به گزارش سیتنا، طی هفته‌های اخیر برخی کاربران آیفون در ایران هنگام دسترسی به نسخه وب شماری از خدمات بانکی با خطاهای مرتبط با گواهی امنیتی مواجه شده‌اند؛ در حالی که همان خدمات برای برخی کاربران گوشی‌های اندرویدی در دسترس است.
در بررسی انجام‌شده از سوی سیتنا، نسخه وب اینترنت‌بانک پاسارگاد در نشانی vbank.bpi.ir و درگاه بانک ملی برای سامانه بام در نشانی bmi.ir/landing/bam مورد بررسی قرار گرفت. این بررسی نشان می‌دهد صرف معتبر بودن گواهی دامنه اصلی بانک، لزوماً وضعیت تمام زیر‌دامنه‌ها و نقاط اتصال مورد استفاده یک سامانه بانکی را مشخص نمی‌کند و برای تشخیص منشأ خطا، بررسی گواهی و زنجیره اعتماد هر سرویس ضروری است.
یکی از عوامل احتمالی این تفاوت، نحوه اعتبارسنجی گواهی‌های SSL/TLS و زنجیره اعتماد در سیستم‌عامل‌های مختلف است. iOS و Android الزاماً از مجموعه گواهی‌های ریشه، سیاست‌های اعتماد و روش‌های یکسانی برای بررسی گواهی‌های امنیتی استفاده نمی‌کنند.
در صورتی که سرور بانکی زنجیره کامل گواهی‌های میانی را ارائه نکند، یا یکی از گواهی‌های زنجیره در یک سیستم‌عامل مورد اعتماد نباشد، ممکن است یک دستگاه بتواند ارتباط امن را برقرار کند، اما دستگاه دیگری اتصال را متوقف کرده یا هشدار امنیتی نمایش دهد.
همچنین نسخه سیستم‌عامل و مرورگر، وضعیت گواهی‌های ریشه و میانی، الگوریتم‌های رمزنگاری مورد استفاده و نحوه پیکربندی TLS سرور می‌تواند بر نتیجه اعتبارسنجی تأثیر بگذارد.
از سوی دیگر، یک اینترنت‌بانک ممکن است برای ورود و ارائه خدمات به چند دامنه و سرویس جانبی متصل شود. بنابراین معتبر بودن گواهی دامنه اصلی بانک به‌تنهایی تضمین نمی‌کند که تمام نقاط اتصال سامانه نیز بدون مشکل در همه دستگاه‌ها قابل دسترسی باشند.
بر همین اساس، نمی‌توان صرف مشاهده خطای گواهی در آیفون، علت را مستقیماً به سیستم‌عامل یا مرورگر نسبت داد. تشخیص قطعی منشأ اختلال نیازمند بررسی گواهی سرور، زنجیره اعتماد و تنظیمات TLS همان سرویس در سیستم‌عامل‌های مختلف است.
پیش‌تر نیز بانک مرکزی از لغو گواهی فنی ـ امنیتی برخی پایگاه‌های مرتبط با خود از سوی یک تأمین‌کننده خارجی خبر داده بود؛ موضوعی که اهمیت مدیریت چرخه گواهی‌های امنیتی برای خدمات حساس بانکی را نشان می‌دهد.
در چنین شرایطی، استفاده از گواهی معتبر، ارائه صحیح زنجیره گواهی و سازگاری پیکربندی TLS با سیستم‌عامل‌ها و مرورگرهای مختلف، از الزامات دسترسی پایدار و امن کاربران به خدمات بانکی محسوب می‌شود.
انتهای پیام