Ovuc içi ilə ödənişdə təhlükə Ekspert açıqladı

Azərbaycanda ovuc içi ilə ödəniş texnologiyasının tətbiqi rəqəmsal ödənişlərdə yeni mərhələ kimi qiymətləndirilir. Artıq istifadəçiyə bank kartı və ya smartfon əvəzinə biometrik məlumat vasitəsilə ödəniş etmək imkanı verən bu texnologiya rahatlıq və sürət baxımından üstünlüklər vəd edir. Lakin ödəniş sistemlərində biometrik məlumatlardan istifadə yeni təhlükəsizlik suallarını da gündəmə gətirir.
Bəs ovuc içi ilə ödəniş sistemləri hansı kibertəhlükələrə yol aça bilər və biometrik məlumatların qorunması üçün hansı təhlükəsizlik tədbirləri görülməlidir?
Mövzu ilə bağlı Demokrat.az-a açıqlamasında kibertəhlükəsizlik üzrə ekspert Elvin Abbasov bildirib ki, Azərbaycanda “PalmPay” kimi ovuc içi ilə ödəniş texnologiyasının tətbiqi rəqəmsal maliyyə ekosistemində mühüm innovasiya olsa da, biometrik məlumatların dəyişdirilməzliyi bu sistemin kibertəhlükəsizlik baxımından xüsusi həssaslıqla qiymətləndirilməsini tələb edir.

Onun sözlərinə görə, plastik kartın məlumatları və ya PİN-kod sızdıqda onları anında bloklamaq və ya yeniləmək mümkündür; lakin insanın ovuc içi damar naxışları kimi fərdi biometrik verilənlərin sızması bərpaolunmaz fəsadlara yol aça bilər.
"Ən böyük risk faktorları sırasında mərkəzi serverlərdə saxlanılan biometrik şablonlar bazasına kənar müdaxilə edilməsi, terminal ilə server arasındakı məlumat mübadiləsi zəncirində paketlərin ələ keçirilməsi və ictimai yerlərdəki skaner aparatlarına fiziki zərərli proqramların yerləşdirilməsi dayanır. Eyni zamanda, dərinin altındakı damar şəbəkəsini imitasiya edən saxta 3D modellər və ya əvvəllər ələ keçirilmiş biometrik siqnalların terminala yenidən göndərilməsi (replay attack) kimi saxtalaşdırma cəhdləri də potensial kibertəhdidlər sırasındadır. Bu cür mümkün kiberhücumların qarşısının alınması və istifadəçi məlumatlarının maksimum dərəcədə qorunması üçün kompleks texniki və hüquqi təhlükəsizlik tədbirləri görülməlidir. İlk növbədə, istifadəçinin ovuc içi damar şəkli heç bir halda xam foto formatında saxlanılmamalı, skan edildiyi andan etibarən birtərəfli riyazi alqoritmlər vasitəsilə çevrilərək (hash/token) aparat təhlükəsizlik modullarında (HSM) qorunmalıdır. Bu yanaşma hətta verilənlər bazası sızsa belə, həmin riyazi koddan şəxsin ovuc izinin bərpa olunması riskini əhəmiyyətli dərəcədə azaltmağa imkan verir. Paralel olaraq, skaner terminalları saxtalaşdırma cəhdlərini aşkarlayan yüksək dəqiqlikli “canlılıq testi” (liveness detection) sensorları ilə təchiz olunmalı, terminaldan mərkəzə qədər olan bütün məlumat mübadiləsi zəncirində ucdan-uca şifrələmə (E2EE) tətbiq edilməlidir. Sistemin kütləvi yayılması və istifadəçilərin etimadının qazanılması üçün isə texniki müdafiə ilə yanaşı, güclü normativ-hüquqi baza formalaşdırılmalıdır. Şübhəli əməliyyatlarda və ya yüksək məbləğli ödənişlərdə mobil tətbiq üzərindən əlavə təsdiqləmə mexanizmləri aktiv olunmalı, platforma “Fərdi məlumatlar haqqında” Azərbaycan Respublikasının qanunvericiliyinin tələblərinə və ISO/IEC 30107 kimi beynəlxalq biometrik təhlükəsizlik standartlarına uyğunlaşdırılmalıdır. Ən mühüm məqamlardan biri də vətəndaşlara öz biometrik məlumatlarının hansı şəraitdə qorunduğu barədə tam şəffaflığın təmin edilməsi və qanunvericiliyin imkan verdiyi hallarda öz biometrik profilinin sistemdən silinməsi ilə bağlı hüquqlarının təmin olunmasıdır", - deyə Elvin Abbasov fikrini tamamlayıb.
Nuray Paşşanlı