✶ این مقاله به زبان هم در دسترس است.
گواهی ریشه‌ی ایرانی برای بانک‌ها به جای اینکه راه حل فنی‌ای برای مشکل SSL باشد راه را برای نظارت حکومتی بر کاربران هموارتر می‌کند.
در دو سال گذشته، بانک‌های ایران بارها هدف حمله هکرها قرار گرفته‌اند، از دسترس خارج شده‌اند و دسترسی‌شان به فناوری‌هایی که برای ایمن‌سازی تراکنش‌های آنلاین به آنها وابسته‌اند، قطع شده است.
حالا مشتریان این بانک‌ها بر سر دوراهی قرار گرفته‌اند: برای استفاده‌ی امن از خدمات معمول بانکی، ممکن است مجبور باشند به گواهی امنیتی‌ای اعتماد کنند که تحت کنترل حکومت ایران است و نصب آن می‌تواند به مقامات جمهوری اسلامی دسترسیِ گسترده‌ای به ترافیک اینترنتی آنها بدهد.
تابستان امسال، کاربران هنگام ورود به سامانه‌های بانکداری اینترنتی و نسخه‌ی وب همراه‌بانک برخی بانک‌های کشور با خطاهای مرتبط با گواهی امنیتی مواجه شدند. بانک مرکزی با صدور اطلاعیه‌ای اعلام کرد که این موضوع ناشی از حمله‌ی سایبری به زیرساخت‌های این بانک نیست و به ابطال گواهی فنی ـ امنیتی از سوی تامین‌کننده‌ی خارجی مربوط می‌شود. در این اطلاعیه به کاربران گفته شد: «تا زمان رفع این مشکل، هموطنان می‌توانند با عبور از پیام خطای نمایش‌داده‌شده در مرورگر، به خدمات مورد نظر خود دسترسی پیدا کنند.» اقدامی که عملا رفتاری پرخطر را عادی‌سازی می‌کرد.
مشکل نه‌تنها حل نشد، بلکه ابعاد آن روزبه‌روز گسترده‌تر شد. بانک‌ها در ابتدا تلاش کردند با تغییر دامنه خود از .com به .net یا .ir مشکل را حل کنند. اما این راه‌حل موقت بود. اکنون از کاربران خواسته شده که به‌طور دستی گواهی امنیتی یا گواهی ریشه را روی دستگاه خود نصب کنند. گرچه این کار می‌تواند سطح حفاظت کاربران در برابر حملات اشخاص ثالث را افزایش دهد، نصب دستی گواهی ریشه، خطر امنیتی متفاوت و گسترده‌تری نیز به همراه دارد.
به گفته‌ی یک فعال استارتاپی و متخصص فناوری اطلاعات که با رسانه‌گر گفت‌وگو کرده است، این کار به مرجع صدور گواهی این امکان را می‌دهد که تقریبا برای هر وب‌سایتی گواهی‌ای که دستگاه آن را مورد اعتماد بداند صادر کند و در نتیجه، هر کسی که کنترل این مرجع را در اختیار داشته باشد، توانایی آن را پیدا خواهد کرد که هویت وب‌سایت‌ها را در سراسر اینترنت جعل کند.
برخلاف مراجع صدور گواهی (CA) مورد اعتماد عمومی، یک مرجع داخلی ممکن است بدون همان سطح از شفافیت و نظارت مستقل فعالیت کند. اگر این مرجع قابل اعتماد نباشد یا امنیت آن به خطر افتاده باشد، مهاجم می‌تواند از اعتمادی که دستگاه به این مرجع دارد برای انجام حمله‌ی «مرد میانی» (MITM) استفاده کند و ترافیک رمزگذاری‌شده‌ی کاربران را رهگیری کرده و به محتوای آن دسترسی پیدا کند.
این متخصص فناوری اطلاعات می‌گوید: «با نصب این root که اینها می‌دهند، به آن CA که می‌شود حکومت، قدرت جعل هویت کل اینترنت را برای آن دستگاه می‌دهی، بدون شفافیت و نظارت.»
با وجود کیفیت پایین خدمات اینترنتی در ایران، تمایل رو به رشدی برای استفاده از خدمات بانکداری آنلاین و نئوبانک‌ها در کشور وجود دارد. بخش قابل‌توجهی از این کیفیت پایین عامدانه و ناشی از تمایل حکومت به محدود کردن یا قطع دسترسی کاربران در هر زمانی که بخواهد است، و بخشی دیگر به زیرساخت‌های فرسوده و انزوای کشور از جامعه‌ی بین‌المللی مربوط می‌شود.
نئوبانک‌ها موسساتی هستند که از ابتدا با تمرکز بر خدمات دیجیتال شکل گرفته‌اند و معمولا در مقایسه با بانک‌های سنتی هزینه‌های سربار کمتری دارند. این موسسات به خاطر شرایط آسان‌تر برای جذب مشتری، می‌توانند افراد بیشتری را که واجد شرایط افتتاح حساب در بانک‌های سنتی نیستند، بپذیرند، کارمزد کمتری دریافت کنند و با خدمات‌رسانی سریع‌تر، تجربه بانکی راحت‌تری برای مشتریان فراهم کنند.
البته نئوبانک‌های ایرانی همان موسسات مستقل و دیجیتال‌محوری نیستند که در بازارهای دیگر شکل گرفته‌اند. بسیاری از آنها وابسته به بانک‌های سنتی مختلف هستند و به عنوان شعبه‌ی دیجیتال این بانک‌ها فعالیت می‌کنند.
در حال حاضر ۳۰ نئوبانک در ایران فعالیت می‌کند. برخی از آنها، مانند همراه شهر پلاس (بانک شهر)، در اصل اپلیکیشن‌های بانکداری آنلاین هستند، اما وب‌سایت‌های خبری حوزه‌ی فناوری اطلاعات ایران آنها را در دسته‌ی نئوبانک‌ها قرار می‌دهند. برخی دیگر نیز از ابتدا به عنوان نئوبانک راه‌اندازی شده‌اند. برای مثال فوربیکس (بانک اقتصاد نوین) به عنوان نخستین نئوبانک ایران برای کسب‌وکارها، و اینو بانک نخستین نئوبانک تخصصی حوزه‌ی فناوری و نوآوری در کشور معرفی می‌شوند و گفته می‌شود باما با هدف توانمندسازی ساکنان مناطق کم‌برخوردار راه‌اندازی شده است.
بخش بزرگی از اکوسیستمِ بانکداریِ دیجیتال ایران، به جای آنکه تحولی بنیادین در نظام بانکی ایجاد کند، بر روی زیرساخت‌های موجود این نظام بنا شده و همچنان به آنها وابسته است. این وابستگی باعث شده خدمات جدیدترِ بانکداری دیجیتال نیز همچنان در معرض آسیب‌پذیری‌های نظام بانکی سنتی باشند. نظامی که بارها هدف حملات سایبری قرار گرفته و برای حفظ و به‌روزرسانی فناوری‌های خود نیز با مشکل مواجه بوده است.
نظام بانکی زیر هجوم حملات سایبری
از تابستان ۱۴۰۳ تاکنون، بسیاری از بانک‌های ایران و شرکت‌های فناوری ارائه‌دهنده‌ی خدمات به آنها هدف حملات سایبری گسترده‌ای قرار گرفته‌اند که موجب اختلال در خدمات بانکی و در برخی موارد، درز اطلاعات یا از بین رفتن داده‌ها شده است.
عمق آسیب‌پذیری نظام بانکی جمهوری اسلامی زمانی آشکار شد که در شهریور ماه آن سال، گروه باج‌افزاری IRLeaks به توسن، یکی از شرکت‌های بزرگ ارائه‌دهنده‌ی نرم‌افزارهای بانکی در ایران، حمله کرد. نرم‌افزار بانکداری متمرکز شرکت توسن توسط دست‌کم هشت بانک، از جمله بانک‌های اقتصاد نوین، شهر و سامان استفاده می‌شد.
این حمله به‌خوبی نشان داد که آسیب‌پذیری در یک شرکت تامین‌کننده‌ی خدماتِ الکترونیکی بانکی می‌تواند چندین موسسه مالی را به طور همزمان درگیر کند. IRLeaks مدتی بعد مسئولیتِ حمله‌های سایبری به اسنپ‌فود و دست‌کم ۲۳ شرکت بیمه را نیز بر عهده گرفت.
در فروردین ۱۴۰۴، گروه هکری Codebreakers مدعی شد اطلاعات ۴۲ میلیون مشتری بانک سپه را به سرقت برده و در ازای آن خواستار ۴۲ میلیون دلار باج شد. هنگامی که مدیران بانک سپه ادعای هک این بانک را رد کردند، هکرها در پاسخ، اطلاعات حساب‌های شخصی مدیر روابط عمومی این بانک را منتشر کردند. در ۲۹ فروردین، محمدامین آقامیری، دبیر شورای عالی و رئیس مرکز ملی فضای مجازی، تلاش کرد تا با گفتن «اتفاق اخیر هک نبوده بلکه سرقت داده بوده است» این حادثه را کم‌اهمیت جلوه دهد.
این حملات به تدریج شدت بیشتری گرفتند تا اینکه در ۲۸ خرداد ۱۴۰۴، در جریان جنگ ۱۲ روزه، گروه هکری گنجشکِ درنده (Predatory Sparrow) اعلام کرد که بانک سپه را به دلیل تامین مالی نیروهای مسلح ایران هک کرده و مدعی شد که بخش قابل‌توجهی از داده‌های بانک را پاک کرده است. بانک پاسارگاد هم در جریان این حمله‌ی سایبری آسیب دید و تمامی فعالیت‌های بانکی آن متوقف شد.
بانک سپه برای از سرگیری خدمات خود به چهار ماه زمان نیاز داشت. بسیاری از مشتریان این بانک در دستیابی به سوابق مالی، دریافت رمز پویا برای تراکنش‌های آنلاین و پرداخت اقساط وام‌های خود با مشکلات متعددی مواجه بودند.
رسانه‌های دولتی گزارش دادند که بانک پاسارگاد توانسته است ظرف ۱۰ روز فعالیت عادی خود را از سر بگیرد. اما متخصص فناوری اطلاعاتی که به شرط ناشناس ماندن با رسانه‌گر گفت‌وگو کرد، می‌گوید این بانک هنوز درگیر پیامدهای حمله سایبری جنگ ۱۲ روزه است.
«بانک پاسارگاد هنوز از هک زمان جنگ‌اش سرپا نشده. سایت‌اش خیلی خوب بالا نمی‌آید. با کلی مشکل مواجه است. مثلا سیستم‌های داخلی‌اش کار نمی‌کند و خیلی هنوز پایدار نیست … موقع لاگین بلاک می کند. مثلا طرف سه بار تلاش می‌کند همه چیزش هم valid است، ولی بلاک می کند. بعد میایی توی پنل‌اش برای کارت به کارت، می گوید این سرویس برای شما فعال نیست. شِبا می‌خواهی بکنی، فعال نیست. یکهو ۲۴ ساعت بلاک‌اَت می‌کند، می‌گوید نمی‌توانی اصلا استفاده کنی. ته‌اش اوکِی می شود، ولی پایدار نیست، که تو خیالت راحت باشد این بانک به تو همیشه خدمات می دهد.»
در جریان جنگ اخیر با آمریکا و اسرائیل، بانک ملی، قدیمی‌ترین بانک دولتی ایران، و بانک سپه، هر دو هدف حمله قرار گرفتند. به گفته‌ی علی مدنی‌زاده، وزیر امور اقتصادی و دارایی، گاهی در روز ۱۰ هزار حمله سایبری به این دو بانک می‌شد.
اختلال‌های بانک ملی به نئوبانک آن، بام، و چند شعبه‌ی فیزیکیِ این بانک محدود بود، اما مشکلات بانک سپه از اینها بسیار فراتر می‌رفت. خدمات این بانک از ۱۹ اسفند ۱۴۰۴ تا ۱۱ فروردین ۱۴۰۵ به شدت مختل شد و مرکز داده‌ی آن هم در روز ۲۰ اسفند هدف حمله‌ی موشکی قرار گرفت.
در ۲۳ خرداد، حملات سایبری به بانک‌های ملی، تجارت، صادرات و توسعه صادرات، موجب اختلال در شعب، خدمات کارتی، اینترنت‌بانک، همراه‌بانک و خودپردازها شد. شرکت خدمات انفورماتیک، ارائه‌دهنده‌ی نرم‌افزار هر چهار بانک، گفت با اینکه به سرعت سامانه‌های آسیب‌دیده را ترمیم کرده اما تکرار حملات سایبری مانع از به پایداری رسیدن سامانه‌ها شده است.
این حملات نه تنها ضعف‌های موجود در سامانه‌های امنیتی بانک‌های مختلف، بلکه محدودیت‌های فنی کل نظام بانکی ایران را نیز آشکار کرده‌اند. شرکت خدمات انفورماتیک با اشاره به استفاده‌ی بسیاری از بانک‌های کشور از تجهیزات مِین‌فرِیم ساخت شرکت IBM گفته است به دلیل تحریم‌ها امکان دریافت پشتیبانی از این شرکت وجود ندارد و در نتیجه، بانک‌های ایران هنگامی که بیش از هر زمان دیگری به کمک نیاز داشتند، از پشتیبانی مستقیم سازنده‌ی این سامانه‌ها برخوردار نبودند.
پیامدهای انزوای تکنولوژیکی ایران به بانک‌های سنتی و سامانه‌های قدیمی آنها محدود نمی‌شود. شهریور امسال، این پیامدها به خدمات جدیدتر بانکداری دیجیتال کشور، از جمله نئوبانک‌ها، نیز رسید؛ زمانی که خطاهای مربوط به گواهی‌های امنیتی SSL روی صفحه‌های کاربران ظاهر شد.
شبکه بانکی روی بشکه‌ی باروت
موضوع گواهی‌های SSL/TLS نخستین بار در مرداد ماه مورد توجه کاربران ایرانی قرار گرفت، زمانی که بانک مرکزی به طور علنی درباره‌ی مشکلات دسترسی مشتریان به خدمات آنلاین و ابطال گواهی‌های فنی و امنیتی خود اطلاعیه داد. پس از آنکه مشخص شد ابطال گواهی‌های SSL تنها به وب‌سایت‌های مرتبط با بانک مرکزی محدود نمی‌شود، بانک‌های ایران ناچار شدند مرجع صدور گواهی‌های خود را تغییر دهند یا دامنه‌های خود را تعویض کنند.
به گفته‌ی مهرک محمودی، سردبیر پیوست، ماهنامه‌ی تخصصی مدیریت فناوری اطلاعات و ارتباطات، «در عرض شاید مثلا یک ماه [یا] دو سه هفته بانک‌ها خیلی هم هزینه‌ی زیادی کردند از جاهای مختلف این گواهی را تهیه کنند. ولی هر کدام‌شان هر دفعه مسدود می‌شد»، گاهی تنها ظرف چند ساعت.
این تغییرات مکرر، مشکل دیگری هم به همراه داشت: با تغییرات پی‌درپی دامنه برای کاربر تشخیص دامنه‌ی واقعی بانک دشوار می‌شود. در چنین شرایطی، نادیده گرفتن پیامک فیشینگی که به کاربر می‌گوید وب‌سایت بانک به آدرس جدیدی منتقل شده، دیگر به سادگی امکان‌پذیر نیست.
اتفاق مشابهی در روسیه هم افتاده است. این روند که از اسفند سال ۱۴۰۰ آغاز شده بود، در خرداد ۱۴۰۵ با ابطال گواهی‌های امنیتیِ وب‌سایت‌های روسی غیر بانکی وارد مرحله‌ی جدیدی شد. چندین مرجع صدور گواهی امنیتی در آمریکا و دیگر کشورهای غربی، گواهی‌های صادرشده برای بانک‌های روسیِ تحریم‌شده را باطل کردند و صدور یا تمدید گواهی برای برخی دامنه‌های روسی را نیز متوقف کردند. روسیه در واکنش، مرجع صدور گواهی ریشه‌ی داخلی خود را ایجاد کرد.
مانند روسیه، بانک‌های ایران نیز تصمیم گرفتند به جای استفاده از راهکارهای موقت، راه‌حلی دائمی پیدا کنند و با کنار گذاشتن گواهی‌های SSL بین‌المللی، از گواهی‌های صادر شده توسط مرکز ریشه‌ی ایران استفاده کنند.
در این روش، بانک درخواست امضای گواهی (CSR) را در زیرساخت امن خود ایجاد کرده و آن را به یک مرجع صدور گواهی میانی داخلی، که زیر نظر مرکز ریشه‌ی ایران فعالیت می‌کند، می‌فرستد تا گواهی مورد نیاز صادر شود.
از نظر فنی، گواهی داخلی همان کارکردهای اصلی گواهی SSL صادرشده توسط یک مرجع صدور گواهی خارجی را دارد: به سرویس بانکی امکان می‌دهد ارتباط رمزگذاری‌شده با کاربر برقرار کند و زنجیره‌ی گواهی نیز اصالت آن را تایید می‌کند.
مشکل اینجاست که گواهی‌های ریشه‌ی ایرانی در فهرست گواهی‌های مرورگرها و سیستم‌عامل‌های رایج قرار ندارند و به طور پیش‌فرض مورد اعتماد آنها نیستند. وضعیت مشابهی در روسیه وجود داشت. گواهی‌های داخلی تنها در مرورگرهای روسی مانند یاندکس و اتم مورد اعتماد بودند. به گفته‌ی متخصص حوزه‌ی فناوری اطلاعاتی که برای این مقاله با او گفت‌وگو کردیم:
«این قضیه برای روسیه هم توی ۲۰۲۲ اتفاق افتاد و CA ها گواهی همه‌ی بانک‌هایش را باطل کردند. خود روسیه هم آمد دقیقا همین کاری که اینها کردند را انجام داد. ولی کروم و فایرفاکس قبول‌اش نمی کردند. فقط مرورگرهای داخلی مثل یاندکس قبول‌اش می‌کرد.»
راه‌حل برای اپلیکیشن‌های بانکی ساده‌تر است، چون بانک می‌تواند زنجیره‌ی گواهی مورد نیاز برای اعتماد به یک گواهی داخلی را مستقیما در اپلیکیشن خود قرار دهد. در این صورت، اپلیکیشن گواهی‌های صادرشده در چارچوب این زنجیره‌ی داخلی را می‌شناسد و کاربران برای استفاده از اپلیکیشن نیازی ندارند خودشان گواهی ریشه را دریافت کرده یا روی گوشی خود نصب کنند.
متخصص فناوری اطلاعاتی که رسانه‌گر با او گفت‌وگو کرده است از های‌بانک، نئوبانک متعلق به بانک کارآفرین، استفاده می‌کند و می‌گوید تاکنون با هیچ مشکلی در استفاده از این اپلیکیشن مواجه نشده است. او احتمال می‌دهد بانک زنجیره‌ی گواهی را مستقیما در اپلیکیشن قرار داده باشد.
این فرایند برای کاربرانی که از طریق رایانه‌ی شخصی به خدمات بانکی خود دسترسی پیدا می‌کنند، پیچیده‌تر است. محمودی می‌گوید این کاربران باید گواهی SSL ایرانی را خودشان در مرورگرهایشان نصب کنند:
«این یک مقدار کار را سخت می کند. وقتی می‌خواهی SSL ایرانی را نصب کنی. یک سری پیام می‌آید که به فارسی است و طرف می‌خواند و بعد فکر می‌کند چه چیز عجیب و غریبی را دارد امضا می کند، و هیچ کس شاید حاضر به امضا کردن آن پیام‌ها نشود.»
متخصص حوزه‌ی فناوری اطلاعات می‌گوید ممکن است برخی کاربران ندانند چگونه این گواهی را نصب کنند یا شاید از عهده‌ی نصب آن برنیایند و در نهایت به جای طی کردن این فرایند، دست از استفاده از این خدمات بردارند.
«خیلی هم نمی‌توانی به آدم‌ها بگی حتما باید بیایی اینجا، این فایل را دانلود کنی، بیایی اینجا این فایل را باز کنی، مثلا نصب‌اش کنی بعد اوکی می‌شود. خیلی‌ها انجام‌اَش نمی‌دهند. یعنی مشکل سواد است که نمی داند این چیست و دانش‌اش را هم ندارد که نصب کند.»
خطرهای امنیتی گواهی ریشه‌ی داخلی
مساله فقط سواد دیجیتال کاربران نیست. کاربر باید بداند دقیقا چه چیزی را باید نصب کند، آن را از کجا باید دریافت کند و چگونه از اصالت آن مطمئن شود. این موضوع اهمیت اطلاع‌رسانی عمومی را برجسته می‌کند؛ اقدامی که به گفته‌ی محمودی، تاکنون به اندازه کافی انجام نشده است.
«اطلاع‌رسانیِ درست و کافی هم نشده. بانک مرکزی سکوت کرده، شبکه بانکی سکوت کرده، و همه‌شان سکوت کردند. منتظرند یک اتفاقی بیفتد که موضع‌گیری بکنند.»
نبود شفافیت می‌تواند خطر امنیتی دیگری هم به همراه داشته باشد، زیرا مهاجمان می‌توانند از سردرگمی کاربران درباره‌ی تغییر دامنه‌های بانکی و گواهی‌های امنیتی سوءاستفاده کنند. برای مثال، ممکن است فایل یا بسته‌ی نرم‌افزاری‌ای را با عنوان «گواهیِ جدید بانک» یا «گواهیِ امنیتی بانک مرکزی» برای کاربران ارسال کنند و آنها را به نصب نرم‌افزار مخرب یا ایجاد تغییرات ناامن در دستگاه خود ترغیب کنند.
سوءاستفاده از گواهی‌های ریشه‌ای که کاربران باید به صورت دستی نصب کنند، برای نظارت دولتی امری بی‌سابقه نیست. در سال ۱۳۹۸، دولت قزاقستان از شهروندان خواست گواهی امنیتی ریشه‌ای را روی دستگاه‌های خود نصب کنند که به مسئولان این کشور امکان می‌داد ترافیک HTTPS کاربران به وب‌سایت‌هایی مانند گوگل و فیسبوک را رهگیری کنند. گوگل، موزیلا و اپل این گواهی ریشه را در مرورگرهای خود به سرعت مسدود کردند.
متخصص حوزه‌ی فناوری اطلاعات طرف گفتگوی رسانه‌گر معتقد است گواهی ریشه‌ی داخلی به حکومت قدرت جعل هویت وب‌سایت‌ها یا دستکاری داده‌ها را می‌دهد؛ قابلیتی که به گفته‌ی او برای حکومت بسیار «جذاب» است.
«مخصوصا با این نمونه‌هایی که هست اگر طرف یک مقدار بخواند، تحقیق کند، نصب نمی‌کند. چون کاملا امنیت‌اَت را به فنا می‌دهد. چون آن وقت کسانی که ناشناس اکانت اکس و اینها داشته باشند عملا دیگر ناشناس نیستند. تو می توانی آی‌پی‌اش را هم بدانی کجاست. آی‌پی را هم بدانی کجاست در لحظه می‌توانی پیدایش کنی.»
او در پایان می‌گوید که به هیچ عنوان جزو افرادی نخواهد بود که گواهی ریشه‌ی جمهوری اسلامی را نصب می‌کنند.