مدارک امنیتی مؤسسات مالی و شیوه‌های به کارگیری گواهی‌های ملی

وحید خدابخشی، که به‌عنوان مدیرعامل و نایب‌رئیس هیئت‌مدیره کاشف فعالیت می‌کند، در پنل «ریسک‌های امنیتی استفاده از هوش مصنوعی؛ از حفاظت از داده تا کنترل عامل‌های خودمختار»، خبر از مشکلاتی در زمینه ارائه و ابطال گواهی‌های امنیتی برخی خدمات بانکی ایران از سوی نهادهای خارجی داد. بر اساس اظهارات او، به‌کارگیری گواهی ملی به‌عنوان راه‌حل فنی این موضوع در نظر گرفته شده، اما هنوز هم اعتماد مرورگرها و آگاهی کاربران به‌عنوان موانع اصلی به شمار می‌رود.

در پاسخی به سؤالی در خصوص گواهی‌های امنیتی بانکی، خدابخشی یادآور شد که برخی از صادرکنندگان جهانی، به دلیل تحریم‌ها، خدمات به بخش‌های مشخصی از شبکه بانکی و پرداخت ایران را متوقف کرده‌اند. او بیان کرد که این محدودیت‌ها حتی در میانه اعتبار گواهی‌ها اتفاق افتاده و دامنه آن‌ها در حال گسترش است.

در خصوص اقداماتی برای دریافت گواهی از راه‌های جانبی، او توضیح داد: «گواهی‌هایی از کشورهای مختلف، از جمله ایتالیا و ترکیه، دریافت کرده‌ایم؛ اما در حال حاضر شرایط به‌گونه‌ای است که ما هر چند روز یک‌بار باید گواهی‌ها را تغییر دهیم، زیرا صادرکنندگان آن‌ها را باطل می‌کنند.»

خدابخشی گفت در جلسات فنی با حضور نمایندگان بانک مرکزی، مرکز ملی فضای مجازی و دیگر نهادها، استفاده از گواهی ملی و شبکه‌ای از مراکز صدور گواهی به‌عنوان راه‌حلی مناسب در حال بررسی است.

مدیرعامل کاشف همچنین اشاره کرد که مشکلات مربوط به اپلیکیشن‌ها، سرورها و وب‌سرویس‌هایی که تحت مدیریت نهادهای داخلی قرار دارند، با بهره‌گیری از گواهی ملی مرتفع شده است، اما در حوزه خدمات مبتنی بر مرورگر هنوز چالش‌های شناسایی و پذیرش زنجیره اعتماد قابل توجه است.

او با اشاره به پیشنهاد ایجاد یک مرورگر داخلی بیان کرد: «یکی از موضوعات مطرح‌شده، تدوین یک مرورگر ملی یا بومی است که ما به‌طور کامل با آن مخالف هستیم. آگاه‌سازی کاربر درباره اعتماد به گواهی‌ها، به‌مراتب ساده‌تر از این است که از او بخواهیم مرورگر جدیدی را به‌کار گیرد.»

خدابخشی تصریح کرد که گواهی‌های داخلی بر اساس استاندارد X.509 تهیه شده‌اند و مشکل اصلی این است که زنجیره صدور آن‌ها در زنجیره اعتمادی که مرورگرها به رسمیت می‌شناسند، قرار نمی‌گیرد. او متذکر شد که پذیرش این گواهی‌ها از سوی کاربران همواره با چالش‌های ناشی از اعتماد عمومی مواجه است و نیاز به توضیحات واضحی دارد.

بنابر اظهارات خدابخشی، اقداماتی برای تولید بسته‌های اطلاع‌رسانی در خصوص مفهوم گواهی‌های امنیتی، رمزنگاری، احراز اصالت سرویس و تحولات اخیر آغاز شده است. او تأکید کرد که این توضیحات باید به کاربران کمک کند تا بدانند باید به چه مواردی اعتماد کنند و کدام موارد را نپذیرند.

او همچنین این مسئولیت را به‌عنوان مسئولیتی مشترک بین بخش دولتی و خصوصی تلقی کرد و خاطرنشان ساخت که این محدودیت‌ها تنها به خدمات بانکی محدود نمی‌شود و ابطال گواهی‌ها در حوزه‌های غیر بانکی نیز مشاهده می‌شود.

خدابخشی همچنین بر اهمیت استفاده از گواهی‌های داخلی تأکید کرد و خواستار تأمین امنیت مراکز صدور گواهی و نظارت بر عملکرد آنها شد. او در پاسخ به سؤالی درباره موقتی بودن این رویکرد گفت که تغییر مسیر در آینده ممکن است، اما او به بازگشت سریع صادرکنندگان خارجی به ارائه خدمات امیدی ندارد.

خدابخشی اذعان داشت که برای مقابله با تهدیدات جدید، علاوه بر پیشگیری و تنظیم‌گری، لازم است توان تشخیص حمله تقویت شود و تاب‌آوری در شبکه بانکی افزایش یابد.

او با اشاره به افزایش استفاده از هوش مصنوعی در هر دو حوزه دفاع و حمله تأکید کرد هنوز فاصله زیادی تا ارتقاء اطمینان در مقابله با عامل‌های هوشمند وجود دارد. به‌گفته او، تنظیم‌گری ضروری است، اما به‌تنهایی نمی‌تواند پاسخگوی سرعت تغییر تهدیدات باشد.

خدابخشی توضیح داد: «یافتن یک راه نفوذ به مراتب آسان‌تر از مسدود کردن تمام لایه‌های نفوذ است. اگر منتظر بمانیم تا ببینیم مهاجم چه می‌کند و سپس اقدام کنیم، به طور قطع به نتیجه مطلوبی دست نخواهیم یافت.»

خدابخشی شناسایی نفوذ را از دشوارترین مراحل دفاع سایبری دانست و گفت در برخی مواقع، نفوذ ممکن است ماه‌ها پیش از شناسایی اتفاق بیفتد: «به‌طور مثال، در برخی موارد، شش یا هفت ماه قبل نفوذ صورت گرفته، و تازه بعدها متوجه آن شدیم.»

او تأکید کرد که در کنار اقدامات پیشگیرانه، باید تدابیری برای کنترل عواقب حملات وجود داشته باشد: «باید آماده باشیم که هر زمان ممکن است به ما حمله شود؛ باید بتوانیم حمله را شناسایی کنیم، دامنه آسیب را محدود سازیم و سریعا به ارائه خدمات ادامه دهیم.»

مدیرعامل کاشف در پاسخ به سؤالی در خصوص بدترین سناریوی ممکن، توقف کل شبکه بانکی و زیرساخت‌های مرتبط با پرداخت و نقل و انتقال وجه را عنوان کرد. او توضیح داد که برای زمان‌هایی که زیرساخت‌های کلیدی بانکی از دسترس خارج شوند، سناریوهایی طراحی شده و آزمایش‌هایی نیز صورت گرفته‌اند.

خدابخشی خاطرنشان کرد که این اقدامات پس از جنگ ۱۲ روزه در نظر گرفته شده و هدف از آن‌ها، تضمین ارائه خدمات اصلی و انجام مبادلات مالی در شرایط بحرانی است.

او در ادامه، ارزیابی امنیتی سامانه‌های بانکداری متمرکز یا کوربانکینگ را امری ضروری دانست. خدابخشی گفت که بانک مرکزی به‌طور فعال پیگیر انجام آزمون‌های امنیتی این سامانه‌ها است و برخی ارائه‌دهندگان نیز تمایل به همکاری داشته‌اند. او از آغاز همکاری با داتین در این زمینه خبر داد و اجرای چنین ارزیابی‌هایی را پروژه‌ای عظیم توصیف کرد.

مدیرعامل کاشف همچنین رابط‌های پیش از هسته بانکی، به‌ویژه APIهایی که در بانکداری باز استفاده می‌شوند، را به‌عنوان نقاط ریسک مهمی معرفی کرد: «بانکداری باز هم فرصت است و هم تهدید؛ جایی که APIها در اختیار فین‌تک‌ها قرار می‌گیرند، باید با دقت و حساسیت بررسی شود.»

خدابخشی درباره برداشت عمومی نسبت به امنیت بانک‌ها بیان داشت: «این برداشت که هر نهاد هک شده از بقیه ناامن‌تر است و هر نهاد هک نشده، امنیت بیشتری دارد، صحیح نیست.»

او اضافه کرد جذابیت هدف، میزان توجه هکرها و تأثیر اجتماعی ناشی از اختلال در خدمات در انتخاب هدف حمله نقش مؤثری ایفا می‌کند. او بر این نکته تأکید کرد که وابستگی عمیق مردم به خدمات بانکی و پرداخت آنلاین، این حوزه را به هدفی مهم برای حملات دانسته که به‌دنبال ایجاد اختلال و تخریب هستند.

سعید کاظمی، مدیر ارشد امنیت اطلاعات تپسی، در این پنل به بحث استفاده از چت‌بات در پشتیبانی پرداخت و بر لزوم محدود و کنترل‌شده بودن دسترسی این ابزار به داده‌ها تأکید کرد.

او توضیح داده که در این کاربرد، دسترسی به اطلاعات بسته به نشانه‌گذاری و مجوزهای کاربر خاص تعریف می‌شود: «چت‌بات نباید با یک توکن به تمام اطلاعات دسترسی داشته باشد. دسترسی باید تنها به کاربر مشخص محدود شود تا احتمال دریافت اطلاعات کاربران دیگر یا انجام فعالیت غیرمجاز کاهش یابد.»

مدیر ارشد امنیت اطلاعات تپسی، به خطرات استفاده کارکنان از حساب‌های شخصی یا مشترک با ابزارهای هوش مصنوعی اشاره کرد و به‌خصوص خطراتی که زمانی مطرح می‌شود که داده‌های سازمانی در سرویس‌های خارجی رفته باشند.

او همچنین نسبت به استفاده از بسته‌های نرم‌افزاری مشاوره‌ای هوش مصنوعی هشدار داد و بیان کرد ممکن است توسعه‌دهنده با یک نسخه آلوده مواجه شده و آن را به کد خود اضافه کند. به‌گفته او، پیامد چنین رویدادی می‌تواند از رخدادهای پنهان در زیرساخت تا مشکلات جدی‌تری مانند باج‌افزار باشد.

کاظمی همچنین بر اتصال ابزارها از طریق MCP به سامانه‌های داخلی تأکید کرده و گفت منشأ ابزار، نحوه استفاده و سطح دسترسی آن‌ها باید به دقت مورد بررسی قرار گیرد. او ادامه داد: «نمی‌توانم ادعا کنم که برای همه سناریوها کاملاً آمادگی داریم. سرعت تغییرات بسیار بالا است و این یک پروسه بی‌پایان محسوب می‌شود.»

کاظمی درباره توسعه نرم‌افزار با کمک هوش مصنوعی گفت که این ابزارها در حال گسترش کاربرد خود هستند و فرایندهای امنیتی نیز باید با توجه به افزایش سرعت تولید کد، خودکارتر شوند.

او تأکید کرد که کدهای تولیدشده همچنان باید از فرایندهای بررسی امنیتی عبور کنند: «باید فرایندهای بعدی برای شناسایی اشکالات از جمله بررسی‌ها و اسکن‌های امنیتی در روند توسعه و تست نفوذ طراحی شوند. سرعت باید بیشتر شده و کارها باید به صورت خودکار انجام شوند.»

خود او افزود که آگاهی از محل‌های بهره‌برداری از هوش مصنوعی، داده‌های ورودی و ریسک‌های مرتبط با هر کاربرد، بخشی از مدیریت این فناوری در سازمان است. کاظمی در ادامه اظهار کرد که آموزش و فرهنگ‌سازی برای جلوگیری از استفاده‌های نامناسب از این ابزارهای هوش مصنوعی بسیار مهم است.

او همچنین درباره جعل صدا برای تقلب هشدار داد که شنیدن صدای آشنا نباید به‌تنهایی مبنای اعتماد به درخواست انتقال وجه قرار گیرد و لازم است درخواست‌ها از طریق مسیری مستقل، نظیر تماس با شماره معتبر فرد، بررسی شوند.

اسماعیل ملااحمدی، مدیر ارشد امنیت اطلاعات بلوبانک سامان، از برنامه‌های اولیه این شرکت برای فراهم‌کردن زمینه رقابت بین عامل‌های هوش مصنوعی در حوزه CTF خبر داد. او بیان کرد که اجرای این ایده در دوره جاری محقق نشد، اما همچنان در برنامه‌های آینده قرار دارد.

ملااحمدی توضیح داد که هدف، رقابتی است که در آن شرکت‌کنندگان عوامل هوش مصنوعی خود را ارائه می‌کنند و این عوامل چالش‌ها را حل خواهند کرد. او بر این نکته تأکید کرد که این برنامه به زمینه CTF مربوط می‌شود و نه بررسی مستقل اپلیکیشن‌ها در رویداد باگ‌بانتی.

او همچنین اشاره کرد که در سال جاری محدودیتی برای استفاده شرکت‌کنندگان از ابزارها و عامل‌های هوش مصنوعی وجود نداشته است. برخی چالش‌های CTF به آسانی با کمک این ابزارها قابل حل بودند، اما not all challenges have the same ease of resolution.

ملااحمدی کیفیت گزارش‌های باگ‌بانتی امسال را نسبت به دوره گذشته بهبود یافته ارزیابی کرد و به کارگیری اتوماسیون و هوش مصنوعی را یکی از دلایل این پیشرفت دانست: «تیم‌ها بسیاری از وظایف را به‌صورت خودکار یا با استفاده از ابزارهای هوش مصنوعی انجام می‌دادند و در موارد ضروری، متخصص انسانی وارد عمل می‌شد.»

او بر این نکته تأکید کرد که برای سازمان بلو، کیفیت گزارش‌ها بیشتر از تعداد آن‌ها اهمیت دارد.

مدیر ارشد امنیت اطلاعات بلوبانک سامان در پاسخ به انتخاب میان تیم انسانی و عامل‌های هوش مصنوعی گفت که در شرایط فعلی، ترکیبی از این دو را ترجیح می‌دهد: «مهارت متخصصان در بهره‌برداری از این ابزارها برای کارشان ارزش افزوده ایجاد می‌کند. این ابزارها به‌تنهایی هنوز قادر به حل همه مسائل نیستند.»

او همچنین تاکید کرد که دسترسی به ابزارهای هوش مصنوعی نباید منجر به این تصور شود که افراد نیاز به تخصص ندارند.

ملااحمدی باگ‌بانتی را بخشی از اقدامات ضروری برای ارتقاء امنیت سازمان دانست و تصریح کرد که این برنامه باید همراه با آموزش، نیروی داخلی توانمند و فرایندهای درست به کار رود.

او درباره تأثیر دوره نخست گفت که یافته‌ها به اصلاح برخی فرآیندها، تقویت بخش‌هایی از تیم و تصمیم‌گیری محتاطانه‌تر در برخی زمینه‌ها کمک کرده است: «اگر باگ‌بانتی به ما کمک نکرده بود، به هیچ وجه دوره دوم را برگزار نمی‌کردیم.»

به گفته او، صفحه رسمی برای دریافت گزارش آسیب‌پذیری طراحی شده اما مراحل نهایی انتشار آن به‌دلیل شرایط جاری کشور در حال تکمیل است. ملااحمدی یادآور شد که دریافت گزارش‌ها بین رویدادها متوقف نشده و محققان که از طریق مسیرهای تماس موجود گزارشاتی را ارائه کرده‌اند، پاداش دریافت کرده‌اند.

ملااحمدی درباره کاربری هوش مصنوعی در بلوبانک سامان گفت که برنامه‌ها در مراحل توسعه و آزمون قرار دارند و عمده استفاده‌هایی که انتظار می‌رود، به عملیات داخلی مربوط می‌شود؛ کاربردهایی که پیش‌بینی می‌شود تأثیر آن‌ها در کیفیت خدمات و کاهش زمان پاسخ‌گویی مشهود باشد.

او در رابطه با اطلاع‌رسانی این استفاده به مشتریان بیان کرد که دلیلی برای اعلام عمومی کاربردهای هوش مصنوعی در نظر ندارند، اما انتشار جزئیات مربوط به ابزارها و فناوری‌های استفاده‌شده ممکن است نگرانی‌های امنیتی ایجاد کند.

ملااحمدی افزوده که: «برای هوش مصنوعی از زیرساخت‌های داخلی بلوبانک استفاده می‌کنیم؛ بنابراین داده‌ای به طرف سوم منتقل نمی‌شود که موجب نگرانی در مورد حریم خصوصی شود.»

در زمان اعلام جوایز دومین رویداد «بلو دیپ‌دایو»، بیان شد که از میان ۱۳۲ گزارش دریافتی در رقابت حضوری باگ‌بانتی، ۱۹ گزارش واجد دریافت پاداش شناخته شده‌اند. مجموع پاداش این گزارش‌ها، با احتساب مبالغ تشویقی تیم‌ها، به ۱ میلیارد و ۷۱۰ میلیون تومان می‌رسد.

بر اساس اطلاعات ارائه‌شده، ۷۲ پژوهشگر در قالب ۲۵ تیم یک تا پنج‌نفره، در این رویداد مشارکت داشتند. مبلغ پاداش آسیب‌پذیری‌های اپلیکیشن‌های اصلی و وب‌سرویس‌های بلوبانک بر اساس شدت آن‌ها تعیین شد: پاداش برای سطح متوسط تا ۵۰ میلیون تومان، سطح بالا تا ۱۵۰ میلیون تومان و سطح بحرانی تا ۴۰۰ میلیون تومان. همچنین پاداش آسیب‌پذیری‌های سطح «حیاتی» بالاتر از ۴۰۰ میلیون تومان پیش‌بینی شده که مبلغ آن به تأثیر آسیب‌پذیری و ارزیابی تیم داوری بستگی دارد.

در بخش آنلاین CTF نیز ۱۴۶۵ نفر در قالب ۶۷۸ تیم، برای حل ۳۲ چالش رقابت کردند. جوایز سه تیم اول این بخش به‌ترتیب ۱۳۳۷، ۷۷۰ و ۴۴۰ میلی‌گرم طلا اعلام شد؛ در مجموع، ۲۵۴۷ میلی‌گرم طلا که به گفته برگزارکنندگان، بجای آنان در مراسم واریز شده است.

اعداد جوایز CTF از مفاهیم آشنا در جامعه امنیت الهام گرفته‌اند: عدد ۱۳۳۷ به نماد Leet و دو عدد دیگر به مجوزهای دسترسی در لینوکس اشاره دارند.