💡 بحران گواهی SSL در ایران؛ وقتی بانک‌ها برای هکرها فرش قرمز پهن می‌کنند

اگر از یک کلاه‌بردار سایبری بپرسید بهترین سناریو برای سرقت چیست، احتمالاً می‌گوید: «بانک‌ها و صرافی‌ها مدام آدرس سایتشان را عوض کنند و به مردم بگویند خطاهای امنیتی را نادیده بگیرید.»
این سناریوی خطرناک حالا به‌واسطه‌ی بحران گواهی SSL در ایران رنگ واقعیت به خود گرفته است.

در هفته‌های اخیر گواهی امنیتی سایت‌های بانک مرکزی و بانک‌هایی مثل «ملت» از اعتبار افتاد و بانک ملی هم برای حفظ دسترسی مشتریان، یک‌شبه آدرس‌های تازه‌ای در کنار دامنه‌ی شناخته‌شده‌ی خود معرفی کرد.

این رفتار ما را یاد رفتار سایت‌های دانلود فیلم می‌اندازد که با اضافه کردن یک عدد به آخر دامنه، از سد مسدودی فرار می‌کنند. اما این‌بار صحبت از یک سایت دانلود نیست؛ بلکه درباره‌ی زیرساخت حیاتی بانک‌ها صحبت می‌کنیم.

تغییر دامنه‌ی بانک‌ها به بهانه‌ی دور زدن تحریم‌های فناوری، شاید مشکل فنی بانک را موقتاً رفع کند، اما اعتماد میلیون‌ها نفر به زیرساخت دیجیتال را خدشه‌دار کرده و فرش قرمز بزرگی را برای حملات «فیشینگ» و سرقت دارایی کاربران پهن می‌کند.

▪️ چرا گواهی امنیتی بانک‌ها یک‌شبه نامعتبر شد؟

گواهی SSL1 به زبان ساده، مانند کارت شناسایی هر وب‌سایت است. این گواهی به مرورگر ثابت می‌کند که شما واقعاً به همان دامنه‌ای وصل شده‌اید که در نوار آدرس می‌بینید و ارتباط شما با آن رمزنگاری شده است تا کسی نتواند اطلاعات حساس را در میانه‌ی راه سرقت کند.

این گواهی به دو شکل از کار می‌افتد:
یا «منقضی» می‌شود، یعنی مدت اعتبارش تمام شده و کسی آن را تمدید نکرده است؛ یا «باطل (لغو)» می‌شود، یعنی همان مرجعی که صادرش کرده، پیش از پایان اعتبار آن را پس گرفته است.

آنچه بانک مرکزی درباره‌ی پایگاه‌های اطلاع‌رسانی خود اعلام کرد، از نوع دوم بود. در هر دو حالت نتیجه برای کاربر یکی است: مرورگر هشدار می‌دهد که دیگر نمی‌تواند هویت سایت را تأیید کند.

به‌واسطه‌ی تحریم‌ها، بسیاری از شرکت‌های جهانی با ایران کار نمی‌کنند. در عمل بیشتر سایت‌های ایرانی یا سراغ سرویس رایگان «لتس‌انکریپت» (Let’s Encrypt) می‌رفتند یا سراغ مرجع لهستانی «سرتوم» (Certum)؛ و حالا هر دو مسیر یکی پس از دیگری تنگ‌تر شده است.

لتس‌انکریپت تابستان امسال بندی درباره‌ی پایبندی به تحریم‌های آمریکا به توافق‌نامه‌ی کاربرانش اضافه کرد، بعد آن را بازنویسی کرد و می‌گوید همچنان ذیل مجوزهای عمومی خزانه‌داری آمریکا برای کاربران غیردولتی ایران گواهی صادر می‌کند.

یعنی این در برای سایت‌های عادی به‌کلی بسته نشده؛ اما نهادهای دولتی و بانک‌هایی که مستقیماً در فهرست تحریم قرار دارند، دقیقاً همان‌هایی هستند که از این مسیر بیرون می‌مانند.

زمانی که فشار تحریم به حلقه‌های بالاتر این زنجیره می‌رسد، آن‌ها هم از تمدید گواهی سر باز می‌زنند و نتیجه این می‌شود که گواهی سایت‌های مهم بانکی و دولتی یک‌شبه منقضی یا باطل شده و کاربران با خطای امنیتی مواجه می‌شوند.

⚡️ نکته
قفل سبز مرورگر تضمین نمی‌کند سایت واقعاً متعلق به بانک شماست.
گواهی‌های رایگان و پرکاربردی مثل لتس‌انکریپت فقط ثابت می‌کنند که شما به همان دامنه‌ی نوشته‌شده در نوار آدرس وصل شده‌اید و ارتباطتان رمزنگاری شده است؛ نه اینکه صاحب آن دامنه بانک است.
به همین دلیل بیشتر سایت‌های فیشینگ امروز هم قفل سبز و گواهی کاملاً معتبر دارند. حرف آخر را همیشه «درستی آدرس» می‌زند، نه قفل کنار آن.

▪️ عواقب ماجرا؛ از عادی‌سازی خطر تا پهن کردن فرش قرمز برای فیشینگ

وقتی یک مشکل امنیتی سراسری مثل تحریم گواهی‌های SSL برای زیرساخت‌های بانکی رخ می‌دهد، انتظار می‌رود «بانک مرکزی» یک دستورالعمل مشخص، سریع و یکپارچه به همه‌ی بانک‌ها ابلاغ کند؛ اما در عمل شاهد تصمیم‌گیری جزیره‌ای در بانک‌ها هستیم؛ یکی آدرس سایت را تغییر می‌دهد، دیگری خطا را نادیده می‌گیرد و هیچ اطلاع‌رسانیِ واحد و شفافی به مردم و شرکت‌ها انجام نمی‌شود.

پیامدهای چنین تصمیماتی که در سطح مدیریت بحران گرفته می‌شود، می‌تواند بسیار خطرناک‌تر از خود مشکل اولیه باشد.

▪️ پهن کردن فرش قرمز برای هکرها (فیشینگ)

سال‌ها زمان برده تا به کاربران آموزش دهیم پیش از وارد کردن اطلاعات حساس، آدرس دقیق سایت را بررسی کنند (در نوشدارو هم در این مورد زیاد صحبت کرده‌ایم). وقتی یک بانک آدرس رسمی خود را تغییر می‌دهد، کاربر در سردرگمی مطلق رها می‌شود و دیگر نمی‌داند آدرس واقعی کدام است.
این همان فضای غبارآلودی است که مهاجمان سایبری انتظارش را می‌کشند.

امروز بانک دامنه‌‌اش را تغییر می‌دهد و فردا کلاهبرداران دامنه‌ای شبیه به آدرس جدید ثبت می‌کنند. در این آشفته‌بازار تشخیص سایت اصلی از جعلی برای کاربرانی که دانش فنی بالایی ندارند، بسیار سخت می‌شود.

▪️ عادی‌سازی خطر و خلع سلاح کاربر

خطرناک‌ترین بخش ماجرا اطلاعیه‌ها و توصیه‌هایی است که از سوی مراجع رسمی منتشر می‌شود.

اینکه «بانک مرکزی» در اطلاعیه‌‌ی رسمی به مردم بگوید «تا زمان رفع این مشکل، هموطنان می‌توانند با عبور از پیام خطای نمایش‌داده‌شده در مرورگر، به خدمات موردنظر خود دسترسی پیدا کنند»، بدترین آسیب را به سواد دیجیتال کاربران وارد می‌کند.

ما با این کار در حال آموزش «رفتار پرخطر» به شهروندان هستیم. کاربری که عادت کند خطای امنیتی سایت بانکی یا درگاه پرداخت را نادیده بگیرد، فردا ممکن است در دام فیشینگ گرفتار شده و تمام سرمایه‌اش را از دست بدهد.

▪️ اختلال زنجیره‌ای در درگاه‌های پرداخت و استارتاپ‌های مالی

از کار افتادن گواهی امنیتی یا تغییر ناگهانی دامنه‌ی بانک، فقط برای کاربران دردسرساز نیست و می‌تواند ارتباط بانک با درگاه‌های‌ پرداخت، اپلیکیشن‌های مالی، پرداخت‌یارها و کسب‌وکارهای فین‌تک را هم مختل کند.

نمونه‌ی این ماجرا در همین بحران، اختلال در تمدید گواهی شبکه‌ی پرداخت کارتی (شاپرک) بود؛ جایی که یک مشکل ظاهراً کوچک در لایه‌ی گواهی، می‌تواند بخش بزرگی از کسب‌وکارهای دیجیتالِ متصل به سرویس پرداخت بانک را از سرویس خارج کند.

▪️ بن‌بست اعتماد و خطرات زیرساخت بومی

اگر این روند ادامه پیدا کند و هیچ شرکت معتبر جهانی حاضر به همکاری و امضای گواهی برای سایت‌های ایرانی نباشد، وب‌سایت‌های داخلی از دید مرورگرهای استاندارد در سراسر جهان «غیرقابل‌اعتماد» شناخته می‌شوند.

آن‌طور که کارشناسان امنیت سایبری می‌گویند در چنین بن‌بستی تنها دو مسیر پیش روی مدیران باقی می‌ماند که هر دو به شدت آسیب‌زا هستند:

• راهکار نخست استفاده از گواهی‌های خودامضا (Self-Signed) که در آن هیچ نهاد ثالثی هویت سایت را تأیید نمی‌کند و کاربر مجبور است چشم‌بسته تمام خطرات را بپذیرد.

• راهکار دوم راه‌اندازی یک مرجع صدور گواهی (CA) بومی و داخلی است. از آنجا که این مرجع بومی در لیست پیش‌فرض مرورگرهای جهانی قرار ندارد، گواهی آن باید به‌صورت دستی روی دستگاه تک‌تک شهروندان نصب شود.

این اقدام تبعات امنیتی «بسیار ویرانگری» دارد؛ چون اگر کلیدهای اصلی این مرجع به هر دلیلی نشت کند یا هک شود، روی دستگاه هر کسی که آن گواهی را نصب کرده باشد، راه برای جعل هویت هر سایتی و شنود ترافیک کاربر (حملات مرد میانی) باز می‌شود.

@v2scam