احراز هویت قوی مشتری بانکی (SCA) | راهنمای جامع پیاده‌سازی | neshane.co

احراز هویت قوی مشتری (SCA) و اهمیت آن در بانکداری

امنیت تراکنش‌های بانکی همواره یکی از دغدغه‌های اصلی صنعت مالی بوده است. با گسترش بانکداری دیجیتال و افزایش حملات سایبری، نیاز به روش‌های قوی‌تر احراز هویت بیش از پیش احساس می‌شود. SCA یا Strong Customer Authentication چارچوبی استاندارد برای تأیید هویت مشتریان در تراکنش‌های الکترونیکی تعریف می‌کند.

تعریف SCA و تفاوت با احراز هویت معمولی

احراز هویت قوی مشتری (SCA) فرآیندی است که در آن هویت کاربر با استفاده از حداقل دو عامل مستقل از سه دسته تأیید می‌شود. این تعریف SCA را از احراز هویت معمولی متمایز می‌سازد. در احراز هویت معمولی، یک عامل مانند رمز عبور کافی است. اما در SCA، ترکیب دو عامل مستقل الزامی بوده و این ترکیب باید به‌گونه‌ای باشد که نقض یک عامل، امنیت عامل دیگر را تهدید نکند.

تفاوت کلیدی دیگر در سطح اطمینان (Level of Assurance) است. احراز هویت معمولی سطح اطمینان پایین تا متوسط ارائه می‌دهد، در حالی که SCA سطح اطمینان بالا را تضمین می‌کند. این سطح اطمینان بالا برای تراکنش‌های مالی که ریسک بالایی دارند ضروری است.

همچنین SCA الزام می‌کند که عوامل احراز هویت به تراکنش خاص متصل باشند. این مفهوم که Dynamic Linking نام دارد، تضمین می‌کند که کد تأیید یک تراکنش نمی‌تواند برای تراکنش دیگری استفاده شود. احراز هویت معمولی چنین الزامی ندارد و همین امر آن را در برابر حملات Man-in-the-Middle آسیب‌پذیر می‌سازد.

سه عامل احراز هویت در SCA

SCA بر اساس سه دسته عامل احراز هویت تعریف شده که کاربر باید حداقل دو عامل از دو دسته مختلف ارائه دهد. دسته اول Knowledge یا دانش است که شامل چیزهایی می‌شود که فقط کاربر می‌داند. رمز عبور، PIN و پاسخ سؤالات امنیتی در این دسته قرار می‌گیرند. این عوامل آسیب‌پذیرترین نوع هستند زیرا می‌توانند فراموش، حدس زده یا سرقت شوند.

دسته دوم Possession یا مالکیت است که شامل چیزهایی می‌شود که فقط کاربر دارد. گوشی موبایل، کارت بانکی، کلید امنیتی USB و توکن سخت‌افزاری در این دسته قرار دارند. این عوامل امنیت بالاتری ارائه می‌دهند زیرا مهاجم باید دستگاه فیزیکی را در اختیار داشته باشد.

دسته سوم Inherence یا ذاتی است که شامل ویژگی‌های بیومتریک کاربر می‌شود. اثر انگشت، تشخیص چهره، اسکن عنبیه و تشخیص صدا در این دسته جای می‌گیرند. این عوامل بالاترین سطح امنیت را فراهم می‌کنند زیرا جعل آن‌ها بسیار دشوار است و کاربر همیشه آن‌ها را همراه دارد.

ترکیب مؤثر این عوامل، استحکام SCA را تضمین می‌کند. برای مثال، استفاده از اثر انگشت (Inherence) روی گوشی موبایل (Possession) یک ترکیب قوی از دو عامل مستقل است. این ترکیب نه‌تنها از الزامات SCA پیروی می‌کند بلکه تجربه کاربری روانی نیز ارائه می‌دهد.

الزامات فنی و نظارتی SCA در بانکداری

پیاده‌سازی SCA تنها یک توصیه امنیتی نیست بلکه در بسیاری از حوزه‌های قضایی یک الزام قانونی محسوب می‌شود. بانک‌ها باید هم الزامات بین‌المللی و هم مقررات محلی را رعایت کنند تا از جریمه‌ها و مسئولیت‌های قانونی در امان بمانند.

مقررات بین‌المللی PSD2 و تأثیر آن

دستورالعمل خدمات پرداخت دوم اتحادیه اروپا (PSD2) مهم‌ترین چارچوب نظارتی برای SCA در سطح جهان است. این دستورالعمل که از سال ۲۰۱۹ اجرایی شد، الزام می‌کند که تمام پرداخت‌های الکترونیکی در اتحادیه اروپا با SCA تأیید شوند. تأثیر PSD2 فراتر از اروپا رفته و به استانداردی جهانی برای امنیت پرداخت تبدیل شده است.

استانداردهای فنی نظارتی (RTS) که همراه PSD2 منتشر شد، جزئیات فنی پیاده‌سازی SCA را تعریف می‌کند. طبق این استانداردها، کدهای احراز هویت باید حداکثر ۵ دقیقه اعتبار داشته باشند. تعداد تلاش‌های ناموفق باید محدود باشد و پس از تعداد مشخصی، حساب قفل شود. همچنین عوامل احراز هویت باید از یکدیگر مستقل باشند.

Dynamic Linking یکی از مهم‌ترین الزامات PSD2 است. این الزام بیان می‌کند که کد تأیید باید به‌صورت رمزنگاری به مبلغ و ذینفع تراکنش متصل باشد. هرگونه تغییر در این پارامترها باید کد را نامعتبر سازد. این الزام روش‌های سنتی مانند SMS OTP را که Dynamic Linking واقعی ندارند، ناکافی می‌سازد.

الزامات بانک مرکزی ایران

بانک مرکزی جمهوری اسلامی ایران نیز مقرراتی برای احراز هویت در تراکنش‌های بانکی تعریف کرده است. بخشنامه‌های اخیر بر استفاده از احراز هویت دوعاملی در تراکنش‌های آنلاین تأکید دارند. هرچند این مقررات به‌صراحت از SCA یا FIDO نام نمی‌برند، اما الزامات کلی آن‌ها با اصول SCA همخوانی دارد.

طبق مقررات بانک مرکزی، تراکنش‌های بالای سقف مشخص باید با رمز دوم تأیید شوند. استفاده از رمز یکبار مصرف (OTP) برای تراکنش‌های اینترنتی الزامی است. همچنین بانک‌ها موظفند سیستم‌های تشخیص تقلب (Fraud Detection) پیاده‌سازی کنند.

روند مقررات بانک مرکزی نشان‌دهنده حرکت به سمت استانداردهای بین‌المللی است. پیش‌بینی می‌شود در سال‌های آینده الزاماتی مشابه PSD2 در ایران نیز اعمال شود. بانک‌هایی که از هم‌اکنون زیرساخت‌های SCA را پیاده‌سازی کنند، آماده انطباق با مقررات آینده خواهند بود.

استثنائات و معافیت‌های SCA

هر دو چارچوب نظارتی PSD2 و مقررات بانک مرکزی ایران استثنائاتی برای SCA تعریف کرده‌اند. این استثنائات برای حفظ تعادل بین امنیت و تجربه کاربری طراحی شده‌اند. تراکنش‌های کم‌مبلغ (زیر سقف مشخص) می‌توانند بدون SCA کامل انجام شوند، مشروط بر اینکه مجموع تراکنش‌های معاف از حد معینی تجاوز نکند.

پرداخت‌های مکرر به یک ذینفع ثابت نیز پس از تأیید اولیه می‌توانند معاف شوند. مثلاً پرداخت قبض ماهانه برق به همان شرکت توزیع می‌تواند پس از یک‌بار تأیید با SCA، در دفعات بعدی بدون SCA انجام شود.

تراکنش‌هایی که توسط سیستم‌های تحلیل ریسک (Transaction Risk Analysis) کم‌ریسک ارزیابی می‌شوند نیز می‌توانند معاف باشند. این معافیت به بانک‌ها امکان می‌دهد بر اساس الگوی رفتاری مشتری و سایر پارامترها، تصمیم بگیرند که آیا SCA لازم است یا خیر. البته این معافیت مشروط به داشتن نرخ تقلب پایین توسط بانک است.

روش‌های پیاده‌سازی احراز هویت قوی در بانک‌ها

بانک‌ها روش‌های مختلفی برای پیاده‌سازی SCA در اختیار دارند. هر روش مزایا و محدودیت‌های خاص خود را دارد و انتخاب روش مناسب به نیازهای بانک، زیرساخت‌های موجود و انتظارات مشتریان بستگی دارد.

SMS OTP و محدودیت‌های آن

SMS OTP رایج‌ترین روش احراز هویت دوعاملی در بانکداری ایران است. در این روش، یک کد یکبار مصرف از طریق پیامک به شماره موبایل ثبت‌شده مشتری ارسال می‌شود. مشتری این کد را در سیستم بانک وارد کرده و تراکنش تأیید می‌گردد. سادگی پیاده‌سازی و عدم نیاز به نصب اپلیکیشن، این روش را محبوب ساخته است.

با این حال، SMS OTP محدودیت‌های امنیتی جدی دارد. حملات SIM Swap که در آن مهاجم با فریب اپراتور، شماره قربانی را به سیم‌کارت خود منتقل می‌کند، یکی از تهدیدات اصلی است. حملات فیشینگ که در آن کاربر فریب می‌خورد و کد را در سایت جعلی وارد می‌کند نیز مشکل‌ساز هستند.

مشکل دیگر عدم پشتیبانی از Dynamic Linking است. در SMS OTP، کد ارسالی معمولاً به تراکنش خاصی متصل نیست. مهاجم می‌تواند این کد را در زمان واقعی (Real-time) برای تراکنش متفاوتی استفاده کند. همچنین وابستگی به شبکه موبایل، در شرایط آنتن‌دهی ضعیف یا ازدحام شبکه، تجربه کاربری را مختل می‌کند.

احراز هویت مبتنی بر بیومتریک

بیومتریک به‌عنوان عامل ذاتی (Inherence) در SCA نقش مهمی ایفا می‌کند. گوشی‌های هوشمند مدرن حسگرهای اثر انگشت و قابلیت تشخیص چهره دارند که می‌توانند برای احراز هویت استفاده شوند. این روش تجربه کاربری بسیار روانی ارائه می‌دهد زیرا کاربر فقط با لمس یا نگاه، هویت خود را تأیید می‌کند.

امنیت بیومتریک وابسته به نحوه پیاده‌سازی است. ذخیره داده‌های بیومتریک در سرور ریسک‌های حریم خصوصی و امنیتی ایجاد می‌کند. اگر پایگاه داده نقض شود، داده‌های بیومتریک که غیرقابل تغییر هستند، برای همیشه در خطر قرار می‌گیرند. به همین دلیل، رویکرد مدرن ذخیره بیومتریک در دستگاه کاربر (On-device) و استفاده از رمزنگاری کلید عمومی است.

ترکیب بیومتریک با عامل مالکیت (گوشی موبایل) یک پیاده‌سازی قوی از SCA ایجاد می‌کند. در این حالت، تأیید بیومتریک روی گوشی انجام شده و نتیجه آن با امضای دیجیتال به سرور ارسال می‌شود. این معماری که استاندارد FIDO بر آن استوار است، هم امنیت بالا و هم حفظ حریم خصوصی را تضمین می‌کند.

کلیدهای امنیتی و توکن‌های سخت‌افزاری

کلیدهای امنیتی سخت‌افزاری بالاترین سطح امنیت را در SCA ارائه می‌دهند. این دستگاه‌های کوچک که معمولاً با رابط USB یا NFC کار می‌کنند، کلید خصوصی را در یک تراشه امن ذخیره می‌نمایند. کلید خصوصی هرگز از دستگاه خارج نشده و حتی با دسترسی فیزیکی به دستگاه قابل استخراج نیست.

مزیت کلیدی توکن‌های سخت‌افزاری، مقاومت در برابر حملات نرم‌افزاری است. برخلاف گوشی موبایل که می‌تواند به بدافزار آلوده شود، کلیدهای امنیتی یک سطح حمله (Attack Surface) بسیار کوچک دارند. همچنین این دستگاه‌ها نیاز به باتری ندارند و سال‌ها بدون نگهداری کار می‌کنند.

در بانکداری، کلیدهای امنیتی برای مشتریان شرکتی و تراکنش‌های با ریسک بالا توصیه می‌شوند. مدیران مالی شرکت‌ها که تراکنش‌های میلیاردی انجام می‌دهند، از این امنیت اضافی بهره می‌برند. برخی بانک‌ها کلیدهای امنیتی را به‌عنوان خدمات Premium به مشتریان VIP ارائه می‌دهند.

استاندارد FIDO و نقش آن در SCA بانکی

استاندارد FIDO یک پروتکل باز و استاندارد برای احراز هویت قوی است که توسط اتحادیه FIDO توسعه یافته است. این استاندارد پاسخ صنعت فناوری به مشکلات امنیتی رمزهای عبور و روش‌های سنتی احراز هویت محسوب می‌شود. در بانکداری، FIDO به‌عنوان بهترین راهکار برای پیاده‌سازی SCA شناخته شده است.

معماری FIDO2 و WebAuthn

FIDO2 نسل جدید استاندارد FIDO است که از دو بخش تشکیل شده است. WebAuthn یک API استاندارد W3C برای مرورگرها و اپلیکیشن‌ها است که رابط برنامه‌نویسی احراز هویت را تعریف می‌کند. CTAP2 پروتکل ارتباط بین دستگاه کاربر و احرازکننده‌های خارجی مانند کلیدهای امنیتی یا گوشی موبایل است.

معماری FIDO بر اساس رمزنگاری نامتقارن (Public Key Cryptography) طراحی شده است. در زمان ثبت‌نام، یک جفت کلید عمومی و خصوصی تولید می‌شود. کلید خصوصی در دستگاه کاربر به‌صورت امن ذخیره شده و هرگز به سرور ارسال نمی‌شود. کلید عمومی به سرور فرستاده شده و برای تأیید امضاها استفاده می‌گردد.

در زمان احراز هویت، سرور یک چالش (Challenge) تصادفی ارسال می‌کند. دستگاه کاربر این چالش را با کلید خصوصی امضا کرده و امضا را به سرور برمی‌گرداند. سرور با استفاده از کلید عمومی، صحت امضا را تأیید می‌کند. این فرآیند تضمین می‌کند که تنها دارنده کلید خصوصی می‌تواند احراز هویت را کامل کند.

یکی از ویژگی‌های کلیدی FIDO، اتصال Credential به Origin (دامنه وب‌سایت) است. هر Credential فقط برای دامنه‌ای که در آن ثبت شده کار می‌کند. این ویژگی FIDO را در برابر فیشینگ مقاوم می‌سازد زیرا Credential یک بانک روی سایت جعلی کار نخواهد کرد.

Transaction Signing با FIDO

یکی از قابلیت‌های پیشرفته FIDO، امضای تراکنش (Transaction Signing) است که برای پیاده‌سازی Dynamic Linking در SCA استفاده می‌شود. در این قابلیت، علاوه بر چالش سرور، جزئیات تراکنش شامل مبلغ و ذینفع نیز در داده‌های امضاشده گنجانده می‌شود.

فرآیند Transaction Signing به این صورت عمل می‌کند. کاربر درخواست تراکنش را ارسال می‌کند. سرور جزئیات تراکنش را همراه با چالش به دستگاه کاربر می‌فرستد. اپلیکیشن این جزئیات را به کاربر نمایش داده و از او می‌خواهد تأیید کند. پس از تأیید بیومتریک، کلید خصوصی هم چالش و هم جزئیات تراکنش را امضا می‌کند.

سرور پس از دریافت امضا، ابتدا صحت رمزنگاری آن را تأیید می‌کند. سپس بررسی می‌نماید که جزئیات تراکنش در امضا با تراکنش درخواستی مطابقت دارد. اگر مهاجمی مبلغ یا ذینفع را تغییر داده باشد، امضا نامعتبر خواهد بود. این مکانیزم Dynamic Linking واقعی را پیاده‌سازی کرده و از حملات Man-in-the-Middle جلوگیری می‌کند.

معماری فنی پیاده‌سازی SCA در سیستم‌های بانکی

پیاده‌سازی SCA در یک بانک نیازمند معماری دقیق و یکپارچه‌سازی با سیستم‌های موجود است. این بخش جزئیات فنی لازم برای طراحی و پیاده‌سازی یک سیستم SCA کارآمد را شرح می‌دهد.

یکپارچه‌سازی با Core Banking

سیستم SCA باید با Core Banking بانک یکپارچه شود تا بتواند تراکنش‌ها را تأیید نماید. این یکپارچه‌سازی معمولاً از طریق APIهای REST یا پروتکل‌های پیام‌رسانی مانند Message Queue انجام می‌شود. یک لایه میانی (Integration Layer) مسئول ترجمه بین فرمت‌های داده سیستم SCA و Core Banking است.

جریان‌های اصلی یکپارچه‌سازی شامل موارد زیر است. جریان ثبت‌نام که در آن مشتری جدید پس از احراز هویت اولیه، Credential SCA خود را ثبت می‌کند. جریان تأیید تراکنش که در آن Core Banking برای هر تراکنش نیازمند تأیید، درخواست به سیستم SCA ارسال می‌کند. جریان مدیریت Credential که شامل افزودن، حذف یا غیرفعال کردن Credentialها است.

مدیریت حالت‌های خطا در یکپارچه‌سازی اهمیت بالایی دارد. اگر سیستم SCA در دسترس نباشد، باید مکانیزم Failover وجود داشته باشد. این Failover می‌تواند شامل استفاده از روش جایگزین یا صف کردن تراکنش‌ها برای تأیید بعدی باشد. البته هر Failover باید الزامات امنیتی SCA را نقض نکند.

طراحی جریان کاربری بهینه

تجربه کاربری در SCA تأثیر مستقیم بر نرخ تکمیل تراکنش و رضایت مشتری دارد. جریان کاربری باید ساده، سریع و قابل فهم باشد. مشتری باید بداند چه کاری انجام دهد و چرا این مرحله لازم است.

در طراحی جریان Onboarding (ثبت‌نام اولیه Credential)، باید مراحل به حداقل رسانده شود. کاربر پس از ورود به اپلیکیشن بانک، با چند مرحله ساده Credential FIDO خود را ثبت می‌کند. راهنمای تصویری و پیام‌های واضح به کاربر کمک می‌کند فرآیند را تکمیل نماید.

در جریان تأیید تراکنش، جزئیات تراکنش باید به‌وضوح نمایش داده شود. کاربر باید مبلغ، ذینفع و سایر جزئیات را قبل از تأیید ببیند. دکمه تأیید باید برجسته و دکمه لغو در دسترس باشد. زمان انقضای تراکنش نیز باید نمایش داده شود تا کاربر فوریت را درک کند.

مدیریت دستگاه‌ها و Credentialها

هر مشتری می‌تواند چندین Credential برای SCA داشته باشد. مثلاً گوشی شخصی، گوشی کاری و یک کلید امنیتی. سیستم SCA باید امکان مدیریت این Credentialها را فراهم کند. مشتری باید بتواند Credential جدید اضافه کند، Credential موجود را حذف یا غیرفعال نماید و نام هر Credential را برای شناسایی آسان تغییر دهد.

وقتی مشتری دستگاه خود را گم می‌کند یا تعویض می‌کند، باید فرآیند Recovery وجود داشته باشد. این فرآیند باید امن باشد تا مهاجم نتواند با جعل هویت، Credential جدید ثبت کند. احراز هویت چندمرحله‌ای شامل تأیید از طریق ایمیل، تماس تلفنی یا مراجعه حضوری به شعبه می‌تواند امنیت Recovery را تضمین کند.

چالش‌های عملیاتی و راهکارهای بومی برای بانک‌های ایرانی

پیاده‌سازی SCA در بانکداری ایران چالش‌های خاصی دارد که نیازمند راهکارهای بومی‌سازی شده است. درک این چالش‌ها و برنامه‌ریزی برای مقابله با آن‌ها، کلید موفقیت پروژه‌های SCA است.

سازگاری با زیرساخت‌های موجود

بسیاری از بانک‌های ایرانی از Core Bankingهای قدیمی استفاده می‌کنند که APIهای مدرن برای یکپارچه‌سازی ندارند. این چالش نیازمند توسعه لایه‌های میانی (Middleware) است که پل ارتباطی بین سیستم‌های قدیمی و جدید باشد. neshane.co راهکارهایی برای یکپارچه‌سازی با انواع Core Bankingها ارائه می‌دهد.

چالش دیگر، تنوع کانال‌های بانکی است. مشتریان از اپلیکیشن موبایل، اینترنت‌بانک، تلفن‌بانک و ATM استفاده می‌کنند. سیستم SCA باید در تمام این کانال‌ها یکپارچه عمل کند. Credential ثبت‌شده در اپلیکیشن موبایل باید برای اینترنت‌بانک نیز قابل استفاده باشد.

مهاجرت تدریجی از روش‌های قدیمی به SCA نیز یک چالش است. بانک نمی‌تواند یک‌شبه همه مشتریان را به روش جدید منتقل کند. یک دوره انتقال لازم است که در آن هر دو روش قدیمی و جدید پشتیبانی شوند. سیاست‌های تشویقی برای مهاجرت مشتریان می‌تواند این فرآیند را تسریع کند.

تنوع دستگاه‌های کاربران نیز باید مدنظر باشد. در حالی که گوشی‌های جدید از FIDO پشتیبانی می‌کنند، بخشی از مشتریان از گوشی‌های قدیمی استفاده می‌نمایند. ارائه کلیدهای امنیتی به‌عنوان جایگزین یا استفاده از روش‌های Fallback برای این گروه ضروری است.

مزایای SCA مبتنی بر FIDO برای بانک‌ها و مشتریان

پیاده‌سازی SCA مبتنی بر FIDO مزایای چشمگیری برای هر دو طرف بانک و مشتری به همراه دارد. این مزایا فراتر از انطباق با مقررات بوده و ارزش تجاری واقعی ایجاد می‌کنند.

کاهش نرخ تقلب و فیشینگ

FIDO به‌صورت ذاتی در برابر فیشینگ مقاوم است. Credential هر سایت به دامنه آن متصل بوده و روی سایت‌های جعلی کار نمی‌کند. بانک‌هایی که FIDO پیاده‌سازی کرده‌اند، کاهش ۹۹ درصدی در حملات فیشینگ موفق گزارش نموده‌اند. این کاهش تقلب مستقیماً به کاهش خسارات مالی و هزینه‌های رسیدگی به شکایات ترجمه می‌شود.

حملات SIM Swap که در SMS OTP یک تهدید جدی هستند، در FIDO بی‌اثر می‌شوند. کلید خصوصی در دستگاه کاربر ذخیره شده و انتقال شماره موبایل تأثیری بر آن ندارد. حملات Man-in-the-Middle نیز با Transaction Signing ناکارآمد می‌شوند زیرا امضای هر تراکنش به جزئیات آن وابسته است.

کاهش تقلب همچنین به کاهش هزینه‌های عملیاتی منجر می‌شود. تعداد تماس‌های پشتیبانی مربوط به تراکنش‌های مشکوک کاهش می‌یابد. تیم‌های Fraud Investigation کار کمتری خواهند داشت. ریسک جریمه‌های نظارتی نیز با انطباق کامل با الزامات SCA از بین می‌رود.

بهبود تجربه کاربری و نرخ تبدیل

این بهبود تجربه کاربری تأثیر مستقیم بر نرخ تبدیل (Conversion Rate) دارد. در پرداخت‌های آنلاین، هر مرحله اضافی درصدی از کاربران را از تکمیل خرید منصرف می‌کند. با ساده‌سازی فرآیند تأیید، نرخ ترک سبد خرید (Cart Abandonment) کاهش می‌یابد. بانک‌ها و فروشگاه‌های همکار از این بهبود نرخ تبدیل سود می‌برند.

راهکار نشانه برای احراز هویت قوی مشتری بانکی

نشانه با ارائه SSO، امکان استفاده از یک احراز هویت قوی (FIDO) برای دسترسی به اینترنت‌بانک، موبایل‌بانک و سایر سرویس‌های بانکی را فراهم می‌سازد. این یکپارچگی، تجربه کاربری منسجمی ایجاد کرده و مدیریت هویت را برای بانک ساده‌تر می‌نماید.

معماری یکپارچه‌سازی نشانه با سیستم‌های بانکی

نشانه از معماری مدرن مبتنی بر API استفاده می‌کند که یکپارچه‌سازی با سیستم‌های بانکی را تسهیل می‌نماید. این معماری شامل اجزای زیر است:

FIDO Server مرکزی: این سرور مسئول مدیریت کلیدهای عمومی، پردازش درخواست‌های ثبت‌نام و تأیید چالش‌های رمزنگاری است. تمام عملیات رمزنگاری با رعایت استانداردهای FIDO2 و WebAuthn انجام می‌شود.

لایه یکپارچه‌سازی (Integration Layer): این لایه ارتباط بین FIDO Server و Core Banking را برقرار می‌کند. پروتکل‌های REST API و پیام‌رسانی امن برای تبادل اطلاعات استفاده می‌شود. این لایه همچنین سیاست‌های کسب‌وکار مانند تعیین سقف تراکنش‌های نیازمند SCA را اعمال می‌نماید.

پنل مدیریت: مدیران بانک از طریق این پنل می‌توانند سیاست‌های احراز هویت را تنظیم کنند، گزارش‌های امنیتی را مشاهده نمایند و Credentialهای کاربران را مدیریت کنند.

SDK موبایل و وب: کیت‌های توسعه نرم‌افزار (SDK) برای پلتفرم‌های iOS، Android و مرورگرهای وب ارائه می‌شود که توسعه‌دهندگان بانک می‌توانند به‌سادگی در اپلیکیشن‌های خود استفاده کنند.

پیاده‌سازی Transaction Signing با نشانه

نشانه قابلیت کامل Transaction Signing را برای پیاده‌سازی Dynamic Linking مطابق با الزامات PSD2 فراهم می‌کند. در این فرآیند:

1. کاربر درخواست تراکنش را از طریق اینترنت‌بانک یا موبایل‌بانک ارسال می‌کند
2. سرور بانک جزئیات تراکنش شامل مبلغ، شماره حساب مقصد و نام ذینفع را به نشانه ارسال می‌نماید
3. نشانه یک چالش رمزنگاری تولید کرده و همراه با جزئیات تراکنش به دستگاه کاربر می‌فرستد
4. اپلیکیشن نشانه موبایل، جزئیات تراکنش را به‌وضوح به کاربر نمایش می‌دهد
5. کاربر پس از بررسی، با اثر انگشت یا تشخیص چهره تراکنش را تأیید می‌کند
6. کلید خصوصی ذخیره‌شده در دستگاه، چالش و جزئیات تراکنش را امضا می‌نماید
7. امضای دیجیتال به سرور نشانه ارسال شده و صحت آن تأیید می‌گردد
8. نتیجه تأیید به Core Banking ارسال شده و تراکنش اجرا می‌شود

این فرآیند تضمین می‌کند که هرگونه تغییر در مبلغ یا ذینفع توسط مهاجم، امضا را نامعتبر می‌سازد و تراکنش متوقف می‌شود.

نشانه توکن برای تراکنش‌های حساس

برای تراکنش‌های با ریسک بسیار بالا یا مشتریان سازمانی، نشانه توکن (کلید امنیتی سخت‌افزاری) امنیت افزوده‌ای فراهم می‌کند. این توکن‌ها:

• کلید خصوصی را در یک تراشه امن (Secure Element) ذخیره می‌کنند که حتی با دسترسی فیزیکی به دستگاه قابل استخراج نیست
• از طریق USB یا NFC به دستگاه کاربر متصل می‌شوند
• نیازمند لمس فیزیکی کاربر برای تأیید هستند که از حملات از راه دور جلوگیری می‌کند
• برای سناریوهایی مانند تأیید تراکنش‌های کلان، دسترسی مدیران سیستم یا عملیات حساس مالی ایده‌آل هستند

سناریوهای کاربردی SCA در بانکداری ایران

پیاده‌سازی احراز هویت قوی مشتری بانکی در سناریوهای مختلف بانکداری کاربرد دارد. در این بخش، مهم‌ترین موارد استفاده را بررسی می‌کنیم.

ورود به اینترنت‌بانک و موبایل‌بانک

اولین نقطه تماس مشتری با سرویس‌های دیجیتال بانک، ورود به سیستم است. با SCA مبتنی بر FIDO:

• مشتری نام کاربری را وارد می‌کند (یا از طریق کوکی شناسایی می‌شود)
• به‌جای وارد کردن رمز عبور، درخواست احراز هویت به دستگاه ثبت‌شده ارسال می‌شود
• مشتری با اثر انگشت یا تشخیص چهره هویت خود را تأیید می‌کند
• دسترسی به حساب در کمتر از ۳ ثانیه فراهم می‌شود

این روش علاوه بر امنیت بالاتر، تجربه کاربری بسیار بهتری نسبت به وارد کردن رمز عبور و انتظار برای SMS OTP ارائه می‌دهد.

تأیید تراکنش‌های مالی

برای انتقال وجه، پرداخت قبوض و سایر تراکنش‌های مالی، SCA با Dynamic Linking ضروری است:

• مشتری جزئیات تراکنش را در اینترنت‌بانک وارد می‌کند
• سیستم جزئیات تراکنش شامل مبلغ و ذینفع را به دستگاه مشتری ارسال می‌نماید
• مشتری این جزئیات را روی صفحه دستگاه خود می‌بیند و تأیید می‌کند
• امضای دیجیتال تراکنش تولید شده و به سرور ارسال می‌گردد

این فرآیند از حملات فیشینگ و Man-in-the-Middle محافظت می‌کند زیرا جزئیات تراکنش در امضا گنجانده شده و هرگونه تغییر آشکار می‌شود.

پرداخت‌های آنلاین (E-Commerce)

در خریدهای اینترنتی، SCA برای تأیید پرداخت‌های کارتی الزامی است. با پیاده‌سازی 3D Secure 2.0 مبتنی بر FIDO:

• مشتری در درگاه پرداخت فروشگاه، اطلاعات کارت را وارد می‌کند
• درگاه پرداخت درخواست تأیید SCA را به بانک صادرکننده ارسال می‌نماید
• بانک یک Push Notification به اپلیکیشن موبایل مشتری ارسال می‌کند
• مشتری جزئیات خرید شامل نام فروشگاه و مبلغ را می‌بیند و با بیومتریک تأیید می‌کند
• نتیجه تأیید به درگاه پرداخت بازگشته و تراکنش تکمیل می‌شود

این فرآیند نرخ تبدیل را بهبود می‌بخشد زیرا مشتری نیازی به وارد کردن رمز دوم یا انتظار برای SMS ندارد.

مدیریت حساب و تغییر تنظیمات

برخی عملیات مدیریتی مانند تغییر شماره موبایل، افزودن ذینفع جدید یا تغییر سقف تراکنش نیز نیازمند SCA هستند:

• این عملیات به‌عنوان عملیات حساس طبقه‌بندی می‌شوند
• قبل از اعمال تغییرات، تأیید قوی هویت مشتری الزامی است
• استفاده از FIDO در این سناریوها از تغییرات غیرمجاز توسط مهاجمان جلوگیری می‌کند

مقایسه جامع روش‌های SCA

برای انتخاب بهترین روش SCA، مقایسه جامع معیارهای مختلف ضروری است. جدول زیر این مقایسه را ارائه می‌دهد:

همان‌طور که جدول نشان می‌دهد، FIDO در تمام معیارها عملکرد برتر یا برابر با سایر روش‌ها دارد و به‌ویژه در امنیت و تجربه کاربری پیشتاز است.

آینده احراز هویت قوی در بانکداری

صنعت بانکداری به سمت احراز هویت هوشمندتر و یکپارچه‌تر حرکت می‌کند. روندهای آینده شامل موارد زیر است:

احراز هویت مستمر (Continuous Authentication)

به‌جای تأیید هویت در یک نقطه زمانی، سیستم‌های آینده به‌صورت مستمر رفتار کاربر را پایش می‌کنند. الگوهای تایپ، نحوه حرکت موس و حتی نحوه نگه‌داشتن گوشی می‌توانند برای تأیید مداوم هویت استفاده شوند. اگر رفتار غیرعادی تشخیص داده شود، سیستم درخواست تأیید مجدد می‌کند.

هوش مصنوعی در تشخیص تقلب

الگوریتم‌های یادگیری ماشین می‌توانند الگوهای تراکنش‌های عادی هر مشتری را یاد بگیرند و تراکنش‌های مشکوک را شناسایی کنند. این تشخیص می‌تواند سطح SCA مورد نیاز را به‌صورت پویا تنظیم نماید؛ تراکنش‌های عادی با SCA ساده‌تر و تراکنش‌های مشکوک با SCA سخت‌گیرانه‌تر تأیید شوند.

Passkeys و آینده بدون رمز عبور

استاندارد جدید Passkeys که توسط اتحادیه FIDO و شرکت‌های بزرگ فناوری توسعه یافته، قابلیت همگام‌سازی Credentialها بین دستگاه‌ها را فراهم می‌کند. این قابلیت مشکل Recovery و تعویض دستگاه را حل کرده و پذیرش احراز هویت بدون رمز عبور را تسریع می‌نماید.

هویت غیرمتمرکز (Decentralized Identity)

فناوری‌های بلاکچین امکان ایجاد هویت دیجیتال خودمختار (Self-Sovereign Identity) را فراهم می‌کنند. در این مدل، کاربر کنترل کامل بر داده‌های هویتی خود دارد و می‌تواند بدون واسطه، هویت خود را به بانک اثبات کند.

جمع‌بندی

احراز هویت قوی مشتری بانکی (SCA) یک الزام امنیتی حیاتی برای بانکداری دیجیتال مدرن است. مقررات PSD2 اتحادیه اروپا چارچوب مشخصی برای پیاده‌سازی SCA تعریف کرده که شامل استفاده از حداقل دو عامل مستقل از سه دسته دانش، مالکیت و ذاتی می‌شود. الزام Dynamic Linking نیز تضمین می‌کند که کد تأیید به جزئیات تراکنش متصل بوده و قابل سوءاستفاده نیست.

روش‌های سنتی مانند SMS OTP دیگر پاسخگوی تهدیدات پیشرفته نیستند. حملات فیشینگ، SIM Swap و Man-in-the-Middle این روش‌ها را آسیب‌پذیر ساخته‌اند. استاندارد FIDO با استفاده از رمزنگاری نامتقارن و احراز هویت بیومتریک، امنیت ذاتی در برابر این حملات فراهم می‌کند.

برای بانک‌های ایرانی، پیاده‌سازی SCA مبتنی بر FIDO نه‌تنها امنیت را افزایش می‌دهد، بلکه تجربه کاربری را بهبود بخشیده و هزینه‌های عملیاتی را کاهش می‌دهد. راهکار نشانه با ارائه یک پلتفرم کامل شامل FIDO Server، SDK موبایل و وب، و کلیدهای امنیتی سخت‌افزاری، امکان پیاده‌سازی سریع و مطمئن SCA را برای بانک‌ها فراهم می‌سازد.

برای کسب اطلاعات بیشتر درباره مفاهیم پایه احراز هویت، مقاله جامع راهنمای احراز هویت: تعاریف و مفاهیم را مطالعه کنید.

🟦 مشاوره امنیتی رایگان