Bankalar İşlemlerinizi Nasıl Korur

Bankanızın web sitesini ziyaret ettiğinizde TLS (Aktarım Katmanı Güvenliği), tarayıcınızla bankanın sunucusu arasında değiş tokuş edilen her baytı şifreler. TLS olmadan aynı ağdaki bir saldırgan hesap bakiyenizi okuyabilir, kimlik bilgilerinizi ele geçirebilir veya işlemleri değiştirebilir.

Bankalar TLS 1.2 veya daha yeni bir sürümü zorunlu tutar ve sürüm düşürme saldırılarını önlemek için genellikle sıkı şifre paketi ilkelerini uygular.

Eski kartlardaki manyetik şerit, kart numarası ve son kullanma tarihi gibi değişmeyen verileri saklar. Şeridi okuyan herkes kartı birebir kopyalayabilir.

EMV çipleri, sorgu-yanıt protokolünü kullanarak her işlem için benzersiz bir kriptografik kod üretir. Saldırgan işlem verilerini ele geçirse bile bunları hileli alışveriş yapmak için yeniden kullanamaz.

Apple Pay ve Google Pay, belirteçleştirme kullanır: Gerçek kart numaranızın yerini, o işlem bağlamı dışında hiçbir anlam taşımayan ve cihaza özgü bir belirteç alır.

Ödeme yapmak için dokundurduğunuzda üye işyeri yalnızca tek kullanımlık bir belirteç alır. Gerçek kart numaranız cihazınızın güvenli yalıtılmış alanından veya kart ağının kasasından hiçbir zaman çıkmaz.

Bankalar, kriptografik anahtarları kurcalamaya dayanıklı donanımda üretmek, saklamak ve yönetmek için Donanımsal Güvenlik Modülleri (HSM'ler) kullanır. Özel anahtarlar, HSM dışında hiçbir zaman açık metin olarak bulunmaz.

HSM'ler, FIPS 140-2 veya FIPS 140-3 standartlarına göre sertifikalandırılmıştır ve saniyede binlerce kriptografik işlem gerçekleştirir. Bunlar, her ödeme terminalinin ve bankacılık sisteminin temelini oluşturur.

ATM'de PIN'inizi girdiğinizde PIN, ISO 9564 gibi bir biçim standardı kullanılarak hemen bir PIN bloğunda şifrelenir. Ardından PIN bloğu, yalnızca bankanızın HSM'si tarafından bilinen bir anahtarla şifrelenir.

PIN'iniz ağın hiçbir noktasında açık metin olarak iletilmez. Alıcı banka ve ödeme işlemcisi bile PIN'inizi göremez; PIN'inizi yalnızca kartı veren bankanız doğrulayabilir.

SWIFT (Dünya Çapında Bankalararası Finansal Telekomünikasyon Topluluğu), bankaların sınır ötesi ödemeler için kullandığı ağdır. SWIFT iletileri, değiştirilmelerini önlemek için şifrelenir ve kimlik doğrulamasından geçirilir.

Güvenli olmasına rağmen 2016'daki Bangladesh Bank soygunu, SWIFT kimlik bilgilerinin ele geçirilmesinin 81 milyon doların çalınmasına yol açabildiğini gösterdi. Kimlik doğrulama, şifreleme kadar kritiktir.

3D Secure (Visa Verified veya Mastercard SecureCode gibi), çevrim içi alışveriş yaptığınızda ek bir kimlik doğrulama adımı ekler. Kart ağı, doğrulama için sizi genellikle OTP veya biyometri yoluyla bankanıza yönlendirir.

3D Secure'da üye işyeri, kart ağı ve banka arasındaki iletişim; yeniden oynatma ve sahtecilik saldırılarını önlemek için TLS ve imzalı iletiler kullanır.

Modern sahtekârlık tespit sistemleri, işlem örüntülerini gerçek zamanlı olarak analiz eder. Bankanın aldığı işlem verilerinin değiştirilmediğinden emin olmak için ileti kimlik doğrulama kodlarına (MAC'lere) dayanırlar.

Tutarı veya üye işyeri kodunu değiştiren sahte bir işlem, sahtekârlık tespit motoruna ulaşmadan önce MAC doğrulamasından geçemez.

Parolanızı açık metin olarak saklayan bir banka, veri ihlalinde parolanızın açığa çıkması riskini alır. Bunun yerine bankalar, genellikle bcrypt, scrypt veya Argon2 kullanarak parolanızın tek yönlü kriptografik özetini saklar.

Giriş yaptığınızda girdiğiniz parola özetlenir ve saklanan özetle karşılaştırılır. Bankanın gerçek parolanızı bilmesi gerekmez; yalnızca özetlerin eşleştiğini bilmesi yeterlidir.

Terminalden alıcı bankaya, oradan kart ağına ve kartı veren bankaya uzanan ödeme zincirinde her bağlantı, anahtarları sarmak ve açmak için HSM'ler kullanır. Terminal, bir HSM'deki ana anahtardan türetilen bir çalışma anahtarı kullanır.

Bu anahtar hiyerarşisi, tek bir güvenlik ihlalinin tüm ağı açığa çıkarmasını önler. Tek tek anahtarlar düzenli olarak yenilenir ve herhangi bir ihlal dar bir kapsamla sınırlı kalır.

Mobil bankacılık uygulamaları genellikle sertifika sabitleme kullanır: Uygulama, bankanın sunucuları için yalnızca belirli sertifikaları veya açık anahtarları kabul edecek şekilde sabit kodlanır. Bir MITM saldırganı trafiği farklı bir sertifikayla ele geçirirse uygulama bağlantı kurmayı reddeder.

Sertifika sabitleme, sistem düzeyindeki TLS doğrulamasına ek bir koruma katmanı sağlar. Böylece güvenliği ihlal edilmiş ağlarda bile saldırganların bankacılık uygulaması trafiğini ele geçirmesi çok daha zorlaşır.

Bankacılık ve ödemelerde kriptografi bilginizi ölçün.

Bankacılık, katmanlı bir kriptografik yığına dayanır: ağ güvenliği için TLS, kart güvenliği için EMV çipleri ve belirteçleştirme, anahtar yönetimi için HSM'ler ve PIN gizliliği için PIN blokları kullanılır.

Parolalar açık metin olarak değil, özetlenmiş biçimde saklanır. Ödeme zincirindeki her bağlantı, sektör standardı protokoller ve sertifikalı donanım kullanılarak kimlik doğrulamasından geçirilir ve şifrelenir.