كيف تحمي البنوك معاملاتك؟

عند زيارة موقع البنك، يعمل بروتوكول TLS (أمان طبقة النقل) على تشفير كل بايت يتم تبادله بين متصفحكم وخادم البنك. ومن دون TLS، يمكن لمهاجم موجود على الشبكة نفسها قراءة رصيد حسابكم، أو اعتراض بيانات اعتمادكم، أو تعديل المعاملات.

تشترط البنوك استخدام TLS 1.2 أو إصدار أحدث، وتفرض عادةً سياسات صارمة لحِزم التشفير لمنع هجمات خفض المستوى.

يخزن الشريط الممغنط في البطاقات القديمة بيانات ثابتة، منها رقم البطاقة وتاريخ انتهاء صلاحيتها. ويمكن لأي شخص يقرأ الشريط استنساخ البطاقة مطابقةً للأصل.

تُنشئ شرائح EMV رمزًا تشفيريًا فريدًا لكل معاملة باستخدام بروتوكول التحدي والاستجابة. وحتى إذا التقط مهاجم بيانات المعاملة، فلا يمكنه إعادة استخدامها لإجراء عمليات شراء احتيالية.

يستخدم كل من Apple Pay وGoogle Pay تقنية الترميز؛ إذ يُستبدل رقم بطاقتك الحقيقي برمز مميز خاص بالجهاز لا معنى له خارج سياق تلك المعاملة.

عند تمرير جهازك للدفع، لا يتلقى التاجر سوى رمز مميز يُستخدم مرة واحدة. ولا يغادر رقم بطاقتك الفعلي البيئة الآمنة في جهازك أو خزنة شبكة البطاقات.

تستخدم البنوك وحدات أمان الأجهزة (HSMs) لإنشاء المفاتيح التشفيرية وتخزينها وإدارتها في أجهزة مقاومة للعبث. ولا توجد المفاتيح الخاصة خارج HSM بصيغة نص صريح مطلقًا.

تُعتمد HSMs وفق معياري FIPS 140-2 أو FIPS 140-3، وتنفذ آلاف العمليات التشفيرية في الثانية. وهي العمود الفقري لكل جهاز دفع ونظام مصرفي.

عند إدخال رقم PIN في جهاز الصراف الآلي، يُشفَّر فورًا في كتلة PIN باستخدام تنسيق معياري مثل ISO 9564. ثم تُشفَّر كتلة PIN بمفتاح لا يعرفه سوى HSM الخاص بالبنك.

لا ينتقل رقم PIN بصيغة نص صريح في أي موضع من الشبكة. وحتى البنك المُقتني ومعالج الدفع لا يستطيعان رؤيته؛ إذ لا يمكنه التحقق منه سوى البنك المُصدِر.

تُعد SWIFT (جمعية الاتصالات المالية العالمية بين البنوك) الشبكة التي تستخدمها البنوك للمدفوعات العابرة للحدود. وتُشفَّر رسائل SWIFT وتُوثَّق لمنع العبث بها.

على الرغم من مستوى أمانها، أظهرت سرقة بنك بنغلاديش عام 2016 أن اختراق بيانات اعتماد SWIFT أدى إلى سرقة 81 مليون دولار. فالمصادقة لا تقل أهمية عن التشفير.

تضيف 3D Secure (مثل Visa Verified أو Mastercard SecureCode) خطوة مصادقة عند التسوق عبر الإنترنت. إذ تعيد شبكة البطاقات توجيهك إلى بنكك للتحقق، عادةً باستخدام OTP أو القياسات الحيوية.

يستخدم الاتصال بين التاجر وشبكة البطاقات والبنك في 3D Secure بروتوكول TLS ورسائل موقَّعة لمنع هجمات إعادة الإرسال والتزوير.

تحلل أنظمة كشف الاحتيال الحديثة أنماط المعاملات في الوقت الفعلي. وتعتمد على رموز مصادقة الرسائل (MACs) لضمان عدم العبث ببيانات المعاملة التي يتلقاها البنك.

ستفشل معاملة احتيالية تُعدِّل المبلغ أو رمز التاجر في التحقق من MAC قبل أن تصل أصلًا إلى محرك كشف الاحتيال.

يعرّض تخزين البنك لكلمة مرورك بصيغة نص صريح كلمة المرور للكشف عنها عند حدوث اختراق للبيانات. لذلك تخزن البنوك تجزئة تشفيرية أحادية الاتجاه لكلمة مرورك، باستخدام bcrypt أو scrypt أو Argon2 عادةً.

عند تسجيل الدخول، تُجزّأ كلمة المرور التي أدخلتها وتُقارن بالتجزئة المخزنة. ولا يحتاج البنك إلى معرفة كلمة مرورك الفعلية؛ بل يكفيه التحقق من تطابق التجزئتين.

في سلسلة الدفع الممتدة من الجهاز الطرفي إلى البنك المُقتني ثم إلى شبكة البطاقات فالبنك المُصدِر، تستخدم كل وصلة HSMs لتغليف المفاتيح وفك تغليفها. ويستخدم الجهاز الطرفي مفتاح تشغيل مشتقًا من مفتاح رئيسي موجود في HSM.

تعني هذه البنية الهرمية للمفاتيح أن اختراقًا واحدًا لا يكشف الشبكة بأكملها. وتُبدَّل المفاتيح الفردية بانتظام، ويظل أي اختراق محصورًا في نطاق ضيق.

غالبًا ما تستخدم تطبيقات الخدمات المصرفية عبر الأجهزة المحمولة تثبيت الشهادات؛ إذ يُبرمج التطبيق مسبقًا لقبول شهادات أو مفاتيح عامة محددة فقط لخوادم البنك. وإذا اعترض مهاجم ينفذ هجوم MITM حركة المرور باستخدام شهادة مختلفة، يرفض التطبيق الاتصال.

يوفر تثبيت الشهادات طبقة حماية إضافية تتجاوز التحقق من TLS على مستوى النظام، مما يصعّب كثيرًا على المهاجمين اعتراض حركة مرور تطبيقات الخدمات المصرفية حتى على الشبكات المخترقة.

يعتمد القطاع المصرفي على منظومة تشفير متعددة الطبقات: إذ يوفر TLS أمان الشبكة، وتوفر شرائح EMV والترميز أمان البطاقات، وتتولى HSMs إدارة المفاتيح، بينما تضمن كتل PIN سرية أرقام PIN.

تُخزَّن كلمات المرور على هيئة تجزئات، لا بصيغة نص صريح. وتُوثَّق كل وصلة في سلسلة الدفع وتُشفَّر باستخدام بروتوكولات معتمدة في القطاع وأجهزة حاصلة على الشهادات.