बैंकिंग जोखिम खोलें

डिजिटल तूफान की लहरें अर्थव्यवस्था के अधिक से अधिक क्षेत्रों को कवर करती हैं, जिससे एक नई वास्तविकता बनती है। वित्तीय उद्योग कोई अपवाद नहीं था: देश, एक के बाद एक, क्रेडिट संस्थानों के काम के लिए एक क्रांतिकारी दृष्टिकोण विकसित कर रहे हैं और लागू कर रहे हैं - ओपन बैंकिंग या ओपन बैंकिंग की अवधारणा।

ओपन बैंकिंग बैंक सूचना प्रणालियों के लिए एक एकीकृत सॉफ्टवेयर इंटरफेस है। इसका उपयोग वित्तीय अनुप्रयोग डेवलपर्स, फिनटेक कंपनियों द्वारा किया जा सकता है, ताकि नई पीढ़ी की वित्तीय सेवाओं के साथ ग्राहकों को प्रदान किया जा सके।

खुले इंटरफ़ेस के माध्यम से बैंकों के साथ सहभागिता न केवल अवसर है, बल्कि जोखिम भी है। इस पोस्ट में, हम ओपन बैंकिंग के कार्यान्वयन के साथ उत्पन्न होने वाले जोखिमों और खतरों पर विचार करेंगे, और उनके खिलाफ सुरक्षा के संभावित विकल्पों पर चर्चा करेंगे।

फिनटेक कंपनियों के बारे में

अभिनव वित्तीय उत्पाद बनाने के लिए बैंकों की इच्छा के बावजूद, फिनटेक कंपनियों के साथ इस संबंध में प्रतिस्पर्धा करना उनके लिए मुश्किल है जो नियामक और आंतरिक नियमों की आवश्यकताओं से जुड़े नहीं हैं। और बैंकों के बीच प्रतिस्पर्धा और ग्राहकों को सेवा की ओर आकर्षित करने की इच्छा बिल्कुल उन सेवाओं के निर्माण पर प्राकृतिक प्रतिबंध लगाती है जो कई क्रेडिट संस्थानों की सेवाओं को एकीकृत करती हैं।

फिनटेक कंपनियां रूढ़िवादी बैंकों के साथ अनुकूल तुलना करती हैं। वे अलग-अलग बैंकों से ग्राहकों को आकर्षित करने के लिए खर्च कर सकते हैं, नियामक से स्वतंत्रता के सभी लाभों का उपयोग करके जल्दी से नए गैर-मानक उत्पाद पेश कर सकते हैं।

वित्तीय और प्रौद्योगिकी कंपनियों की गतिशील प्रकृति कुछ हद तक उनकी संगठनात्मक विशेषताओं का परिणाम है। ट्रेंड माइक्रो द्वारा वित्तीय प्रौद्योगिकी प्रदाताओं के विश्लेषण के लिए अध्ययन के लिए तैयार " PSD2 के लिए तैयार या नहीं: ओपन बैंकिंग के जोखिम " ने दिखाया कि इनमें से अधिकांश कंपनियां:

• कर्मचारियों की एक छोटी संख्या है;
• वित्तीय संसाधनों में सीमित;
• काम के लिए क्लाउड इन्फ्रास्ट्रक्चर का सक्रिय रूप से उपयोग करें;
• सेवाओं के वर्चुअलाइजेशन और कंटेनरीकरण लागू करें;
• विकास चक्र को छोटा करने और नवाचार पर ध्यान केंद्रित करने के लिए तीसरे पक्ष के एसडीके का उपयोग करें;
• समय और धन दोनों को बचाने के लिए परीक्षण चक्र को छोटा करें। यह आश्चर्य की बात नहीं है। इस दृष्टिकोण को माइक्रोसॉफ्ट जैसे दिग्गजों द्वारा लागत को कम करने के प्रयास में अभ्यास किया जाता है, जिसने विंडोज इनसाइडर कार्यक्रम में प्रतिभागियों के पक्ष में पूर्णकालिक परीक्षकों को छोड़ दिया है।

बैंकों की तुलना में इन विशेषताओं का फ्लिप पक्ष काफी अधिक कमजोर है। ओपन बैंकिंग की शुरुआत करने वाले देशों की बढ़ती संख्या के साथ, खतरे का परिदृश्य अधिक विविध होता जा रहा है, क्योंकि साइबर अपराधियों के पास हमलों के लिए अपने निपटान के नए लक्ष्य हैं। आइए उनके बारे में अधिक विस्तार से बात करते हैं।

ओपन बैंकिंग हमलों के लिए लक्ष्य

बैंक सार्वजनिक एपीआई

यूरोपियन बैंकों में PSD2 , "संशोधित भुगतान सेवा निर्देश" के अनुसार लागू किया गया ओपन एपीआई, एक बड़ी प्रक्रिया का हिस्सा है। इस तरह के प्रोग्रामिंग इंटरफेस का कार्यान्वयन कई देशों में हो रहा है। कहीं न कहीं, ये काम निजी कंपनियों और बैंकों को एकजुट करने की एक पहल है। उदाहरण के लिए, यूएसए में टिकाऊ डेटा एपीआई के विकास को वित्तीय सेवा सूचना विश्लेषण केंद्र (FS-ISAC) की सहायक कंपनी गैर-लाभकारी संस्था FDX द्वारा समर्थित किया गया है। अन्य सरकारें मेक्सिको की तरह प्रक्रिया का पूर्ण नियंत्रण रखना पसंद करती हैं, जो फिनटेक कानून , या ऑस्ट्रेलिया, जिसमें बैंक प्रोग्रामिंग इंटरफेस तक फिनटेक पहुंच उपभोक्ता डेटा राइट नामक घटनाओं का एक बड़ा पूल का हिस्सा है।


दुनिया में वित्तीय एपीआई की हिमस्खलन वृद्धि। स्रोत: ट्रेंड माइक्रो

सार्वजनिक बैंकिंग एपीआई की संख्या में वृद्धि अनिवार्य रूप से लाभ के लिए इसका उपयोग करने के प्रयासों में वृद्धि होगी। यदि कोई ऐसा इंटरफ़ेस है जिसके माध्यम से आप एक स्वचालित प्रणाली से जुड़ने और लाखों लोगों को अपने आप में स्थानांतरित करने के लिए बैंक के संरक्षण में दरार कर सकते हैं?

ट्रेंड माइक्रो द्वारा किए गए एक अध्ययन में बैंकों की एक महत्वपूर्ण संख्या का पता चला है जो गोपनीय जानकारी का खुलासा करते हैं - एपीआई और वेबसाइट यूआरएल में वन-टाइम पासवर्ड, एक्सेस टोकन, ई-मेल, आईएमईआई और लेनदेन डेटा।

हालांकि एसएसएल का उपयोग यातायात अवरोधन से बचाता है, URL में ऐसी जानकारी का प्रसारण खतरनाक है क्योंकि ये पैरामीटर हैं:

• वेब सर्वर लॉग में दिखाई दे सकते हैं;
• ब्राउज़र URL में प्रदर्शित किया जाएगा;
• ब्राउज़र ब्राउज़िंग इतिहास में प्रकट;
• वे किसी भी उपकरण को दिखाई देंगे जो एसएसएल अवरोधन करता है, उदाहरण के लिए, एक विश्वसनीय प्रमाण पत्र के साथ नेटवर्क निगरानी उपकरण।

बैंकिंग एपीआई यूआरएल में गोपनीय डेटा। स्रोत: ट्रेंड माइक्रो

कुछ ब्राउज़रों में, ब्राउज़िंग इतिहास को उपकरणों में साझा किया जाता है, जैसे कि लैपटॉप, स्मार्टफोन और टैबलेट। किसी URL में संवेदनशील जानकारी प्रदर्शित करने से संभावित रूप से मल्टी-फैक्टर प्रमाणीकरण की प्रभावशीलता कमजोर हो जाएगी, जिससे हैकर्स को इस जानकारी को चुराने के लिए कम से कम सुरक्षित उपकरणों पर हमला करने की अनुमति मिलती है।


वास्तविक जीवन का उदाहरण: लाखों ग्राहकों वाली एक यूरोपीय फिनटेक कंपनी ने एपीआई प्रलेखन प्रकाशित किया है जिसमें कहा गया है कि ईमेल पते, पासवर्ड, पासवर्ड और ग्राहक पहचानकर्ता एपीआई यूआरएल में भेजे जाते हैं।
स्रोत: ट्रेंड माइक्रो

सार्वजनिक APIs के दुर्भावनापूर्ण उपयोग का एक अन्य तरीका DoS / DDoS हमले हैं। कोई भी इच्छुक हैकर उन मापदंडों के संयोजन को खोजने के लिए परीक्षण और त्रुटि का प्रयास कर सकता है जो सेवा विफलता का कारण बनेंगे।

मोबाइल ऐप

ओवरले और अन्य परिचित विकल्पों का उपयोग करते हुए मोबाइल एप्लिकेशन पर पारंपरिक हमलों के अलावा, तीसरे पक्ष के एसडीके का उपयोग अतिरिक्त खतरे को भी बढ़ाता है।

ऐसे मामले सामने आते हैं जब उनमें दुर्भावनापूर्ण कार्य किए गए थे, जिन्होंने इस लाइब्रेरी के प्रीमियम एसएमएस या सशुल्क सेवाओं का उपयोग करते हुए एक प्रोग्राम के उपयोगकर्ता को सब्सक्राइब किया, जैसे कि ई xpensiveWall, जो gtk लाइब्रेरी , या ड्रेनरबॉट में एम्बेड किया गया था, जिसे टैपकोर एसडीके में पेश किया गया था और उनके लिए धोखा देने के लिए अदृश्य वीडियो दिखाए गए थे। ।

कुछ मामलों में, शुरू में सुरक्षित और उपयोगी एप्लिकेशन अचानक दुर्भावनापूर्ण हो गए, जैसे कि कैमस्कैनर - फोन पीडीएफ निर्माता, जिसे अचानक ट्रोजन सुविधाओं के साथ एक पुस्तकालय मिला ।

जाहिर है, वित्तीय डेटा के साथ काम करने के लिए कार्यक्रमों में छिपी कार्यक्षमता सबसे अप्रिय परिणाम हो सकती है।

और भले ही ओपन बैंकिंग एप्लिकेशन ग्राहकों की ओर से भुगतान के अधिकार में सीमित हैं, फिर भी हमलावर उन्हें लाभ के लिए उपयोग करने में सक्षम होंगे। पूर्ण लेनदेन पर डेटा भी एक मूल्यवान वस्तु है। कब और कहां खरीदारी की जाती है, इसके बारे में जानकारी आपको उपयोगकर्ताओं की दैनिक गतिविधियों, उनकी आदतों, रुचियों और वित्तीय स्थिति का अंदाजा लगा सकती है।

मोबाइल ऐप्स पर हमला करने का एक और लक्ष्य बग रिपोर्ट है। यदि एप्लिकेशन क्रैश हो जाता है, तो डिवाइस की स्थिति और त्रुटि के कारण होने वाली परिस्थितियों के बारे में जानकारी डेवलपर के सर्वर पर भेज दी जाती है। इसके अलावा, प्रेषित जानकारी में गोपनीय जानकारी भी हो सकती है:



बग की रिपोर्ट स्रोत: ट्रेंड माइक्रो

यदि कोई हमलावर क्रैश रिपोर्ट के लिए सॉफ़्टवेयर डेवलपर से समझौता करता है, तो वह इस जानकारी तक पहुंच प्राप्त करेगा।

Fintech कंपनियों के बुनियादी ढांचे

फिनटेक परियोजनाओं के कार्यान्वयन के लिए क्लाउड इन्फ्रास्ट्रक्चर का उपयोग कंपनी को "लोहा" सर्वर प्राप्त करने और उनके सुचारू संचालन को सुनिश्चित करने की लागत से बचाने का एक उचित तरीका है। हालांकि, इस मामले में, कंपनी, बैंक, क्लाइंट और फिनटेक संगठन - क्लाउड सेवा प्रदाता में एक और भागीदार को जोड़ा जाता है।

क्लाउड प्रदाता के नेटवर्क में घुसपैठ करके हैकर्स आपूर्ति श्रृंखला पर हमले का आयोजन कर सकते हैं। इस तरह के हमले से कई फिनटेक कंपनियां प्रभावित होंगी जिनके पास इस बादल में संसाधन हैं। इसका खतरा यह है कि न तो ग्राहक, न ही बैंक और न ही फिनटेक कंपनियां खुद समझौता करने के बारे में सीखेंगी, क्योंकि हमला उनकी पहुंच से बाहर होगा।

उपयोगकर्ताओं

दक्षता और प्रासंगिकता के मामले में उपयोगकर्ताओं पर हमले पहले स्थान पर हैं। वे "तकनीकी" साइबर हमलों की तुलना में लागू करने के लिए बहुत सरल और सस्ता हैं।

उपयोगकर्ताओं के साथ अपने काम के दौरान, बैंक यह सुनिश्चित करने में कामयाब रहे कि “सुपरक्रेडिट बैंक के लिए आपके क्रेडेंशियल्स” जैसे बड़े पैमाने पर फ़िशिंग ईमेल पुराने हैं। पासवर्ड रीसेट करने के लिए यहां क्लिक करें "अपनी प्रभावशीलता खो दी। उपयोगकर्ता उनसे अधिक सावधान हो गए हैं।

फिनटेक एप्लिकेशन के साथ काम करते समय, यह अनुभव पहले से ही अनुपयुक्त है। इसलिए, पत्र “हम एक फिनटेक कंपनी मेगाटेक, सुपरक्रेडिट बैंक को सेवाओं के प्रदाता हैं। कृपया अपने खाते के विवरण को अपडेट करने के लिए यहां क्लिक करें। ”यह पूरी तरह से सुरक्षित है। उपयोगकर्ताओं को एहसास नहीं है कि फिनटेक प्रदाता खाते के लिए पासवर्ड उतना ही महत्वपूर्ण है जितना कि इंटरनेट बैंक के लिए पासवर्ड। और सबसे दुखद बात यह है कि बैंकों को उपयोगकर्ता के समझौते के बारे में पता नहीं चलेगा।

उपयोगकर्ताओं पर हमला करने का एक और अधिक कठिन तरीका नकली फिनटेक एप्लिकेशन हैं, जो शीर्ष प्ले मार्केट या ऐप स्टोर में प्रदर्शित किए जाते हैं, और फिर क्रेडेंशियल्स, वित्तीय जानकारी और धन चुराते हैं।

ओपन बैंकिंग की सुरक्षा कैसे करें

धोखेबाजों के लिए प्रभावी प्रतिकार उपायों का एक सेट प्रदान करता है, और खुली बैंकिंग कोई अपवाद नहीं है। हम फिनटेक ग्राहकों को खतरों से बचाने के तरीकों की सूची देते हैं।

बहु कारक प्रमाणीकरण

यह PSD2 निर्देश और ओपन बैंकिंग से संबंधित समान नियमों की अनिवार्य आवश्यकता है। Microsoft के अनुसार, बहु-कारक प्रमाणीकरण का उपयोग खातों को क्रैक करने के 99.9% प्रयासों को अवरुद्ध करता है।


एमएफए के तीन व्हेल - ज्ञान, कब्जे, बायोमेट्रिक्स। स्रोत: WSO2

एमएफए के अलावा, PSD2 गतिशील लिंकिंग की अवधारणा को जोड़ता है - प्रमाणीकरण कोड का उपयोग जो राशि और प्राप्तकर्ता पर निर्भर करता है। इन मापदंडों में कोई भी परिवर्तन इस कोड को अमान्य कर देगा।

सुरक्षित एपीआई

जैसे, ओपन बैंकिंग, OAuth 2.0 पर आधारित सॉफ्टवेयर इंटरफेस फाइनेंशियल-ग्रेड एपीआई (FAPI) का उपयोग करने का प्रस्ताव करता है। एफएपीआई, जो ओपन बैंकिंग के कार्यान्वयन के लिए ओपेनआईडी फाउंडेशन और ब्रिटिश संगठन द्वारा विकसित किया जा रहा है।

एफएपीआई OAuth 2.0 प्रोटोकॉल का अधिक सुरक्षित संस्करण है, जो तीसरे पक्ष को उपयोगकर्ता क्रेडेंशियल्स प्रदान किए बिना एक सेवा प्रदाता तक पहुंचने की अनुमति देता है। पासवर्ड के बजाय, तीसरे पक्ष को अपनी स्पष्ट सहमति प्राप्त करने के बाद उपयोगकर्ता डेटा तक पहुंचने के लिए एक टोकन प्राप्त होता है। उपयोगकर्ता एक टोकन की मदद से तीसरे पक्ष के एक्सेस अधिकारों को नियंत्रित करता है, उदाहरण के लिए, अस्थायी पहुंच और रीड-ओनली एक्सेस। वह किसी भी समय टोकन वापस ले सकता है, और इसकी चोरी के मामले में, पासवर्ड बदलने की आवश्यकता नहीं है, क्योंकि पासवर्ड किसी को भी प्रदान नहीं किया गया था।


FAPI का उपयोग करके सहभागिता। स्रोत: ट्रेंड माइक्रो

FAPI डेवलपर्स ने OAuth 2.0 में सुरक्षा मॉड्यूल जोड़े हैं। इन मॉड्यूलों में, यह ध्यान देने योग्य है:

• mTLS (म्यूचुअल टीएलएस) HTTPS के समान एक पारस्परिक प्रमाणीकरण प्रोटोकॉल है, लेकिन यहां न केवल सर्वर क्लाइंट के लिए इसकी प्रामाणिकता की पुष्टि करता है, बल्कि सर्वर के लिए क्लाइंट भी है। दूसरे शब्दों में, लेन-देन करने के लिए, एक फिनटेक एप्लिकेशन को न केवल सर्वर की प्रामाणिकता को सत्यापित करना चाहिए, बल्कि सर्वर को इसकी प्रामाणिकता की पुष्टि भी करनी चाहिए।
• OAuth 2.0 टोकन बाइंडिंग (OAUTB) - एक TLS कनेक्शन के लिए पहुँच टोकन और / या प्राधिकरण कोड को बाइंड करना। यदि कोई हमलावर प्राधिकरण कोड चुराता है, तो वह इसे दूसरे टीएलएस कनेक्शन में उपयोग नहीं कर पाएगा। दुर्भाग्य से, टोकन टोकन वर्तमान में केवल Microsoft एज पर समर्थित है।
• ग्राहक के बयान JSON वेब हस्ताक्षर (JWS क्लाइंट दावे) - स्थापित करता है कि केवल एक विशिष्ट ग्राहक बैंक प्राधिकरण सर्वर पर पहुंच टोकन का उपयोग कर सकता है।
• कोड विनिमय सत्यापन कुंजी (PKCE) - क्लाइंट एक्सेस टोकन का उपयोग करने से हमलावरों को रोकने में मदद करती है। ऐसा करने के लिए, अनुप्रयोग प्रमाणन सर्वर के लिए एक अतिरिक्त सत्यापन कोड भेजता है यह पुष्टि करने के लिए कि ग्राहक इस एक्सेस टोकन का उपयोग करना चाहता है।

वर्तमान में, एफएपीआई ने सुरक्षा मुद्दों की पहचान की है जिन्हें संबोधित करने की आवश्यकता है।

इन्फ्रास्ट्रक्चर और एंडपॉइंट सुरक्षा

फिनटेक कंपनियों के बुनियादी ढांचे की रक्षा करना हैकर्स के लिए खामियों को दूर करने वाला एक महत्वपूर्ण कारक है। समापन बिंदु , क्लाउड सिस्टम और विकास तंत्र को संरक्षित किया जाना चाहिए, साथ ही साथ पूरे बुनियादी ढांचे की एंड-टू-एंड मॉनिटरिंग भी ।

हमने प्रकाशन में एंडपॉइंट्स की सुरक्षा के बारे में बात की, जब दीवारें पर्याप्त नहीं थीं । एंडपॉइंट की सुरक्षा कैसे करें । ”

निष्कर्ष

किसी भी नई तकनीक के लिए न केवल संभावनाओं पर विचार करना आवश्यक है, बल्कि इसके द्वारा होने वाले जोखिमों का भी सावधानीपूर्वक विश्लेषण करना होगा। इस घटना में खतरों पर विचार करना विशेष रूप से महत्वपूर्ण है कि इस क्षेत्र में एक नया दृष्टिकोण पेश किया जा रहा है, जिसमें साइबर अपराधियों का निकटतम ध्यान पारंपरिक रूप से निर्देशित किया गया है।

ओपन बैंकिंग पहले से ही वित्तीय संबंधों के परिदृश्य को बदल रहा है। अगले कुछ वर्षों में, ये परिवर्तन हमारे जीवन को बदल सकते हैं, हमारे धन के प्रबंधन के तरीके में क्रांति ला सकते हैं। इन परिवर्तनों के सकारात्मक होने के लिए, यह अत्यंत महत्वपूर्ण है कि फिनटेक कंपनियां, बैंक और अन्य प्रतिभागी न केवल चिन्हित खतरों को ध्यान में रखते हैं, बल्कि सुरक्षा समस्याओं को खत्म करने के लिए एपीआई और मानकों को तुरंत परिष्कृत करते हैं।