مهاجرت بانکها از کارتهای مغناطیسی به هوشمند که اخیرا مطرح شده و قرار است طی 5 سال آینده این مهاجرت انجام شود بحثی است که از سال 83 در دستور کار بانک مرکزی قرار داشته است اما به دلایل مختلف عملا این امکان فراهم نشد تا بانکها کارتهای هوشمند را جایگزین کارتهای فعلی کنند.
به گزارش پایگاه خبری بانکداری الکترونیک بر اساس گفته ناصر حکیمی قرار است طی 5 سال آینده کارتهای هوشمند که از امنیت بالاتری برخوردار است جایگزین کارتهای مغناطیسی شود.
بنابراین گزارش ورود به پروسه مهاجرت به سمت کارتهای هوشمند نیازمند ایجاد مرکزی به نام مرکز گواهی کارت بانکهای هوشمند(CA) است که باید در شبکه بانکی به صورت مشترک بین بانکی و مجزا برای هر بانک تشکیل شود.
در همین راستا ناصر حکیمی طی مقاله ای که در تیر 83 نگاشته ساختار کلی این مرکزی را بر اساس استانداردهای موجود مورد تشریح قرار داده است که این مقاله ازپی می اید.
بنابراین گزارش هم اکنون بیش از 160 میلیون کارت اع از برداشت ، اعتباری و هدیه از سوی بانکها صادر شده است.
وظایف و مسوولیتهای مرکز گواهی کارت بانکهای هوشمند(CA)
مقدمه:
راهبرد استفاده از فنآوری کار تهای هوشمند جهت انجام تراکنشهای بانکی به دلایل متعدد از جمله سطوح ایمنی بسیار بالاتر نسبت به کارت بانک های مغناطیسی و امکان انجام تراکنشهای برونخطی ، به عنوان روشی که می تواند با حفظ ایمنی، شبکه پرداخت های الکترونیکی از طریق پایانه های فروش را در سطح خرده فروشی در کشور گسترش دهد مد نظر قرار گرفته است. بر اساس بررسی های کارشناسی به عمل آمده و با توجه به تنوع در شیوه بهره گیری از امکانات کارت های هوشمند، استفاده از استانداردی جهانی و مقبول در سطح شبکه بانکی قادر است تا علاوه بر یکسان سازی روش های استفاده از فنآوری مذکور در بین بانک ها و موسسات اعتباری امکان اتصال سیستم های مختلف بانک ها به یکدیگر از طریق مرکز شتاب، مواردی نظیر وحدت رویه در نظارت، کنترل، ارایه خدمات به مشتریان و کاهش هزینه های کلی شبکه بانکی را نیز در بر داشته باشد .بر این اساس و مطابق با کارشناسی به عمل آمده و اخذ نظرات فعالان شبکه بانکی، مشخصات EMV نسخه 4 (2000) به عنوان استاندارد لاز م الاجرای شبکه بانکی جهت صدور کارت بانک های هوشمند مورد توافق قرار گرفته است.
با این حال و با وجود مزایای بارز استفاده از این فنآوری، پیچیدگی های فنی و سازمانی خاصی جهت بهره گیری از مزایای فوق وجود دارد که باید مد نظر قرار گرفته و تنظیمات مقرراتی و سازمانی متناظر با آن در اسرع وقت تدوین و اجرایی گردد.
یکی از موارد اساسی در شیوه صدور کارت بانک های هوشمند و انجام تراکنش های بانکی از طریق آن در پایانه ها، بهره گیری از سه مرحله تصدیق الکترونیکی داده ها با استفاده از رمزنگاری نامتقارن است که توسط زوج کلید های عمومی و خصوصی صورت می پذیرد . از آنجایی که ایمنی کلی شبکه پرداخت کارت بانک های هوشمند مبتنی بر محرمانگی و امنیت این کلیدهاست و از آنجایی که زوج کلید عمومی می باید توسط مرکزی که مورد قبول تمامی صادرکنندگان قرار داشته و سرپرستی نظام جامع پرداخت را بر عهده داشته باشد اعلام شود، بدیهی به نظر می رسد که تعیین و اعلام کلید عمومی کارت های هوشمند شبکه بانکی و همچنین تایید کلیدهای عمومی تک تک اعضای آن توسط کلید خصوصی خاص، باید توسط بانک مرکزی و اداره ذیربط آن (اداره نظام های پرداخت) صورت پذیرد. مکانیزم سازمانی و اجرایی صدور، تصدیق، ابطال و جایگزینی کلیدها به صورت استاندارد از طریق مرکز گواهی که می باید در اداره نظا مهای پرداخت مستقر گردد صورت می پذیرد.
مرکز مذکور واحدی است سازمانی، متشکل از نیروی انسانی، تجهیزات و مکان فیزیکی که تمهیدات مربوط به ایجاد و راهبری آن باید با عنایت به حفظ بالاترین سطوح امنیتی ممکن صورت پذیرد. بر این اساس در گزارش حاضر، ساختار سازمانی و شرح وظایف این واحد به طور مختصر ذکر گردیده و در ادامه الزامات و نیازمندی های ایجاد و راهبری بعلاوه زمانبندی آن تشریح می گردد.
الف. شرح وظایف مرکز گواهی
در اولین مرحله، مرکز گواهی وظیفه تولید زوج کلید عمومی و خصوصی خود را بر عهده دارد؛ زوج کلید عمومی مرکز گواهی جهت ایجاد بستر مشترک تصدیق مرحله اول تراکنش ها در پایانه های شبکه بانکی در اختیار فعالان قرار م یگیرد. همچنین این مرکز با استفاده از کلید خصوصی خود نسبت به صدور گواهینامه برای کلیدهای عمومی هر یک از اعضاء اقدام خواهد کرد که در تصدیق مرحله دوم و سوم تراکنش ها کاربرد دارد. مدیریت کلیدها، بررسی ایمنی و حفاظتی آنها و نیز رعایت تطابق با آخرین استانداردهای روز بر عهده این واحد می باشد که در حال حاضر تنها کارت های هوشمند را در بر می گیرد ولی لازم است که در آینده نزدیک پیش بینی های لازم برای مدیریت کلید تمامی تراکنش های بانکی در این واحد مد نظر قرار گیرد.
وظایف مرکز گواهی به طور خلاصه به شرح زیر است، بدیهی است که جزئیات عملکرد این واحد مستلزم گزارش مفصلتری است که در زمان مقتضی و پس از راه اندازی آن باید تدوین گردد.
١. مدیریت کلیدها در شرایط عادی: مرکز گواهی تحت این وظیفه موظف است با در نظر گرفتن چرخه عمر کلید عمومی، کلیه اقدامات لازم را در داخل واحد و همچنین با هماهنگی بانک های صادرکننده و پذیرنده صورت دهد. این مراحل عبارتند از:
برنامه ریزی: در این فاز، کلیه نیازمندی های مربوط به معرفی« کلید عمومی مرکز گواهی» جهت استفاده توسط بانکهای صادرکننده و پذیرنده صورت پذیرد. در این مرحله می باید تعداد کلیدهای لازم و مشخصات و مختصات آنها تعیین گردند. همچنین مرکز گواهی موظف است در فاز برنامه ریزی امنیت روش RSA را بررسی کرده و طول عمر کلیدها و تاریخ انقضای آنها را مشخص کند.
تولید: در این مرحله بر اساس بررسی های فاز برنامه ریزی، زوج کلیدهای عمومی و خصوصی مرکز گواهی، توسط آن واحد تولید می گردند. همچنین مرکز گواهیموظف به حفظ ایمنی فیزیکی و منطقی شرایط تولید و نگهداری کلیدها در سطح بسیار بالا و حصول اطمینان از انسجام و تطابق زوج کلیدهای عمومی و خصوصی مرکز گواهی است.
توزیع:در این مرحله مرکز گواهی زوج کلید عمومی را برای بانک های صادرکننده (جهت تصدیق گواهی کلید عمومی وی که توسط مرکز صادر میشود) و پذیرنده (جهت بارگذاری کلید عمومی در پایانه ها) ارسال می کند. همچنین جهت حصول اطمینان از واقعی بودن کلیدهای ارسال شده لازم است مسیر ارتباطی ایمنی برای توزیع میان مرکز گواهی و بانک ها تعریف شود.
استفاده: کلید عمومی مرکز گواهی جهت استفاده در پایان ههای ُ خرده فروشی ها و به منظور احراز هویت ١ ایستا و پویای کارت هوشمند مورد استفاده قرار م یگیرد.همچنین کلید خصوصی مرکز گواهی جهت تولید گواهینامه کلید عمومی تک تک اعضا به کار می رود. در این مرحله، صادرکننده کلید عمومی خود را ایجاد کرده و برای مرکز گواهی ارسال می کند تا مورد تایید آن قرار گیرد. مرکز گواهی با استفاده از کلید خصوصی خود، کلید عمومی صادرکننده را امضاء کرده و نتیجه را به عنوان به وی بازمی گرداند. صادرکننده می تواند با « گواهینامه کلید عمومی صادرکننده» استفاده از کلید عمومی مرکز گواهی، صحت این گواهینامه را مورد تصدیق قرار دهد تا در صورت صحت به عنوان بخشی از اطلاعات شخصی شده ٢ در کارت صادره خود درج نماید.
انقضاء: هنگام فرارسیدن زمان انقضای کلید عمومی مرکز گواهی، نظام پرداخت ملزم به باطل کردن آن در کل سیستم است. بر این اساس مرکز گواهی اعلام می دارد که از تاریخ انقضاء به بعد هیچگونه کلید قدیمی ای معتبر نخواهد بود و بدین لحاظ تمامی صادرکنندگان باید اطمینان حاصل نمایند که تاریخ انقضای کار تهایشان از تاریخ اعلام شده فوق دیرتر نباشد. همچنین بازه زمانی مشخصی پیش از تاریخ انقضا جهت از دور خارج کردن کلیدهای قدیمی و جایگزینی آنها با کلیدهای جدید باید تعریف شود و صادرکنندگان و پذیرندگان باید متعهد گردند که تا پیش از تاریخ انقضا کلیه کلیدها و گواهی نامه های قدیمی را از کارت ها و پایانه های خود حذف نمایند. انقضاء خود شامل فرآیندی پیچیده و طولانی است که در صورت لزوم در گزارش های بعدی بدان پرداخته خواهد شد.
٢. مدیریت کلیدها در شرایط اضطراری: تحت شرایط اضطراری (نظیر لو رفتن کلیدها یا شکسته شدن رمزها) فرآیندی اضطراری باید توسط مرکز گواهی آغاز شود که شامل مراحل زیر می گردد:
تشخیص: در این مرحله مرکز گواهی باید وضعیت اضطراری را حسب این که حفره امنیتی در سیستم بروز کرده یا کلیدها توسط رمزشکنان لو رفته است را در دو سطح « بالقوه » و « مشکوک » تشخیص دهد.
برآورد: در این مرحله میزان خسارات بالفعل و بالقوه ناشی از تشخیص بند فوق توسط مرکز گواهی تخمین زده م یشود و انواع شقوق ممکن بر اساس مخاطره وارده و هزینه های محتمل ارزیابی می گردد.
تصمیم: بر اساس برآورد فوق و با ملاحظه هزینه – مخاطره، تصمیم مقتضی اتخاذ می گردد که در بدترین شرایط شامل ابطال پیش از موعد و اضطراری کلیدها خواهد بود.
ابطال پیش از موعد: در صورت اتخاذ تصمیم بر ابطال پیش از موعد کلیدها، مراتب جهت انجام اقدامات لازم همانند ابطال عادی کلیدها به اعضای نظام پرداخت اعلام می گردد.
ب. الزامات سازمانی مرکز گواهی
نیروی انسانی: در مرحله مدیریت کلیدهای کارت های هوشمند و با توجه به تعداد محدود بانکهای صادرکننده و پذیرنده به نظر می رسد انجام امور مربوط به مدیریت کلیدها نیاز به نیروی انسانی تمام وقت نداشته باشد؛ مع الوصف سازمان باید حداقل دو نفر از نیروهای حاذق فعلی را با مشخصات ذیل به عنوان مسوولان مرکز گواهی معرفی نماید؛ این دو نفر می باید به عنوان مکمل و کنترل کننده یکدیگر عمل نموده و همچنین کلیه اقدامات آنها با تایید مدیریت صورت پذیرد:
– احراز قابلیت های فنی و تسلط بر مفاهیم رمزنگاری و امنیت در فضای الکترونیک.
– داشتن قابلیت اعتماد شخصی و سلوک کاری مبتنی بر محیط های سازمانی ایمن
– سابقه کار مفید در زمینه های مربوط
تجهیزات: تولید کلیدها، ذخیره، نگهداری و ارسال آنها نیاز به حداقل تجهیزات زیر دارد:
-دو دستگاه کامپیوتر شخصی با مشخصات (ضمیمه)
– دو دستگاه کارت خوان هوشمند.
– دو دستگاه شخصی ساز کارت هوشمند وچاپ روی کارت هوشمند.
– یک گاو صندوق با رمز الکترونیکی و مکانیکی.
3. امکانات فیزیکی: کلیه تجهیزات و امکانات مذکور باید در محیط فیزیکی کاملا بسته، با دسترسی محدود و به صورت دو کلیده (کلیدهای الکترونیکی) مستقر شوند. ورود به این محیط فیزیکی منحصرًا باید با تایید دو نفره صورت گیرد.
پ. زمانبندی
گروه کاری باید در خصوص موارد ذیل و با در نظر داشتن فوریت زمانی فوق العاده، برنامه زمانبندی ارایه نماید:
1. ایجاد واحد
2. تجهیز واحد
3. صدور گواهینامه ها
نظر شما چیست؟