אימות מוגבר

בשנים האחרונות חלה התפתחות משמעותית בתחום התשלומים בישראל אשר הביאה לפיתוח מגוון של אמצעי תשלום חדשניים. לצד היתרונות בשימוש באמצעי התשלום המתקדמים, ישנם גם סיכונים שאליהם הלקוח ובית העסק עשויים להיות חשופים, כגון הונאות, גניבת זהויות, זיופים, שימוש לרעה וכו'. על מנת לצמצם סיכונים אלו ולהגביר את התחרות והחדשנות יש צורך לקבוע סטנדרטים ועקרונות ברורים לגבי האופן שבו ניתן יהיה לאמת את זהותו של הלקוח ברמת וודאות גבוהה.

עקרונות האימות המוגבר מתבססים על התהליך שנקבע לאימות מוגבר באיחוד האירופאי, כאשר יישום האימות המוגבר יתבסס על שני מרכיבים או יותר מתוך הקטגוריות הבאות:

1. ידע (“Something You Know” – משהו שאתה יודע) – מידע שרק המשתמש יודע.
2. החזקה (“Something You Have”– משהו שיש לך) – משהו שרק למשתמש יש. החזקה אינה מתייחסת רק להחזקה פיזית, אלא יכולה גם להתייחס להחזקה שאינה פיזית.
3. משהו מובנה (“Something You Are”– משהו שהוא אתה) – בקטגוריה זו נכללים מאפיינים ביולוגיים, התנהגותיים וביומטריים.

כלומר, על מנת שיתבצע אימות מוגבר, יש צורך לזהות את המשתמש על ידי 2 מרכיבים או יותר, כאשר כל מרכיב הינו מקטגוריה אחרת. נוסף על כך, חלה החובה שמרכיבים אלו יהיו בלתי תלויים אחד בשני כך שפגיעה באחד לא תפגע במהימנות השני וסודיות המידע תישמר.

להלן המרכיבים בכל קטגוריה שיכולים להיחשב כפרט אימות מוגבר:

ידע (“Something You Know”) – משהו שאתה יודע:

* יישום מרכיבים אלו צריך לכלול אמצעים לצמצום החשיפה שלהם לגורם לא מורשה.

החזקה (“Something You Have”) –משהו שיש לך:

* יישום מרכיבים אלו צריך לכלול אמצעים למניעת שימוש לא מורשה במרכיב או ביכולת לשכפלו.

משהו שהוא אתה (“Something You Are”):

* יישום מרכיבים אלו צריך להתבצע באופן שיוביל לסבירות נמוכה כי גורם לא מורשה יאומת כמשלם.

כללים ומרכיבים אלו, המשקפים את המצב הידוע היום, הינם מרכיבים אפשריים שניתן לעשות בהם שימוש לצורך האימות המוגבר וכל נותן שירותי תשלום יכול לבחור את המרכיבים הרלוונטיים מבחינתו (בהתאם לניהול הסיכונים שלו), זאת בהתאם לעיקרון שיש לעשות שימוש בלפחות 2 מרכיבים או יותר מתוך 3 הקטגוריות.

 כללים ומרכיבים אלו אינם מהווים רשימה סגורה וצפויים להתעדכן מפעם לפעם, בהתאם לשינויים בטכנולוגיה, שינויים בסוגי ההונאות ושינויים בצרכי השוק. משכך:

• מרכיב ששימש לאימות בקטגוריה אחת אינו יכול לשמש כמרכיב בקטגוריה אחרת. כך למשל, OTP יכול להיחשב כמרכיב ידע או החזקה אך לא כשניהם באותה עסקה.
• השימוש בשני המרכיבים בתהליך האימות יכול להתבצע באותו מכשיר שבו החלה העסקה. כלומר, אין חובה להשתמש בשני מכשירים שונים מתחילת התהליך ועד סופו.
• תהליכי האימות אינם חייבים להיות חשופים למבצע התשלום ויכולים להתבצע מ"אחורי הקלעים" ובלבד שהעסקה תירשם כעסקה שבוצעה באימות מוגבר.

פרוטוקול 3D Secure

פרוטוקול - 3D Secure הינו פרוטוקול אשר מספק שכבת אימות נוספת ללקוח וזאת במטרה להפוך עסקאות מסחר דיגיטלי למאובטחות יותר בזמן אמת. הפרוטוקול מאפשר להחליף נתונים בין המנפיק, בית העסק, ובעת הצורך גם, הלקוח, כדי לאשר כי הבעלים החוקי של החשבון יזם את העסקה .

פרוטוקול 3-D Secure הינו טכנולוגיה התומכת באפשרות לבצע, בהתאם לפרופיל וניהול הסיכונים של כל מנפיק, תהליך אימות מוגבר של מבצע התשלום העומד בסטנדרטים שנקבעו על ידי ה-EBA (Strong Customer Authentication).

פרוטוקול 3D Secure גרסה 2.2 ומעלה הינו דור חדש של הפרוטוקול התומך בתהליך זה וכולל מגוון פרמטרים ושיטות של אימות מוגבר, כגון: מיקום המשתמש בעת ביצוע העסקה, אופי העסקאות הקודמות שביצע, גובה התשלום בעסקאות קודמות, סוג המטבע שבו נעשה שימוש, מידע ספציפי אודות המכשיר שממנו בוצעה העסקה, מידע אודות הדפדפן לרבות כתובת ה-IP ועוד. לאור שקלול הנתונים מעריך הפרוטוקול את הסיכון בעסקה ובהתאם לכך יכול לבקש ממבצע התשלום פרטים ותהליכי אימות נוספים (לדוגמה: OTP) על מנת לאמת את זהותו. בתהליך אימות המבוסס  3-D Secure מסר האימות יהיה דינאמי כך שסכום העסקה ובית העסק יוצגו למשלם.

תהליכים אלו בפרוטוקול יכולים למעשה לזהות את המשלם ולאמת את זהותו, ברקע, מבלי שהמשלם ידע שהאימות מתבצע (לדוגמה: זיהוי המכשיר הספציפי שממנו מתבצע התשלום ושהמשלם הוא זה שביצע את הכניסה לאותו מכשיר באמצעות קוד או זיהוי ביומטרי אחר).

עסקה המאומתת באמצעות פרוטוקול 3D Secure מגרסה 2.2 ומעלה יכולה להיחשב כעסקה שבוצעה בתהליך של אימות מוגבר של מבצע התשלום, נדגיש כי ביישום המנגנון נדרש ליישם מנגנונים העומדים ב- Strong Customer Authentication, כלומר שימוש בשני מרכיבים מקבוצות שונות לפחות, זאת בהתאם למקובל בעולם.

יובהר כי מדובר בהסכמות בין השחקנים בשוק ואין בפרסום העקרונות כדי להעיד על עמדת המאסדרים של השחקנים, לרבות הפיקוח על הבנקים, או כדי לפגוע או לצמצם את סמכויות הפיקוח והאכיפה שלהם.