راهنمای رمز یکبار مصرف OTP بانک

چند وقتی است که که در برخی از بانک های ایران استفاده از این دستگاه ساده و کوچک رواج پیدا کرده و برای تامین امنیت انتقال وجه و استفاده از خدمات بانکی استفاده می شود در برخی از بانک ها حتماً باید این دستگاه را از بانک خود دریافت کنید تا بتوانید از خدمات اینترنتی استفاده کنید.

بانک ملت نیز طی ارسال اعلامیه در بخش اینترنتی اعلام کرده است که از فروردین سال ۹۴ انتقال وجه و بسیاری از خدمات فقط با رمز یکبار مصرف قابل انجام است.

این دستگاه چگونه کار می کند؟

این دستگاه همانند یک ماشین حساب می باشد، پشت دستگاه یک سریال دارد که متصدی بانک آن را روی حساب شما تنظیم می کند، از آن پس در سیستم اینترنت بانک اگر کد درخواست شود این دستگاه یک کد منحصر به فرد را تولید و نمایش می دهد. در واقع یک جور ماشین حساب است که توسط یک الگوریتم ریاضی خاص که آن بانک تعریف کرده است یک عدد یکبار مصرف امنیتی را برای شما تولید می کند.

۱) نرم افزاری

در روش نرم افزاری شما به واسطه اپراتور همراه اول و ایرانسل این کد را به واسطه *۷۱۲# درخواست می کنید، نیاز به نصب نرم افزار ندارد، هزینه ندارد، ورود اطلاعات توسط موبایل کمی دشواری دارد. استفاده از این نوع یکبار رمز موبایل سالانه ۵ هزارتومان توسط بانک ملت از شما کسر می شود! برای فعال سازی نیازی به مراجعه به بانک ندارد و از طریق اینترنت بانک براحتی قالب فعال کردن است.

۲) سخت افزاری

به شعبه صادر کننده حساب ملت خود مراجعه و درخواست دستگاه OTP می دهید و همانجا به شما تحویل داده می شود.

استفاده از آن نامحدود رایگان است و فقط یکبار ۲۳ هزارتومان بابت خرید دستگاه از حساب شما کسر می کنند، استفاده از آن بسیار ساده و سریعتر است و نیازی به اتصال به کامپیوتر و … ندارد و توسط یک عدد باطری تغذیه می شود.

راهنمای یکبار رمز (OTP) راهنمای یکبار رمز همراه (Mobile OTP)

راهنمای استفاده و فعال سازی دستگاه یکبار رمز OTP

در صورتیکه شماره سریال درج شده در پشت دستگاه رمزیاب شما با عدد ۱۰۰ شروع می شود برای فعال سازی به روش ذیل اقدام کنید:
1- روشن کردن دستگاه با فشردن دکمه
2- پس از روشن شدن سریال دستگاه بر روی صفحه آن به نمایش در می آید.
3- بلافاصله کلید ۰ را به مدت ۳ ثانیه نگهدارید.
4- پس از آشکار شدن کلمه PIN 1 یک عدد ۴ رقمی به دلخواه بعنوان رمز وارد کنید.
5- پس از آشکار شدن کلمه ‍PIN 2 همان عدد را تکرار کنید.
6- پس از نمایش کلمه welcome PIN برای بار سوم همان عدد را وارد کنید.
پس از این مرحله دستگاه خاموش شده و رمز مربوطه در دستگاه ذخیره می شود و از این پس بعد از فشردن دکمه و ظهور کلمه PIN 1 کافیست عدد چهاررقمی را وارد کنید تا دستگاه آماده کار شود.

اگر دستگاه شما از سری غیر از مدل فوق بود برای استفاده از آن به شیوه ذیل عمل کنید:

۱- دستگاه رمزیاب را با فشردن کلید روشن کنید.
2- در مقابل کلمه PIN1 عدد ۱۲۳۴ را وارد کنید .
3- کلید را به مدت ۲ ثانیه فشار دهید تا علامت ”new pin” ظاهر شود.
4- حال عدد ۴ رقمی جدید را وارد کنید کنید.
5- پس از مشاهده کلمه ” new pin conf“ مجددا همان رمز را وارد کنید.
پس از این رمز جدید شما جایگزین رمز اولیه شده و در هنگام استفاده باید برای روشن کردن دستگاه ازاین رمز استفاده نمایید.
توجه: اگر حداکثر ۳ بار اشتباه وارد شود دستگاه قفل می شود و باید به شعبه مراجعه نمایید.

توکن چیست و چگونه کار می‌کند؟

برای حل مشکلات مختلفی که در زمینه های گوناگون فناوری اطلاعات رخ می دهد، راه حل های متفاوتی ارائه گردیده است. یکی از راه حل های ارائه شده که میزان استفاده از آن به طور چشمگیری در حال رشد می باشد، استفاده از وسایل امنیتی ( Secure Module) است.
توکن های هوشمند USB(USB Smart Token) به عنوان نسل جدیدی از وسایل امنیتی، مشکل هزینه و قیمت بالای سخت افزارهای امنیتی HSM Hardware Secure Module را حل نموده و به وسایلی فراگیر تبدیل شده اند. نام دیگر توکن “رمزیاب” می باشد.

توکِن امنیتی یا نشانهٔ امنیتی (Security Token) سخت‌افزاری کوچک است که برای ورود کاربر یک سرویس رایانه‌ای به سامانه به‌کار می‌رود. به عبارت دیگر، این دستگاه یک دستگاه فیزیکی است که در اختیار کاربران مجاز قرار می‌گیرد تا به راحتی بتوانند برای استفاده از یک سیستم کامپیوتری هویت آن‌ها تشخیص داده شود. توکن امنیتی برای اثبات هویت فرد به صورت الکترونیکی استفاده می‌شود.(به عنوان مثال نحوه دسترسی به حساب بانکی از راه دور). از توکن به علاوه یا به جای رمز عبور معمولی برای احراز هویت مشتری که خواهان ورود به سیستم است، بهره می‌برند. به عبارت دیگر به عنوان یک کلید الکترونیکی برای دسترسی عمل می‌کند.
بعضی از توکن‌ها کلیدهای رمزنگاری مانند امضا دیجیتال و اطلاعات بیومتریک مثل اثرانگشت را در حافظه خود ذخیره می‌کنند. این توکن‌ها شامل چند کلید برای وارد کردن شماره شخصی شناسایی(PIN code) و آغاز برنامه توکن برای انجام عملیات ایجاد رمز عبور هستند. طراحی مخصوصی از این توکن به صورت ارتباط USB و بلوتوث است که این روش‌ها در انتقال کلید رمز تولید شده به سیستم دخالت دارند.
در حال حاضر سازمان املاک و اسناد کشور،کانون سردفتاران و دفتریاران ،برخی بانک ها و… برای شناسای افراد و مشتریانشان از راه دور از این سیستم استفاده می کنند که امنیت بالایی دارد.

نحوه به کارگیری

۱.کمترین نیازمندی هر نشانه داشتن یک مشخصه منحصر به فرد ذاتی است که در حافظه ذخیره شده‌است. این حافظه قابل دستکاری نیست و به بیان بهتر به گونه‌ای طراحی شده‌است که به صورت باز برای سایر کاربردهایی که توسط فروشندگان نشانه و سازمان‌های دیگر ارائه می‌شود، در دسترس نیست.
2.کمترین نیازمندی در این نوع، اتصال به رسانه‌هایی مشابه شبکه‌های موبایل برای USSD، پیام کوتاه و صدا است، که تمام چیزهایی که نیاز است در شماره موبایل یا تلفن ثبت شده‌است. البته این سیستم در ایران چندان کاربردی نشده است.

نقاط ضعف

ساده ترین مورد آسیب پذیری در وسایلی که شامل رمز هستند، گم شدن دستگاه کلید مخصوص یا فعال کننده تلفن هوشمند با توابع جامعیت کلید است. نشانه‌های غیرمتصل و نشانه‌هایی که از out-of-band استفاده می‌کنند، در مقابل حملات میانی آسیب پذیر هستند. در این نوع حمله، فرد کلاهبردار به عنوان یک عنصر میانی بین کاربر (نشانه) و سیستم اصلی (احراز هویت) قرار می‌گیرد. سپس مقدار نشانه را از کاربر درخواست کرده و خودش آن را به سیستم احراز هویت تحویل می‌دهد و خود را به جای کاربر نشانه جا می‌زند. تا زمانیکه مقدار نشانه از نظر ریاضی درست باشد، احراز هویت با موفقیت انجام می‌شود و فرد کلاهبردار قادر به دسترسی است. در سال ۲۰۰۶، Citibank اعلام کرد که کاربران سخت افزارهایی که بر اساس نشانه کار می‌کردند، قربانی حمله میانی توسط افراد اوکراینی گردیده‌اند.
به گزارش بانکی دات‌آی‌آر؛ برخی ها در سال های اخیر باتوجه به طولانی بودن پروسه استفاده از دستگاه رمزیاب استفاده از رمزهای یک بار مصرف را برای افزایش امنیت بانک ها توصیه می کنند.

بانک های دارای توکن در ایرن

در حال حاضر بانک های صادرات ، ملی و کشاورزی به مشتریانشان توکن”رمزیاب” ارائه می دهند.که هر کدام از سیستم هایشان نقاط قوت و ضعف مخصوص به خودشان را دارد.

بررسی یک نمونه دستگاه OTP

اواخر سال ۱۳۹۴ یک دستگاه OTP از شعبه ملت با هزینه ۲۳ هزارتومان در اختیار ما قرار داده شد، متاسفانه سال گذشته ارسال رمز انتقال فقط از طریق USSD با هزینه ۵ هزارتومان شارژ سالانه انجام می شود و بعضاً USSD قطع بود و اغلب مشتریان بانک ملت برای دریافت این دستگاه به شعبه هجوم آورده بودند، پس از مدتی که همه مشتریان OTP را دریافت نمودند، بانک ملت ارسال رمز انتقال وجه بصورت پیامک را با آبونمان سالانه ۵ هزارتومان راه اندازی کرد.

متاسفانه پس از گذشت نزدیک به یکسال نمونه دریافت شده از بانک ملت دچار ایراد سخت افزاری شد، پس از بررسی گزارش های مردم در نظرات همین مطلب گویای این باگ برای دستگاه های ملت وجود دارد و در مدت کوتاهی باعث خرابی و سوختن آن می گردد. (دستگاه با دکمه روشن، روشن نمی شود و با فشار دادن برخی اعداد تمامی کراکترهای آن روشن شده و ۸ خط ظاهر می شود)

برای تعمیر این دستگاه به شعبه دریافت کننده (شعبه توحید تهران) مراجعه کردیم، مسئول آن این مشکل را فراگیر اعلام کرده و به ما متذکر شد باید به بالا ارسال شود و تعمیر آن حداقل ۲ هفته و شاید بیشتر زمان خواهد برد. اگر عجله دارید همین الان دستگاه را باطل و مجدد یکی دیگر تحویل بگیرید که ۲۳ هزارتومان مجدد باید پرداخت کنید!!! و اصرار هم داشتند علاوه بر آن ارسال رمز پیامکی که ۵ هزارتومان می باشد را فعال کنند!!! سوال اینجاست دستگاهی که کار یک ماشین حساب ساده را انجام می دهد و شاید قیمت تمام شده آن ۵ هزارتومان هم نباشد چرا نباید یکسال هم کار کند و چرا هیچ پشتیبانی درستی برای آن ارائه نمی شود؟!

در نهایت تصمیم گرفتیم برای تعمیر نزد شعبه بسپاریم و منتظر بمانیم، چون تنها چیزی که در اینجا زیاد است وقت است! در نظر بگیرید که برای ورود به اینترنت بانک ملت در خارج از کشور این دستگاه الزامی است و اگر خارج از کشور بودم چقدر از وقت و هزینه بنده و احتمالاً خانواده و اطرافیان برای پیگیری گرفته می شد!؟

پس از نزدیک به گذشت یک ماه و نیم با ایمیل بازرسی ملت [email protected] تماس گرفتیم و موضوع را اطلاع دادیم، کارمند خدمات بانکداری شعبه که قبلاً ۲ بار مراجعه کرده بودیم و پشت میز نبودند و حتی جهت تماس نیز یکبار روی میز ایشان یادداشت برای تماس گذاشته بودیم تماس نگرفته بودند! پس از چند روز از ارسال ایمیل به بازرسی کارمند شعبه با ما تماس گرفت و با اعصابی خورد با لحنی طلبکارانه و طرح سوالاتی بیخود گویی از ما بازجویی کردند! از اینکه چرا موضوع با بازرسی مطرح شده و … و ظاهراً خود ایشان از عوامل بازرسی بودند و به متن کامل ایمیل ارسال شده ما دسترسی داشتند و در پایان تماس تلفنی هم مشخص نشد که تکلیف OTP سپرده شده برای تعمیر چه شده است؟!

در نهایت با ابراز تاسف برای پشتیبانی بانک ملت تصمیم گرفتیم قید OTP که ۲۳ هزارتومان هزینه کرده بودیم و برای تعمیر داده بودیم را بزنیم و تمام وجه خود را به بانک پارسیان منتقل کردیم…

چند نکته:

در بانک کشاورزی و سایر بانک ها با یکبار خرید OTP بصورت رایگان در صورت خراب بودن تعویض و تعمیر می گردد.

خروج باطری وتعویض OTP باعث از کار افتادن و ریسیت آن می شود و باید مجدد به شعبه مراجعه کنید، در نتیجه خودتان اقدام به تعویض باطری و بازکردن آن نکنید.

در صورتی که ایران زندگی می کنید و نیازی به سفر به کشورهای خارجی و ورود به اینترنت بانک ها در آنجا ندارید، به توجه به آمار بالای خرابی این دستگاه ها و سوختن پس از مدت کوتاه یا خرابی باطری آن، توصیه می شود از سرویس رمز انتقال موقت پیامکی و یا رمز ثابت استفاده نمایید. (در بانک ملت سالانه ۵ هزارتومان هزینه دارد)

جهت انجام انتقال وجه از خارج از کشور بانک پارسیان و یا موسسه کوثر که انتقال وجه آن با رمز ثابت انجام می شود و نیازی به OTP سخت افزاری ندارند توصیه می گردد و بهتر است از بانک ملت که پشتیبانی ندارند استفاده نکنید.

پانویس: دستگاه های OTP سال ها است که در سیستم های بانکی دنیا منسوخ شده و جای آن از رمز پیامکی موقت و نرم افزار OTP همراه اندرویدی استفاده می گردد.