آیا اطلاعات مالی و بانکی ما در کشور از طریق موبایل با امنیت رد و بدل میشود؟ استانداردهای رایج شبکه های موبایل شامل TDMA ,CDMA ,GSMوGPRS است ولی استاندارد GSM به عنوان استاندارد پایه در بیشتر کشورهای اروپایی و آسیایی و CDMA در آمریکای شمالی پذیرفته شده و اپراتورهای موبایل بر پایه این استانداردها شبکه های خود را گسترش و توسعه می دهند.
به گزارش پایگاه خبری بانکداری الکترونیک به نقل از تارنمای شرکت ایران کیش براساس آخرین بررسیها انواع روشهای پرداخت با توجه به تکنولوژی مورد استفاده شامل Java , RFID , WAP , IVR , SMS ، USSD و NFC است.
امروزه نسل جدیدی از خدمات بانکداری الکترونیک در کشور بر بستر تکنولوژی USSD در حال تولد و ارایه است. این تکنولوژی میرود تا مبنای انجام تراکنشهای مالی آحاد جامعه باشد.
در عین حال برخی ابهامات و همچنین فقدان اطلاعات کافی در خصوص چالشهای امنیتی این نرم افزار وجود دارد.
USSD
(Unstructured Supplementary Service Data)
USSDمنحصراً مربوط به شبکههای GSM بوده و بر مبنای تعامل با سرور اپراتورهای موبایل استوار است.
اولین نسخه از USSD با عنوان "PHASE1 " یا "MAP1" نامگذاری شده و صرفا قادر بود اطلاعاتی را از یک گوشی موبایل به شبکه ارسال کند و هیچگونه ارتباط دو طرفهای را بین گوشی و شبکه ایجاد نمیکرد.
در MAP2 قابلیتهای بیشتری به USSD افزوده شد که این تکنولوژی را قادر ساخت ارتباطی دوطرفه را برقرار کند که در آن سرور شبکه موبایل قادر به ذخیرهسازی پیام در قالب USSD باشد. در واقع یکی از مشخصههای اصلی پیامهای USSD عدم ذخیرهسازی در سمت کلاینت یا همان موبایل است. در مقام مقایسه، USSD بیشتر مشابه TELNET بوده و SMS مشابه EMAIL است.
نحوه عملکرد:
1- در این روش داده ارسالی به سرور بدون ذخیرهسازی، پاسخ داده می شود.
به این روش اصطلاحاً Session-Based گویند بدین معنی که بلافاصله پس از دریافت یک درخواست USSD از موبایل، یک ناحیه کاری توسط سرور برای درخواست رسیده ایجاد میشود و نرمافزار شروع به برقراری ارتباط با موبایل مربوطه میکند.
2- مشتری ابتدا با ارسال یک درخواست به شکل *1xx# به شبکه، میتواند گزینه هایی را به صورت منو مشاهده کرده و با انتخاب شماره هر کدام از منوها و ارسال به سرور شبکه درخواست خود را مطرح نماید. سرور شبکه با دریافت این شماره و با استفاده از ناحیه کاری ایجاد شده مراحل درخواست مشتری را به سمت مربوطه هدایت میکند.
ویژگیها
1- استفاده از فضاهای خالی کانال صوت و عدم اشغال سایر کانالها
2- سرعت انتقال و پاسخدهی بسیار سریع بدلیل عدم نیاز به ذخیرهسازی درخواستها
3- عدم نیاز به ورود به منوهای خاصی از موبایل و ارسال آسان با شماره گیری و فشردن دکمه Call
4- عدم نیاز به نصب نرمافزارهای جانبی پرداخت موبایلی بر روی موبایل مشتری در صورت استفاده مستقیم از دستورات خط فرمان
5- عدم نیاز به رومینگ داده بدلیل ارسال سریع دادهها به سرور اصلی شبکه موبایل
نکته 1: USSD یک مکانیزم انتقال اطلاعات بر بستر شبکه GSM است. در واقع در این روش یک ارتباط Real-Time در شبکه وجود دارد که طبیعتا مدت زمان انتظار جهت پاسخگویی را بسیار کمتر از روش SMS می سازد.
نکته 2: یک پیام USSD میتواند در حدود 182 کاراکتر باشد.
استانداردها و چالشهای امنیت
با توجه فقدان اطلاعات کافی در مورد امنیت سیستم USSD و با رشد استفاده از پرداخت و خدمات بانکی موبایلی، لزوم آگاهی از میزان امنیت این سیستم بیش از پیش اهمیت پیدا میکند.
کلاهبرداران حرفه ای در دو حالت اقدام به سرقت اطلاعات میکنند:
1- در حال کار با سیستم و انتقال امواج در فضا
2-زمانی که در سرورها ذخیره شده اند.
تصور بر این است که خود سیگنالهای USSD هنگام انتقال در فضا قابل رمزگشایی و خواندن هستند چون رمزگذاری نمی شوند اما کانال GSM برای انتقال سیگنال، دارای سندیت، اختیارات و رمزگذاری قابل اعتمادی است، به این ترتیب به سادگی قابل هک شدن نبوده و تنها وسایلی بسیار گران قیمت قادرند این کار را انجام دهند. در این حالت تنها هکرها مجبورند برای بدست آوردن سیگنالتان همیشه شما را تعقیب کنند و تصور کنید که در این حالت یک تراکنش چند هزار تومانی انجام دهید!
تصور کنید که مجرمان نتوانستند به پول شما دسترسی پیدا کنند و سیگنال شما ایمن به اپراتور رسیده و در آنجا رمزگشایی میشود. در این حالت نیز اپراتورها سیستم امنیتی خود را دارند و جای نگرانی نیست. شما در صورت نیاز میتوانید درخواست رمزدار بودن کل پروسه از ابتدا تا انتها را بکنید. به هر حال، اگرچه اپراتورها مایل به انجام این کار باشند، دولتها معمولا به آنها این اجازه را نمی دهند.
باید در ابتدا مشخص کنید که می خواهید از چه سرویسی استفاده کرده و چه مبلغی جابجا کنید. در حالت USSD، default ممکن است برای جابجایی مقادیر کلان ایمن نباشد، از این رو مجبورید کانال خود را به فراخور نیاز خود تنظیم کنید. همچنین به خاطر داشته باشید که خود دستورالعمل اولیه سرویس هم از امنیت بالایی برخوردار است.
چالشهای امنیتی
در بحث امنیت فنی، لایه انتقال اطلاعات از بستر GSM / CDMA توسط اپراتورهای موبایل باید تضمین شود.
تائید هویت ارسال کننده پیام در شبکه با استفاده از الگوریتمهای رمزنگاری کلید اصلی و ثانویه (Wireless Public Key Infrastructure) صورت می پذیرد. جهت انجام این امر نیاز به مراکز صدور گواهی امضاء (CA) و اتصال به مراکز آنان وجود دارد که تاکنون در کشور راه اندازی نشده است.
نکته: اخیرا وزارت بازرگانی گام هایی در زمینه صدور گواهی امضا برداشته که مقرر است در طی سال 90 به طور کامل راه اندازی گردد، از این رو اقدامات انجام شده تا این تاریخ بدون رعایت ملاحاظات امنیتی مورد تایید بانک مرکزی جمهوری اسلامیایران، انجام شده است.
توجه ویژه: در بعد امنیتی، USSD دارای ساختاری مجزا برای تامین امنیت نیست و از استانداردها و مکانیزمهای امنیتی شبکه GSM استفاده میکند.
راه حل: به نظر اغلب کارشناسان، ترکیب روش پرداختی USSD با JAVA (برنامههای کم حجمی که با نصب بر روی گوشی اقدام به رمزنگاری و سپس ارسال دستور پرداخت مینمایند) جهت ارسال دستور پرداخت و دریافت پاسخ نهایی با استفاده از SMS، به عنوان بهترین و امنترین روش موجود برای توسعه دهندگان نرمافزارهای پرداخت موبایلی است. در این حالت نرم افزار Java وظیفه ارسال پیامهای USSD را بر عهده میگیرد و کاربر صرفا با مشاهده منوهایی از قبل طراحی شده و ورود اطلاعات مورد نیاز، روال مشخصی را طی مینماید.
مسئله حایز اهمیت در خصوص استفاده از USSD همزمانی آن در انجام تراکنشها و استفاده از فضای VOICE در ارسال دادهها است زیرا در صورت ازدست رفتن آنتن دهی در هنگام ارتباط با شبکه، کلیه اطلاعات رد و بدل شده از بین میرود که به منظور برطرف کردن این معضل بایستی از ترکیب این روش با یک روش نرم افزاری استفاده کرد.
References:
[1] 3-D Secure, Mobile Authentication Scenario, Version 1, June 30, 2002, http://corporate.visa.com
[2] Kelvin Chikomo, Ming Ki Chong, Alapan Arnab, Andrew Hutchison, Security of Mobile Banking. Data Networks Architecture Group. Department of Computer Science, University of Cape Town
تهیه کننده مقاله:گروه مطالعات راهبردی واحد روابط عمومی ایران کیش
اطلاعاتی خوبی بود ممنونم .