بررسي بخشنامه ضوابط پرداخت های ديجيتال و همراه بانك مركزي
بخشنامه ديرهنگام فعال سازي پرداخت بدون كارت
ضرورت ايجاد زيرساخت هاي امنيتي در استفاده از تلفن همراه و ساير روش هاي بدون كارت هاي بانكي
اقتصادگردان - احسان شمشيري
به تازگي بخشنامه ضوابط پرداخت های ديجيتال و همراه توسط بانك مركزي ابلاغ شد كه به اذعان كارشناسان در مقايسه با ساير كشورها بسيار ديرهنگام ارائه شده است زيرا از بانك مركزي انتظار مي رود به عنوان نهاد ناظر و حاكميتي نظام بانكي خود را با تحولات بانكداري الكترونيك و صنعت پرداخت همراه و همگام سازد و به خصوص با توجه به وجود ميليون ها تلفن هوشمند در كشور و حساب هاي بانكي اينترنتي و همراه بانك ها، امكان پرداخت وجه از طريق تلفن هاي همراه و بدون استفاده از كارت هاي بانكي فراهم شود.
تاخير در تهيه و تدوين ضوابط و مقررات، مشتريان و ارايه دهندگان خدمات بانكي را با سردر گمي و بي اعتمادي مواجه خواهد كرد زيرا با گذشت نزديك به دو سال از ورود فناوري توکنیزاسیون در بانكها، بانك مركزي اقدام به تدوين و ابلاغ ضوابط و مقررات نموده است و با توجه به اين كه بسياري از فعالان اقتصادي با چند كارت در جيب خود با بانك ها كار مي كنند، لذا مجبور هستند كه براي هر حساب دستگاه توكن و يكبار رمز و امكانات ديگر جهت پرداخت اينترنتي داشته باشند. در حالي كه لازم است كه بسياري از حساب ها كه به خاطر قواعد سخت بانك ها و مبارزه با پولشويي ايجاد شده، به نوعي ساماندهي و متمركز شود تا از هزينه ها و حساب ها و انواع امكانات و رمز و... كاسته شود وكار با تمركز و سادگي همراه شود و به خصوص از امكانات تلفن همراه وامكانات بدون كارت بهره ببريم.
اين درحاليست كه امروزه موضوعات و فناوری های مرتبط با پرداخت موبایلی از مهمترین مباحثی است که در محافل بانكي، اقتصادي و حوزه پرداخت مورد بحث و بررسي است و ارايه تعریف درست از پرداخت موبایلی و شناسایی تمامی مزايا و معايب و نیز انتخاب راهکارهای لازم جهت حفظ امنیت تراکنش ها از جمله مهمترین موضوعاتی است که مورد توجه بانكها و مشتريان است
نقطه شروع و تحول پرداختهاي ديجيتيال، ورود شرکت اپل به دنیای پرداخت موبایلی و ارائه راهکار APple-Pay در سپتامبر سال ۲۰۱۴ بود چنانکه از آن بعنوان نقطه عطف در تاریخ این صنعت نام می برند.
دلیل اهمیت این راهکار این است که اولا امیدها را نسبت به کاربرد فناوری NFC در پرداخت زنده نمود چرا که تا قبل از آن NFC همانند یک جسد متحرک بود که در همه جا صحبت از آن می شد اما هیچ راهکار فراگیری برای استفاده از آن پیاده سازی نشده بود. دوم اینکه Apple-Pay بعنوان اولین راهکار پرداخت موبایلی است که از توکنهای پرداخت بعنوان یک روش امنیتی استفاده می کند. در واقع اپل - پی علاوه بر تمام مکانیزم های امنیتی رایج در آن زمان، از نهانش (توکنیزاسیون) نیز جهت امن سازی تراکنش ها بهره برد.
بر اساس اين گزارش، نهانش (توکنیزاسیون) به معنای جایگزین کردن اطلاعات حساس در تراکنش پرداخت با یک توکن است. اطلاعات حساس در تراکنش پرداخت، PAN میباشد که در ایران به آن شماره کارت اطلاق می شود همزمان با شرکت اپل و دقیقا در همان روز رونمایی از اپل پی، دو شرکت ویزا و مستر کارت نیز از ورود خود به عرصه فن آوری توکنهای پرداخت خبر داده و از سرویس های خود به نام VTS و MDES رونمایی کردند
ورود پرشتاب بانكهاي ايراني وبازیگران بزرگ صنعت پرداخت به این عرصه را میتوان شاهدی بر این مدعا دانست که زین پس فناوری نهانش نقش مهمی را در پرداختهای موبایلی ایفا خواهد کرد.
با توجه به اهمیت موضوع پرداختهای موبایلی در ایران و الزام های امنیتی آن، ضرورت دارد در مورد فناوری نهانش اطلاع رساني بيشتري صورت گيرد و مزايا و معايب آن مورد بررسی دقیق قرار گرفته و براساس آن پیشنهادات واقع بینانه و عملی مبنی بر ارائه این سرویس در ایران ارائه شود و به خصوص بانك مركزي و مخابرات و شركت هاي پرداخت مانند شاپرك و ساير شركت هاي صنعت پرداخت ايران كه جزو بزرگترين شركت ها با حجم بالاي تراكنش هستند، زمينه هاي رشد امنيت و زيرساخت ها را آماده كنند و به تدريج اقشار مختلف از جمله كسبه و فعالان بازارهاي مختلف از اين امكانات بهره ببرند.
به اذعان كارشناسان استفاده از نهانش عاملی کلیدی در موفقیت راهکارهای پرداخت موبایلی بحساب می آید چرا که این راهکارها با چالش های امنیتی جدی واجه می شوند و نهانش این دغدغه ها را مي تواند برطرف کند.
اما سوالی که در این رابطه مطرح مي شود اینست که چه ضرورتی برای ارائه ی سرویس نهانش در ایران وجود دارد؟ و اینکه در صورت وجود این ضرورت، چه رویکردهایی برای آن متصور است ؟
محمد شمس از كارشناسان صنعت پرداخت در مورد دلايل ارائه ی این سرویس در ایران به خبرنگار ما گفت : برخي در كشور ما معتقدند که با توجه به اینکه اکثریت مطلق کارتهایی که تا کنون صادر شده اند از نوع کارت نقدی می باشند و دارنده کارت در هنگام خرید ملزم به ارائه رمز اول کارت نی است بنابراین PAN به تنهایی در ایران به آن اندازه حساس نیست و در صورتی که فردی صرفا PAN یک فرد دیگر را در اختیار داشته باشد نمی تواند تراکنشی را ایجاد نماید مگر آنکه به داده های دیگری همچون رمز نیز دسترسی داشته باشد.
وي اضافه كرد: بايد توجه داشت که در ایران تراکنشهای پرداخت موبایلی همچون پرداخت های USSD وجود دارد که در آن نه تنها PAN بلکه تمام اطلاعات لازم دیگر همچون کد CVV2، تاریخ انقضا و رمز دوم نیز روی کانال ارسال مي شود و حساسیت PAN در تراکنشهای موبایلی ایران به اين دليل است که همراه آن اطلاعات دیگر صاحب کارت نیز ارسال میشود و فرصت استفاده غیر مجاز را فراهم می کند
شمس اضافه كرد: اخیرا شاهد رونمایی از چندین راهکار پرداخت موبایلی از طریق NFC در ایران بوديم و پیش بینی می شود و پس از ابلاغ آیین نامه پرداخت با NFC در شاپرک، موجی از تقاضاهاي شركتهاي ارايه دهنده خدمات مالي ديجيتال در كشور را شاهد باشيم زيرا روشهاي پرداخت یا باید PAN و اطلاعات دیگر کارت را ذخیره کنند که در اینصورت با چالش جدی امنیتی روبرو خواهند بود و یا اینکه از راهکارهای امنیتی استاندارد دنیا همچون نهانش بهره ببرند.
تهانش چيست؟
تهانش يا توکنیزاسیون بعنوان یک راهکار امنیتی در پرداختهای موبایلی به طور کامل مورد بررسی قرار گرفته و تمامی جوانب آن واکاوی شده اند.
نهانش یا تو کنیزاسیون به معنی جایگزین کردن اطلاعات حساس کارت (شماره PAN) با توکن در پیام تراکنش است بطوریکه شماره تو کن صرفا در یک دامنه محدود معتبر باشد (بعنوان مثال تنها در بستر یک راهکار پرداخت موبایلی مشخص). بنابراین در زمان ارسال پیام تراکنش اگر حتی نشت اطلاعاتی صورت بگیرد و یک هکر موفق به دسترسی به اطلاعات شود، نمیتواند از آن اطلاعات در کانال های دیگر پرداخت استفاده کند و بدین صورت دامنه ریسک محدود مي شود.
استفاده از این راهکار، تغییرات اندکی را به چرخه عمر تراکنش خرید کارتی تحمیل می کند اما نقش بسزایی در افزایشی امنیت آن در قبال Cross-Channel Frau d خواهد داشت. مفهوم نهانش در پرداختهای موبایلی برای اولین بار توسط انجمن TCH که متشکل از ۲۲ بانک تجاری بزرگ آمریکاست مطرح شد. این انجمن مستندی را در سال ۲۰۱۳ بعنوان مشخصات فنی توکن منتشر کرد و سپس در نیمه اول سال ۲۰۱۴ نیز یک نمونه از آن را پیاده سازی نمود
با توجه به محدود بودن این انجمن به بانک های عضو، این مشخصات بعنوان یک استاندارد جهان شمول در نیامد تا آنکه سال ۲۰۱۴ کنسرسیوم EMVCO استاندارد خود را در این زمینه منتشر نمود این کنسرسیوم با انتشار استاندارد فوق الذکر، تمام مشخصات و ملزومات فنی و همچنین نقش های جدیدی که باید برای ارائه سرویس نهانش فراهم شود را مشخص کرده است
موسسه تحقيقاتي گارتنر در گزارشی ادعا میکند تا سال ۲۰۲۰ بیش از ۲۰ درصد تمام کیف پول های موبایلی که در تمام جهان استفاده میشوند از فناوری نهانش (توکنیزاسیون) بهره خواهند برد همچنين بیان می شود که پس از نسل اول پرداختهای کارتی (پرداختهای CP) و نسل دوم آن (تراکنش های CNP)، با ورود موبایل به عرصه پرداخت نسل جدیدی تحت عنوان "پرداختهای غیر کارتی "NCP" بوجود آمده است.
به تازگي بخشنامه ضوابط پرداخت های ديجيتال و همراه توسط بانك مركزي ابلاغ شد كه به اذعان كارشناسان در مقايسه با ساير كشورها بسيار ديرهنگام ارائه شده است زيرا از بانك مركزي انتظار مي رود به عنوان نهاد ناظر و حاكميتي نظام بانكي خود را با تحولات بانكداري الكترونيك و صنعت پرداخت همراه و همگام سازد و به خصوص با توجه به وجود ميليون ها تلفن هوشمند در كشور و حساب هاي بانكي اينترنتي و همراه بانك ها، امكان پرداخت وجه از طريق تلفن هاي همراه و بدون استفاده از كارت هاي بانكي فراهم شود.
تاخير در تهيه و تدوين ضوابط و مقررات، مشتريان و ارايه دهندگان خدمات بانكي را با سردر گمي و بي اعتمادي مواجه خواهد كرد زيرا با گذشت نزديك به دو سال از ورود فناوري توکنیزاسیون در بانكها، بانك مركزي اقدام به تدوين و ابلاغ ضوابط و مقررات نموده است و با توجه به اين كه بسياري از فعالان اقتصادي با چند كارت در جيب خود با بانك ها كار مي كنند، لذا مجبور هستند كه براي هر حساب دستگاه توكن و يكبار رمز و امكانات ديگر جهت پرداخت اينترنتي داشته باشند. در حالي كه لازم است كه بسياري از حساب ها كه به خاطر قواعد سخت بانك ها و مبارزه با پولشويي ايجاد شده، به نوعي ساماندهي و متمركز شود تا از هزينه ها و حساب ها و انواع امكانات و رمز و... كاسته شود وكار با تمركز و سادگي همراه شود و به خصوص از امكانات تلفن همراه وامكانات بدون كارت بهره ببريم.
اين درحاليست كه امروزه موضوعات و فناوری های مرتبط با پرداخت موبایلی از مهمترین مباحثی است که در محافل بانكي، اقتصادي و حوزه پرداخت مورد بحث و بررسي است و ارايه تعریف درست از پرداخت موبایلی و شناسایی تمامی مزايا و معايب و نیز انتخاب راهکارهای لازم جهت حفظ امنیت تراکنش ها از جمله مهمترین موضوعاتی است که مورد توجه بانكها و مشتريان است
نقطه شروع و تحول پرداختهاي ديجيتيال، ورود شرکت اپل به دنیای پرداخت موبایلی و ارائه راهکار APple-Pay در سپتامبر سال ۲۰۱۴ بود چنانکه از آن بعنوان نقطه عطف در تاریخ این صنعت نام می برند.
دلیل اهمیت این راهکار این است که اولا امیدها را نسبت به کاربرد فناوری NFC در پرداخت زنده نمود چرا که تا قبل از آن NFC همانند یک جسد متحرک بود که در همه جا صحبت از آن می شد اما هیچ راهکار فراگیری برای استفاده از آن پیاده سازی نشده بود. دوم اینکه Apple-Pay بعنوان اولین راهکار پرداخت موبایلی است که از توکنهای پرداخت بعنوان یک روش امنیتی استفاده می کند. در واقع اپل - پی علاوه بر تمام مکانیزم های امنیتی رایج در آن زمان، از نهانش (توکنیزاسیون) نیز جهت امن سازی تراکنش ها بهره برد.
بر اساس اين گزارش، نهانش (توکنیزاسیون) به معنای جایگزین کردن اطلاعات حساس در تراکنش پرداخت با یک توکن است. اطلاعات حساس در تراکنش پرداخت، PAN میباشد که در ایران به آن شماره کارت اطلاق می شود همزمان با شرکت اپل و دقیقا در همان روز رونمایی از اپل پی، دو شرکت ویزا و مستر کارت نیز از ورود خود به عرصه فن آوری توکنهای پرداخت خبر داده و از سرویس های خود به نام VTS و MDES رونمایی کردند
ورود پرشتاب بانكهاي ايراني وبازیگران بزرگ صنعت پرداخت به این عرصه را میتوان شاهدی بر این مدعا دانست که زین پس فناوری نهانش نقش مهمی را در پرداختهای موبایلی ایفا خواهد کرد.
با توجه به اهمیت موضوع پرداختهای موبایلی در ایران و الزام های امنیتی آن، ضرورت دارد در مورد فناوری نهانش اطلاع رساني بيشتري صورت گيرد و مزايا و معايب آن مورد بررسی دقیق قرار گرفته و براساس آن پیشنهادات واقع بینانه و عملی مبنی بر ارائه این سرویس در ایران ارائه شود و به خصوص بانك مركزي و مخابرات و شركت هاي پرداخت مانند شاپرك و ساير شركت هاي صنعت پرداخت ايران كه جزو بزرگترين شركت ها با حجم بالاي تراكنش هستند، زمينه هاي رشد امنيت و زيرساخت ها را آماده كنند و به تدريج اقشار مختلف از جمله كسبه و فعالان بازارهاي مختلف از اين امكانات بهره ببرند.
به اذعان كارشناسان استفاده از نهانش عاملی کلیدی در موفقیت راهکارهای پرداخت موبایلی بحساب می آید چرا که این راهکارها با چالش های امنیتی جدی واجه می شوند و نهانش این دغدغه ها را مي تواند برطرف کند.
اما سوالی که در این رابطه مطرح مي شود اینست که چه ضرورتی برای ارائه ی سرویس نهانش در ایران وجود دارد؟ و اینکه در صورت وجود این ضرورت، چه رویکردهایی برای آن متصور است ؟
محمد شمس از كارشناسان صنعت پرداخت در مورد دلايل ارائه ی این سرویس در ایران به خبرنگار ما گفت : برخي در كشور ما معتقدند که با توجه به اینکه اکثریت مطلق کارتهایی که تا کنون صادر شده اند از نوع کارت نقدی می باشند و دارنده کارت در هنگام خرید ملزم به ارائه رمز اول کارت نی است بنابراین PAN به تنهایی در ایران به آن اندازه حساس نیست و در صورتی که فردی صرفا PAN یک فرد دیگر را در اختیار داشته باشد نمی تواند تراکنشی را ایجاد نماید مگر آنکه به داده های دیگری همچون رمز نیز دسترسی داشته باشد.
وي اضافه كرد: بايد توجه داشت که در ایران تراکنشهای پرداخت موبایلی همچون پرداخت های USSD وجود دارد که در آن نه تنها PAN بلکه تمام اطلاعات لازم دیگر همچون کد CVV2، تاریخ انقضا و رمز دوم نیز روی کانال ارسال مي شود و حساسیت PAN در تراکنشهای موبایلی ایران به اين دليل است که همراه آن اطلاعات دیگر صاحب کارت نیز ارسال میشود و فرصت استفاده غیر مجاز را فراهم می کند
شمس اضافه كرد: اخیرا شاهد رونمایی از چندین راهکار پرداخت موبایلی از طریق NFC در ایران بوديم و پیش بینی می شود و پس از ابلاغ آیین نامه پرداخت با NFC در شاپرک، موجی از تقاضاهاي شركتهاي ارايه دهنده خدمات مالي ديجيتال در كشور را شاهد باشيم زيرا روشهاي پرداخت یا باید PAN و اطلاعات دیگر کارت را ذخیره کنند که در اینصورت با چالش جدی امنیتی روبرو خواهند بود و یا اینکه از راهکارهای امنیتی استاندارد دنیا همچون نهانش بهره ببرند.
تهانش چيست؟
تهانش يا توکنیزاسیون بعنوان یک راهکار امنیتی در پرداختهای موبایلی به طور کامل مورد بررسی قرار گرفته و تمامی جوانب آن واکاوی شده اند.
نهانش یا تو کنیزاسیون به معنی جایگزین کردن اطلاعات حساس کارت (شماره PAN) با توکن در پیام تراکنش است بطوریکه شماره تو کن صرفا در یک دامنه محدود معتبر باشد (بعنوان مثال تنها در بستر یک راهکار پرداخت موبایلی مشخص). بنابراین در زمان ارسال پیام تراکنش اگر حتی نشت اطلاعاتی صورت بگیرد و یک هکر موفق به دسترسی به اطلاعات شود، نمیتواند از آن اطلاعات در کانال های دیگر پرداخت استفاده کند و بدین صورت دامنه ریسک محدود مي شود.
استفاده از این راهکار، تغییرات اندکی را به چرخه عمر تراکنش خرید کارتی تحمیل می کند اما نقش بسزایی در افزایشی امنیت آن در قبال Cross-Channel Frau d خواهد داشت. مفهوم نهانش در پرداختهای موبایلی برای اولین بار توسط انجمن TCH که متشکل از ۲۲ بانک تجاری بزرگ آمریکاست مطرح شد. این انجمن مستندی را در سال ۲۰۱۳ بعنوان مشخصات فنی توکن منتشر کرد و سپس در نیمه اول سال ۲۰۱۴ نیز یک نمونه از آن را پیاده سازی نمود
با توجه به محدود بودن این انجمن به بانک های عضو، این مشخصات بعنوان یک استاندارد جهان شمول در نیامد تا آنکه سال ۲۰۱۴ کنسرسیوم EMVCO استاندارد خود را در این زمینه منتشر نمود این کنسرسیوم با انتشار استاندارد فوق الذکر، تمام مشخصات و ملزومات فنی و همچنین نقش های جدیدی که باید برای ارائه سرویس نهانش فراهم شود را مشخص کرده است
موسسه تحقيقاتي گارتنر در گزارشی ادعا میکند تا سال ۲۰۲۰ بیش از ۲۰ درصد تمام کیف پول های موبایلی که در تمام جهان استفاده میشوند از فناوری نهانش (توکنیزاسیون) بهره خواهند برد همچنين بیان می شود که پس از نسل اول پرداختهای کارتی (پرداختهای CP) و نسل دوم آن (تراکنش های CNP)، با ورود موبایل به عرصه پرداخت نسل جدیدی تحت عنوان "پرداختهای غیر کارتی "NCP" بوجود آمده است.
