فیلترینگ ستاره مربع‌ها؛ ضرورت یا اشتباه؟

محمدجواد حبیبی در گفت‌وگو با ایسنا، با بیان اینکه داستان پرهیاهوی کدهای دستوری در کشور ما حکایت جدیدی نیست؛ گفت: پس از اینکه در یک بازتعریف قابل توجه این بستر توسط اپراتورها که در دنیا چندان عمومیت ندارد، شاهد استقبال گسترده مردم در حل برخی نیازهای روزمره خود در حوزه پرداخت الکترونیکی بودیم که شاید ریشه در جمع شدن چندین عامل متقابل با یکدیگر داشت، عامه مردم شاهد تبلیغات رنگارنگ این کدهای ساده و روان در جای جای شهرها بوده‌اند و از سوی دیگر، ذهن متخصصان و فعالان دو صنعت مخابرات و پرداخت الکترونیکی نیز به آن معطوف بوده و تا حالا محل نزاع آراء مختلف قرار گرفته است. بانک مرکزی اما مبتنی بر این گزاره که این کدها ناامن هستند تا به حال محدودیت‌هایی بر این روش وضع کرده بود.

وی با اشاره به استدلال مخالفان پرداخت که معتقد به عدم وجود امنیت پرداخت بر بستر USSD ها هستند، اضافه کرد: عمده مطالب موافقان نیز متمرکز بر فواید آن برای مردم خصوصاً اقشار ضعیف‌تری است که با خطوط تلفن اعتباری مأنوس هستند و از سوی دیگر تلفن های همراه آنها نه هوشمند، بلکه ساده است. پرواضح است که تصمیم گیری صحیح در این حوزه، تنها مبتنی بر استانداردهای شناخته شده بانکداری و پرداخت الکترونیکی مقدور نیست، بلکه بستر و مکانیزم‌های امنیتی به کار رفته در بسترهای داخلی اپراتورهای کشور که عموماً نیز محرمانه تلقی شده و جز با مجوزهای خاص قابلیت بررسی دقیق را ندارند هم می‌تواند با این نتیجه‌گیری ارتباط مستقیم داشته باشد.

حبیبی با بیان اینکه مطابق استاندارد جهانی مخابرات که در کشور ما نیز در حال بهره‌برداری است، امنیت تبادلات در سه سطح تامین می شود که شامل، احراز هویت کاربر، رمزگذاری داده‌ها و سیگنال‌های تبادلی و درنهایت حفظ محرمانگی هویت کابران (حفظ محرمانگی شناسه مشترک یا ISMI توسط شناسه‌های موقت تحت عنوان  TSMI که موجب می‌شود در صورت شنود خط همچنان هویت واقعی کاربران مخفی بماند) است گفت: همه این عملیات‌ها، با الگورتیم‌های رمزنگاری متقارن توسط کلیدهایی که در تراشه‌های هوشمندی که با نام سیم کارت می‌شناسیم، به عنوان ماژول ایمن (security module) پشتیبانی می شوند.

او ادامه داد: همچنین در ساختار ارتباطی اپراتورها بخشهایی وجود دارند که مدیریت تقلب را انجام داده و لیست هایی تحت عنوان لیست سیاه، شامل مشترکین محروم از دریافت خدمات، لیست خاکستری، شامل مشترکینی که فعالیت‌های مشکوک دارند و تحت نظارت‌های خاص قرار می‌گیرند و لیست سفید که شامل عموم مشترکین است قرار دارد.

او ادامه داد: کلیه ارتباطات موبایلی در حال حاضر از جمله مکانیزم‌های محاسبه صورتحساب توسط همین مکانیزم‌های امنیتی تامین و پشتیبانی می‌شود و در صورتی که عبور از آنها به سهولت میسر بود، امروزه با ابزارهای نرم افزاری یا سخت افزاری فراگیر و گسترده مواجه بودیم که با هک این شبکه‌ها و جعل هویت، به عنوان نمونه، امکان برقراری تماس های رایگان را مهیا ساخته و در واقع اپراتورها را ورشکسته می‌کردند. برای تایید امنیت عملیات بانکی و پرداخت، تنها اثبات امنیت قابل قبول کانال مابین فرستنده پیام (تلفن همراه) و اپراتور شبکه مخابراتی کفایت نمی‌کند و قبل و پس از آن هم باید مورد بررسی قرار گیرد.

احتمال دستکاری یا شنود داده ها در دستگاه مبدا

این کارشناس با تاکید بر اینکه اپراتورهای مخابراتی امکان شناسایی هویت مشترکین خود را دارا هستند، بیان کرد: این عملیات که با بهره گیری از کلید ذخیره شده در سیم کارت که به منزله توکنهای سخت افزاری متعارف عمل می کند و با مکانیزم امنیتی چالش، پاسخ (Challenge-Response) صورت می گیرد با ضریب بالایی قابلیت اعتماد را فراهم می‌کند، تا جایی که هم اکنون کلیه نرم‌افزارهای موبایلی اعم از نرم‌افزارهای بانکی و پرداخت نیز از همین مکانیزم برای احراز هویت کابران خود بهره می‌گیرند و دریافت متون تصادفی ارسال شده در پیامک‌ها را به منزله تصدیق اصالت کاربر قلمداد می‌کنند و حتی برخی بانکها برای انتقال وجوه بالا، شناسایی مشتری را منوط به ورود رمزهای یکبار مصرفی می‌کنند که از همین سامانه برای احراز هویت مشترکین بهره می برد.

او با اظهار اینکه بدیهی است که سیم‌کارتها با توانمندیهای بسیار بالا، ماژول‌های هوشمند شخصی تلقی شده و برخلاف کارتهای هوشمند، به علت اتصال همیشگی به مبدا، به سهولت امکان ابطال و مسدودی را در هنگام مفقودی و یا سرقت دارا هستند گفت: در حالیکه اینها اغلب با یک رمز شخصی (PIN) محافظت می شوند. بنابراین می‌توان با قاطعیت گفت که این بستر امروزه یکی از مطمئن‌ترین بسترهای احراز هویت کاربران است که با ضریب نفوذ بسیار بالا، کمترین میزان از ریسک را در معماری‌های امنیتی برای خود منظور می کند و راه حلهای نرم افزاری نظیر سامانه‌های فروش شارژ توسط کدهای دستوری که مستقیماً از اطلاعات هویتی که اپراتورها در اختیار آنها می‌گذارند، بهره می‌برند، کمترین ریسک را در این باره متحمل می شوند و این میزان از امنیت، برای هیچیک از متخصصان حوزه فناوری اطلاعات قابل کتمان نیست.

حبیبی گفت: با فرض اینکه داده ها در کانال هم رمزگذاری نشوند یا رمزگذاری آنها شکسته شود و در مبدا نیز امکان دستکاری و شنود داشته باشند، همکاران بانکی ما راهکارهای بسیاری برای مدیریت و کاهش ریسک در این شرایط می‌شناسند که مرور آنها توضیح واضحات است. به عنوان مثال، ذیل همین سامانه پیوند که به منظور جلوگیری از تبادل شماره کارت بانکی (PAN) به عنوان یک داده حساس، ایجاد شد، می‌توان رمز دیگری را تحت عنوان رمز کد دستوری یا رمز سوم برای متقاضیان این بستر ایجاد کرد که حتی در صورت افشاء، با توجه به عدم امکان جعل هویت، قابل سوءاستفاده نباشد یا پذیرندگان و سقف تراکنش‌های روزانه را با محدودیت‌هایی مواجه کرد.

وی با اشاره به حملاتی نظیر جعل درخواست (CSRF) نیز بیان کرد: به سادگی می‌توان از مقادیر تصادفی حین عملیات بهره جست. در واقع نکته بسیار جالب توجه در بستر ستاره مربع‌ها این است که در اینجا، اساساً بسیاری از مخاطراتی که در بستر اینترنت وجود دارند، بی معنی است. به عنوان مثال، فیشینگ که یکی از معضلات جدی دنیای پرداخت مبتنی بر اینترنت است و همه روزه باعث متضرر شدن برخی از هموطنانمان می‌شود، در اینجا بلاموضوع است و با بهره گیری از آن می‌توان نسبت به افزایش امنیت در قیاس با فضای اینترنت اعم از سایت‌های وب و نرم افزارهای موبایلی اقدام کرد.

احتمال افشای بزرگ اطلاعات بانکی از سوی اپراتورها

حبیبی با اشاره به مشکل افشای اطلاعات بانکی از نقاط دریافت اطلاعات توسط اپراتورها نیز با طرح این سوال که در صورتی که اطلاعات با امنیتی مناسب توسط آنها دریافت شود، سوال اینجاست که چه تضمینی وجود دارد که در این حلقه آسیب پذیری رخ ندهد؛ اظهار کرد: پاسخ این ابهام بسیار روشن است؛ چراکه دقیقاً مشابه این سوال را می‌توان در خصوص شرکتهای ارئه دهنده خدمات پرداخت پرسید که می‌توانند به اطلاعات بانکی دسترسی داشته باشند و رمزنگاری داده‌های حساس از پایانه‌های پرداخت تا آنها صورت می‌گیرد و این داده ها پس از رمزگشایی، مجددا رمز شده و به سوئیچ‌های مرتبط بعدی ارسال می‌شوند. پاسخی که در اینجا وجود دارد نظارت مستمر شاپرک و آدیت‌های مستمر از نسخه‌هاست.

وی اضافه کرد: بدیهی است که در صورت وجود انگیزه برای حل این مشکل، مشابه همین مکانیزم‌های نظارتی با همکاری طرفین، در خصوص اپراتورها نیز قابل اعمال است و بی شک توانمندی فنی و سازمانی اپراتورهای مخابراتی کمتر از ۱۳ شرکت فعلی داری مجوز ارائه خدمات پرداخت که بعضا بسیار ضعیف و دارای سطح خدمات بسیار نازل هستند نیست و یا اگر هست قطعاً طی فرایندهای مشخص و قابل بررسی قابل حل است.

به گفته او ذکر این نکته نیز جالب توجه است که زیرکدهای دستوری با اعمال برخی تغییرات، قابلیت رمزگذاری مضاعف را به شکل انتها به انتها (End To End) مابین دستگاه موبایل(STK یا JAVA)  و اپراتور مخابراتی (بخش USSD Gateway) دارد که در غالب کشورهایی که از این بستر جهت مبادلات مالی و پولی استفاده می‌کنند، بر روی آن تاکید می‌شود و اپراتورهای داخلی نیز می‌توانند در صورتی که در حال حاضر از این سامانه‌ای بهره‌برداری نمی‌کنند، به آنها مجهز شوند و اولتیماتوم‌های بانک مرکزی نیز در راستای تشویق و ترغیب آنها به این سو عمل کند، نه در راستای حذف کلی این بستر، که ممکن است حقوق مصرف کنندگان را به خطر بیندازد.

حبیبی با بیان اینکه ابزارهای پرداخت در حال حاضر بسیار از امنیت حداقلی و مطلوب فاصله دارند گفت: به عنوان مثال، آمار متعلق به کلاهبراداری از طریق کارتهای مغناطیسی ناامن فعلی بسیار بالاست در حالیکه تاکنون هیچگونه گزارشی مبنی بر هک شبکه‌های مخابراتی اپراتورها و نشت اطلاعات و آسیب پذیری های امنیتی در حوزه پرداخت وجود نداشته است اما همانطور که مشاهده می‌شود، راه‌های بسیاری برای ادامه و حتی گسترش سرویس های مختلف بر بستر کدهای دستوری که تجربه کاربری بالایی نیز در بین مخاطب ایرانی پیدا کرده که حاصل پتانسیل‌های خود آن از سویی و سرمایه‌گذاری های کلان صورت گرفته در این سالها بر روی آن بوده است، وجود دارد که پوشش دهنده همه دغدغه های امنیتی این حوزه باشد.

این کارشناس نرم‌افزار در پایان اظهار کرد: در حوزه کیفیت خدمات بدیهی است در صورتیکه برخی شرکتها مدعی هستند که می‌توان همین خدمات را به شکل مطلوب‌تری برروی نرم افزارهای موبایلی و سایر بسترهای دیجیتال به عموم کاربران ارائه کرد، مناسب‌ترین راهکار این است که آزادانه حق انتخاب را به خود مشتریان واگذاریم تا آنها خود تصمیم گرفته و بستر نامناسب و ناکارا را به اختیار خود حذف کنند.