ماجرای ابطال گواهی‌های امنیتی سایت‌های ایرانی حالا از یک مشکل فنی ساده فراتر رفته و به یکی از جدی‌ترین چالش‌های امنیتی خدمات آنلاین کشور تبدیل شده است.
طی هفته‌های اخیر، تعدادی از وب‌سایت‌ها و سرویس‌های ایرانی با لغو یا بی‌اعتبار شدن گواهی‌های SSL خود از سوی تأمین‌کنندگان خارجی مواجه شده‌اند؛ اتفاقی که باعث نمایش هشدار امنیتی در مرورگر کاربران شده و دسترسی به برخی خدمات را مختل کرده است. مدیرعامل شرکت ارتباطات زیرساخت نیز اخیراً هشدار داده که این روند می‌تواند امنیت اطلاعات کاربران و کسب‌وکارهای ایرانی را تضعیف کند.
دلیل ابطال گواهی SSL سایت‌های ایرانی چیست؟
#ریشه این اتفاق به محدودیت‌های بین‌المللی و تحریم ارائه خدمات فنی به ایران بازمی‌گردد. گواهی SSL/TLS توسط شرکت‌ها و مراجع صدور گواهی دیجیتال یا CA صادر می‌شود و مرورگرهایی مانند Chrome، Firefox و Edge برای تشخیص معتبر بودن یک گواهی، به زنجیره‌ای از مراجع مورد اعتماد جهانی متکی هستند. در ماه‌های اخیر، برخی سرویس‌های ایرانی به دلیل محدودیت‌های ایجادشده برای دریافت یا تمدید گواهی‌های بین‌المللی، با مشکل مواجه شده‌اند. گزارش‌های داخلی نیز از مهاجرت برخی بانک‌ها و سرویس‌های ایرانی به سمت گواهی‌های داخلی خبر می‌دهند.
البته دامنه این مشکل یکسان نیست و نمی‌توان گفت تمام سایت‌های ایرانی یا تمام گواهی‌های صادرشده برای آنها باطل شده‌اند. حتی در گزارش‌های منتشرشده درباره این موضوع نیز تعداد دقیق سایت‌های تحت تأثیر و جزئیات کامل همه صادرکنندگان گواهی اعلام نشده است. بنابراین عبارت «همه سایت‌های ایرانی» از نظر فنی دقیق نیست و موضوع در حال حاضر بیشتر به مجموعه‌ای از سایت‌ها و سرویس‌های متأثر مربوط می‌شود.
SSL دقیقاً چه کاری برای کاربر انجام می‌دهد؟
#وقتی کاربر وارد یک سایت HTTPS می‌شود، گواهی دیجیتال فقط برای نمایش یک علامت قفل کنار آدرس سایت نیست. گواهی به مرورگر کمک می‌کند مطمئن شود ارتباط رمزگذاری‌شده با همان دامنه‌ای برقرار شده که کاربر قصد ورود به آن را داشته است. به زبان ساده، رمزگذاری TLS باعث می‌شود اطلاعات در مسیر به‌صورت قابل خواندن برای افراد عادی منتقل نشود و گواهی نیز بخشی از سازوکار احراز هویت سایت در این ارتباط است.
به همین دلیل، وقتی مرورگر اعلام می‌کند گواهی یک سایت منقضی، نامعتبر یا لغوشده است، در واقع یک هشدار جدی درباره اعتماد به هویت سایت نمایش می‌دهد. مشکل زمانی جدی‌تر می‌شود که کاربران به‌دلیل تکرار این هشدارها، به آنها عادت کنند و گزینه‌هایی مانند ادامه دادن به سایت ناامن را بدون بررسی انتخاب کنند. کارشناسان داخلی نیز هشدار داده‌اند که عادی شدن چنین پیام‌هایی می‌تواند اعتماد کاربران به خدمات آنلاین را کاهش دهد و زمینه را برای فیشینگ و سوءاستفاده فراهم کند.
چرا این اتفاق برای بانک‌ها خطرناک‌تر است؟
#بانک‌ها یکی از حساس‌ترین بخش‌های این ماجرا هستند، زیرا کاربران هنگام استفاده از اینترنت‌بانک یا نسخه وب اپلیکیشن‌های بانکی، اطلاعات حساسی مانند نام کاربری، رمز عبور و اطلاعات مربوط به حساب خود را وارد می‌کنند. در مردادماه نیز بانک مرکزی اعلام کرد گواهی فنی ـ امنیتی برخی پایگاه‌های اطلاع‌رسانی مرتبط با این بانک از سوی تأمین‌کننده خارجی لغو شده و کاربران ممکن است با خطای SSL مواجه شوند. بانک مرکزی در همان اطلاعیه تأکید کرد این اتفاق به معنی حمله سایبری به زیرساخت بانک مرکزی نبوده است.
بعد از آن، گزارش‌های داخلی از بروز هشدارهای امنیتی برای برخی وب‌سایت‌ها و وب‌اپلیکیشن‌های بانکی منتشر شد. مشکل در اینجا فقط باز نشدن یک صفحه نیست؛ بانک‌ها مجبور می‌شوند برای حفظ دسترسی کاربران، به سراغ گواهی‌های جایگزین بروند و در برخی موارد حتی دامنه یا معماری دسترسی خود را تغییر دهند.
آیا باطل شدن SSL یعنی اطلاعات کاربران هک می‌شود؟
#خیر؛ این دو موضوع را نباید یکی دانست. ابطال یا بی‌اعتبار شدن گواهی به معنی این نیست که مهاجم همان لحظه می‌تواند اطلاعات رمزگذاری‌شده کاربران را بخواند یا سرور سایت را هک کند. حتی گزارش‌های داخلی درباره برخی سایت‌های بانکی نیز تأکید کرده‌اند که مشکل ایجادشده ناشی از لغو گواهی بوده و لزوماً نشانه حمله سایبری به سرور نیست.
خطر اصلی در مرحله بعد ظاهر می‌شود. وقتی یک سایت گواهی معتبر ندارد، مرورگر هشدار می‌دهد که نمی‌تواند هویت امنیتی آن را تأیید کند. اگر کاربر این هشدار را نادیده بگیرد، وارد محیطی می‌شود که اعتماد مرورگر به هویت مقصد تأیید نشده است. در چنین شرایطی، تشخیص یک سایت واقعی از نمونه جعلی می‌تواند برای کاربر دشوارتر شود و ریسک فیشینگ یا برخی حملات مرد میانی افزایش پیدا کند. بنابراین مشکل اصلی، تضعیف زنجیره اعتماد است، نه اینکه صرفاً «رمزگذاری از بین رفته باشد».
چرا گواهی داخلی همیشه مشکل را حل نمی‌کند؟
#یکی از راهکارهای مطرح‌شده برای مقابله با این وضعیت، استفاده از گواهی‌های صادرشده توسط مراجع داخلی است. این روش می‌تواند برای ایجاد ارتباط رمزگذاری‌شده میان کاربر و سرور کاربرد داشته باشد، اما یک مشکل مهم وجود دارد: مرورگرها و سیستم‌عامل‌های جهانی فقط به مراجع صدور گواهی‌ای اعتماد می‌کنند که در فهرست ریشه‌های مورد اعتماد آنها قرار گرفته باشند.
به همین دلیل، ممکن است یک سایت با گواهی داخلی از نظر فنی ارتباط رمزگذاری‌شده داشته باشد، اما مرورگر کاربر همچنان آن را به‌عنوان گواهی مورد اعتماد شناسایی نکند و هشدار نمایش دهد. گزارش‌های داخلی درباره بانک‌ها نیز به همین تفاوت اشاره کرده‌اند؛ یعنی رمزگذاری ارتباط با اعتماد مرورگر به صادرکننده گواهی یکسان نیست.
تأثیر این اتفاق بر کسب‌وکارهای ایرانی چیست؟
#تأثیر این وضعیت فقط امنیتی نیست. وقتی کاربر با هشدار قرمز یا پیام «Connection is not private» روبه‌رو شود، احتمال دارد از ورود به سایت منصرف شود. این مسئله برای فروشگاه‌های اینترنتی، سامانه‌های پرداخت، بانک‌ها، پلتفرم‌های خدماتی، رسانه‌ها و کسب‌وکارهایی که بخش بزرگی از فعالیتشان آنلاین است، می‌تواند به معنای کاهش اعتماد و از دست رفتن مشتری باشد.
از طرف دیگر، کسب‌وکارها مجبور می‌شوند برای جلوگیری از اختلال، گواهی‌های جایگزین تهیه کنند، معماری امنیتی خود را تغییر دهند، چند گواهی برای سرویس‌های مختلف داشته باشند یا به سمت صادرکنندگان دیگری بروند. مدیرعامل شرکت ارتباطات زیرساخت نیز توصیه کرده کسب‌وکارها تنها به یک گواهی متکی نباشند و از معماری چندگواهی استفاده کنند. او همچنین به امکان استفاده از برخی CAهای غیرآمریکایی و غیراروپایی اشاره کرده است.
خطر بزرگ‌تر؛ عادی شدن هشدارهای امنیتی
#شاید مهم‌ترین پیامد این بحران، چیزی باشد که در نگاه اول کمتر دیده می‌شود. کاربران اینترنت باید بدانند هشدار گواهی امنیتی یک پیام جدی است؛ اما اگر کاربران هر روز در سایت‌های بانکی، دولتی یا خدماتی با چنین اخطارهایی مواجه شوند، ممکن است به مرور زمان حساسیت خود را نسبت به آنها از دست بدهند.
این اتفاق می‌تواند شرایط مناسبی برای کلاهبرداران ایجاد کند. مهاجم می‌تواند سایتی شبیه یک بانک یا فروشگاه ایجاد کند و از طریق پیامک، شبکه‌های اجتماعی یا تبلیغات، کاربر را به آن هدایت کند. اگر کاربر قبلاً بارها هشدارهای مرورگر را نادیده گرفته باشد، ممکن است تفاوت میان یک سایت واقعی با مشکل گواهی و یک سایت جعلی را جدی نگیرد. به همین دلیل، تداوم چنین وضعیتی از منظر امنیت سایبری تنها یک مشکل فنی برای مدیران سایت نیست و مستقیماً به رفتار کاربران نیز مربوط می‌شود.
راه‌حل پایدار، صرفاً عبور دادن کاربران از هشدار امنیتی مرورگر نیست. بانک مرکزی در زمان بروز مشکل برای برخی سایت‌های خود اعلام کرده بود که کاربران موقتاً می‌توانند از پیام خطا عبور کنند، اما از منظر امنیتی، عادی‌سازی این رفتار راهکار مناسبی برای بلندمدت نیست.
در سمت کسب‌وکارها، استفاده از معماری چندگواهی، داشتن مسیرهای جایگزین، برنامه‌ریزی برای تمدید و جایگزینی گواهی‌ها و کاهش وابستگی به یک تأمین‌کننده می‌تواند ریسک اختلال را کاهش دهد. در سمت کاربران نیز توصیه مهم این است که اگر مرورگر درباره گواهی یک سایت حساس، به‌خصوص سایت بانکی یا پرداختی، هشدار جدی نمایش داد، بدون اطمینان از علت خطا اطلاعات حساس وارد نکنند.
در نهایت، ابطال گواهی‌های SSL را نباید صرفاً یک «خطای مرورگر» دانست. این اتفاق هم‌زمان سه لایه را تحت تأثیر قرار می‌دهد: دسترسی به خدمات آنلاین، اعتماد کاربران به سایت‌ها و امنیت فرایندهای اینترنتی. با توجه به اینکه بخش قابل توجهی از خدمات بانکی، خرید، پرداخت و امور روزمره به وب وابسته شده است، ادامه این روند می‌تواند هزینه فنی و اقتصادی بیشتری برای کسب‌وکارها و کاربران ایجاد کند. مدیرعامل شرکت ارتباطات زیرساخت نیز این موضوع را تهدیدی برای امنیت اطلاعات کاربران و کسب‌وکارهای ایرانی دانسته و بر پیگیری آن تأکید کرده است.
