تامين امنيت در سيستمهاي بانکداري الکترونيک (2)
در قسمت اول اين مطلب سيستمهاي امنيتي بانکداري الکترونيک روي رايانههاي شخصي و تلفنهاي همراه را معرفي کرديم و در قسمت دوم ادامه مباحث هفته گذشته را پي ميگيريم.
اختلاف عمده در سيستم بانكداري بر مبناي WAP، اين است كه ارتباط نقطهبهنقطه ميان كامپيوتر مشتري و وبسرور بانك وجود ندارد. بانك نبايد و نميتواند متكي بر يک نرمافزار پيشفرض و غيرقابل اعتماد باشد و بايد در يك محيط با سرور ايمن و قابل اعتماد، كار كند.
بر همين اساس تامين نيازمنديهاي امنيتي عمومي زير در سيستمهاي بانكداري الكترونيكي ضروري است.
• تاکيد بر رازداري: به اين دليل كه فقط افراد صلاحيتدار به محتواي اطلاعات مبادله شده دست يابند.
• تاييد دادهها: منظور تاييد دادههاي اصلي و حفظ يكپارچگي آنها و جلوگيري از دستكاري و تغيير توسط افراد غيرمجاز است.
• تاييد موجوديت: كاربر بايد - پيش از آنكه اطلاعات حساسي را بفرستد - اطمينان پيدا كند كه با بانكي حقيقي كار ميكند. بانك نيز بايد پيش از اجراي تراكنشها، كاربر را شناسايي كند.
• انكارناپذيري: اين امر از تكذيب عمليات انجام شده پيشين جلوگيري ميكند. براي نمونه، بانك بايد بتواند ثابت كند كه يك كاربر خاص، كاري ويژهاي را انجام داده است.
در سيستمهاي بانكداري الكترونيكي، بايد تا جاي ممكن، هزينههاي اضافي مربوط به مشتري كاهش يابد و كاربر بتواند از سيستم بانكداري الكترونيكي و نرمافزارهاي استاندارد موجود بهرهمند شود. اين اقدام سيستم بانكداري الكترونيكي را جذابتر خواهد كرد، اما ممكن است امنيت سيستم را به مخاطره اندازد. در عمل بانكها تلاش ميكنند با امكانات بيشتر براي كاربران، درجه ريسك سيستم را نيز به كمترين اندازه برسانند.
اگرچه اين مقاله بر كاربر و تبادل اطلاعات ميان كاربر و بانك متمرکز است، اما براي درک مباحث بايد ساختارهاي دروني بانکي نيز معرفي شوند. در يک سيستم بانكداري الكترونيكي مطلوب، چهار وظيفه عمده پيش بيني شده است. بانك براي مبادله اطلاعات با مشتريان نياز به يك رابط سرور دارد. به اين رابط در همه محيطها اعم از WWW، ATMو WAP نياز است.
بانك بايد هويت و اطلاعات مشتري و درستي پاسخهاي او را بررسي كند. اين كار توسط سرور تاييدکننده انجام ميپذيرد.
3) عمليات مالي توسط سرور تراكنش ارزيابي ميشود. اين سرور يك رابط ساده ميان كاربر و بانك را نيز فراهم ميآورد.
4) سرانجام كامپيوتر بزرگ و اصلي هر بانک تراكنش را انجام ميدهد و پيشينه مالي مورد نياز را نگهداري ميكند.
اين ساختار به خدمات گوناگوني كه در هر سيستم بانكداري الكترونيكي وجود دارد، بازميگردد. امنيت مخابراتي ميان كاربر و بانك به كمك بخش سرور رابط و احراز هويت وي نيز توسط سرور تاييد انجام ميپذيرد.
بايد توجه داشت كه ممكن است اين كار به امکانات ديگري مانند سرويس مايكروسافت پاسپورت، متكي باشد. اين سرويس يك كد شناسايي به كاربر اختصاص ميدهد تا وي بتواند همه كارهاي آنلاين خود را انجام دهد. گرچه اين اعتبارسنجي ممكن است براي برخي از فعاليتها مانند دادوستدهاي الكترونيكي كارساز باشد، اما احراز هويت در سيستمهاي بانكداري الكترونيكي بسيار مهمتر و فراتر از آن است كه به اين سيستمها اعتماد شود.
امنيت مخابراتي ميان كاربر و بانك از طريق استانداردها و پروتکلهاي مختلفي تامين ميشود که از جمله آنها ميتوان به SSL/TLS براي اينترنت و WTLS براي تلفن همراه اشاره کرد.
ورود به جزييات فني اين پروتکلها از حوصله اين مقاله خارج است، اما دستاورد آنها اين است كه به سادگي پروتكلهاي ارتباطي ديگر - مانند http - را نيز به كار ميگيرند.
ارتباط ميان كاربر و بانك به دو بخش توافق و انتقال داده تقسيم ميشود. منظور از "توافق" سه چيز است: نخست كاربر و بانك ميپذيرند كه يك سري الگوريتم رمزنگاري را براي انتقال داده و شناسايي دو طرف به كار گيرند و كليدهاي رمزنگاري را نيز ميپذيرند. دوم، آنها نياز دارند كه يك سري كليدهاي رمزنگاري براي حفاظت از دادهها به وجود آورند و سوم، بانك كاربر را تاييد و تصديق ميكند و ممكن است كه كاربر نيز بانك را تاييد كند. وقتي كار توافق پايان يابد، داده ميتواند جابهجا شود.
منبع: http://itnewsway.ir
/س
اختلاف عمده در سيستم بانكداري بر مبناي WAP، اين است كه ارتباط نقطهبهنقطه ميان كامپيوتر مشتري و وبسرور بانك وجود ندارد. بانك نبايد و نميتواند متكي بر يک نرمافزار پيشفرض و غيرقابل اعتماد باشد و بايد در يك محيط با سرور ايمن و قابل اعتماد، كار كند.
بر همين اساس تامين نيازمنديهاي امنيتي عمومي زير در سيستمهاي بانكداري الكترونيكي ضروري است.
• تاکيد بر رازداري: به اين دليل كه فقط افراد صلاحيتدار به محتواي اطلاعات مبادله شده دست يابند.
• تاييد دادهها: منظور تاييد دادههاي اصلي و حفظ يكپارچگي آنها و جلوگيري از دستكاري و تغيير توسط افراد غيرمجاز است.
• تاييد موجوديت: كاربر بايد - پيش از آنكه اطلاعات حساسي را بفرستد - اطمينان پيدا كند كه با بانكي حقيقي كار ميكند. بانك نيز بايد پيش از اجراي تراكنشها، كاربر را شناسايي كند.
• انكارناپذيري: اين امر از تكذيب عمليات انجام شده پيشين جلوگيري ميكند. براي نمونه، بانك بايد بتواند ثابت كند كه يك كاربر خاص، كاري ويژهاي را انجام داده است.
در سيستمهاي بانكداري الكترونيكي، بايد تا جاي ممكن، هزينههاي اضافي مربوط به مشتري كاهش يابد و كاربر بتواند از سيستم بانكداري الكترونيكي و نرمافزارهاي استاندارد موجود بهرهمند شود. اين اقدام سيستم بانكداري الكترونيكي را جذابتر خواهد كرد، اما ممكن است امنيت سيستم را به مخاطره اندازد. در عمل بانكها تلاش ميكنند با امكانات بيشتر براي كاربران، درجه ريسك سيستم را نيز به كمترين اندازه برسانند.
اگرچه اين مقاله بر كاربر و تبادل اطلاعات ميان كاربر و بانك متمرکز است، اما براي درک مباحث بايد ساختارهاي دروني بانکي نيز معرفي شوند. در يک سيستم بانكداري الكترونيكي مطلوب، چهار وظيفه عمده پيش بيني شده است. بانك براي مبادله اطلاعات با مشتريان نياز به يك رابط سرور دارد. به اين رابط در همه محيطها اعم از WWW، ATMو WAP نياز است.
بانك بايد هويت و اطلاعات مشتري و درستي پاسخهاي او را بررسي كند. اين كار توسط سرور تاييدکننده انجام ميپذيرد.
3) عمليات مالي توسط سرور تراكنش ارزيابي ميشود. اين سرور يك رابط ساده ميان كاربر و بانك را نيز فراهم ميآورد.
4) سرانجام كامپيوتر بزرگ و اصلي هر بانک تراكنش را انجام ميدهد و پيشينه مالي مورد نياز را نگهداري ميكند.
اين ساختار به خدمات گوناگوني كه در هر سيستم بانكداري الكترونيكي وجود دارد، بازميگردد. امنيت مخابراتي ميان كاربر و بانك به كمك بخش سرور رابط و احراز هويت وي نيز توسط سرور تاييد انجام ميپذيرد.
بايد توجه داشت كه ممكن است اين كار به امکانات ديگري مانند سرويس مايكروسافت پاسپورت، متكي باشد. اين سرويس يك كد شناسايي به كاربر اختصاص ميدهد تا وي بتواند همه كارهاي آنلاين خود را انجام دهد. گرچه اين اعتبارسنجي ممكن است براي برخي از فعاليتها مانند دادوستدهاي الكترونيكي كارساز باشد، اما احراز هويت در سيستمهاي بانكداري الكترونيكي بسيار مهمتر و فراتر از آن است كه به اين سيستمها اعتماد شود.
امنيت مخابراتي ميان كاربر و بانك از طريق استانداردها و پروتکلهاي مختلفي تامين ميشود که از جمله آنها ميتوان به SSL/TLS براي اينترنت و WTLS براي تلفن همراه اشاره کرد.
ورود به جزييات فني اين پروتکلها از حوصله اين مقاله خارج است، اما دستاورد آنها اين است كه به سادگي پروتكلهاي ارتباطي ديگر - مانند http - را نيز به كار ميگيرند.
ارتباط ميان كاربر و بانك به دو بخش توافق و انتقال داده تقسيم ميشود. منظور از "توافق" سه چيز است: نخست كاربر و بانك ميپذيرند كه يك سري الگوريتم رمزنگاري را براي انتقال داده و شناسايي دو طرف به كار گيرند و كليدهاي رمزنگاري را نيز ميپذيرند. دوم، آنها نياز دارند كه يك سري كليدهاي رمزنگاري براي حفاظت از دادهها به وجود آورند و سوم، بانك كاربر را تاييد و تصديق ميكند و ممكن است كه كاربر نيز بانك را تاييد كند. وقتي كار توافق پايان يابد، داده ميتواند جابهجا شود.
منبع: http://itnewsway.ir
/س
