ترابردپذیری ناامن در ضعف امنیت سایت‌ اپراتورها

به گزارش واحد امنیت سایبربان؛ در ثبت‌نام ترابردپذیری، اطلاعات شخصی شامل شماره تلفن، کد ملی، شماره شناسنامه و آدرس پستی از مشترک دریافت می‌شود و برای امنیت اطلاعات مشترکان، سایت اپراتورها باید از پروتکل امنیتی برخوردار باشد؛ اما امنیت چندان جدی گرفته نشده است.

با این طرح مشترکان موبایل می‌توانند با حفظ شماره موبایل اپراتور خود را تغییر دهند. برای این منظور دیتابیسی از اطلاعات مشترکان 3 اپراتور بین اپراتورها و حاکمیت به اشتراک گذاشته‌شده است.

این طرح 31 مردادماه در حالی آغاز شد که کمی قبل‌تر بازار تلفن همراه با انتشار اطلاعات مشترکان  یکی از اپراتورهای موبایل خبرساز شده بود. در این جریان اطلاعات 20 میلیون مشترک که 3 سال پیش درز کرده بود، این بار در اختیار یک سازنده ربات تلگرامی قرار گرفت و از طریق ربات دسترسی به اطلاعات مشترکان فراهم شد.

این اتفاق حساسیت حفاظت از اطلاعات مشترکان تلفن همراه به‌ویژه با اجرای ترابردپذیری و اشتراک اطلاعات مشترکان بین تمام اپراتورها را بیشتر کرد.

همچنان که وزیر ارتباطات در واکنش به این پرسش که پس از اجرای ترابرد پذیری و به اشتراک‌گذاری اطلاعات مشترکان بین سه اپراتور موبایل چه نهادی مسئولیت حفظ اطلاعات مشترکان را می‌پذیرد، تأکید کرد: «اپراتورهای تلفن همراه تحت نظارت حاکمیت هستند و علاوه بر  این برای حفظ اطلاعات مشترکان تضمین داده‌اند. هر یک از اپراتورهای تلفن همراه چندین میلیون مشترک دارند و میلیاردها تومان سرمایه‌گذاری کرده‌اند و ازاین‌رو حاضر نخواهند شد که اطلاعات یکی از مشترکان حتی مشترک اپراتور دیگر خدشه‌دار شود؛ بنابراین خود اپراتورها همواره بر این موضوع جدیت داشتند و علاوه بر این حاکمیت بر آن‌ها نظارت کامل دارد.»

اما درحالی‌که دوره آزمایشی ترابردپذیری پشت سر گذاشته‌شده و با آغاز رسمی طرح از یک ماه پیش رقابت اپراتورها برای موفقیت در طرح ترابردپذیری جدی شده است، به نظر می‌رسد حفظ اطلاعات مشترکان موبایل چندان جدی گرفته نشده است و تا حدی سهل‌انگاری در این موضوع نیز دیده می‌شود.

بررسی‌های خبرنگار فارس نشان می‌دهد صفحات ترابرد برخی اپراتورها، استاندارد امنیتی لازم را ندارند و هم‌اکنون انجام ترابرد از طریق فرم‌های ناامن در سایت‌های اپراتورها در حال انجام است.

این در حالی است که برای ارسال درخواست ترابرد هر سه اپراتور تلفن همراه در سایت‌های خود فرم‌هایی را برای دریافت اطلاعات شخصی مشترکان قرار داده‌اند که اطلاعات شخصی و حساس افراد ازجمله ایمیل، آدرس دقیق پستی، شماره شناسنامه، کد ملی، شماره تلفن ثابت و همراه را از مشترکان دریافت می‌کنند.

صفحاتی که اطلاعات مهم امنیتی را دریافت‌ می‌کنند باید از پروتکل SSL پشتیبانی کنند و به پروتکل امنیتی SSL-TLS مجهز باشند.

پروتکل SSL-TLS هنگام ورود به یک صفحه‌ وب در بخش آدرس صفحه قابل‌تشخیص است. اگر آدرس با عبارت https با رنگ سبز آغازشده بود صفحه مجهز به SSL-TLS است و اگر آدرس تنها با عبارت http شروع‌شده بود صفحه از این پروتکل امنیتی پشتیبانی نمی‌کند.

همچنان که سایت ده‌ها اپراتور تلفن همراه در سایر کشورها و سایت حتی اپراتورهای آفریقایی نیز به SSL مجهز هستند.

این پروتکل امنیتی امکان شنود و درز اطلاعات را بین کامپیوتر مشترک و سرور اپراتور به حداقل می‌رساند و در نبود این پروتکل احتمال رصد اطلاعاتی که مشترکان در فرم‌های ترابرد یا سایر فرم‌های موجود در سایت اپراتورها وارد می‌کنند از سوی هکرها افزایش می‌یابد.

با توجه به اینکه این ضعف امنیتی می‌تواند یک خطر بالقوه برای ده‌ها میلیون مشترک تلفن همراه باشد، الزام اپراتورها به رعایت این استاندارد امنیتی الزامی به نظر می‌رسد.

در سال‌های اخیر بسیاری از سایت‌های دستگاه‌های دولتی ازجمله وزارت ارتباطات و برخی سایت‌های کوچک خصوصی به پروتکل امنیتی SSL مجهز شده‌اند. اینکه این موضوع از دید برخی اپراتورها و سازمان تنظیم مقررات و ارتباطات رادیویی به‌عنوان حاکمیت و متولی تأمین امنیت این طرح دورمانده جای تعجب دارد.