پایگاه خبری راه پرداخت دارای مجوز به شماره ۷۴۵۷۲ از وزارت فرهنگ و ارشاد اسلامی و بخشی از «شبکه عصر تراکنش» است. راه پرداخت فعالیت خود را از دوم اردیبهشت‌ماه ۱۳۹۰ شروع کرده و اکنون پرمخاطب‌ترین رسانه ایران در زمینه فناوری‌های مالی، بانکداری و پرداخت و استارت‌آپ‌های فین‌تک است.
حمیدرضا نورصالحی؛ مشاور و طراح سیستم‌های پیشرفته علم و فن‌آوری / هر روزی که می‌گذرد مسدود شدن خدمات پرداخت مبتنی بر USSD ابعاد تازه‌تری به خود می‌گیرد و در این میان به نظر می‌رسد این رخ داد باعث تازه شدن زخم‌های کهنه‌ای نیز شده است که در اثر خیره شدن به زرق‌وبرق فن‌آوری‌های نوظهور، به فراموشی سپرده شده بودند. اصولاً پرداخت بر اساس کانال ناامن را هیچ کارشناسی در شبکه بانکی تأیید نمی‌کند، ولی آیا آنچه را که به‌عنوان پرداخت بر مبنای کانال امن می‌شناسیم، واقعاً تا چه اندازه امن است؟
آنچه از لابه‌لای دست‌نوشته‌ها و شواهد مشخص است، تعریف ما از کانال امن برای پرداخت به امکان رمز شدن داده پیام‌های مرتبط با دستور پرداخت خلاصه می‌شود و به نظر می‌رسد همین تعریف ساده منشأ بخشی از ناهماهنگی‌ها باشد. یک شهروند عادی را فرض کنید که تصمیم دارد مبلغ قابل‌توجهی وجه نقد را با کیف خود به شعبه بانک رسانده و آن را بابت پیش‌پرداخت خرید اتومبیل به‌حساب یکی از خودرو سازها واریز نماید. اینکه فرد به‌تنهایی اقدام به این کار نماید، یا با همراهی یک یا دو نفر از اعضای خانواده اقدام به حضور در بانک نماید یا احتمال اینکه از نیروی انتظامی برای این پرداخت کمک بگیرد – بدون اینکه رمزنگاری در آن دخیل باشد – طیف وسیعی از ناامنی تا امنیت برای یک پرداخت حضوری را شامل می‌گردد. ولی حتی از این مثال ساده هم می‌شود فهمید که اصولاً چیزی به نام امنیت 100% وجود ندارد، همیشه امکان دسترسی به یک کانال پرداخت با حداقل امنیت میسر نیست و تقریباً همیشه وارد شدن به یک کانال پرداخت با حقیقتی به نام (ریسک) همراه است؛ و این یکی از همان زخم‌های کهنه‌ای است که پیش‌تر درباره آن صحبت کردیم – مدیریت ریسک.
در پس اختلاف‌نظرها درباره ممنوعیت یا عدم ممنوعیت پرداخت مبتنی بر USSD، یعنی جایی به دور از چشمان شبکه بانکی که فعالان حوزه زیرساخت فن‌آوری اطلاعات با آن درگیر هستند، این جمله منشأ همه‌چیز است: «آنلاین بودن یا آنلاین نبودن، مسئله این است!».
اگر در شبکه بانکی کشور کمی عادت کنیم به‌جایگاه خود در زنجیره ارزش فعالیت‌های اقتصادی بیشتر دقت کنیم، در خواهیم یافت که اعلام یک ممنوعیت ناگهانی (بدون اطلاع قبلی) برای یک روش پرداخت مبتنی بر کانال رمزنگاری نشده (ناامن) می‌تواند چه صدمه بزرگی به بدنه اقتصادی کشور در ابعاد کلان آن بزند.
ما در شبکه بانکی عادت کرده‌ایم که – فرض – کنیم شهروند الکترونیکی اصولاً چیزی است که مثل قارچ دائماً رشد می‌کند و ما فقط باید برای برداشت این قارچ‌ها (ارائه خدمات پرداخت الکترونیکی) اقدام کنیم، ولی غافل از این حقیقت هستیم که این قارچ‌ها نیاز به شرایطی برای رشد و بازتولید (آنلاین بودن) هم دارند!
ازآنجایی‌که یک کانال امن پرداخت الکترونیکی بستری است که امکان رمزنگاری در آن فراهم باشد و امکان رمزنگاری وقتی فراهم است که امکان اتصال به اینترنت (شبکه) فراهم باشد، برای شرایطی که از اتصال به اینترنت محروم هستیم و اتصال مجدد نیازمند پرداخت هزینه شارژ خدمات به سرویس‌دهنده اینترنت (ISP) باشد، چه باید کرد؟ فلوچارت زیر علت تشدید موضع‌گیری‌ها به ممنوعیت پرداخت مبتنی بر USSD را با جزئیات بیشتری شرح می‌دهد:
همان‌طور که ملاحظه می‌گردد، عدم اتصال به شبکه، حجم وسیعی از جابجایی پول و مراودات تجاری را تحت تأثیر قرار می‌دهد و تشدید این امر در ابعاد گسترده باعث بیکاری، تأخیر در پرداخت قبوض، کاهش درآمدهای مالیاتی و درمجموع عقب‌افتادگی کشور در بخش تجارت الکترونیکی می‌گردد.
اما از سوی دیگر رگولاتوری در شبکه بانکی نیز مسئولیت‌هایی در قبال حفظ اعتبار صنعت بانکداری کشور دارد که بر مبنای آن تصمیماتی به جهت اعمال ممنوعیت برای برخی روش‌های پرداخت می‌گیرد که نباید از کنار آن هم به‌سادگی عبور کرد؛ اما شاید اگر دریافت خدمات پرداخت الکترونیکی مبتنی بر کارت از ابتدا به دو دسته کارت‌های بانکی برای پرداخت نامحدود بر روی کانال امن و کارت‌های بانکی برای پرداخت محدود بر روی کانال ناامن تقسیم شده بود، به‌نوعی همان مدیریت ریسک معروف اتفاق افتاده بود.
ولی قبول کنیم در کشوری زندگی می‌کنیم که در فرهنگ پرداخت الکترونیک آن، عادت داریم رمز کارت خود را برای صاحب فروشگاه با صدای بلند و رسا فریاد بزنیم. همیشه چند چشم هم هست که موقع کار ما با ATM به صفحه‌نمایش دستگاه خیره شوند. رایانه‌های ما هم بعضاً پر هست از انواع بدافزار (key logger) که حتی اگر به مراحل احراز هویت دوعاملی با توکن هم مجهز شده باشیم، پس از چند بار تولید رمز عبور یک‌بارمصرف، کلید درون سازی شده در توکن را دو دستی تقدیم هکرهای محترم کرده‌ایم. امنیت چک هم که تعریفی ندارد.
جدا کانال‌های پرداختی که آن‌ها را رمزنگاری می‌کنیم و استفاده از آن‌ها را – هنوز – ممنوع نکرده‌ایم تا چه اندازه امن هستند؟ شاید هم این روزها هوای تجهیز به EMV به سرمان زده باشد – ولی باور کنید دردی را دوا نمی‌کند. به نظر می‌رسد مسئله پیچیده‌تر از این حرف‌ها باشد و باید جایی در معماری سیستم بانکداری کشور به دنبال آن بگردیم.
در روزگاری که نه‌چندان دور نیست، مردم و سیستم بانکی کشور هر دو از معماری سنتی شعبه محور حاکم بر بانک‌ها رنج می‌بردند تا اینکه سروکله معماری متمرکز در بانکداری پیدا شد و راه برای ورود بانکداری کشور به نسل جدیدی از سازمان‌های مشتری محور هموار شد. به‌این‌ترتیب، شما به‌عنوان یک شهروند تنها با شماره‌حساب خود آن‌هم فقط در یک شعبه از بانک شناسایی نمی‌شدید، بلکه از این پس شما یک شماره مشتری داشتید که در هر شعبه‌ای از یک بانک امکان دریافت خدمات بانکی را پیدا می‌کردید.
همچنین در ادامه، این معماری میزبان بانکداری مجازی هم شد، به‌نحوی‌که غیر از شعبه‌های بانکی فیزیکی که شما در آن‌ها به‌صورت یکسان از خدمات بانکی برخوردار بودید، در تنها وب‌سایت رسمی بانک موردنظر هم می‌توانستید از خدمات غیرحضوری آنلاین بهره ببرید و تا اینجا دوران طلایی بانکداری متمرکز در حال رقم خوردن بود؛
اما مشکل از جایی شروع شد که مشتری بانکی (یک شهروند عادی) جای خود را با مشتری الکترونیکی بانکی (شهروند الکترونیکی) عوض کرد و به‌این‌ترتیب، معماری بانکداری متمرکز که برای سرویس دادن به یک مشتری عادی در هر شعبه (که نهایتاً هر از چند گاهی به وب‌سایت بانک هم سرکی می‌کشید) تحلیل و طراحی شده بود، مجبور شد طیف وسیعی از خدمات بانکی الکترونیکی از جمله پرداخت‌های مبتنی بر کارت را نیز تحت پوشش قرار دهد؛ و ازآنجایی‌که خدمات بانکی که با محوریت کارت‌بانکی هستند به فیزیک کارت تعلق می‌گیرند و نه فرد حامل کارت، لذا از این پس در کنار محور اولیه طراحی بانکداری متمرکز (مشتری بانک)، محوریت کارت‌بانکی هم به آن افزوده شد و این روش‌های الکترونیکی پرداخت هر روز هم بیشتر می‌شود و عاقبت سیستم‌هایی که به‌مرور محوریت طراحی اولیه خود را از دست می‌دهند این است که از آن به بعد برای مبارزه با آنتروپی، هرچقدر انرژی بیشتر مصرف کنند، بعضاً علیه خودشان هم ممکن است که عمل کند!
و به همین سادگی می‌بینیم که امروز، سرویس پرداخت از طریق USSD قطع می‌شود. نمودار توصیفی زیر طراحی اولیه سیستم بانکداری متمرکز برای مشتری بانکی (سمت راست) و سربار روش‌های مختلف پرداخت الکترونیکی بر معماری متمرکز بانکداری الکترونیک در اثر ورود مفهوم شهروند الکترونیک (سمت چپ) را بهتر نمایش می‌دهد:
برای بزرگتر دیدن تصویر، روی تصویر یا روی این علامت (+) کلیک کنید
به‌عنوان یک راه‌حل مؤثر (و نه یک مرهم موقتی)، امروز باید به دنبال شناسایی و تعریف یک محوریت جدید برای بازنویسی معماری بانکداری متمرکز باشیم تا با اعمال کمترین تغییرات در محصولات نرم‌افزاری و سخت‌افزاری موجود، خدمات بانکی را به آن ماهیت جدید اختصاص دهیم و بقیه روش‌های پرداخت الکترونیکی در عمل نقش ابراز کننده هویت را داشته باشند، نه احراز کننده هویت. توضیح بیشتر دراین‌باره نقشه راه را مشخص‌تر می‌کند.
.
همان‌طور که خبرگان فن‌آوری اطلاعات می‌دانند، دو عامل در هر فرآیند شناسایی کاربران نقش اساسی بازی می‌کنند:
1- ابراز هویت (نام کاربری)
2- احراز هویت (رمز عبور)
.
از خصوصیات بخش نخست می‌توان به ثابت بودن (عدم نیاز به تغییر) و داده‌ای بودن اسباب ابراز هویت اشاره کرد. معمولاً کد ملی، شماره مشتری و آدرس پست الکترونیک در این دسته قرار می‌گیرند. حتی شناسایی افراد به روش‌های بیومتریک (به دلیل غیرقابل تغییر بودن) انتخاب مناسبی برای استفاده به‌عنوان نام کاربری هستند؛
اما در طرف دوم، با عملیاتی به نام احراز هویت سروکار داریم که عملاً ماهیتی تغییرپذیر دارد و پردازش یک بخش جدانشدنی از آن را تشکیل می‌دهد. با تحلیل و مدل‌سازی آنچه مبنای شکل‌گیری نسل نخست از سیستم‌های بانکداری متمرکز بوده است، درمی‌یابیم که در نسل جدید، انواع کانال‌های پرداخت (اعم از امن یا غیر امن) می‌بایستی تنها نقش ابراز هویت برای شهروند الکترونیکی داشته باشند. به‌این‌ترتیب شهروند الکترونیکی می‌تواند به محور نسل جدید از نرم‌افزارهای بانکداری متمرکز تبدیل شده و در اثر پردازشی که وی را قادر به احراز هویت موفقیت‌آمیز می‌نماید، مجاز به دریافت خدمات بانکی گردد؛ به‌عبارت‌دیگر، خدمات بانکی نیازمند یک سیستم احراز هویت متمرکز (Centralized Authenticator) است به‌نحوی‌که:
- در کلیه کانال‌های پرداخت امن و ناامن موجود قابل‌استفاده باشد؛
- نیازمند نصب درایور یا درگاه مخصوصی برای استفاده در کانال‌های پرداخت نباشد؛
- مقادیر تولید شده جهت احراز هویت، یک‌بارمصرف باشد؛
- استراق سمع پیام‌های مربوط به احراز هویت توسط یک مهاجم، منجر به افشای کلیدهای توابع تولید کننده آن نشود.
.
به‌این‌ترتیب، به‌جای اینکه یک رمز ثابت برای خرید کارتی و یک رمز ثابت دیگر برای خرید اینترنتی با همان کارت‌بانکی داشته باشیم، عملاً یک سیستم تولید رمز یک‌بارمصرف متمرکز در اختیار خواهیم داشت که از فیزیک یا شماره کارت صرفاً جهت ابراز هویت و از رمز عبور یک‌بارمصرف برای احراز هویت استفاده می‌کند. آنچه پیاده‌سازی این سیستم را مشکل می‌کند، این است که استانداردهای موجود برای ساخت توکنهای موجود در بازار (RFC-4226 و RFC-6287) به‌صراحت تأکید می‌کنند مقادیر تولید شده توسط توکن بایستی از کانال امن عبور داده شوند، بنابراین تحقیق و توسعه بر روی تولید نسل جدیدی از توکنهای امنیتی که مقادیر تولید شده توسط آن‌ها قادر به عبور از کانال‌های ناامن نیز باشند، به نظر می‌رسد تمام آن چیزی باشد که شکوفایی اقتصاد دیجیتالی کشور به آن وابسته است.