchant API receives an access token issued by the bank, and has little or no control over the following aspects:

Behavior	Potential Problem
Token Validation	It may not be possible to get keys needed to validate the received access token
User Identification	It may not be possible to identify or match up users based on the token’s subject claim
Scopes and Claims	It will not be possible for the merchant to provide its own scopes and claims to its APIs
Lifetimes	The merchant will not be able to control lifetimes for access tokens or the mobile app’s user session
Future Changes	The merchant APIs may break when the bank applies future unknown changes

The standard solution to these problems is for both the merchant and the bank to use an authorization server.

Federated App2App Flow

The following sections will illustrate how the App2App flow changes when a merchant introduces an authorization server. A key point to understand is that this only requires security configuration changes — zero code changes are needed in the merchant’s mobile app.

Authentication

The flow during authentication now involves the Merchant Authorization Server calling the Bank Authorization Server to get the redirect URL to the bank login app:

There are also two different authorization codes issued, once login completes, which are also handled via browser redirects:

Token Issuance

When the app swaps code for tokens, the Merchant Authorization Server exchanges the bank authorization code for tokens at the Bank Authorization Server.

The Merchant Authorization Server then receives a Bank Access Token but also issues Merchant Access Tokens with whatever scopes and claims the merchant’s APIs require.

The bank token may then be embedded in the merchant token so that both are stored in the authorization server state. An opaque reference token is then returned to the Merchant Mobile App:

For further details on these token issuing patterns, and how merchant APIs would use scopes and claims, see the below articles:

• Phantom Token Pattern
• Token Sharing Techniques
• Scope Best Practices
• Claims Best Practices

API Calls

Finally, the merchant mobile app can initiate calls to both its own APIs and also to the bank’s API. The merchant APIs can implement authorization using scopes and claims from access tokens.

Calls to bank APIs typically need to be routed via the merchant’s API so that Mutual TLS can be used. During this downstream call, the merchant API forwards the bank token contained in the composite token.

Authentication Selection

App2App options can also be selected at runtime, since a key goal of Open Banking is to connect the following parties dynamically:

Party	Role
Bank	A bank acts as an ‘Account Servicing Payment Service Provider’ (ASPSP) and provides App2App solutions for multiple merchant apps
Merchant	A merchant acts as a ‘Third Party Provider’ (TPP) and provides apps that integrate with multiple banks on behalf of consumers
Consumer	A consumer acts as a ‘Payment Service User’ (PSU) and can use one or more bank accounts within the same or different merchant apps

Selecting a Bank

Typically a merchant app will present a screen to sign in via one or more of the main banks. Each consumer will select a bank to sign in with and will then need to use that bank’s App2App flow. This sign-in process could be repeated multiple times for different banks.

The merchant app can use the Authentication Context Class Reference (acr) Claim, or the acr_values query parameter, to tell its authorization server which bank to use for the App2App login and to deep link straight to that bank’s app. After login, the app will also receive the acr claim in its id token.

API Authorization After Authentication

In some cases, such as if the user cannot authenticate with the bank, the merchant may provide a fallback authentication option with the following type of behavior:

Authentication Level	User Privileges
Standard Authentication	The user has basic privileges such as viewing their transaction history
Strong Customer Authentication	The user can perform high privilege operations such as payments

To enforce these rules during API authorization, the merchant can dynamically add a claim such as authentication_level to access tokens based on the runtime authentication method(s) used.

Adding this claim requires a capability to process the authentication context and apply custom logic during token issuance. In the Curity Identity Server this is possible using a Custom Claims Value Provider , which can inspect the authentication context and issue custom claims.

User Experience

In some ways, the AppAuth pattern is a little unnatural when logging on via a deep link to an external mobile app, since the user sees the system browser popup and then disappear, but the browser does not render anything:

With the Curity Identity Server, an alternative approach is to bypass the browser and use the Hypermedia Authentication API (HAAPI) , which has usability, security, and deployment benefits.

App2App Tutorial

The App2App via Hypermedia Authentication API tutorial shows how to get App2App working with the Curity Identity Server. This is done via a small mobile code sample that signs the user in via a deep link to the BankID app.

Conclusion

By implementing the OpenID Connect App2App flow, Strong Customer Authentication (SCA) requirements can be met via an out-of-the-box solution, where all of the security complexity is outsourced.

For Open Banking solutions, merchants also need to protect their own data, and should use a federated form of App2App. With the correct design choices, a full end-to-end solution requires only simple code.

Watch this free webinar to learn more about App2App Login with Authentication Workflows

Join our Newsletter

Get the latest on identity management, API Security and authentication straight to your inbox.

Start Free Trial

Try the Curity Identity Server for Free. Get up and running in 10 minutes.

1. Home
2. Resources
3. Financial Grade
4. App2App Mobile Architecture