بحران گواهی SSL در ایران؛ وقتی بانکها برای هکرها فرش قرمز پهن میکننداگر از یک کلاهبردار سایبری بپرسید بهترین سناریو برای سرقت چیست، احتمالاً میگوید: «بانکها و صرافیها مدام آدرس سایتشان را عوض کنند و به مردم بگویند خطاهای امنیتی را نادیده بگیرید.»
این سناریوی خطرناک حالا بهواسطهی بحران گواهی SSL در ایران رنگ واقعیت به خود گرفته است.
در هفتههای اخیر گواهی امنیتی سایتهای بانک مرکزی و بانکهایی مثل «ملت» از اعتبار افتاد و بانک ملی هم برای حفظ دسترسی مشتریان، یکشبه آدرسهای تازهای در کنار دامنهی شناختهشدهی خود معرفی کرد.
این رفتار ما را یاد رفتار سایتهای دانلود فیلم میاندازد که با اضافه کردن یک عدد به آخر دامنه، از سد مسدودی فرار میکنند. اما اینبار صحبت از یک سایت دانلود نیست؛ بلکه دربارهی زیرساخت حیاتی بانکها صحبت میکنیم.
تغییر دامنهی بانکها به بهانهی دور زدن تحریمهای فناوری، شاید مشکل فنی بانک را موقتاً رفع کند، اما اعتماد میلیونها نفر به زیرساخت دیجیتال را خدشهدار کرده و فرش قرمز بزرگی را برای حملات «فیشینگ» و سرقت دارایی کاربران پهن میکند.
▪️ چرا گواهی امنیتی بانکها یکشبه نامعتبر شد؟
گواهی SSL1 به زبان ساده، مانند کارت شناسایی هر وبسایت است. این گواهی به مرورگر ثابت میکند که شما واقعاً به همان دامنهای وصل شدهاید که در نوار آدرس میبینید و ارتباط شما با آن رمزنگاری شده است تا کسی نتواند اطلاعات حساس را در میانهی راه سرقت کند.
این گواهی به دو شکل از کار میافتد:
یا «منقضی» میشود، یعنی مدت اعتبارش تمام شده و کسی آن را تمدید نکرده است؛ یا «باطل (لغو)» میشود، یعنی همان مرجعی که صادرش کرده، پیش از پایان اعتبار آن را پس گرفته است.
آنچه بانک مرکزی دربارهی پایگاههای اطلاعرسانی خود اعلام کرد، از نوع دوم بود. در هر دو حالت نتیجه برای کاربر یکی است: مرورگر هشدار میدهد که دیگر نمیتواند هویت سایت را تأیید کند.
بهواسطهی تحریمها، بسیاری از شرکتهای جهانی با ایران کار نمیکنند. در عمل بیشتر سایتهای ایرانی یا سراغ سرویس رایگان «لتسانکریپت» (Let’s Encrypt) میرفتند یا سراغ مرجع لهستانی «سرتوم» (Certum)؛ و حالا هر دو مسیر یکی پس از دیگری تنگتر شده است.
لتسانکریپت تابستان امسال بندی دربارهی پایبندی به تحریمهای آمریکا به توافقنامهی کاربرانش اضافه کرد، بعد آن را بازنویسی کرد و میگوید همچنان ذیل مجوزهای عمومی خزانهداری آمریکا برای کاربران غیردولتی ایران گواهی صادر میکند.
یعنی این در برای سایتهای عادی بهکلی بسته نشده؛ اما نهادهای دولتی و بانکهایی که مستقیماً در فهرست تحریم قرار دارند، دقیقاً همانهایی هستند که از این مسیر بیرون میمانند.
زمانی که فشار تحریم به حلقههای بالاتر این زنجیره میرسد، آنها هم از تمدید گواهی سر باز میزنند و نتیجه این میشود که گواهی سایتهای مهم بانکی و دولتی یکشبه منقضی یا باطل شده و کاربران با خطای امنیتی مواجه میشوند.
