امنيت تراكنش‌هاي مالي بيشتر مي‌شود
ورود رمزهاي يك‌بار مصرف
محمد ملانوري
موارد نگراني براي صاحبان كارت بانكي كم نيست. احتمالا شما هم با فروشگاه‌هايي مواجه شديد كه كارتخوان آنها در اختيار شما نيست و بايد رمز كارت خود را به صاحب مغازه اعلام كنيد. اگر كمي اهل وسواس و نگراني باشيد، با اين ترس مواجه خواهيد شد كه ممكن است كسي كه در اطراف شماست، سارقي باشد و با شنيدن رمز شما و دستيابي به كارت شما، پولي را از حساب شما جابه‌جا يا برداشت كند. مورد ديگر آن است كه در خريدهاي اينترنتي اين نگراني همراه خريدار است كه سايت پذيرنده، جعلي باشد و قرار است رمز بانكي را ذخيره كند و با سوءاستفاده از آن، كلاهبرداري كند. با دستورالعملي كه بانك مركزي به بانك‌ها داده است تا رمزها فقط يك بار استفاده شوند، ممكن است نگراني‌ها در اين موضوع كمتر شود.
بانك مركزي در ابلاغيه‌اي به بانك‌ها، آنها را ملزم كرده است تا از آغاز خرداد 98، ارايه رمز ايستا را متوقف كنند و به مشتريان خود، رمزهاي يك‌بار مصرف ارايه كنند. همچنين بانك‌ها موظف شده‌اند تا از ابتداي آذرماه در بسته خدمات خود، ارايه رمزهاي يك‌بار مصرف را قرار دهند و مشتريان مي‌توانند اين خدمات را هم‌اكنون هم از بعضي از بانك‌ها دريافت كنند. رمزهايي كه قرار است براي هر بار استفاده در اختيار مشتريان قرار گيرد و پس از استفاده يا گذشت زماني كوتاه، منقضي شوند. رمزهاي پويا قرار است هم براي رمز اول و هم رمز دوم مورد استفاده قرار گيرند. رمزهاي ايستا، رمزهاي معمول فعلي هستند كه يك بار از باجه خودپرداز گرفته مي‌شوند و تا زمان تغيير مجدد در باجه، همان رقم مي‌مانند اما رمزهاي پويا در هر لحظه تغيير مي‌كنند.
روش استفاده از اين رمزها، به دو صورت پيش‌بيني شده است. يك روش با استفاده از اپليكيشن‌هايي است كه روي گوشي نصب خواهند شد و در هر زمان كه به رمز احتياج داشته باشيد بر اساس الگويي پيچيده و استاندارد، رمز را توليد خواهند كرد. در برخي از عمليات رمزگذاري، توليد اين رمزها توسط يك سخت‌افزار مجزا انجام مي‌شود كه توكن (token) نام دارد. پيش‌تر نيز اين توكن‌ها در اختيار كاربران مي‌توانسته، قرار گيرد اما اكنون با توجه به تكنولوژي‌ها، اين وسيله با يك چيپ‌ست داخل كارت بانكي قرار گرفته است.
روش دوم، ارسال رمز از طريق پيامك به تلفن همراه صاحب كارت يا مبتني بر سرويس‌هاي ussd (سرويس‌هاي ستاره، شماره، مربع) است. در اين روش، مشتري با درخواست رمز از سرويس بانكي، رمزي را كه در مركز محاسباتي بانك ساخته شده است، دريافت مي‌كند.
بانك مركزي همچنين بانك‌ها را ملزم كرده است كه رمز دوم پويا را يك عدد حداقل هفت رقمي قرار دهند كه نسبت به وضعيت فعلي كه حداقل شش رقم دارد، امنيت بيشتري خواهد داشت. همچنين طول عمر رمزهاي پويا بايد حداكثر شصت ثانيه بوده و پس از اين زمان رمز توليدشده، منقضي و غيرقابل استفاده شود. رمزهاي پويا در طول عمر خود صرفا براي استفاده از خدمات مبتني بر يك كارت مشخص از بين كارت‌هاي صادرشده توسط موسسه اعتباري قابل استفاده هستند. در مورد ثبت نام افراد براي دسترسي اوليه به اين رمزها نيز بانك مركزي چند راه پيش‌بيني كرده است اما الزامات امنيتي متعددي براي آن پيش‌بيني كرده است. مثلا در مراجعه حضوري، هم مدارك هويتي بررسي مي‌شود و هم لازم است از سامانه ثبت احوال استعلام شود يا اگر صاحب كارت به خودپرداز مراجعه كند، لازم است صاحب كارت، پس از ورود رمز اول خود، رمزي كه از طرف بانك به موبايل او ارسال مي‌شود را نيز وارد كند. همچنين استفاده از شماره موبايل هم منوط به آن است كه بانك مطمئن باشد نام دارنده كارت بانكي و صاحب موبايل، انطباق داشته باشد. اين سختگيري امنيتي تا آنجاست كه با تغيير دستگاه براي اپليكيشن‌ها يا موبايل براي خدمات پيامكي، لازم است تجديد ثبت‌نام صورت گيرد. استفاده از رمزهاي يك‌بار مصرف، از لحاظ زماني، وقت بيشتري از كاربران خواهد گرفت اما امنيت بيشتري براي آنها خواهد داشت. پيش‌تر كاربران گوگل و بعضي از سايت‌ها و ابزارهاي اينترنتي نيز ممكن است از رمزهاي يك‌بار مصرف One Time Passwordاستفاده كرده باشند. ارسال رمز پويا به گوشي صاحبان حساب كاربري در گوگل يا استفاده از اپليكيشن Google Authenticator كه رمز دوم را بر گوشي توليد مي‌كرد، يك نمونه از همين رمزهاي يك‌بار مصرف است كه براي حفاظت از اطلاعات و دسترسي‌ها كاربرد داشت. بايد توجه كرد كه اين رمزها، علاوه بر رمز ايستا مورد استفاده قرار مي‌گيرند كه در كارت‌هاي بانكي نيز چنين برنامه‌ريزي‌اي صورت گرفته است كه به آن «رمز دانستني» مي‌گويند. بانك مركزي پيش‌بيني كرده است كه نبايد بر اساس هيچ يك از رمزهاي پوياي پيش‌تر توليدشده، امكان توليد رمز پوياي جديد باشد يا استفاده همزمان از چند روش دريافت رمزهاي پويا براي يك كارت بانكي غيرمجاز خواهد بود. در روش رمز دوم يك‌بار مصرف بانكي، اگر كاربري رمز دانستني خود را فراموش كند، نمي‌تواند از قابليت‌هاي «يادآوري گذرواژه» يا «پرسش امنيتي» براي بازيابي رمز دانستني خود استفاده كند. بانك مركزي همچنين تاكيد كرده، اگر به دليل عدم رعايت الزامات مندرج در دستورالعمل رمز يك‌بار مصرف در بانك‌ها و موسسات مالي و اعتباري كشور، مشتري بر اساس اعلام مراجع قضايي متحمل ضرر و خسارتي شود، بانك يا موسسه مالي و اعتباري مذكور بايد خسارت مشتري خود را به‌صورت كامل جبران كند. اگرچه استفاده از رمزهاي يك‌بار مصرف، ممكن است زمان خريد يا هرگونه فعاليت بانكي را افزايش دهد اما با توجه به افزايشي كه در امنيت كارت‌هاي بانكي ايجاد مي‌كند، مي‌تواند به كيفيت بهره‌مندي از اين خدمات منجر شود و از بزه‌هاي حول كارت بانكي نظير سرقت و كلاهبرداري‌هاي فيشينگ و غيره جلوگيري كند.
يكي از نگراني‌هايي كه براي استفاده از اين شيوه‌ها وجود داشت، تحميل هزينه مالي جديد براي مشتريان است. در سايت‌هاي بانك‌هايي كه تاكنون اين خدمات را ارايه داده‌اند، تبليغ روش اپليكيشن بيشتر از بقيه روش‌ها به چشم مي‌خورد. با وجود اينكه در اين روش، نيازي به اينترنت براي توليد رمز وجود ندارد و اين اتفاق آفلاين رقم خواهد خورد اما استفاده از گوشي هوشمند با وجود گستره زياد آن، همگاني نيست. در الزام بانك مركزي، در مورد نحوه دريافت هزينه‌هاي اين رمزها صحبتي بيان نشده است و تلاش‌هاي ما براي دريافت پاسخي در اين زمينه از مسوولان بانك مركزي با عدم پاسخگويي مواجه و بيان شد كه تنها اخبار رسمي سايت مجوز نشر دارد و سياست بانك مركزي در زمينه اطلاع‌رساني، منع مصاحبه همكاران اين بانك است.