新闻中心

NEWS CENTER

开放银行(一)| 开放银行概述

发布时间:2021-01-27 07:38:21|浏览次数:2209

近期,国民认证成功签约贵阳银行,打造全球首例基于FIDO2认证的开放银行应用。开放银行作为一种新颖的商业模式,把日常工作生活和金融服务实现了更为深入、紧密的融合。

接下来,我们将通过两周的分享来介绍开放银行,第一篇介绍开放银行概述,第二篇将介绍国外目前关于开放银行的法规和标准,一起来看吧~


开放银行概述


简单的说,开放银行(open bank)就是银行将能力通过API对外,各种应用、设备都可以集成银行的API,完成相应操作。这样的好处,使银行的入口增多了。

image.png

一、开放银行在海外的发展原因及愿景,跟国内相比有较大不同,我们做如下对比分析:


1.1 海外银行业

  1. 是高度集中、数据集中的行业,拥有庞大的用户群体,开放银行的目标是给予中小银行、金融科技公司更多的机会创新,使其不被大中型银行限制;

  2. 开放银行的形式:API


1.2 国内银行业

  1. 金融科技发展很快,已经公布了大量API,供第三方支付公司、服务调用,但目前没有标准限制

  2. 面对支付宝、微信冲击,更希望自身成为流量池

  3. 开放银行的形式:API、小程序


二、从银行角度,开放银行的服务需要:


2.1 在各地区合规

2.2 产品侧

  1.  开放API:保护自己数据安全

  2. SCA:强身份认证


三、通常搭建开放银行有几个阶段:


3.1  TPP注册成为ASPSP的第三方使用者

3.2 用户授权TPP访问数据

3.3 用户认证

3.4 用户revoke授权

3.5 ASPSP进行数据统计、审计


四、使用场景:


4.1 开放的账户体系

image.png

4.2 开放的支付体系

image.png


开放银行

重点标准


OIDC  FAPI

OIDC是由OpenID Foundation推出的认证标准,是基于OAuth2.0;

FAPI则是OIDC中,为金融级API安全新建立的一套标准,主要包含如下协议:

● Part 1: Read-Only API Security Profile  :只读接口的安全要求

● Part 2: Read and Write API Security Profile  :可读、可写接口安全要求

●Financial-grade API: Client Initiated Backchannel Authentication Profile  :decouple 类型认证流程

● Financial-grade API: JWT Secured Authorization Response Mode for OAuth 2.0 (JARM)  :JARM返回类型规范

● Financial-grade API: Pushed Request Object:基于CIBA,Push场景的规范


FAPI在2020年10月,完成核心协议发布:

image.png


FAPI在海外获得了广泛认可,尤其在英国,这项标准已经成为OpenBanking最核心的组成部分。已经有包括HSBC、COUTTS、RBS等多家银行通过此项认证。


行业常见缩写

AISP:Account Information Service Provider   账户信息使用商

ASPSP:Account Servicing Payment Services Provider    账户服务支付服务供应商

PISP:Payment Initiation Service Provider    支付发起使用商

PSD2:Second Payment Services Directive    欧盟第二代支付规范

SCA:Strong Customer Authentication    强身份认证

TPP:Third Party Provider     第三方供应商

PSU:Payment Service User     支付服务使用者

XS2A:PSD2-compliant Access to Account Interface    符合欧盟第二代支付规范的账户接口访问

TSP:Third party service providers    第三方服务供应商

SSA:Software Statement Assertion    断言