روش های موثر در تامین امنیت بانکداری مجازی
چهار شنبه ۲۲ مهر ۱۴۰۵
حامد مجتهدی، ثامن افسر
چکیده
توسعه فناوری اطلاعات موجب رشد چشمگیری در حوزه امنیت شبکه شده است. امنیت شبکه در کاربردهای امنیتی مورد استفاده قرار می‌گیرد و این پیشرفت، مسیر توسعه بانکداری مجازی را هموار کرده است.
هدف این مقاله، بررسی اقدامات امنیتی مختلفی است که باید در سیستم بانکداری مجازی مورد توجه قرار گیرند. همچنین مقاله تلاش می‌کند مفاهیم اساسی فناوری‌های امنیتی را مطرح کند و مزایا و محدودیت‌های نسبی رویکردهای مختلف را مورد بررسی قرار دهد.
هنگامی که از گذرواژه‌ها برای احراز هویت استفاده می‌شود، تصمیم‌گیری درباره تأیید یا رد هویت نسبتاً ساده و مستقیم است؛ اما در امنیت شبکه، هنگامی که از احراز هویت بیومتریک استفاده می‌شود، تصمیم‌گیری بر اساس احتمال صورت می‌گیرد.
ویژگی‌های بیومتریک اطلاعات محرمانه محسوب نمی‌شوند. بنابراین، هر سازمانی که قصد استفاده از فناوری‌های بیومتریک را دارد، باید هنگام تصمیم‌گیری درباره اعتماد به هویت افراد، پیامدهای این موضوع را درک کند.
موفقیت یک سیستم احراز هویت بیومتریک به روشی بستگی دارد که برای ترکیب تصمیم‌های جداگانه یا امتیازهای تطبیق مورد استفاده قرار می‌گیرد.
با افزایش اهمیت امنیت، نیاز روزافزون و فوری به شناسایی هویت انسان‌ها، هم در محیط‌های محلی و هم از راه دور، به‌صورت مستمر و معمول ایجاد شده است.
در طول دهه گذشته، پیشرفت‌های قابل‌توجهی در الگوریتم‌های شناسایی بیومتریک حاصل شده است.
مقدمه
در سیستم بانکداری الکترونیک، اطلاعات به‌عنوان یک دارایی در نظر گرفته می‌شوند و بنابراین ارزش محافظت و نگهداری دارند.
امنیت اطلاعات می‌تواند از اهداف مختلفی پشتیبانی کند؛ از جمله رعایت قوانین و مقررات، کاهش خطر تقلب و کاهش احتمال دسترسی غیرمجاز.
حفاظتی که از اطلاعات به عمل می‌آید معمولاً بر اساس چهار ویژگی بیان می‌شود:
- محرمانگی
- یکپارچگی یا تمامیت اطلاعات
- دسترس‌پذیری
- انکارناپذیری
احراز هویت نقش قابل‌توجهی در ارائه تمامی این خدمات امنیتی ایفا می‌کند.
امروزه در سیستم بانکداری هند، احراز هویت از طریق گذرواژه انجام می‌شود؛ روشی که از سطح امنیتی بالایی برخوردار نیست.
بنابراین، نیاز فوری به انطباق و به‌کارگیری اقدامات امنیتی مناسب در سیستم بانکی وجود دارد.
بانکداری مجازی
به هر نوع خدمت بانکی که از طریق یک سیستم تحت کنترل رایانه به مشتری ارائه شود و مستقیماً به شعبه معمول بانک وابسته نباشد، بانکداری مجازی گفته می‌شود.
در بانکداری مجازی، الگوی سنتی تعامل مشتری با بانک، جای خود را به الگویی الکترونیکی می‌دهد که در بخش بانکداری جدید و نوآورانه محسوب می‌شود.
تقاضای مشتریان، انگیزه‌های تجاری و پیشرفت‌های فناوری، عوامل اصلی محرک توسعه بانکداری مجازی هستند.
در محیط در حال تغییر، سازگاری با واقعیت‌های بازار و همچنین فناوری موجب شکل‌گیری انقلاب بانکداری مجازی شده است.
کشش ناشی از تقاضای مشتریان و تلاش بانک‌ها برای ارائه خدمات، دو موتور محرک حرکت به‌سوی مجازی‌سازی بانکداری هستند.
عواملی که باید در بانکداری مجازی مورد توجه قرار گیرند
1- استفاده از رایانه‌ها
استفاده از رایانه‌ها به‌عنوان ابزار حسابداری و همچنین ابزاری برای گسترش و بهبود خدمات مشتریان.
2- کاهش هزینه و زمان تراکنش‌های بانکی
انجام تراکنش‌های معمول بانکی به‌تدریج هم پرهزینه و هم زمان‌بر شده بود. ازاین‌رو، بانک‌ها برای کاهش هزینه‌ها و زمان اضافی موردنیاز جهت پردازش تراکنش‌های روزمره به رایانه‌ای کردن فعالیت‌های خود روی آوردند.
3- معرفی دستگاه‌های خودپرداز
معرفی دستگاه‌های خودپرداز انعطاف‌پذیری بیشتری برای مشتریان بانک‌ها فراهم کرد و موجب تقویت و گسترش بیشتر بانکداری مجازی شد.
4- معرفی کارت‌های اعتباری و کارت‌های بدهی
معرفی کارت‌های اعتباری و کارت‌های بدهی به مصرف‌کنندگان و خرده‌فروشان کمک کرد تا از ضرورت استفاده و جابه‌جایی پول نقد رهایی یابند.
این سیستم‌های پرداخت موجب صرفه‌جویی در زمان شده‌اند و همراه با گسترش خود، امنیت را نیز فراهم کرده‌اند.
فناوری
بیومتریک یکی از روش‌های احراز هویت ادعاشده افراد است.
شناسایی افراد از طریق مشاهده ویژگی‌های فیزیکی خاص آن‌ها، بیومتریک یا زیست‌سنجی نامیده می‌شود.
احراز هویت بیومتریک یک فرایند دومرحله‌ای است.
در مرحله نخست، از نوعی دستگاه ثبت یا دریافت اطلاعات استفاده می‌شود تا ویژگی‌های فیزیولوژیکی یا رفتاری خاص فرد اندازه‌گیری شوند.
در مرحله دوم، اندازه‌گیری انجام‌شده با مقدار ذخیره‌شده قبلی مقایسه می‌شود.
بر اساس نتیجه این مقایسه، سیستم درباره تأیید یا رد هویت فرد تصمیم‌گیری می‌کند.
فناوری‌های بیومتریک در واقع ویژگی‌های فیزیکی را که برای استفاده به‌عنوان شناسه‌ای منحصربه‌فرد طراحی شده‌اند، مستقیماً مقایسه نمی‌کنند؛ بلکه الگوهایی برای انجام مقایسه ایجاد می‌کنند.
این فرایند ثبت‌نام اولیه ممکن است نیازمند آن باشد که فرد چندین نمونه از ویژگی بیومتریک خود ارائه دهد.
الگوهای اولیه مورد استفاده برای مقایسه در طول فرایند ثبت‌نام اولیه ایجاد می‌شوند.
احراز هویت چندعاملی
یکی از روش‌های افزایش قدرت یک سازوکار احراز هویت، استفاده از چندین عامل احراز هویت است.
در مورد سیستم‌های بیومتریک، این روش می‌تواند شامل الزام کاربر به واردکردن گذرواژه یا شماره شناسایی شخصی باشد.
همچنین ممکن است از کاربر خواسته شود نوعی ابزار یا نشانه احراز هویت، مانند کارت هوشمند، ارائه دهد که هم شامل شماره شناسایی شخصی و هم یکی از سیستم‌های بیومتریک با تطبیق یک‌به‌یک باشد.
مزیت چنین روشی این است که بسیاری از این ابزارها برای کار با سیستم‌های بیومتریک طراحی شده‌اند و فضای ذخیره‌سازی کافی برای نگهداری الگوهای بیومتریک را نیز در اختیار دارند.
بااین‌حال، لازم است میزان تأثیر افزودن یک عامل احراز هویت دیگر بر افزایش قدرت کلی خدمات احراز هویت ارزیابی شود.
هنگامی که از گذرواژه برای احراز هویت استفاده می‌شود، تصمیم‌گیری نسبتاً ساده است.
اگر گذرواژه صحیح ارائه شود، نتیجه احراز هویت مثبت خواهد بود؛ در غیر این صورت، درخواست فرد رد می‌شود.
اما احراز هویت بیومتریک از نظر مفهومی متفاوت است؛ زیرا تصمیم‌گیری در آن بر اساس احتمال صورت می‌گیرد.
هر سازمانی که قصد استفاده از فناوری‌های بیومتریک را دارد، باید تأثیر این موضوع را هنگام تصمیم‌گیری درباره قابل‌اعتماد بودن هویت یک فرد درک کند.
احراز هویت بیومتریک
بیومتریک عبارت است از یک ویژگی فیزیکی قابل‌اندازه‌گیری یا یک ویژگی رفتاری شخصی که برای شناسایی هویت یا تأیید هویت ادعاشده فرد ثبت‌نام‌شده مورد استفاده قرار می‌گیرد.
نمونه‌هایی از ویژگی‌های فیزیولوژیکی که در دستگاه‌های بیومتریک به کار می‌روند، عبارت‌اند از:
اثر انگشت، هندسه صورت یا دست، الگوهای موجود در عنبیه یا شبکیه چشم و آرایش رگ‌های خونی.
ویژگی‌های رفتاری شامل الگوهای صوتی، شیوه راه‌رفتن و ویژگی‌های پویای دست‌خط یا نحوه فشردن کلیدهای صفحه‌کلید هستند.
برای انجام فرایند احراز هویت، ویژگی انتخاب‌شده باید برای هر فرد منحصربه‌فرد باشد.
همچنین باید امکان اندازه‌گیری آن ویژگی با درجه قابل‌قبولی از دقت وجود داشته باشد.
پس از انجام اندازه‌گیری، داده‌های به‌دست‌آمده به یک الگوی بیومتریک تبدیل می‌شوند.
الگوی بیومتریک، بازنمایی اندازه‌گیری انجام‌شده است که تمامی اطلاعات مرتبط را حفظ می‌کند، اما نسبت به داده اصلی فضای بسیار کمتری اشغال می‌کند.
این الگو با الگویی که به همان روش در فرایند ثبت‌نام اولیه ایجاد شده است، مقایسه می‌شود.
بر اساس میزان شباهت میان این دو الگو، تصمیم گرفته می‌شود که آیا باید اجازه دسترسی به کاربر داده شود یا خیر.
عوامل تأثیرگذار
برای هر فرد مشخص، بسیار بعید است که دو اندازه‌گیری از یک ویژگی یکسان کاملاً مشابه باشند.
زیرا عوامل بسیار زیادی وجود دارند که می‌توانند بر نتیجه اندازه‌گیری تأثیر بگذارند.
اندازه‌گیری ممکن است تحت تأثیر تغییرات محیطی مانند نور، گرما، رطوبت و عوامل مشابه قرار گیرد.
شیوه تعامل کاربران با دستگاه ثبت اطلاعات نیز بر اندازه‌گیری تأثیر می‌گذارد.
در موقعیت‌های مختلف، احتمال دارد یک فرد رفتارهای اندکی متفاوت از خود نشان دهد.
بنابراین، ویژگی‌های فیزیولوژیکی و رفتاری در طول زمان تغییر می‌کنند.
تغییرات زیر ممکن است موجب ایجاد الگوهای بیومتریک متفاوت شوند.
اثر انگشت: ممکن است بر اثر کار فیزیکی سخت و افزایش سن فرسوده شود.
صدا: ممکن است تحت تأثیر بیماری قرار گیرد.
امضا: ممکن است بسته به وضعیت عاطفی و احساسی فرد تغییر کند.
چهره: ممکن است در طول زمان به دلیل استفاده از عینک یا بروز آسیب تغییر کند.
نرخ پذیرش اشتباه و نرخ رد اشتباه
نرخ پذیرش اشتباه معیاری برای اندازه‌گیری احتمال آن است که یک فرد به‌اشتباه از سوی سیستم پذیرفته شود؛ به این معنا که سیستم شناسایی نادرستی انجام دهد.
نرخ رد اشتباه معیاری برای اندازه‌گیری احتمال رد شدن یک کاربر قانونی و مجاز است.
تعادل میان نرخ پذیرش اشتباه و نرخ رد اشتباه تأثیر بسیار زیادی بر امنیت و قابلیت استفاده از سیستم دارد.
تنظیم سیستم به‌گونه‌ای که مقدار نرخ پذیرش اشتباه کاهش یابد، موجب بهبود امنیت آن می‌شود؛ اما در عین حال، باعث افزایش نرخ رد اشتباه خواهد شد و استفاده از سیستم را برای کاربران دشوارتر می‌کند.
اگرچه تعادل میان نرخ پذیرش اشتباه و نرخ رد اشتباه قابل تنظیم است، هیچ‌یک از این دو نرخ به‌تنهایی معیار مناسبی برای بیان دقت کلی یک سیستم بیومتریک محسوب نمی‌شوند.
برای مقایسه عملکرد سیستم‌های بیومتریک مختلف، می‌توان از نرخ خطای متقاطع استفاده کرد.
خطای متقاطع به‌عنوان نرخ خطای سیستم در شرایطی تعریف می‌شود که مقدار نرخ رد اشتباه و نرخ پذیرش اشتباه با یکدیگر برابر باشند.
تأیید هویت و شناسایی هویت
در نتیجه پیشرفت فناوری، کاهش هزینه‌ها، افزایش توان پردازشی قابل‌استفاده و توسعه فناوری‌های دقیق‌تر، سیستم‌های شناسایی بیومتریک پیشرفته‌تری طراحی شده‌اند.
برای تعیین هویت یک شخص، دو روش وجود دارد: تأیید هویت و شناسایی هویت.
تأیید هویت شامل تأیید یا رد هویتی است که یک شخص ادعا می‌کند.
شناسایی هویت به معنای مشخص‌کردن هویت یک شخص است؛ یعنی پاسخ‌دادن به این پرسش که من چه کسی هستم؟
هر یک از این رویکردها پیچیدگی‌های خاص خود را دارند و احتمالاً می‌توان مسائل مربوط به هرکدام را با استفاده از یک سیستم بیومتریک مشخص، به بهترین شکل حل کرد.
این سیستم‌ها شامل موارد زیر هستند.
بیومتریک فیزیکی
- اثر انگشت: تحلیل الگوهای موجود در نوک انگشتان.
- تشخیص چهره : اندازه‌گیری ویژگی‌های صورت.
- هندسه دست : اندازه‌گیری شکل و ساختار دست.
- اسکن عنبیه : تحلیل ویژگی‌های حلقه رنگی چشم.
- اسکن شبکیه : تحلیل رگ‌های خونی موجود در چشم.
- الگوهای عروقی : تحلیل الگوهای رگ‌های خونی.
- :DNA تحلیل ساختار ژنتیکی فرد.
- واترمارک‌گذاری داده‌های بیومتریک: از این روش برای ذخیره‌سازی یا پنهان‌سازی اطلاعات بیومتریک استفاده می‌شود.
بیومتریک رفتاری
- سیستم تشخیص گوینده یا صدا: تحلیل رفتار صوتی فرد.
- امضا یا دست‌خط: تحلیل ویژگی‌های پویای امضا.
- الگوی فشردن کلیدها: اندازه‌گیری فاصله‌های زمانی میان فشردن کلیدها هنگام تایپ کلمات.
محصولات بیومتریک متنوعی وجود دارند و می‌توان با تعداد فراوانی از اسکنرهای اثر انگشت، سیستم‌های تشخیص صدا و چهره، اسکنرهای شبکیه و عنبیه، دستگاه‌های اندازه‌گیری هندسه دست و سیستم‌های تأیید امضا روبه‌رو شد.
میزان پذیرش عمومی فناوری‌های بیومتریک از سوی کاربران
فهرست زیر، میزان پذیرش عمومی فناوری‌های بیومتریک توسط کاربران را به‌ترتیب نزولی نشان می‌دهد؛ به این معنا که از پذیرفته‌شده‌ترین فناوری به سمت فناوری دارای کمترین میزان پذیرش مرتب شده است.
- اسکن عنبیه چشم
- الگوی فشردن کلیدهای صفحه‌کلید
- امضا و دست‌خط
- تشخیص گوینده یا صدا
- تشخیص و شناسایی چهره
- اثر انگشت
- هندسه دست
- اسکن شبکیه چشم
نتیجه‌گیری
محبوبیتی که خدمات بانکداری مجازی در میان مشتریان به دست آورده‌اند، ناشی از سرعت، سهولت استفاده و دسترسی شبانه‌روزی به این خدمات است و انتظار می‌رود این محبوبیت در آینده افزایش یابد.
بااین‌حال، مسائل نگران‌کننده متعددی وجود دارند که لازم است به‌صورت پیشگیرانه به آن‌ها رسیدگی شود.
اگرچه بیشتر سیستم‌های بانکداری الکترونیک دارای ویژگی‌های امنیتی داخلی مانند رمزنگاری، تعیین سقف‌های حداکثری برای مبالغ مالی و سازوکارهای مجوزدهی هستند، اپراتورها و مسئولان اداره این سیستم‌ها باید نهایت هوشیاری و دقت را داشته باشند و دستورالعمل‌های روشن و مشخصی برای انجام عملیات ارائه دهند.
در موضوع گسترده‌تر انتقال وجوهی که از طریق ابزارهای الکترونیکی آغاز می‌شوند، لازم است به مسائلی مانند احراز اصالت دستورهای پرداخت و مسئولیت مشتری در محرمانه نگه‌داشتن روش‌ها و اطلاعات امنیتی نیز رسیدگی شود.
بنابراین، برای دستیابی به امنیت بهتر، احراز هویت چندعاملی بهترین گزینه است؛ به‌گونه‌ای که ترکیب گذرواژه با یکی از سیستم‌های بیومتریک بتواند در سال‌های آینده امنیت بیشتری را برای بانکداری مجازی فراهم کند.
بااین‌حال، باید توجه داشت که اجرای چنین ابتکارهای فناورانه پرهزینه‌ای تنها زمانی باید انجام شود که امکان‌پذیری و توجیه‌پذیری فناوری و کاربردهای مرتبط با آن به‌طور کامل بررسی شده باشد.