Temassız Kartlarda Güvenlik: Tehlike mi, Hurafe mi?

Geçtiğimiz günlerde çıkan bir haber, kullanımı yaygınlaşan temassız kartlarla birlikte yeni bir dolandırıcılık türünün ortaya çıktığından bahsediyordu: dolandırıcılar, kurbanlarının taşıdığı cüzdan veya çantaya dokunmadan, uygun bir mesafeden POS cihazlarıyla; sahibinin isteği dışında, imza ya da şifre gerektirmeyen limitlerdeki tutarı kartlardan çalabiliyordu.

İlerleyen günlerde konuyla ilgili yorumlar geldi — ki bu gayet normal. Ancak unvanı ve çalıştığı yer itibarıyla konu hakkında bilgili olması gerektiğini düşündüğümüz bazı kişilerin konuyu “hurafe” olarak nitelendirmesi ve yorumu “POS cihazı merkezinde” bir durum komedisine dönüştürmesi hayli şaşırttı.

Sadece POS'a odaklanmak büyük hata

Temassız kartlar RFID teknolojisi üzerine kuruludur. Yazıyı; temassız kartlar, RFID teknolojisi ve kullanım alanları hakkında akademik bir makaleye dönüştürmeye gerek yok. Evet, haber “banka kartları” özelinde bir alıntı haberdir. RFID sektörünü bilenler bunu bir eksiklik olarak görebilir; ama hem haberciliğin doğası gereği vurucu olması hem de haberi yapanların sektörü iyi bilmemesi sebebiyle yalnızca banka kartlarından bahsedilmesi ve hırsızlık için kullanılan cihazların POS cihazlarıyla sınırlandırılması gayet normaldir.

Oysa toplu taşıma kartları, kapı geçiş kartları ve — farklı formatta olsa dahi — temassız kartlarla aynı frekansta çalışan biyometrik pasaportlar da birer temassız uygulamadır. RFID kullanan her güvenli evrak (kredi kartı, ulaşım kartı, otel kartı, pasaport) bu riskle karşı karşıyadır; henüz dünyada yaygınlaşmamış, ülkemizde yaşanmamış olsa dahi dünyanın bir yerinde birileri, laboratuvar ortamında bile olsa bunu deniyor.

Konuyla ilgili örnekler: Video (YouTube) · Global News · Forbes · CBC News · Daily Mail

Minareyi çalan kılıfını hazırlar

Haberde bir POS cihazından bahsedildiği için, yoruma katılan bazı kişiler de POS özelinde açıklama yaptı. Ancak hırsızlığa niyet eden kişi zaten bir POS cihazıyla bu işe kalkışmaz: üzerine gerekli yazılımın kolaylıkla yüklenebildiği, NFC destekli Android telefon ve tabletlerin ne kadar yaygın olduğu düşünülürse… (video)

Kaldı ki kredi kartı dolandırıcıları artık uluslararası bağlantılı organizasyonlara dönüşmüş; tek seferde büyük tutarlar yerine, çok sayıda karttan göze batmayacak küçük tutarlara yöneliyorlar. Hatta yurt dışında çalınan kart bilgileri, çalındığı ülkede değil, uluslararası şebekeler aracılığıyla takas edilerek farklı ülkelerde kullanılıyor. (NPR)

Sorunları inkâr etmek çözüm değildir

Bu, henüz bir soruna dönüşmemiş potansiyel bir risktir. Riski görmezden gelmek, konuşulmasına tahammül edememek sektörün ilk kez başvurduğu bir yöntem mi, orasını bilemiyorum. (video)

Şimdi tekrar bakalım cüzdanımızdaki potansiyel tehlikeye: temassız kredi kartlarımız, yeni nesil çipli kimliklerimiz, çipli pasaportlarımız, ulaşım kartlarımız ve işyeri giriş-çıkış kartlarımız ilk akla gelenler.

Pasaportlar demişken

Dünyada çipli pasaporta ilk geçen ülke olan ABD'de, pasaport cüzdanlarının içindeki bilgilerin yetkisiz kişilerce okunmasını önleyecek bir kılıfla kaplı olarak dağıtıldığını biliyor muydunuz? Yani bizde “hurafe” denen olayın ne kadar büyük bir tehlike olduğunun farkında ve bu konuda öncü bir ülkeden bahsediyorum. İlgili resmî sayfada “Is there a threat from skimming personal information or tracking American citizens?” sorusuna verilen cevabı okuyabilirsiniz: ABD Dışişleri Bakanlığı.

Eşeği sağlam kazığa bağlamak: bilgilerimizi nasıl koruruz?

Tabii ki güvenli dokümanlar için birincil güvenlik unsuru yazılım ve yapısıdır. Ancak RFID engelleyici ürünler de bu işin tamamlayıcı parçasıdır. Faraday kafesli cüzdanlar şimdiden birçok marketin rafında yerini aldı. Ne yazık ki bu cüzdanların üretim standartları itibarıyla ne kadar güvenilir olduğuna dair bir tüketici bilinci ya da yasal düzenleme olmadan yurda girmiş olması, kafalardaki soru işaretlerini tam olarak kaldırmıyor.

Bu yazının amacı

Temassız çip teknolojisini yerden yere vurmak mı? Asla. Hayatı ne kadar kolaylaştırdığı bilinen bu teknolojinin daha da yaygınlaşması gerekiyor. Sadece sektörel tehlikeler göz ardı edilmemeli; tehlikeler potansiyel seviyede dahi olsa önlemler düşünülmeli ve planlanmalı.