10.3. Elektron to'lovlar xavfsizligi

Elektron tijoratning eng nozik qismi to'lov hisoblanadi, chunki aynan shu yerda pul va moliyaviy ma'lumot harakatlanadi. Foydalanuvchi uchun bu jarayon oddiy ko'rinadi: u karta ma'lumotini kiritadi, tasdiq kodini yozadi va bir necha soniyada to'lov amalga oshadi. Aslida esa bu qisqa vaqt ichida bir necha tashkilot o'rtasida ma'lumot almashinuvi sodir bo'ladi (10.6-rasm).

Jarayon xaridordan boshlanadi: u onlayn do'konda to'lovni tanlaydi. Do'kon to'lov so'rovini to'lov shlyuziga uzatadi, shlyuz esa uni protsessing markaziga yo'naltiradi. Protsessing markazi so'rovni kartani chiqargan bankka yetkazadi. Bank kartaning haqiqiyligini, mablag' yetarliligini va cheklovlar yo'qligini tekshirib, tasdiq yoki rad javobini qaytaradi. Javob xuddi shu zanjir bo'ylab teskari yo'nalishda xaridorga yetib boradi.

Xavfsizlik nuqtai nazaridan bu sxemadagi eng muhim qoida shundaki, onlayn do'kon karta ma'lumotini o'zida saqlamasligi kerak. To'g'ri qurilgan tizimda xaridor karta ma'lumotini do'kon saytiga emas, to'lov tizimining himoyalangan sahifasiga kiritadi. Do'kon esa faqat to'lov muvaffaqiyatli bo'lgani to'g'risidagi tasdiqni oladi. Bu tamoyilni sodda qilib shunday ifodalash mumkin: ma'lumot qayerda saqlanmasa, o'sha yerdan o'g'irlanmaydi.

Ushbu qoidaning ahamiyatini kirish voqeasi yaqqol ko'rsatadi. Target hodisasida tajovuzkorlar aynan to'lov terminallarida qayta ishlanayotgan karta ma'lumotini qo'lga kiritgan edi. Agar bu ma'lumot ochiq holda mavjud bo'lmaganida, hujumning natijasi ancha kam zararli bo'lardi.

Karta ma'lumotini saqlamaslik qoidasi mantiqiy, biroq amalda bir qiyinchilik tug'diradi: ba'zi hollarda takroriy to'lovlar zarur bo'ladi, masalan obuna to'lovi yoki mijozning kartani saqlab qo'yish istagi. Bu vaziyatda tokenizatsiya (tokenization) usuli qo'llaniladi.

Tokenizatsiyaning mohiyati shundaki, haqiqiy karta raqami tasodifiy qiymat, ya'ni token bilan almashtiriladi. Haqiqiy raqam faqat maxsus himoyalangan xizmatda saqlanadi, sotuvchiga esa faqat token beriladi. Token o'g'irlansa ham, u boshqa joyda ishlamaydi, chunki u faqat muayyan sotuvchi va muayyan shart uchun amal qiladi (10.7-rasm).

Ushbu yondashuv zamonaviy mobil to'lov xizmatlarining asosini tashkil etadi. Foydalanuvchi smartfoniga kartasini qo'shganda, qurilmada haqiqiy karta raqami saqlanmaydi: uning o'rniga token joylashtiriladi. Shu sababli telefon yo'qolsa ham, undan karta raqamini olib bo'lmaydi. Ba'zi tizimlarda esa har bir tranzaksiya uchun alohida, bir martalik qiymat yaratiladi, bu esa himoyani yanada kuchaytiradi.

Tokenizatsiyani shifrlash bilan chalkashtirmaslik kerak. Shifrlangan ma'lumot matematik jihatdan asl ma'lumotga bog'liq bo'ladi va kalit yordamida tiklanadi. Token esa asl ma'lumot bilan hech qanday matematik bog'liqlikka ega emas: u shunchaki tasodifiy qiymat bo'lib, unga mos karta raqamini faqat tokenlashtirish xizmatidagi jadval orqali topish mumkin. Aynan shu sababli token qo'lga tushsa ham, undan hech qanday hisoblash yo'li bilan karta raqamini chiqarib bo'lmaydi.

To'lov kartalari bilan ishlaydigan tashkilotlar uchun xalqaro darajada maxsus standart ishlab chiqilgan. U PCI DSS (Payment Card Industry Data Security Standard) deb ataladi va yetakchi to'lov tizimlari tomonidan talab qilinadi.

Standart karta egasi to'g'risidagi ma'lumotni himoyalash qoidalarini belgilaydi. U tarmoq xavfsizligi, zaifliklarni boshqarish, monitoring va sinov talablari hamda axborot xavfsizligi siyosatiga oid qoidalarni qamrab oladi. Talablar tashkilotning hajmiga qarab tabaqalashtiriladi: yiliga qancha ko'p tranzaksiya amalga oshirilsa, talablar shuncha qattiq bo'ladi (10.8-rasm).

Kichik onlayn do'kon uchun eng qulay yechim, umuman karta ma'lumoti bilan ishlamaslikdir. Agar to'lov to'liq tashqi to'lov tizimi orqali amalga oshirilsa va karta raqami hech qachon do'kon serveriga tushmasa, tashkilot uchun standart talablari ancha yengillashadi. Bu yana bir bor asosiy tamoyilni tasdiqlaydi: eng yaxshi himoya, nozik ma'lumotni umuman qo'lga olmaslikdir.

Karta ma'lumotini bilishning o'zi to'lovni amalga oshirish uchun yetarli bo'lsa, o'g'irlangan karta bilan bemalol xarid qilish mumkin bo'lardi. Shu sababli onlayn to'lovlarda qo'shimcha tasdiqlash bosqichi joriy etilgan. Amalda bu ko'pincha telefonga yuborilgan bir martalik kod ko'rinishida bo'ladi: to'lovni yakunlash uchun xaridor shu kodni kiritishi kerak.

Bu, mohiyatan, to'qqizinchi bobda ko'rilgan ko'p omilli autentifikatsiyaning to'lov sohasidagi qo'llanishidir. Bu yerda «bilaman» omili karta ma'lumoti bo'lsa, «menda bor» omili xaridorning telefoni hisoblanadi. Natijada tajovuzkor karta ma'lumotini bilgan taqdirda ham, telefonga kirish imkoni bo'lmasa, to'lovni yakunlay olmaydi.

Elektron tijorat to'g'risidagi qonunchilikda ham elektron tasdiqlash usullariga alohida o'rin berilgan: qisqa xabar orqali yuborilgan kod yoki yuzni tanish kabi usullar hujjatni imzolagan shaxsning roziligini ifodalovchi va uni identifikatsiya qilish imkonini beruvchi vosita sifatida tan olinadi. Ya'ni bunday tasdiqlash nafaqat texnik, balki huquqiy ahamiyatga ham ega.

Shu bilan birga qo'shimcha tasdiqlash mutlaq himoya bermaydi. Ijtimoiy injiniring orqali xaridordan aynan shu kodni so'rab olish urinishlari keng tarqalgan: tajovuzkor o'zini bank yoki do'kon xodimi qilib ko'rsatib, «tasdiqlash uchun kodni ayting» deydi. Shu sababli mijozlarga bir qoidani aniq yetkazish zarur: bu kodni hech kimga, hech qanday sharoitda aytish mumkin emas.