مهاجرت بانکها از SSL خارجی؛ هزینه تحریم روی دوش مشتریان
به گزارش سیتنا، تحریمهای بینالمللی در سالهای اخیر تنها دسترسی ایران به تجهیزات و فناوریهای ارتباطی را تحت تأثیر قرار نداده و حتی برخی خدمات و زیرساختهای به ظاهر غیرحیاتی، از جمله صدور و تمدید گواهیهای امنیتی وبسایتها را نیز با چالش مواجه کرده است.
در چنین شرایطی، مهاجرت بانکهای ایرانی از گواهیهای SSL/TLS خارجی به گواهیهای صادرشده از سوی زنجیره اعتماد داخلی، از منظر حاکمیتی و تابآوری زیرساختی قابل درک است؛ چراکه تداوم دسترسی به خدمات بانکی نباید به تصمیم یک شرکت خارجی برای صدور، تمدید یا لغو گواهی امنیتی وابسته باشد.
گواهی TLS علاوه بر رمزنگاری ارتباط میان کاربر و سامانه بانکی، نقش مهمی در احراز هویت وبسایت نیز دارد. بنابراین، در صورت لغو یا منقضی شدن یک گواهی خارجی، حتی اگر سرور بانک و زیرساخت شبکه کاملاً فعال باشند، ممکن است مرورگر کاربر اتصال به سایت را ناامن تشخیص دهد و از ادامه ارتباط جلوگیری کند.
از این منظر، برخورداری از یک زیرساخت بومی برای صدور گواهی میتواند یک مزیت راهبردی باشد؛ بهویژه برای سامانههایی مانند اینترنتبانک که توقف آنها میتواند مستقیماً زندگی روزمره میلیونها مشتری را تحت تأثیر قرار دهد.
اما مسئله از جایی آغاز میشود که هزینه این استقلال زیرساختی به کاربر منتقل شود.
گواهی داخلی زمانی برای مشتری بیدردسر خواهد بود که سیستمعامل، مرورگر و سایر نرمافزارهای مورد استفاده او، زنجیره اعتماد مربوط به این گواهی را بدون نیاز به اقدام اضافی شناسایی کنند.
در غیر این صورت، کاربر ممکن است هنگام ورود به اینترنتبانک با هشدارهایی نظیر «اتصال امن نیست» مواجه شود یا از سوی بانک به نصب گواهی، تغییر تنظیمات امنیتی یا عبور از هشدار مرورگر هدایت شود.
این اتفاق، صرفاً یک مشکل فنی یا تجربه کاربری نامطلوب نیست؛ بلکه میتواند یک ریسک امنیتی رفتاری ایجاد کند.
کاربر اینترنت باید آموزش ببیند که هشدار گواهی امنیتی را جدی بگیرد. اگر بانکها برای دسترسی به خدمات خود، کاربران را به نادیده گرفتن چنین هشدارهایی عادت دهند، در آینده تشخیص یک وبسایت بانکی جعلی از یک سامانه واقعی برای همان کاربر دشوارتر خواهد شد و زمینه برای سوءاستفادههای فیشینگ افزایش مییابد.
از سوی دیگر، مشتریان بانکها یک گروه یکدست نیستند. برخی از گوشیهای هوشمند استفاده میکنند، برخی از رایانه و مرورگرهای مختلف و گروهی نیز خدمات بانکی خود را از خارج از کشور دنبال میکنند. بنابراین، هرگونه مهاجرت به زیرساخت جدید باید پیش از اجرا از منظر سازگاری گسترده آزمایش شود.
در این میان، یک پرسش اساسی مطرح است: آیا مشتری بانک باید هزینه و پیچیدگی ناشی از تحریم شرکتهای صادرکننده گواهی را پرداخت کند؟
پاسخ منطقی این است که خیر.
اگر مهاجرت به گواهی داخلی یک تصمیم راهبردی برای افزایش استقلال و تابآوری زیرساخت بانکی کشور است، بانک و نهاد متولی باید هزینه فنی و پیچیدگی آن را در لایه زیرساخت حل کنند، نه اینکه از مشتری بخواهند برای ورود به حساب بانکی خود، تنظیمات امنیتی دستگاهش را تغییر دهد.
راهحل نیز الزاماً بازگشت به گواهی خارجی نیست. میتوان با ایجاد زنجیره اعتماد استاندارد و قابل اتکا، تضمین سازگاری با سیستمعاملها و مرورگرهای پرکاربرد، ایجاد دوره گذار، اطلاعرسانی شفاف و آزمونهای امنیتی مستقل، مزیت استقلال داخلی را حفظ کرد و همزمان ریسکهای سمت کاربر را کاهش داد.
از این منظر، مهاجرت به گواهی داخلی نه ذاتاً تصمیمی اشتباه است و نه میتوان هر پیامد آن را به پای تحریمها نوشت. موفقیت این سیاست به نحوه اجرا وابسته است.
استقلال زیرساختی زمانی ارزشمند است که در نهایت به خدمت پایدارتر و امنتر برای شهروندان منجر شود. اگر نتیجه این سیاست، اختلال در اینترنتبانک، نمایش هشدارهای امنیتی و عادت دادن مردم به نادیده گرفتن پیامهای امنیتی باشد، آنگاه مسئله از «استقلال زیرساختی» فراتر رفته و به انتقال بخشی از هزینه و ریسک سیاستهای کلان به مشتریان بانکها تبدیل خواهد شد.
بنابراین، معیار اصلی موفقیت این طرح نباید صرفاً این باشد که بانک از یک گواهی خارجی به یک گواهی داخلی مهاجرت کرده است؛ معیار واقعی این است که مشتری بدون آنکه حتی متوجه این جابهجایی شود، بتواند خدمات بانکی خود را با همان یا سطح بالاتری از امنیت و اعتماد دریافت کند.
انتهای پیام