ITanalyze

اسماعیل ذبیحی - بمباران اخبار،‌ اطلاعیه ها و هشدارهای پی در پی در خصوص مشکلات امنیتی موجود در بانکداری و تجارت آنلاین، رسانه های گروهی جهان و مخاطبان آن ها را بیش از خود تهدیدهای امنیتی با سردرگمی مواجه کرده است! به نظر می رسد جنگ بین امنیت و ضد امنیت پایانی نخواهد داشت و کاربران نگون بخت خدمات اینترنتی، تنها قربانیان این نبرد محسوب می شوند؛ درست به این دلیل که هم مجرمان اینترنتی تا حد زیادی به اهداف خود می رسند و هم شرکت های امنیتی، روز به روز بر تجارت و فروش نرم افزارهای امنیتی خود می افزایند. شرکت های ارائه دهنده خدمات آنلاین نیز آنقدر نقدینگی دارند که حتی ضررهای هنگفت در نظر ما، برای آن ها کاملاً قابل اغماض باشد.

البته برخلاف بزرگنمایی های رسانه ای و تحلیل های غیرواقعی بسیاری از کارشناسان، تهدیدهای امنیتی معاملات الکترونیک به هیچ وجه فلج کننده و غیرقابل کنترل نیستند؛ چرا که حتی در بدبینانه ترین بررسی ها، ‌از ابتدای تولد جرایم سایبر، مجموع درآمد سالانه مجرمان اینترنتی از چندین میلیون دلار فراتر نرفته است، که این مبلغ و حتی چند برابر آن نیز،‌ در مقایسه با گردش جهانی پول کاملاً ناچیز است. به هر ترتیب اغراق و بزرگنمایی مشکلات امنیتی موجود، بی انصافی ست. نباید این گونه فکر کرد که تک تک اعمال، ‌رفتار و فعالیت های ما در اینترنت تحت کنترل تبه کاران و ابزار مخرب آن ها قرار دارد. علاوه بر این، ابزار و نرم افزارهای امنیتی هم چندان بی کفایت نیستند و قادر به کنترل و انسداد درصد بسیار بالایی از کدهای مخرب و نفوذهای غیرقانونی می باشند و درست به همین دلیل تنها درصد محدودی از اقدامات خرابکارانه با هدف سرقت مستقیم یا غیرمستقیم پول به ثمر می نشینند و اغلب آنها به نحوی خنثی شده و ماهیت مجرمانه خود را از دست می دهند.
آخرین حلقه زنجیر

هیچ دلیلی وجود ندارد که ریسک امنیتی خرید آنلاین از یک فروشگاه معتبر،‌ کمتر از استفاده حضوری از کارت اعتباری و یا وجه نقد در محوطه فیزیکی آن فروشگاه باشد. احتمال اجرای تهدیدهای اینترنتی آنلاین، درست به اندازه این احتمال است که شخصی در محل خرید حضوری شما و بدون این که متوجه شوید، ‌رمز و شماره کارت اعتباری تان را یادداشت کند و یا حتی خود آن را برداشته و پا به فرار بگذارد...؛ نه بیشتر. تنها تفاوت موجود، محیط انجام معامله است و عدم حضور تهدیدهای فیزیکی و قابل مشاهده .

در مبادلات و معاملات آنلاین احتمال نادیده انگاشتن جوانب امنیتی و عدم رعایت آن، فقط کمی بیشتر از داد و ستدهای حضوری ست.

در حقیقت مجرمان اینترنتی معمولاً به صورت مستقیم به شبکه های سازمانی و سرورهای اطلاعاتی حمله نمیکنند؛‌ بلکه تمام تمام تلاش خود را بر روی آسیب پذیرترین حلقه زنجیر متمرکز می کنند... و این حلقه شکنده چیزی و یا بهتر بنویسم کسی نیست به جز کاربر نهایی. شما هم حتماً تأیید می کنید که دسترسی به اطلاعات حساس و با ارزش سازمانی از طریق کاربران خانگی بسیار آسان تر از شکستن لایه های مختلف امنیتی، نفوذ به یک پایگاه اطلاعاتی و دسترسی به اطلاعات رمزگذاری شده است.

در اینجا نگاهی می اندازیم به راهکارها و ملزومات حفاظتی که هر کاربری برای افزایش امنیت اطلاعات و دریافت خدمات مطلوب در اینترنت،‌ باید از آن ها آگاه باشد.
ملزومات امنیتی یک صفحه اینترنتی برای ارائه خدمات پولی و تجاری چیست؟

صفحات اینترنتی که در آن ها مبادلات آنلاین و خدمات حساس مالی یا تجاری انجام می شود، باید دارای ملزومات زیر باشند:

- تضمین این مسئله که داده های وارد شده برای انجام مبادلات و یا معاملات الکترونیک،‌ تنها توسط بخش ها یا افراد معینی قابل دسترسی ست. این مسئله از طریق رمزگذاری انجام می شود.

- صحت، درستی و عدم نقص اطلاعات درطول عملیات نقل و انتقال؛ به منظور اطمینان از عدم سوء استفاده از اطلاعات حساس. این مسئله از طریق استفاده از امضای دیجیتال انجام می شود.

- و در نهایت، هویت هر دو طرف رابطه تجاری، یعنی ارائه دهنده و دریافت کننده خدمات آنلاین، باید کاملاً واضح و مشخص بوده و مورد تأیید و تصدیق قرار گیرد. مدارک هویت دیجیتالی برای رفع نگرانی های موجود در این رابطه مورد استفاده قرار می گیرند.

برای دسترسی به این ملزومات کلی، روش های ارتباطی استانداردی طراحی شده است که هر کدام وظایف خاصی را بر عهده دارند:
پروتکل های امنیتی

پروتکل های امنیتی، قوانین و استانداردهایی هستند که برای محافظت از مبادلات و معاملات اینترنتی در برابر تهدیدهای آنلاین، وضع شده اند و دسترسی های غیرمجاز به اطلاعات تبادل شده را محدود می کنند.

به این ترتیب این پروتکل ها، نقش مهمی در محافظت از کاربران خانگی، شبکه های محلی، فروشگاه ها، سازمان ها و مؤسسات مالی تجاری دارند. تهدیدهایی چون سرقت اطلاعات، سرقت مستقیم و یا غیر مستقیم پول، ایجاد توقف و اختلال در فرآیندهای تجاری، کلاهبرداری های آنلاین و غیره تهدیدهایی هستند که از کوچکترین نقص و اشتباه در کاربرد این پروتکل ها سود می برند.

مهمترین و پرکاربردترین این استانداردهای ارتباطی، برای حفاظت از فعالیت های تجاری آنلاین، پروتکل مشهوری با عنوان SSL (Secure Socket Layer) است. این پروتکل می تواند هرگونه داده و اطلاعات ورودی به سیستم یا شبکه را رمزگذاری کرده و سپس آن ها را در مقصد و برای تحویل گیرنده مجاز، رمز گشایی نماید. این بدان معناست که اگر شخص سومی بخواهد به داده های مبادله شده از طریق SSL، دسترسی پیدا کند، بدون در اختیار داشتن کلید رمزگشایی مربوطه کاملاً ناموفق خواهد بود.

در این پروتکل، تنها فروشنده و ارائه کننده خدمات آنلاین، نیاز به مدارک و معرفی نامه های دیجیتال دارد تا هویت و اعتبار امنیتی وی مورد تأیید قرار بگیرد. در این صورت خریدار و دریافت کننده خدمات اینترنتی، هیچ نیازی به ارائه معرفی نامه و هویت سنجی امنیتی نخواهد داشت.
اعتبار بخشی امنیتی

علاوه بر استفاده از پروتکل های امنیتی و ابزار حفاظت از اطلاعات رایانه ای مانند نرم افزارهای ضد ویروس،‌ هرکدام از طرف های یک معامله الکترونیک (ارائه کننده و دریافت کننده خدمات)، باید دارای ابزار و مدارک خاص امنیتی برای برقراری ارتباط امن با طرف مقابل خود باشند. رمزهای عبور، مدارک دیجیتال،‌کارت های هوشمند، امضای دیجیتال، شماره های IP ، آدرس های MAC و حتی خصوصیات منحصر بفرد بیومتریک (اثر انگشت، ...) همگی ابزاری هستند که به اعتبار سنجی امنیتی طرف های یک معامله اینترنتی کمک می کنند. اعتبار و هویت امن کاربرهای خانگی اینترنت معمولاً با رمزهای عبور،‌ شماره کارت هوشمند، امضای دیجیتال و ... تأیید می شود اما برای بانک ها، مراکز فروشگاهی بزرگ و سازمان های تجاری، دارا بودن مدارک امنیتی ویژه ضروری ست. شاید بتوان گواهی نامه های دیجیتال را مهمترین ابزار شناسایی و تأیید اعتبار مراکز بزرگ مالی تجاری دانست. بدان معنی که اگر یک پایگاه اینترنتی دارای این گواهی نامه امنیتی نباشد نباید به خیلی به آن اعتماد کرد و اطلاعات حساس و محرمانه خود را در آن وارد کرد.
امنیت تجارت الکترونیک؛ قابل دسترس،‌ قابل اجرا

نکته بسیار مهم در اینجاست که روش های خاص امنیتی برای حافظت از معاملات اینترنتی چنان سخت گیرانه طراحی شده اند که می توان ادعا کرد \"دیگر تفاوت چندانی میان انجام معاملات حضوری و مبادلات الکترونیک باقی نمانده است.\"
درست به همان نحو که یک مشتری، اطلاعات شخصی، محرمانه و حساس خود را به صورت رو در رو در اختیار هر فروشنده ای قرار نمی دهد و جوانب امنیتی را به طور کامل حفظ میکند، در حوزه مبادلات آنلاین نیز نباید این اطلاعات را در صفحات، پایگاه ها و نیز سرورهایی که فاقد مدارک و گواهی نامه های خاص امنیتی هستند،‌ وارد کند .

علاوه بر این، در لایه های ارتباطی بالاتر، مدیر شبکه خدمات دهنده باید نهایت دقت و احتیاط را در اطمینان از عدم وجود هر گونه کد یا ابزار مخرب (ویروس، تروژان، ابزار هک و ...) و نیز هرگونه آسیب پذیری (حفره ها و نقص های امنیتی) به کار برد تا امنیت داده ها و اطلاعات ذخیر شده در سرور مورد تهدید قرار نگیرند. همان طور که بیان شد، بسیاری از نرم افزارهای مخرب مانند تروژان ها با هدف ایجاد آسیب پذیری در سرورها و یا سیستم های متصل به آن، تنها از طریق کاربران خانگی و یا سایر شبکه های خدمات گیرنده،‌ سازمان های ارائه دهنده خدمات آنلاین را تهدید می کنند. دسترسی های غیر مجاز در سطوح بالا، سرقت داده های حساس و محرمانه و ایجاد خسارت های قابل توجه و ... تهدیدهای دائم و شایعی هستند که از کوچکترین فرصت و باریکترین روزنه استفاده مطلوب می کنند.

از طرف دیگر، مراجع صدور گواهی نامه های دیجیتال،‌ مسئول صدور تأییدیه های امنیتی برای سرورها و شبکه ها بر اساس پروتکل های امنیتی هستند. این مراکز تصمیم گیری می توانند برای شرکت های ارائه کننده خدمات الکترونیک، مشتری ها و حتی کاربران عادی اینترنت نیز گواهی نامه های دیجیتال صادر کنند.

به عنوان نمونه ای از این مراجع معتبر می توان به گروه VeriSign اشاره کرد که عمده فعالیت های امنیتی زیرساخت در اینترنت را به عهده دارد.
(ادامه)