ضرورت برنامه‌ای برای کامل شدن / تحلیل طرح رمز پویای کارت بانکی

پوریا پوراعظم، مدیر تحقیق توسعه و نوآوری شرکت سیمرغ تجارت / بخش اول؛ نقاط ضعف و قوت: پس از طی حدود یک سال از زمان اولیه مقررشده برای عملیاتی‌شدن طرح رمز دوم پویای کارت‌های بانکی در کشور، بالاخره از اوایل دی‌ماه 1398، این طرح عملیاتی شده که به‌طور قطع اثرگذاری چشم‌گیری در ارتقای امنیت تراکنش‌‌های مبتنی بر کارت داشته و طبق آمارهای ارائه‌شده موارد سوءاستفاده از کارت بانکی از طریق فیشینگ تا بیش از 50 درصد کاهش یافته است، اما همچنان شواهدی از وقوع حملات خاص فیشینگ و انجام تراکنش‌های متقلبانه (از نوع تراکنش‌های بدون حضور کارت – CNP) وجود دارد.

در این یادداشت به بررسی نقاط ضعف این طرح با خصوصیات فعلی آن، تحلیل تهدیدات امنیتی باقی‌مانده که پوشش داده نشده‌اند و در نهایت ارائه راه‌حل‌هایی برای پوشش این موارد، پرداخته‌ام. در ابتدا نگاهی خواهیم انداخت به انواع عوامل استاندارد احراز هویت دارنده کارت در زمان اعتبارسنجی یک تراکنش کارتی، از نوع تراکنش بدون حضور کارت، مانند تراکنش‌های خرید یا انتقال وجه اینترنتی:

• رمز دوم ثابت: عامل احراز هویت از نوع دانستنی؛
• رمز یک‌بارمصرف، به روش دریافت از طریق ابزارهای رمزساز یا پیامک: عامل احراز هویت از نوع داشتنی؛
• کد اعتبارسنجی CVV2: عامل احراز هویت از نوع داشتنی (به‌دلیل درج روی کارت بانکی).

 یکی از انتقادهای جدی که به طرح رمز دوم پویای کارت بانکی در روش دریافت رمز از طریق پیامک وارد است، موضوع تک‌عاملی‌شدن احراز هویت دارنده کارت در این روش است. پیش از طرح رمز دوم پویا، احراز هویت دارنده کارت در تراکنش‌های بدون حضور فیزیک کارت، از طریق رمز دوم ثابت صورت می‌گرفت. کد CVV2 هم که در نظام بانکی ایران و در میان مشتریان و حتی خود بانک‌ها، به‌دلیل اینکه همواره در کنار رمز دوم ثابت مورد استفاده بود، آن‌طور که باید در عمل به‌عنوان یک عامل محرمانه احراز هویت، با آن برخورد نمی‌شد و البته همچنان هم همین‌طور است.

البته این رویکرد صحیح نبوده و در سایر کشورهای دنیا، کد CVV2 عامل کاملاً محرمانه‌ای برای احراز هویت دارنده کارت در این دسته تراکنش‌ها محسوب می‌شود و باید مانند رمز از آن محافظت شود. با این تفاسیر قبل از رمز پویا، عملاً احراز هویت دارنده کارت، تک‌عاملی از نوع عامل دانستنی (رمز ثابت) بود و البته برای آن دسته محدود از مشتریانی که سعی در محرمانه نگه‌داشتن کد CVV2 داشتند، احراز هویت دارنده کارت دوعاملی محسوب می‌شود.

از طرفی می‌‌توان یکی از اصلی‌ترین مزایای ماهیتی طرح رمز دوم یک‌بارمصرف در ارتقای امنیت تراکنش‌های مبتنی بر کارت را دوعاملی کردن احراز هویت دارنده کارت در نظر گرفت. حال سؤال این است که از چه طریق؟ در ابتدای این طرح قرار بود رمز پویا تنها از طریق اپلیکیشن‌های رمزساز موبایلی یا توکن‌های سخت‌افزاری تولید رمز در اختیار مشتریان نظام بانکی قرار گیرد.

ابزارهای نرم‌افزاری و سخت‌افزاری که از طریق آن رمز تولید یا دریافت می‌شوند، مانند گوشی همراه یا توکن سخت‌افزاری، به واسطه در اختیار داشتن کلید خصوصی تولید رمز مختص هر کاربر، به‌عنوان یک عامل داشتنی احراز هویت محسوب می‌شوند. در عین حال هر بار استفاده از این ابزارها، نیاز به رمز ورود یا همان PIN توسط کاربر دارد (برای مثال ورود به اپلیکیشن رمزساز یا استفاده از توکن سخت‌افزاری، نیازمند یک رمز ثابت است) که این نیز خود به‌عنوان یک عامل دانستنی احراز هویت محسوب می‌شود.

بنابراین در این شیوه، احراز هویت دارنده کارت بانکی دوعاملی (یک عامل دانستنی و یک عامل داشتنی) خواهد بود. به این معنا که اگر شخص غیرمجازی به گوشی همراه شما دسترسی فیزیکی برای حتی چند دقیقه هم داشته باشد، باز هم چون عامل دانستنی را ندارد، قادر به تولید یا دریافت رمز یک‌بارمصرف از ابزار رمزساز نخواهد بود.

طرح رمز پویا با وجود چنین خصوصیاتی، قابلیت اطمینان و امنیت بالایی داشت، اما زمانی که طرح دریافت رمز از طریق کانال‌هایی مانند پیامک و USSD به میان آمد، عملاً دارنده کارت در این شیوه دریافت رمز پویا، احراز هویت تک‌عاملی می‌شود.

برای شفاف‌تر شدن این مسئله باید توجه داشت زمانی که از طریق پیامک، رمز پویا برای مشتری ارسال و دریافت می‌شود، گوشی موبایل به واسطه سیم‌کارت (شماره همراه مجاز دارنده کارت که نزد بانک صادرکننده کارت، ثبت شده است) پیامک حاوی رمز پویا را دریافت و در واقع گوشی همراه تنها به‌عنوان یک عامل داشتنی احراز هویت محسوب می‌شود و دیگر خبری از عامل دانستنی نیست.

ممکن است گوشی موبایل، محتوای پیامک را حتی بدون قفل‌بودن گوشی، نمایش دهد و عملاً نیاز به PIN گوشی هم نباشد، ضمن آنکه کنترل اجباری روی وجود قابلیت قفل گوشی (Lock) و استفاده از PIN یا عوامل ذاتی مانند اثر انگشت روی گوشی همراه مشتری هم امکان‌پذیر نیست. در واقع بسیاری از کاربران ممکن است قابلیت قفل گوشی همراه را فعال نکرده باشند و از طرفی هم بسیاری از گوشی‌های همراه قدیمی‌تر،  ممکن است اصلاً هوشمند نبوده و چنین قابلیتی را پشتیبانی نکنند. در نهایت همان‌طور که اشاره شد، در برخی گوشی‌های همراه مشتریان، متن پیامک، حتی در وضعیت قفل گوشی هم قابلیت مشاهده خواهد داشت.

اما ممکن است گفته شود کد CVV2 خود یک عامل احراز هویت تراکنش است، ولی توجه داشته باشید کد CVV2 را حداقل در وضعیت فعلی در اکوسیستم کارتی کشور و مشتریان بانکی کشورمان، نمی‌توان عملاً به‌عنوان یک عامل واقعی محرمانه برای احراز هویت (از نوع عامل داشتنی) محسوب کرد. احتمالاً با این مسئله برخورد داشته‌اید که دارندگان کارت بعضاً به دلایل مختلف، عکس کارت بانکی خود را گرفته و برای دیگران ارسال می‌کنند که کد CVV2 در عکس قابل رؤیت است یا افرادی فیزیک کارت را محافظت نمی‌کنند و به‌راحتی کارت بانکی خود را در یک محل عمومی، شاید برای چند دقیقه روی میزی رها می‌کنند.

مورد دیگری که می‌توان به آن اشاره کرد، برخی اپلیکیشن‌های پرداخت یا کیف پول هستند که برای ثبت کارت بانکی، از مشتری عکس کارت را دریافت می‌کنند یا برخی کسب‌وکارها در صنعت مالی و پرداخت که برای انجام فرایند شناسایی و احراز هویت الکترونیکی کاربران خود (eKYC) از مشتریان درخواست بارگذاری تصویر مدارک خود مانند عکس کارت ملی و کارت بانکی را دارند. تمامی این موارد می‌تواند تهدیدی برای افشای کد CVV2 باشد. به همین دلیل است که در سال‌های اخیر در بسیاری از اکوسیستم‌های کارتی دنیا، صادرکنندگان کارت بانکی مقدار کد CVV2 را در پشت فیزیک کارت درج می‌کنند.

بنابراین با این تفاسیر، با دریافت پیامکی رمز دوم پویای کارت، عملاً احراز هویت، تک‌عاملی و از نوع عامل داشتنی محسوب می‌شود و دیگر دوعاملی نیست. بنابراین می‌توان گفت در این شیوه از یکی از اهداف اصلی این طرح، دور شده‌ایم. البته باز هم باید تأکید کنم چنین تفسیری را باید با شرایط واقعی اکوسیستم کارتی در کشور و بررسی رفتار و فرهنگ دارندگان کارت، درک کرد.

---

مخاطرات و تهدیدات باقی‌مانده در چیست؟

---

به‌طور خلاصه تهدید انجام تراکنش متقلبانه از طریق دسترسی غیرمجاز به عامل احراز هویت و امکان سرقت این عوامل (در خصوص دریافت رمز دوم پویا از طریق پیامک) همچنان باقی است. با ذکر مثالی عرض می‌کنم. اگر کسی برای زمانی خیلی کوتاه برای مثال نهایتاً دو دقیقه به گوشی همراه شما دسترسی داشته باشد و گوشی به هر دلیل قفل نباشد یا اساساً قابلیت قفل نداشته باشد، این شخص می‌تواند در یک درگاه خرید اینترنتی یا ابزار پرداخت، درخواست رمز پویا را از طریق سامانه هریم برای شماره کارت شما بدهد و رمز دریافت‌شده روی گوشی را برداشته و تراکنشی را انجام دهد و پس از آن هم پیامک رمز پویای دریافت شده را از روی گوشی همراه شما، حذف کند. در کنار این مسئله، بدافزارهای مبتنی بر موبایل را هم قرار دهید که با آلوده‌کردن گوشی کاربر امکان دسترسی غیرمجاز برای خواندن محتوای پیامک‌های گوشی را دارند.

توجه داشته باشید که همچنان داشتن شماره کارت، کد CVV2 و به‌طور کلی داده‌های ثابت که روی کارت درج شده‌اند، از طریق حملات فیشینگ و از سایر طرقی که به آنها اشاره شد، چندان کار دشوار و پیچیده‌ای برای عوامل تهدید نخواهد بود.

در نتیجه می‌توان گفت عامل داشتنی به‌عنوان یک عامل احراز هویت، عامل قوی و بسیار مطمئنی محسوب می‌شود، ولی در کنار یک عامل دانستنی برای احراز هویت کاربر در استفاده از ابزار تولید یا دریافت آن. یعنی در بسیاری از موارد، عامل داشتنی به‌تنهایی و بدون عامل دانستنی، نه‌تنها روش امن و مطمئنی برای احراز هویت نیست؛ بلکه مخاطرات جدیدی را با خود به همراه دارد؛ به‌خصوص در فرهنگ مشتریان نظام بانکی کشور ما که از عامل داشتنی به‌خوبی مراقبت نمی‌کنند.

بنابراین به نظر می‌رسد طرح رمز دوم پویا با شرایط فعلی آن، راه‌حل امنیتی نسبتاً کارآمدی برای مقابله با تهدیدات فیشینگ بوده است و به‌طور قطع با همین شرایط فعلی طرح رمز پویا، میزان سوءاستفاده از اطلاعات کارت بانکی در تراکنش‌های بدون فیزیک کارت (CNP) از جنس تهدیدات فیشینگ سنتی و با حجم بالا  (massive phishing)، کاهش چشم‌گیری داشته و خواهد داشت، اما ارسال و دریافت رمز دوم پویا از طریق پیامک، مخاطرات جدیدی را به همراه خواهد داشت که می‌توان گفت تا پیش از این وجود نداشته و این مخاطرات بیشتر از نوع هدف‌گذاری‌شده یا Targeted Attack (هدف‌گذاری قربانی یا قربانیانی مشخص) هستند؛ تهدیداتی از جمله امکان افشای رمز در بستر طرف‌های ثالث مانند اپراتورها و تأمین‌کنندگان خدمات پیامک، سرقت درجای کارت و گوشی که دسترسی فیزیکی به گوشی و کارت بانکی را حتی برای مدت خیلی کوتاه برای فردی غیرمجاز به همراه خواهد داشت که برای آن ‌دسته از عوامل تهدید و مجرمان که اساساً فیشینگ را نمی‌دانند یا توانایی انجام آن را ندارند، این نوع سوءاستفاده امکان‌پذیر می‌شود. حتی تهدیداتی با ترکیب حملات فیشینگ و سرقت / دسترسی غیرمجاز به اطلاعات کارت بانکی، مورد توجه این عوامل قرار خواهد گرفت.

موضوعی که در طرح رمز پویا مورد انتقاد است، این است که چرا به جای رمز دوم کارت، کد CVV2 پویا (یک‌بارمصرف) نشد؛ چراکه اگر کد CVV2 پویا می‌شد، چالش تک‌عاملی‌شدن احراز هویت تراکنش در روش پیامکی، ایجاد نمی‌شد. یعنی برای انجام تراکنش بدون حضور کارت (CNP)، رمز دوم ایستا به‌عنوان یک عامل و از نوع دانستنی سر جای خود باقی و کد CVV2 یک‌بارمصرف به‌عنوان یک عامل از نوع داشتنی مورد استفاده قرار می‌گرفت؛ چراکه در شرایط فعلی همان‌طور که اشاره شد، کد  CVV2 ثابت، بین مشتریان به‌عنوان یک عامل محرمانه واقعی تلقی نمی‌شود و محافظت دقیقی از آن صورت نمی‌گیرد. در بسیاری از کشورها و در اسکیم‌های کارت مانند ویزا و مستر، پویاسازی این کد (Dynamic CVV2) به‌عنوان یک راهکار برای کاهش مخاطرات تراکنش‌های غیرمجاز کارتی و نرخ تقلب در تراکنش‌های غیرحضوری و اینترنتی مورد استفاده قرار می‌گیرد.

تهدید امنیتی دیگری نیز همچنان باقی است و آن تهدید سوءاستفاده از اطلاعات کارت بانکی و انجام تراکنش غیرمجاز از طریق حملات فیشینگ آنی (Real-Time Phishing) یا حملاتی از جنس مردی در میانه (Man-In-the-Middle) است. به این دسته از تهدیدات، عناوینی مانند Real-Time Phishing، Phishing 2.0 و MITM Phishing نیز اطلاق می‌شود. در این نوع تهدید فرد مجرم/سوء‌استفاده‌گر به‌صورت برخط با فریب کاربر و هدایت وی به سمت صفحات جعلی (فروشگاه یا درگاه پرداخت جعلی اینترنتی)، اطلاعات کارت شامل رمز دوم پویای وی را دریافت و پیش از پایان زمان اعتبار رمز، در یک تراکنش مجرمانه و غیرمجاز، از آن استفاده می‌کند. این امر می‌تواند به‌صورت دستی با دخالت نیروی انسانی یا حتی به‌صورت ماشینی و خودکار انجام گیرد. سناریوهای فنی مختلفی برای وقوع چنین تهدیدی امکان‌پذیر است که به‌دلیل عمق فنی و امکان سوءاستفاده از آنها، بیش از این به ابعاد فنی آن اشاره نمی‌کنم.

---

تحلیل طرح رمز پویای کارت بانکی

---

بخش دوم؛ راهکارهای مقابله با تهدیدات عنوان‌شده و ارتقای امنیت، در شرایط فعلی چیست؟ برای حل دغدغه افرادی که گوشی هوشمند ندارند و قادر نیستند از اپلیکیشن رمزساز روی گوشی استفاده کنند، در نظر گرفتن روش‌های جایگزین دیگری به جای پیامک، مانند ارائه و استفاده از توکن سخت‌افزاری رمزساز، یا این موضوع که اساساً رمز ایستای کارت سر جای خود باقی می‌ماند و یک کد تأیید یک‌بارمصرف برای تأیید هر تراکنش توسط دارنده واقعی کارت اضافه می‌شد، راه‌حل مناسب‌تری بود؛ چیزی که تقریباً مشابه قابلیت امنیتی 3DSecure در تراکنش‌های بدون کارت در سایر کشورهای دنیاست. اما عقیده دارم در شرایط فعلی راه‌حل‌های مقابله با تهدیدات پوشش تهدید تک‌عاملی‌شدن احراز هویت در روش پیامکی به شرح ذیل است.

۱- آگاهی‌رسانی به مشتریان بانکی در خصوص وجود چنین تهدیدی و محافظت دقیق از گوشی همراه به‌عنوان عامل داشتنی، مانند فعال‌سازی قفل گوشی همراه.

۲- آگاهی‌رسانی و فرهنگ‌سازی برای اینکه مشتریان بانکی، کد CVV2 را که تا امروز آنچنان محرمانه تلقی نمی‌کردند و محافظت نمی‌شد را از این پس به‌عنوان یک عامل احراز هویت محرمانه محسوب کنند و به هر شکلی خواسته یا ناخواسته در اختیار دیگران قرار ندهند.

۳- چاپ کد CVV2 بر پشت کارت بانکی، در کارت‌هایی که جدید صادر می‌شوند که حداقل در عکس یا اسکن کارت بانکی قابل رؤیت نباشد.

۴- مطمئن‌ترین روش و البته شاید کمی سخت‌تر در پیاده‌سازی، ولی کاملاً امکان‌پذیر، ایجاد یک رمز (گذرواژه) ثابت توسط بانک برای هر یک از دارندگان کارت بانکی و لحاظ کردن این رمز به‌عنوان یکی از عوامل احراز هویت (عامل دانستنی) در کنار رمز دوم یک‌بارمصرف پیامک‌شده برای احراز هویت دارنده کارت و تراکنش است. بدین معنی که برای دارندگان کارت بانکی، رمزی ثابت توسط بانک صادرکننده کارت، تولید و نگهداری شود و برای واگذاری اولیه آن به مشتریان، به روشی امن در مرتبه اول در اختیار مشتریان قرار گیرد. برای مثال از طریق ابزارهای بانکداری الکترونیکی مانند اینترنت‌بانک یا همراه‌بانک یا هر روش دیگری با شرط اینکه ابتدا دارنده واقعی کارت، در مرتبه اول اعتبارسنجی و احراز هویت شود و سپس این رمز در اختیار وی قرار گیرد.

این امر حتی از طریق دستگاه خودپرداز یا شعب بانک نیز به‌صورت حضوری امکان‌پذیر است. عنوان این رمز ثابت را می‌توان «رمز ثابت اعتبارسنجی رمز دوم پویای کارت بانکی» نامید. در واقع این رمز ثابت به‌عنوان یکی از عوامل احراز هویت دارنده کارت، در زمان به‌کار‌گیری روش دریافت رمز پویا از طریق پیامک یا USSD مطرح است. دو مدل نیز برای استفاده آن توسط مشتری امکان‌پذیر است؛ ساده‌ترین حالت این است که دارنده کارت در زمان انجام تراکنش و ورود اطلاعات کارت، در فیلد رمز دوم، مقدار گذرواژه (رمز ثابت) خود را پیش از مقدار رمز دوم پویای دریافتی، در کنار هم به‌عنوان یک رمز به‌هم‌چسبیده، وارد کند.

---

ببینید: کاهش فیشینگ با رمز دوم پویا / آیا هکرها خسته می‌شوند؟

---

برای نمونه اگر رمز پویای دریافت‌شده از طریق پیامک 456786 است و رمز ثابت دارنده کارت 70231 است، باید در قسمت (فیلد) رمز دوم درگاه پرداخت، مقدار 70231456786 را وارد کند. در سمت بانک صادرکننده کارت نیز از طریق تجزیه (parse) مقدار کلی رمز دریافتی و اعتبارسنجی جداگانه هر یک، صحت‌سنجی کلی رمز صورت می‌پذیرد. بر اساس اطلاعات موجود، حداقل یکی از بانک‌های کشور، در حال حاضر چنین روشی را ارائه داده است. مزیت این سازوکار این است که به هیچ‌گونه تغییر زیرساختی در شبکه ملی پرداخت (شتاب و شاپرک)، سامانه هریم و ساختار پیامی آنها نیاز نیست.

در مدل دیگر کاربرد این روش، مشتری در زمان ارسال درخواست رمز دوم پویای کارت، برای مثال از طریق فشردن دکمه هریم در درگاه‌های پرداخت یا ارسال درخواست از طریق پیامک به سرشماره اعلام‌شده بانک، باید رمز ثابت خود را نیز به‌عنوان یک عامل دانستنی احراز هویت وی، در زمان ارائه درخواست وارد کند. دریافت و اعتبارسنجی این رمز توسط بانک صادرکننده کارت، نیازی به تغییر در ساختار پیام‌های تراکنش کارتی ندارد و در پیام‌های سامانه هریم یا از طریق پیامک، به همراه درخواست رمز دوم پویا به بانک صادرکننده ارسال و اعتبارسنجی می‌شود و اگر صحت داشت، سپس رمز دوم پویای کارت بانکی برای ایشان پیامک می‌شود.

بدین صورت، احراز هویت در تراکنش (روش دریافت پیامکی رمز دوم پویا) دو‌عاملی خواهد شد و راهکاری است برای دوعاملی‌کردن احراز هویت تراکنش غیرحضوری کارت با استفاده از یک گذرواژه/رمز ثابت که توسط بانک، به هر مشتری دارنده کارت اختصاص داده می‌شود. این موضوع حائز اهمیت است که چنین سازوکاری می‌تواند کاملاً اختیاری و انتخابی توسط بانک‌های صادرکننده کارت‌های بانکی، ایجاد و به‌منظور پوشش تهدید امنیتی مورد اشاره، به مشتریان بانک ارائه شود. البته در بهترین حالت، اجباری‌شدن ارائه چنین سازوکاری توسط بانک‌ها و مؤسسات اعتباری از سوی بانک مرکزی، قابل توجه است.

باید توجه داشت در مدلی که کاربر درخواست رمز پویا را از طریق پیامک به سرشماره بانک صادرکننده ارسال می‌کند (و نه از طریق فشردن دکمه سامانه هریم) و باید رمز ثابت اعتبارسنجی درخواست خود را نیز ارسال کند، بهتر است ارسال درخواست از طریق کد USSD بانک صادرکننده، جایگزین ارسال درخواست از طریق پیامک شود. اما چرا؟ چون محتوای پیامک ارسالی درخواست رمز پویای کارت بانکی که حاوی رمز ثابت اعتبارسنجی این درخواست نیز خواهد بود، در گوشی مشتری ذخیره می‌شود که می‌تواند به افشای آن منجر شود، ولی در USSD این‌گونه نیست.

در این خصوص باید عرض کنم که رمز ثابت، همچنان با تهدید افشا از طریق فیشینگ روبه‌رو است، اما توجه داشته باشید، این سازوکار برای مقابله با تهدیدات سرقت کارت، گوشی و هر نوع دسترسی غیرمجاز به گوشی همراه، باید مورد مد نظر باشد، نه سازوکاری برای مقابله با تهدید فیشینگ.

در خصوص مقابله با تهدید حملات فیشینگ آنی یا حملاتی از جنس مردی در میانه نیز راهکارهای مناسبی وجود دارد که در ادامه به آنها می‌پردازیم.

یک مسئله کنترل و محدودسازی استفاده از هر رمز پویا در یک تراکنش مشخص و منحصربه‌فرد است که توسط دارنده کارت درخواست شده است. در واقع اتصال رمز پویا به خصوصیات یک تراکنش مشخص مانند مبلغ و درگاه تعیین‌شده توسط دارنده واقعی کارت بانکی. این کنترل باید در دو سطح صورت پذیرد:

• در زمان ارسال پیامک یا پیام اینترنتی حاوی رمز دوم پویا به‌صورت برخط برای مشتری، باید اطلاعات و مشخصات تراکنشی که برای آن، رمز درخواست و ارسال شده است، مانند مبلغ و دریافت‌کننده به‌منظور آگاهی دارنده کارت، در محتوای پیام درج شود.
• در زمان پردازش تراکنش (اعتبارسنجی تراکنش کارتی)، صحت نگاشت رمز پویای ارسال‌شده با مشخصات تراکنش مالی ایجادشده، کنترل و محدود شود.

باید توجه داشت استقرار تمامی این راهکارها، وظیفه بانک صادرکننده کارت بانکی است؛ البته به نظر می‌رسد با تسهیلگری شبکه ملی پرداخت شتاب و شاپرک و بر اساس شواهد موجود، اقدامات مثبتی در این خصوص توسط بانک مرکزی در دست اقدام است.

مسئله دیگری که اینجا مطرح می‌شود، این است که در خصوص اتصال و محدودسازی رمز دوم پویا به خصوصیات یک تراکنش مشخص مانند مبلغ و درگاه مورد نظر دارنده واقعی کارت، برای مشتریانی که از اپلیکیشن‌های موبایلی رمزساز استفاده می‌‌کنند (به جای استفاده از پیامک)، چه باید کرد؟

اگر در نظر بگیریم که برنامک رمزساز به‌صورت آنلاین کار کند و رمز یک‌بارمصرف توسط سرویس برخط بانک صادرکننده، بر بستر اینترنت و از طریق برنامک به دارنده کارت تحویل داده می‌شود، می‌توان همین برنامک رمزساز را با سامانه هریم یکپارچه کرد. به‌طوری که اگر مشتری در درگاه یا ابزار اینترنتی پرداخت، دکمه هریم را برای درخواست رمز دوم پویا فشرد، پیام درخواست رمز از سامانه هریم برای بانک صادرکننده، ارسال و بانک نیز رمز پویای تولیدشده را از طریق سرویس اپلیکیشن موبایلی رمزساز، بر بستر اینترنت و به وسیله قابلیت Push Notification برای کاربر ارسال کند.

شایان ذکر است در حال حاضر برخی برنامک‌های رمزساز بانک‌های صادرکننده به روش آنلاین و برخط عمل می‌کنند. این روش نسبت به ارسال رمز پویا از طریق پیامک، مزایای امنیتی هم دارد. مانند اینکه دیگر محدودیت در تعداد کاراکتر محتوای درج‌شده در پیام وجود نداشته که این مورد به خودی خود بسیار مفید است یا این مورد که بر بستر امن رمزنگاری‌شده مانند TLS ارسال می‌شود و در نهایت از بسترهای غیرمطمئن طرف ثالث مانند اپراتورهای همراه یا شرکت‌های خدمات پیامکی استفاده نشده است، اما باید به این مسئله هم توجه داشت که این شیوه مختص مشتریانی است که گوشی هوشمند دارند.

در خصوص برنامک‌های رمزسازی که به‌صورت آفلاین رمز پویا را تولید می‌کنند نیز روش‌هایی وجود دارد؛ مانند سازوکارهای استاندارد امضای دیجیتال تراکنش بر مبنای رمزنگاری؛ از جمله استاندارد OCRA: OATH Challenge-Response Algorithm که این امکان را فراهم می‌کند که کاربر به‌صورت آفلاین روی ابزار نرم‌افزاری یا سخت‌افزاری تولید رمز خود، به واسطه در اختیار داشتن کلید خصوصی مختص به وی و با ورود اطلاعات تراکنش مد نظرش مانند مبلغ و مشخصات دریافت‌کننده؛ مانند شماره کارت مقصد یا کد پذیرنده در ابزار مورد اشاره، رمزی به‌صورت آفلاین دریافت کند. عملاً این رمز متصل به مشخصات تراکنش و نوعی امضای دیجیتال مشخصات تراکنش است.

در این بین، روش‌های جذاب‌تر، مدرن‌تر و با تجربه کاربری بهتر مانند استفاده از سازوکار اسکن بارکد دوبعدی (QR Code) در درگاه یا ابزار پرداخت از طریق برنامک رمزساز بانک صادرکننده کارت بانکی نیز وجود دارد که می‌تواند مورد اقبال فراوان باشد. به‌طوری که اطلاعات تراکنش شامل شماره کارت پرداخت‌کننده، مبلغ و دریافت‌کننده در کد کیوآر درج شده و نهایتاً اپلیکیشن رمزساز به‌صورت برخط یا به‌صورت آفلاین، رمز دوم پویا را بر اساس اطلاعات تراکنش مورد نظر (درج‌شده در کد کیوآر) در اختیار دارنده کارت قرار ‌دهد.

در نهایت به عقیده من، با مورد توجه قراردادن سازوکارهای مورد اشاره، می‌توان هرچه بیشتر به روش امنیتی مشابه 3DSecure که در ویزا و مسترکارت مورد استفاده قرار می‌گیرد، نزدیک شد؛ البته استقرار این سازوکارها نیازمند زمان است، ولی مهم آن است که برنامه‌ای برای آن وجود داشته باشد.