انتشار : سه شنبه 12 اردیبهشت 1402
1421 بازدید
پرداخت بیومتریک روشی از احراز هویت مالی است که در آن هویت پرداخت‌کننده به‌جای رمز، پین یا امضا، از طریق یک ویژگی زیستی یا رفتاری منحصربه‌فرد اثر انگشت، الگوی چهره، عنبیه چشم یا صدا تأیید می‌شود. در این مدل، سیستم به‌جای بررسی «چیزی که کاربر می‌داند» (رمز عبور) یا «چیزی که کاربر دارد» (کارت فیزیکی)، «چیزی که کاربر است» را می‌سنجد و همین تفاوت، پایه امنیتی این فناوری را از ریشه متفاوت می‌کند.
نکته‌ای که اغلب منابع از کنار آن رد می‌شوند این است که پرداخت بیومتریک یک فناوری واحد نیست، بلکه یک لایه احراز هویت است که روی زیرساخت‌های پرداخت موجود کارت‌های EMV، کیف‌پول‌های دیجیتال، درگاه‌های NFC سوار می‌شود. به همین دلیل، فهم درست این فناوری بدون شناخت معماری فنی پشت آن ممکن نیست.
هر تراکنش بیومتریک از سه لایه مجزا عبور می‌کند: ثبت‌نام و ساخت الگو، تطبیق در لحظه پرداخت، و ارسال نتیجه تأیید به شبکه پرداخت. درک نادرست از این سه لایه، رایج‌ترین اشتباه محتوایی در مقالات موجود درباره این موضوع است؛ اکثر آن‌ها این فرآیند را یک مرحله واحد («انگشت را روی سنسور بگذارید») توصیف می‌کنند، در حالی که هرکدام از این سه لایه ریسک امنیتی و معماری فنی جداگانه‌ای دارد.
در مرحله ثبت‌نام، سنسور تصویر خام اثر انگشت یا چهره را ذخیره نمی‌کند. به‌جای آن، الگوریتم استخراج ویژگی (Feature Extraction) نقاط کلیدی مانند نقاط انشعاب خطوط اثر انگشت یا فاصله هندسی میان نشانه‌های چهره را استخراج کرده و به یک رشته عددی رمزگذاری‌شده به نام «الگو» یا Template تبدیل می‌کند.
این الگو غیرقابل بازگشت به تصویر اصلی است؛ یعنی حتی اگر پایگاه داده هک شود، بازسازی اثر انگشت واقعی از روی الگو عملاً غیرممکن است. این همان نکته‌ای است که اغلب کاربران نمی‌دانند و نگرانی «اگر اثر انگشتم لو برود چه می‌شود» را تا حد زیادی بی‌پایه می‌کند البته نه به‌طور کامل، که در بخش چالش‌های امنیتی به آن می‌پردازیم.
تفاوت میان Match-on-Device و Match-on-Server، مهم‌ترین تصمیم معماری در طراحی هر سیستم پرداخت بیومتریک است و تقریباً هیچ‌یک از منابع فارسی موجود به آن اشاره نمی‌کنند. در روش Match-on-Device، الگوی بیومتریک هرگز از تراشه امنیتی گوشی یا کارت خارج نمی‌شود؛ تطبیق در همان لحظه و در همان سخت‌افزار انجام می‌گیرد و فقط یک سیگنال «تأیید شد / تأیید نشد» به سمت اپلیکیشن پرداخت ارسال می‌شود. اپل‌پی و گوگل‌پی از همین مدل استفاده می‌کنند.
در مقابل، در روش Match-on-Server، الگوی رمزگذاری‌شده به سرور بانک یا ارائه‌دهنده پرداخت ارسال می‌شود و تطبیق در سمت سرور انجام می‌شود. این روش برای سیستم‌های چندکاناله (مثلاً پرداخت با چهره در چند شعبه یا فروشگاه مختلف) ضروری است، اما سطح ریسک بالاتری دارد چون داده بیومتریک در حال انتقال روی شبکه قرار می‌گیرد و باید با پروتکل‌های رمزنگاری سخت‌گیرانه محافظت شود.
پس از تأیید هویت، سیستم شماره واقعی کارت بانکی را ارسال نمی‌کند. در عوض، یک توکن یک‌بارمصرف یا محدود به دستگاه (Device Account Number) جایگزین شماره اصلی کارت می‌شود و به شبکه پرداخت (ویزا، مسترکارت یا شتاب) فرستاده می‌شود. همین لایه توکنیزیشن است که باعث می‌شود حتی اگر داده تراکنش رهگیری شود، شماره کارت واقعی کاربر در معرض افشا قرار نگیرد.
اثر انگشت هنوز پرکاربردترین روش بیومتریک در پرداخت موبایلی است، چون هزینه پیاده‌سازی سنسور پایین است و دقت تطبیق آن در شرایط استاندارد بسیار بالا می‌ماند. ضعف اصلی این روش، حساسیت به رطوبت، چربی پوست و سایش سنسور در طول زمان است موضوعی که در بخش سؤالات پرکاربرد به آن بازمی‌گردیم.
تشخیص چهره برای پرداخت‌های بدون تماس (Face Pay) در فروشگاه‌های زنجیره‌ای و فرودگاه‌ها رشد چشمگیری داشته، چون کاربر حتی نیازی به برداشتن گوشی از جیب ندارد. اما این روش به دوربین‌های عمق‌سنج (Depth Sensor) نیاز دارد تا بین چهره واقعی و یک عکس چاپی یا نمایش‌داده‌شده روی صفحه تمایز قائل شود؛ بدون این سنسور، سیستم در برابر حملات ساده جعل آسیب‌پذیر است.
اسکن عنبیه بالاترین سطح دقت را در میان روش‌های بیومتریک دارد، چون الگوی عنبیه حتی میان دوقلوهای همسان نیز یکسان نیست. با این حال، هزینه سخت‌افزار و نیاز به نور مادون‌قرمز اختصاصی، این روش را عمدتاً محدود به سیستم‌های امنیتی سطح بالا و برخی خودپردازهای پیشرفته در بازارهایی مانند هند و ژاپن کرده است، نه پرداخت‌های روزمره خرده‌فروشی.
بیومتریک رفتاری، لایه‌ای کمتر شناخته‌شده اما رو به رشد است که الگوی تایپ، فشار انگشت روی صفحه، سرعت اسکرول یا حتی زاویه نگه‌داشتن گوشی را در پس‌زمینه تحلیل می‌کند تا تراکنش‌های مشکوک را بدون درخواست تأیید اضافه از کاربر شناسایی کند. بانک‌های بزرگ اروپایی از این لایه به‌عنوان امتیاز ریسک نامرئی در کنار بیومتریک اصلی استفاده می‌کنند.
تشخیص زنده بودن یا Liveness Detection، فرآیندی است که تعیین می‌کند نمونه بیومتریک ارائه‌شده متعلق به یک فرد زنده و حاضر در لحظه تراکنش است، نه یک عکس، ویدئوی ضبط‌شده یا ماسک ساخته‌شده. بدون این لایه، هر سیستم بیومتریک هرچند دقیق در برابر جعل ساده آسیب‌پذیر می‌ماند.
حمله ارائه یا Presentation Attack به تلاش برای فریب سنسور بیومتریک با استفاده از یک نمونه ساختگی گفته می‌شود: از عکس چاپی گرفته تا ماسک سیلیکونی سه‌بعدی یا حتی ویدئوی دیپ‌فیک تولیدشده با هوش مصنوعی. حملات مبتنی بر تزریق داده (Injection Attack) نیز که در آن جریان تصویر جعلی مستقیماً به نرم‌افزار تزریق می‌شود، بدون نیاز به فریب دوربین فیزیکی، از پیچیده‌ترین سناریوهای امروزی هستند.
آزمایشگاه‌های مستقل، سیستم‌های تشخیص زنده بودن را در سطوح مشخصی گواهی می‌کنند. استاندارد تست تشخیص حملات ارائه iBeta شامل سطح یک، که مقاومت در برابر حملات ساده مانند عکس چاپی یا پخش ویدئو روی صفحه گوشی را می‌سنجد، و سطح دو، که در برابر روش‌های پیشرفته‌تر مانند ماسک‌های سه‌بعدی با کیفیت بالا، ویدئوهای دیپ‌فیک و حملات تزریقی آزمایش می‌شود.
اتحادیه FIDO این چارچوب را گسترش داده و سطوح بالاتری نیز تعریف کرده است. گواهی سطح سه FIDO بالاترین سطح اطمینان در تشخیص زنده بودن را نشان می‌دهد و به‌طور مشخص برای مقابله با پیشرفته‌ترین حملات ارائه از جمله دیپ‌فیک‌های به‌روز و ماسک‌های سه‌بعدی بسیار واقع‌گرایانه طراحی شده است. سطح چهار FIDO نسل بعدی این استاندارد است که پس از پروتکل‌های قبلی مانند U2F، UAF و FIDO2 معرفی شده و الزامات بیومتریک و فرآیندهای گواهی‌دهی پیشرفته‌تری را وارد می‌کند.
نکته‌ای که برای هر کسب‌وکاری که قصد پیاده‌سازی پرداخت بیومتریک دارد حیاتی است: انتخاب یک ارائه‌دهنده بدون گواهی FIDO یا iBeta، به معنای پذیرفتن ریسک جعل هویت بدون هیچ استاندارد سنجش‌پذیری است. این دقیقاً همان معیاری است که در ارزیابی هر پیشنهاد فنی از پیمانکار پرداخت باید از او پرسیده شود.
جدا از پرداخت موبایلی، نسل دیگری از پرداخت بیومتریک روی خود کارت‌های بانکی فیزیکی پیاده‌سازی می‌شود. در این مدل، یک حسگر اثر انگشت کوچک مستقیماً روی بدنه کارت EMV نصب می‌شود و کاربر به‌جای وارد کردن پین، انگشت خود را روی همان کارت قرار می‌دهد. تفاوت کلیدی این است که الگوی بیومتریک هرگز کارت را ترک نمی‌کند — تطبیق کاملاً روی تراشه امن داخل کارت (Secure Element) انجام می‌شود، نه روی پایانه فروشگاه و نه روی سرور بانک.
این معماری برای کاربرانی که گوشی هوشمند ندارند یا نمی‌خواهند اپلیکیشن بانکی خود را به هر تراکنش گره بزنند، جذاب است، اما هزینه تولید هر کارت را به‌طور قابل توجهی افزایش می‌دهد و به همین دلیل هنوز عمدتاً در برنامه‌های آزمایشی بانک‌های اروپایی و برخی کارت‌های ویژه شرکتی دیده می‌شود، نه در گردش عمومی.
هیچ سیستم بیومتریکی صد‌درصد بی‌خطا نیست و این موضوع در تبلیغات ارائه‌دهندگان معمولاً پنهان می‌ماند. دو شاخص فنی، کیفیت واقعی یک سیستم را نشان می‌دهند: نرخ پذیرش اشتباه (False Acceptance Rate یا FAR) که نشان می‌دهد سیستم چند بار از هر یک میلیون تلاش، یک فرد غیرمجاز را به‌اشتباه تأیید می‌کند؛ و نرخ رد اشتباه (False Rejection Rate یا FRR) که نشان می‌دهد یک کاربر مجاز چند بار به‌اشتباه رد می‌شود.
این دو عدد رابطه‌ای معکوس دارند: هرچه آستانه تطبیق را برای کاهش FAR سخت‌گیرانه‌تر کنید، FRR بالاتر می‌رود و کاربران واقعی بیشتری با پیام «شناسایی نشد» مواجه می‌شوند.
سیستم‌هایی که استاندارد سطح دو تشخیص حملات ارائه را رعایت می‌کنند، معمولاً نرخ پذیرش اشتباه زیر ۰.۱ درصد دارند که عملاً حملات جعل گسترده و کم‌هزینه را از نظر اقتصادی برای مهاجمان غیرقابل توجیه می‌کند. برای یک کسب‌وکار، انتخاب آستانه مناسب یعنی یافتن نقطه تعادل میان امنیت و تجربه کاربری روان؛ آستانه‌ای که برای یک صرافی ارز دیجیتال مناسب است، برای یک فروشگاه زنجیره‌ای مواد غذایی بیش از حد سخت‌گیرانه خواهد بود.
بر اساس یافته‌های اتحادیه FIDO، فرآیند تأیید هویت بیومتریک در کمتر از دو ثانیه کامل می‌شود، در حالی که میانگین زمان تأیید با رمز پویای پیامکی که شامل جابه‌جایی میان اپلیکیشن‌ها، انتظار برای دریافت پیامک و وارد کردن دستی کد است، به حدود ۴۲ ثانیه می‌رسد. همین شکاف زمانی، دلیل اصلی رشد سریع پذیرش بیومتریک در نقاط پرداخت فروشگاهی و اپلیکیشن‌های موبایلی است.
سطر «قابلیت تغییر پس از افشا» شاید مهم‌ترین ردیف این جدول باشد: اگر رمز پویا یا پین لو برود، می‌توان آن را در چند ثانیه تغییر داد؛ اما اثر انگشت یا چهره کاربر قابل تغییر نیست. به همین دلیل، امنیت واقعی یک سیستم بیومتریک نه در خود بیومتریک، بلکه در نحوه محافظت از الگوی ذخیره‌شده آن نهفته است — موضوعی که در بخش چالش‌های امنیتی به‌طور کامل باز می‌کنیم.
در اتحادیه اروپا، دستورالعمل دوم خدمات پرداخت با الزام احراز هویت قوی مشتری (Strong Customer Authentication)، ترکیب حداقل دو عامل مستقل از سه دسته دانش، مالکیت و ویژگی زیستی را برای تراکنش‌های آنلاین الزامی کرده است. استاندارد امنیت داده صنعت کارت پرداخت نیز به‌طور مشخص استفاده از تدابیر ضد جعل در سیستم‌های پرداخت بیومتریک را برای تضمین امنیت تراکنش‌های بدون حضور فیزیکی کارت توصیه می‌کند.
نکته‌ای که کسب‌وکارهای فعال در تجارت بین‌الملل باید بدانند این است که استفاده از بیومتریک به‌تنهایی، الزام احراز هویت دومرحله‌ای در PSD2 را برطرف نمی‌کند مگر آنکه با یک عامل مستقل دیگر (مانند دستگاه ثبت‌شده کاربر) ترکیب شود؛ سوءتفاهمی که در بسیاری از پیاده‌سازی‌های عجولانه دیده می‌شود.
در ایران، زیرساخت پرداخت الکترونیک کارتی زیر نظر شرکت شاپرک به‌عنوان بازوی اجرایی بانک مرکزی در حوزه پرداخت الکترونیک اداره می‌شود. لایه بیومتریک در این اکوسیستم عمدتاً در سطح اپلیکیشن و دستگاه پیاده‌سازی شده است، نه در سطح خود کارت بانکی: بسیاری از اپلیکیشن‌های موبایل بانک و درگاه‌های پرداختیار از اثر انگشت یا تشخیص چهره گوشی برای ورود به حساب و تأیید تراکنش‌های داخل اپلیکیشن استفاده می‌کنند، در حالی که تراکنش نهایی همچنان از طریق شبکه شتاب و با پین یا رمز پویا در پایانه فروش تسویه می‌شود.
دلیل اصلی نبود کارت‌های بیومتریک Match-on-Card در بازار ایران، ترکیبی از هزینه بالای تولید تراشه امن داخل کارت و نبود استاندارد یکپارچه ملی برای صدور چنین کارت‌هایی است. تا زمانی که این استاندارد در سطح شبکه شتاب تعریف نشود، پرداخت بیومتریک در ایران در همان لایه احراز هویت اپلیکیشنی باقی می‌ماند؛ نکته‌ای که برای کسب‌وکارهایی که به دنبال معرفی «پرداخت بدون کارت» به مشتریان ایرانی خود هستند، باید در برنامه‌ریزی محصول لحاظ شود.
کاهش زمان تسویه تنها بخشی از ماجراست. برنامه‌های آزمایشی مسترکارت در حوزه پرداخت بیومتریک در اروپا نشان داده‌اند که جایگزینی رمز پویا با تأیید بیومتریک در پرداخت موبایلی، بهبود نرخ تبدیل معادل ۳۰ تا ۴۰ درصد در دستگاه‌های موبایل ایجاد کرده است، بدون افت محسوس در سطح امنیت. این عدد برای هر فروشگاه آنلاینی که با رهاشدن سبد خرید در مرحله تأیید پرداخت دست‌وپنجه نرم می‌کند، معنای مستقیم تجاری دارد.
نقطه‌ضعف بنیادین پرداخت بیومتریک، همان چیزی است که آن را قدرتمند می‌کند: غیرقابل تغییر بودن. وقتی رمز عبور لو می‌رود، کاربر آن را در همان لحظه تغییر می‌دهد و تهدید خنثی می‌شود. اما وقتی الگوی اثر انگشت یا چهره یک نفر از یک پایگاه داده به بیرون درز کند، آن فرد برای همیشه همان اثر انگشت را خواهد داشت و نمی‌تواند «رمز زیستی» جدیدی برای خود صادر کند.
به همین دلیل، معماری امن یک سیستم بیومتریک باید از همان ابتدا بر پایه سه اصل بنا شود: ذخیره‌سازی محلی الگو به‌جای پایگاه داده متمرکز، رمزنگاری برگشت‌ناپذیر الگو (به‌طوری که حتی نشت پایگاه داده به بازسازی تصویر اصلی منجر نشود)، و امکان لغو و صدور مجدد کلید رمزنگاری مرتبط با الگو بدون نیاز به ثبت‌نام مجدد بیومتریک فیزیکی. این همان لایه‌ای است که اکثر مقالات معرفی پرداخت بیومتریک به‌کلی از آن غافل می‌مانند و صرفاً به «امن بودن» فناوری بسنده می‌کنند، بدون توضیح این‌که امنیت از کجا تأمین می‌شود.
نگرانی دیگری که کمتر مطرح می‌شود، ردیابی و همبستگی داده (Data Correlation) است: اگر یک شرکت واحد، داده بیومتریک را هم برای ورود به اپلیکیشن، هم برای پرداخت و هم برای احراز هویت فیزیکی در شعبه استفاده کند، عملاً یک شناسه یکتای دائمی از رفتار مالی و فیزیکی کاربر می‌سازد که خطرات حریم خصوصی فراتر از سرقت مالی دارد.
فرض کنید یک فروشگاه زنجیره‌ای مواد غذایی با پنجاه شعبه تصمیم می‌گیرد پرداخت با تشخیص چهره را در صندوق‌های خودکار خود راه‌اندازی کند. در فاز طراحی، تیم فنی باید سه تصمیم کلیدی بگیرد که مستقیماً از مباحث بالا نشأت می‌گیرد:
اول، انتخاب میان Match-on-Device (اگر کاربران اپلیکیشن فروشگاه را نصب کرده باشند) یا Match-on-Server (برای مشتریانی که فقط در محل ثبت‌نام می‌کنند)
دوم، تعیین آستانه FAR/FRR متناسب با میانگین ارزش هر تراکنش، چون سخت‌گیری بیش از حد در صندوق‌های پرترافیک باعث صف طولانی می‌شود
سوم، انتخاب سطح گواهی تشخیص زنده بودن متناسب با ریسک برای فروشگاه مواد غذایی با میانگین تراکنش پایین، سطح یک ممکن است کافی باشد، اما برای پرداخت‌های با مبلغ بالا در بخش الکترونیک همان فروشگاه، سطح دو یا بالاتر توجیه اقتصادی دارد.
نتیجه این تصمیم‌گیری لایه‌به‌لایه، یک سیستم است که نه فقط «کار می‌کند»، بلکه متناسب با پروفایل ریسک واقعی کسب‌وکار طراحی شده نکته‌ای که در محتوای عمومی موجود درباره پرداخت بیومتریک تقریباً هرگز به آن پرداخته نمی‌شود.
در پیاده‌سازی‌های استاندارد و مطابق با اپل‌پی و گوگل‌پی، خیر؛ الگوی بیومتریک در تراشه امن همان دستگاه ذخیره می‌شود و هرگز به سرور ارسال نمی‌شود. تنها در سیستم‌های Match-on-Server، نسخه رمزگذاری‌شده الگو روی زیرساخت ارائه‌دهنده نگهداری می‌شود که باید مطابق استانداردهای رمزنگاری سخت‌گیرانه محافظت شود.
تمام سیستم‌های استاندارد پرداخت بیومتریک یک روش پشتیبان (Fallback) مانند پین یا رمز عبور دارند و طراحی یک سیستم بدون مسیر پشتیبان، نقض مستقیم بهترین شیوه‌های طراحی تجربه کاربری در حوزه پرداخت محسوب می‌شود.
در سیستم‌های فاقد تشخیص زنده بودن، بله؛ اما در سیستم‌های دارای گواهی سطح یک یا دو، این نوع حملات ساده شناسایی و مسدود می‌شوند و تنها حملات پیشرفته مانند ماسک سه‌بعدی یا دیپ‌فیک نیاز به گواهی سطوح بالاتر دارند.
باز کردن قفل گوشی صرفاً دسترسی به دستگاه را کنترل می‌کند، اما پرداخت بیومتریک علاوه بر تأیید هویت، یک توکن رمزنگاری‌شده مرتبط با حساب بانکی تولید و به شبکه پرداخت ارسال می‌کند؛ یعنی لایه امنیتی و پیامد مالی این دو کاربرد کاملاً متفاوت است.
از نظر مقاومت در برابر حملات فیشینگ و رهگیری سیم‌کارت (SIM Swap)، بله، چون بیومتریک به دستگاه فیزیکی کاربر گره خورده و قابل رهگیری از راه دور نیست؛ اما نقطه‌ضعف آن غیرقابل تغییر بودن در صورت افشای الگوی ذخیره‌شده است، در حالی که رمز پویا را می‌توان فوراً باطل کرد.
نظر شما درباره این مطلب
نام شما : * تکمیل شود
ایمیل شما :
نظر شما : * این قسمت نباید خالی باشد
نظرات کاربران
مقالات مشابه