پایگاه خبری راه پرداخت دارای مجوز به شماره ۷۴۵۷۲ از وزارت فرهنگ و ارشاد اسلامی و بخشی از «شبکه عصر تراکنش» است. راه پرداخت فعالیت خود را از دوم اردیبهشت‌ماه ۱۳۹۰ شروع کرده و اکنون پرمخاطب‌ترین رسانه ایران در زمینه فناوری‌های مالی، بانکداری و پرداخت و استارت‌آپ‌های فین‌تک است.
حمیدرضا نورصالحی، مشاور و طراح سیستم‌های پیشرفتهٔ علم و فن‌آوری؛ ماهنامه عصر تراکنش / احتمالاً تا روزی که بانکداری و پرداخت الکترونیکی در دنیا پابرجاست، این پرسش هر لحظه در ذهن متخصصان این صنعت باقی خواهد بود: «چه راهکار بهتری برای افزایش امنیت کارت‌های بانکی و پرداخت الکترونیکی می‌توان ارائه داد؟» هر چند ساده‌ترین راه که دنیا برای ارتقای امنیت با کارت بانکی در پرداخت‌های حضوری (card present) دنبال کرده است، شامل افزودن تراشه روی کارت‌های مغناطیسی رایج بوده است، ولی به‌مرور که دامنهٔ پرداخت‌ها به اینترنت (card not present) و امروزه به تلفن‌های هوشمند گسترش یافته است، نیاز به ارائهٔ راه‌حل‌های بهینه‌تر از پژوهشگران فعال در این صنعت بی‌پاسخ مانده است. ما امروزه به یک فناوری به نام توکنیزاسیون در این صنعت جهانی روی آورده‌ایم که با اعمال خاصیت متغیر بودن روی شماره 16 رقمی کارت بانکی (PAN) تا حد بسیاری دامنهٔ تهدیدهای رو به رشد را کاهش می‌دهد؛ ولی پرسش همیشگی ما مبنی بر بررسی امکان ارائهٔ راه‌حل‌های بهینه‌تر، به ما گوشزد می‌کند که ساحل آرامشی در کار نیست و همچنان باید بیشتر و بیشتر در این زمینه فعالیت کنیم؛ بنابراین عبارت ژتونیزاسیون را سعی می‌کنیم در مواقعی استفاده کنیم که خاصیت متغیر بودن سایر پارامترهای حساس یک کارت بانکی –غیر از شماره 16 رقمی– مدنظر باشد.
ژتونیزاسیون در مقابل توکنیزاسیون
پدر در اولین روز بازنشستگی با یک کارت بانکی به خانه بازگشت و به همسر خانه‌دارش گفت، ازاین‌پس حقوق بازنشستگی ما را به این کارت واریز می‌کنند. باید هرماه برویم به شعبهٔ بانک (الف) و مبلغ را دریافت کنیم. این روال چندین سال برای پدر و مادرِ ناآشنا به کانال‌های مدرن بانکداری ما ادامه داشت تا این‌که در اثر کهولت سن دیگر قادر به مراجعهٔ حضوری به شعبه نبودند؛ بنابراین کارت بانکی در اختیار فرزند خانواده قرار گرفت ولی ازآنجایی‌که او مجاز به برداشت وجه در شعبه نبود، به‌ناچار هرروز مبلغ 200 هزار تومان از عابر بانک برداشت می‌کرد و به خانه می‌برد. ولی عملاً این یک کار فرسایشی به شمار می‌رفت، چرا که در وهلهٔ نخست مراجعه روزانه به دستگاه خودپرداز امکان‌پذیر نبود و در وهلهٔ دوم مبلغ 200 هزار تومان در بسیاری از مواقع برای مخارج باقی‌مانده از ماه قبل کافی نبود. شاید ساده‌ترین راه پیش روی خرید کردن مستقیم با کارت بانکی بود، ولی وقتی با ترکیب والدین ناآشنا به فناوری و تهدیدهای جدی ناشی از اسکیمرها و شیمرها و مجرمان سایبری روبه‌رو هستید، استفادهٔ مستقیم از کارت بانکی نمی‌تواند منطقی به نظر برسد.
در این شرایط فرزند خانواده ایده‌ای به ذهنش می‌رسد. به بانک (ب) مراجعه می‌کند و هم‌زمان 3 حساب بانکی (به همراه اینترنت‌بانک متصل به هر 3 حساب) باز می‌کند. حساب اول را به‌صورت متصل به کارت بانکی افتتاح می‌کند. حساب دوم را به‌صورت دفترچه‌ای با امکان تراکنش آنلاین باز می‌کند و حساب آخر را به‌صورت دفترچه‌ای ولی با محدودیت تراکنش به‌صورت آفلاین به ثبت می‌رساند و مطابق ایده‌ای که در سر داشته است:
1. پس‌انداز خرد پدر و مادر را در حساب دفترچه‌ای آفلاین قرار می‌دهد.
2. حقوق واریزی به کارت بانک (الف) را در جا به‌صورت کارت به کارت به‌حساب دفترچه‌ای آنلاین واریز می‌کند.
3. کارت بانکی بانک (ب) به همراه رمز چهار رقمی آن که با ماژیک مشکی پررنگ و خوانا روی آن نوشته شده است را در اختیار پدر و مادر قرار می‌دهد.
ولی این همهٔ ایدهٔ فرزند خانواده نیست. او همچنین پس از سه ماه زیر نظر گرفتن مخارج، با چهار فروشگاه که بیشترین مراجعه به آن‌ها وجود داشته است، آشنا می‌شود و به ایشان می‌گوید؛ درصورتی‌که مبلغ خرید با این کارت موجود نبود، به‌سرعت (از طریق حساب دفترچه‌ای آنلاین در اینترنت بانک) قابل شارژ است، در نتیجه در این موارد می‌توانند با وی همان لحظه یا بعداً به‌صورت مستقیم تماس بگیرند.
همان‌طوری که مشاهده می‌کنید این خانوادهٔ فرضی در کشور ایران که 400 میلیون کارت بانکی نقدی (Debit Card) در مقابل 0 عدد کارت اعتباری (Credit Card) دارد و رگولاتوری آن ایده‌های فین‌تکی را به‌سختی می‌پذیرد، یکی از جالب‌ترین ایده‌های ممکن را برای نیازهای مالی خانواده با محوریت یک سیستم مدیریت مالی شخصی (Personal Financial Management) طراحی و اجرا کرده است.
در نتیجه، شما در این خانواده با یک سیستم Debit Card مواجه هستید که به دلیل اعمال انواع سیاست‌ها، محدودیت‌ها و کنترل‌ها بر میزان ورود (TOP UP) و نحوهٔ خروج نقدینگی از کارت بانکی، از شدت آسیب‌پذیری در مقابل حملات مجرمان سایبری به میزان قابل‌توجهی کاسته است و نهایتاً راه پرداخت الکترونیکی را برای دو عضو سنتی جامعه هموار کرده است.
در این سیستم مالی که بر اساس دانش خالص فناوری اطلاعات طراحی شده است، ضمن این‌که تعدادی مقصد عمده برای کارت‌بانکی (ب) مشخص شده است، سقف عمومی خرید هفتگی یا ماهانه از هرکدام نیز تعیین شده است؛ بنابراین با شارژ (Reload) به‌موقع آن در موعد مقرر نه‌تنها به میزان مصرف موردنیاز، پول در کارت قرار می‌دهید؛ بلکه با توجه به مقصد از پیش تعیین‌شدهٔ خرید، خریدار را به‌نوعی «ژتون» مجهز کرده‌اید که به‌سختی برای مقصد خرید دیگری قابل‌استفاده است؛ بنابراین این عمل باعث می‌شود دزدی از این کارت بی‌ارزش یا در صورت وقوع، خسارت بسیار کمی وارد شود.
[mks_pullquote align=”left” width=”600″ size=”18″ bg_color=”#444444″ txt_color=”#ffffff”]
رمزگذاری شماره کارت
در حال حاضر روش‌های مطرح پرداخت در جهان مثل اپل‌پی، سامسونگ‌پی و اندروید‌پی هیچ اطلاعات حساسی مربوط به کارت را ندارند. آن‌ها از طریق فرایند نشان‌گذاری از شرکت‌های بزرگ پرداخت مثل ویزا، مسترکارت و آمریکن اکسپرس توکن دریافت می‌کنند. خیلی خیلی ساده، وقتی شماره کارت به توکن تبدیل می‌شود در اصل این شماره رمزنگاری می‌شود.
[/mks_pullquote]
همچنین استفاده از این تکنیک در پرداخت‌های نقدی یا همان دبیت (که نام ژتونیزاسیون بر آن گذاشته‌ام) در کارت مغناطیسی و تراشه‌دار به یک اندازه توصیه می‌شود، چرا که یک مجرم همیشه به‌صورت پنهانی با شما در پایانه‌های فروش از طریق بدافزار یا سخت‌افزار مخفی روبه‌رو نمی‌شود. شاید روزی تصمیم بگیرد از طریق زورگیری و به‌صورت فیزیکی با شما ملاقات کند و در این صورت طولانی‌ترین کلیدها، قدرتمندترین الگوریتم‌های رمزنگاری‌شده و پیشرفته‌ترین سخت‌افزارها هم نمی‌توانند کمکی به شما کنند. شما در نهایت باید برای انجام یک پرداخت خرد، مبلغ خرد با خود حمل کنید و این یک اصل است.
تأثیر متفاوت توکنیزاسیون بر کارت‌های اعتباری و نقدی
نکتهٔ قابل‌توجه دیگری هم در ارتباط با توکنیزاسیون به سبکی که در دنیا مطرح می‌گردد این است که کارت‌های بانکی اصولاً در دو دسته اعتباری و نقدی، ساختارهای حمایتی و درآمدزایی کاملاً متفاوتی برای شبکه‌های بانکی و پرداختی دارند. آنچه امروزه تحت عنوان توکنیزه کردن داده‌های حساس یک کارت بانکی دیده می‌شود و با اعمال قابلیت متغیر بودن روی شماره 16 رقمی روی کارت (PAN) شناخته می‌شود، بیشترین کاربرد را در رفتار اعتباری صاحب کارت دارد. در یک رفتار خرید اعتباری کلاسیک، صاحب کارت اطلاعات کارت اعتباری خود را در مرتبه نخست در اختیار فروشنده قرار داده و در خریدهای بعدی، تنها فاکتور صادرشده توسط فروشنده را تأیید می‌کند و پس از آن فروشنده حساب وی را شارژ می‌کند (از حساب مشتری پول برداشت می‌کند). در این حالت وقتی مشخصات یک کارت اعتباری مشخص نزد فروشندگان متعددی به امانت گذاشته شود، در صورت استفاده غیرمجاز در یکی از فروشگاه‌ها، به‌سختی قابل‌پیشگیری و همچنین پیگیری برای شناخت محل افشای اطلاعات کارت است؛ بنابراین اگر در این حالت اعتباری شما به شماره کارت 16 رقمی متغیر مجهز باشید، به‌سادگی می‌توانید برای هر فروشنده یا هر نوبت خرید، یک شماره کارت 16 رقمی مجزا اختصاص دهید که شامل محدودیت‌های بخصوصی همچون تعداد برداشت در ماه، سقف برداشت و خصوصاً تاریخ انقضاء تعریف‌شده شما است؛ و همه این‌ها به دلیل شناور بودن قدرت خرید در یک حساب اعتباری به بهترین وجه ممکن قابل پیاده‌سازی است.
اما وقتی‌که پای کارت نقدی یا دبیت به میان آید طبیعتاً مدیریت سطح پول قابل‌برداشت شما شناور نیست و توسط شرکت کارت اعتباری صورت نمی‌پذیرد، پس به‌ناچار مجبور هستید خودتان دائماً میزان موجودی کارت را مدیریت کنید. هر چند همچنان می‌توانید به‌منظور تأمین امنیت از مکانیسم توکنیزاسیون روی شماره کارت 16 رقمی استفاده کنید، ولی به این دلیل که برخلاف کارت اعتباری (که با مفهوم امنیت در قبال فروشنده درگیر است) در کارت نقدی شما با مفهوم تأمین امنیت برای هر نوبت خرید مواجه هستید، به‌نوعی از قابلیت‌های توکن‌های تولیدشده شما به سبک توکنیزاسیون کم شده و به‌ناچار بهترین گزینه شما برای کسب درجه بالاتری از امنیت، همان «TOP UP» کارت‌های سنتی است که همچنان در دنیا مورداستفاده قرار می‌گیرند.
ژتونیزاسیون دوای درد فوری پرداخت در ایران
البته شاید روزی شبکهٔ بانکی کشور ما هم به سبکی که کارت اعتباری در جهان مورداستفاده است، اقدام به صدور آن کند؛ ولی تا آن روز اگر تنها از جنبهٔ امنیت به پرداخت‌های کارتی نقدی نگاه می‌کنیم، می‌توانیم شماره 16 رقمی کارت‌بانکی را به همان صورت ثابت همیشگی استفاده کنیم؛ ولی به‌جای رمز چهار رقمی ثابت همیشگی، از رمز چهاررقمی متغیر استفاده کنیم و مدیریت تولید مقدار رمز متغیر را به یک سخت‌افزار مجزا همچون توکن‌های تولید رمز یک‌بارمصرف (OTP) یا یک نرم‌افزار موبایلی خیلی ساده محول کنیم. بدیهی است که به‌منظور کنترل صحت رمز متغیر واردشده لازم است بانک صادرکننده، سیستم‌های پردازشگر مناسب این مدل امنیتی را تدارک ببیند؛ ولی در عوض شاهد کوچک‌ترین تغییری در ساختار فعلی شبکهٔ پرداخت کشور نخواهیم بود. از مزایای بزرگ استفاده از این روش ژتونیزاسیون، می‌توان به دخالت دادن کد یکتای پذیرنده و مبلغ تراکنش در ساختار تولید رمز متغیر نام برد که این مهم کاملاً بحث هم‌زمانی سوءاستفاده از یک ژتون تولیدشده برای دو یا چند فروشگاه دیگر را برطرف می‌سازد.
[mks_pullquote align=”left” width=”600″ size=”18″ bg_color=”#444444″ txt_color=”#ffffff”]
توکنیزاسیون یا ببر خیزان اژدهای پنهان
در روش‌های پرداختی که کارت در آن حضور ندارد، افراد شماره کارت خود را وارد می‌کنند. در ایران فعلاً فقط درگاه‌های پرداخت 12 شرکت PSP این اجازه را دارند که افراد شماره کارت و اطلاعات دیگر را وارد کنند و هیچ جایی این اجازه را ندارد که این اطلاعات کارت را دریافت کند. دلیل آن هم ساده است؛ ممکن است این اطلاعات را ذخیره و بعداً از آن سوءاستفاده کنند. شرکت‌های پرداخت زیر نظر شاپرک قرار دارند و این اجازه را دارند که از طریق درگاه‌های پرداخت اینترنتی اطلاعات کارت را دریافت کنند. همین موضوع تا امروز باعث ایجاد محدودیت‌هایی در رشد روش‌های پرداخت شده است. توکنیزاسیون یا آن‌طور که بانک مرکزی گفته «فرایند نشان‌گذاری» خیلی ساده به معنای جایگزین کردن اطلاعات حساس با یک مقدار جایگزین است. این فرآیند از طریق مانا و سهند انجام می‌شود. هنوز به‌صورت عملی هیچ مانا و سهندی معرفی نشده که بتوان با انگشت آن را نشان داد.
[/mks_pullquote]
حرکت از مدل‌های کلاسیک به سمت مدل‌های نوین
اما اگر باز هم نخواهیم از این مدل ژتونیزاسیون استفاده کنیم، می‌توانیم کمی بیشتر به خواص روش‌های پرداختی که از مدل‌های کلاسیک PULL به سمت مدل‌های نوین PUSH در حال تغییر جهت هستند، بها بدهیم. چرا که در مدل PUSH اصولاً فاکتور فروش صادرشده توسط فروشنده در اختیار خریدار قرار می‌گیرد و خریدار بعد از کنترل آن –به سبک یک درگاه پرداخت اینترنتی– مشخصات کارت خود را شخصاً برای شرکت پرداخت الکترونیک (payment processor) ارسال می‌کند و پس از این‌که شرکت پرداخت الکترونیک مبلغ را دریافت کرد، وجه آن را در اختیار فروشنده قرار می‌دهد که به‌این‌ترتیب هیچ نیازی به افشای داده‌های کارت بانکی مشتری نزد فروشنده وجود نخواهد داشت و به نظر می‌رسد بیشترین میزان مطابقت با پرداخت‌های نقدی را نیز داراست. همچنین باید در نظر داشت که جدا از این‌که برخلاف تمهیدات پردازشی گسترده که در سمت سرویس‌دهنده‌های پرداختی در روش توکنیزاسیون می‌بایستی در نظر گرفته شود، سرمایه‌گذاری بر روش پرداخت PUSH کمترین میزان سربار و پردازش اضافی را در مرحلهٔ پیاده‌سازی و بهره‌برداری بر سیستم اعمال می‌کند.
کارمزد؛ معضل همیشگی!
کارمزدهایی که در شبکهٔ بانکی دریافت نمی‌شود، پیاده‌سازی و کاربردی کردن مدل‌های توکنیزاسیونی را که بیشتر گرایش به کارت‌های اعتباری در جهان داشته‌اند، با مشکل سربار هزینه‌ای مواجه می‌کند که طبق معمول بر نرخ بهرهٔ بانکی تأثیر می‌گذارد و شاخص تورمی را برای کشور افزایش می‌دهد. اگر هم موفق به دریافت کارمزد از مشتری نهایی بشویم، به دلیل ارائهٔ یک خدمت گران‌قیمت، به‌صورت خودکار مشتریان را از فناوری موردنظر دور می‌کنیم؛ خصوصاً که با مراجعه به آخرین گزارش شاپرک مشاهده می‌کنیم که بیش از 90 درصد تعداد تراکنش‌های صورت‌گرفته در پایانه‌های فروش رقم زیر 100 هزار تومان و نزدیک به 60 درصد آن‌ها رقم زیر 15 هزار تومان دارند و همین امر سود نهایی حاصل از یک تراکنش به شیوهٔ نوین (مدل PUSH یا ژتونیزاسیون) را نسبت به معادل انجام همان تراکنش در یک شیوهٔ سنتی (که با توکنیزاسیون ایمن‌تر شده است) کاهش می‌دهد.
این مشتری است که حرف آخر را می‌زند
بنا بر آن چه در این نوشتار گفته شد، کلام آخر همان پیام همیشگی جامعهٔ محققان و پژوهشگران سیستم‌های بانکداری و پرداخت به بخش‌های تصمیم‌گیرندهٔ شبکهٔ بانکی است که به‌روشنی اعلام می‌دارد، همان‌گونه که مستندات PCI دربارهٔ توکنیزاسیون اعلام کرده‌اند، ما نیز اجازه بدهیم تا هر نوع ایده‌ای در محیط‌های عملیاتی رشد کند و در معرض انتخاب مشتری نهایی قرار بگیرد. تنها بازیگر شبکهٔ بانکی که صلاحیت کامل در صدور مجوز نابودی، ادامه حیات یا توسعهٔ یک ایده را دارد، حقیقتاً مشتری نهایی ماست. بحث توکنایزیشن یا ژتونایزیشن به کنار، باور کنیم درنهایت این مشتری نهایی است که در ابتدای هر روز تعیین می‌کند پول نقد در جیب خود بگذارد، کارت نقدی استفاده کند یا همه این‌ها را کنار گذاشته و تنها با یک دستگاه تلفن همراه هوشمند دنیای آینده را تجربه کند.