سپر جدید گوگل والت برای تراکنش‌ها؛ سرعت فدای امنیت مطلق می‌شود

تغییرات زیرپوستی در کدهای آپدیت جدید گوگل والت

تیم‌های فنی با بررسی ساختار کدهای جدیدترین آپدیت سرویس گوگل والت (Google Wallet) به شماره نسخه 26.43.1009867093 دست‌آوردهای تازه‌ای داشته‌اند. قابلیت جدیدی تحت عنوان پرداخت بی‌تماس (Tap to Pay) در بخش تنظیمات تایید هویت مشاهده شده که برخلاف نسخه‌های قبلی، دیگر هنگام اجرا کرش نمی‌کند. متون و رشته‌کدهای اضافه شده به این بخش، استراتژی تازه اهالی ماウンتن ویو را روشن‌تر از قبل نشان می‌دهند.

شایعات اولیه ادعا می‌کردند گوگل شاید قصد داشته باشد مثل سیستم‌های حمل‌ونقل عمومی، امکان پرداخت بدون آنلاک کردن صفحه را فراهم کند. اما واقعیت فنی کاملاً برعکس است. گوگل نه‌تنها قفل گوشی را شرط اول پردازش تراکنش دانسته، بلکه قصد دارد یک لایه احراز هویت اختصاصی دقیقاً در لحظه نزدیک کردن گوشی به دستگاه کارت‌خوان (POS) اضافه کند. این یعنی اگر امنیت را به راحت‌طلبی ترجیح می‌دهید، باید خودتان را برای یک مرحله تایید هویت بیومتریک اضافی آماده کنید.

قانون سه دقیقه‌ای چیست و چرا امنیت را به خطر می‌انداخت؟

برای اینکه درک کنید این آپدیت چه تغییر بزرگی ایجاد می‌کند، باید بریم زیر لایه تست و بنچمارک سیستم فعلی گوگل. در حال حاضر، سرویس احراز هویت پیشرفته گوگل والت از یک بازه زمانی تنفس سه دقیقه‌ای استفاده می‌کند. مکانیزم کار ساده است: وقتی قفل گوشی خود را با حسگر اثر انگشت یا تشخیص چهره باز می‌کنید و یک تراکنش انجام می‌دهید، تا ۳ دقیقه بعد اگر تراکنش دیگری داشته باشید، سیستم دیگر از شما اسکن مجدد اثر انگشت نمی‌خواهد.

روی کاغذ و در استفاده روزمره این قابلیت خیلی جذاب است؛ مثلاً وقتی در یک فروشگاه بزرگ ابتدا حساب خریدهای روزمره را تسویه می‌کنید و بلافاصله می‌خواهید یک قهوه هم بگیرید، نیازی به اسکن مجدد نیست. اما از زاویه دید یک تستر سخت‌افزار و امنیت، این بازه ۳ دقیقه‌ای یک روزنه آسیب‌پذیری فیزیکی است. اگر در این ۳ دقیقه گوشی از دست شما قاپیده شود یا در یک صف شلوغ فردی با دستگاه ان‌اف‌سی (NFC) سیار به شما نزدیک شود، حساب بانکی‌تان در معرض خطر قرار می‌گیرد. متون جدید موجود در کدهای گوگل والت مستقیماً به این موضوع اشاره دارند: تمامی تراکنش‌ها نیازمند باز بودن قفل گوشی هستند، اما کاربر می‌تواند انتخاب کند که دقیقاً قبل از زدن گوشی به کارت‌خوان، دوباره هویتش تایید شود.

تحلیل دو سناریوی فنی پشت این تنظیمات جدید

بررسی دقیق کدهای منبع این برنامه، دو سناریوی مشخص را پیش روی ما قرار می‌دهد که گوگل در حال تست آن‌هاست. سناریوی اول این است که سوئیت جدید، بازه زمانی سه دقیقه‌ای را کاملاً نادیده بگیرد. یعنی با فعال کردن این گزینه، حتی اگر ۱۰ ثانیه پیش قفل گوشی را باز کرده باشید، به محض نزدیک شدن چیپست ارتباط نزدیک‌برد (NFC) به کارت‌خوان، صفحه تایید بیومتریک با سنسور اثر انگشت یا تشخیص چهره پیشرفته رویت می‌شود تا تراکنش نهایی شود.

سناریوی دوم که کمی نرم‌تر است، به کاربر اجازه می‌دهد تعیین کند پس از اتمام بازه سه دقیقه‌ای چه اتفاقی بیفتد. در حال حاضر مشخص نیست کدام سناریو به نسخه نهایی و پایدار می‌رسد، اما همین که گوگل این حق انتخاب را به بخش تنظیمات احراز هویت (Verification Settings) آورده، نشان می‌دهد فشار کارشناسان امنیت روانه غول فناوری شده است تا الگوی سخت‌گیرانه‌تری مشابه رقیب دیرینه‌اش ارائه دهد.

کل‌کل با اپل پی و حس کاربری زیر لایه تست

توی دست چه حسی میده؟ این سوالی است که همیشه در تست عملیاتی گجت‌ها می‌پرسم. اگر سیستم اپل پی (Apple Pay) روی آیفون را تست کرده باشید، می‌دانید که اپل هیچ‌وقت با کسی تعارف ندارد؛ برای هر بار پرداخت باید دکمه پاور را دو بار فشار دهید، چهره‌تان با فیس آی‌دی (Face ID) اسکن شود و سپس گوشی روی دستگاه برود. این پروسه شاید در ظاهر نیم ثانیه زمان بیشتری ببرد، اما احساس امنیت فوق‌العاده‌ای به کاربر می‌دهد.

در سمت مقابل، اکوسیستم اندروید همواره سرعت و انعطاف را فدای امنیت صددرصدی کرده بود. حالا با این آپدیت، گوگل والت در مسیر آیفون قدم برمی‌دارد. شاید برای کاربری که چند پلاستیک خرید در دست دارد، اسکن دوباره اثر انگشت روی صفحه نمایش ۱۲۰ هرتزی گوشی پرچمدارش کمی روی اعصاب برود و نرخ اصطکاک تجربه کاربری را بالا ببرد، اما در عوض احتمال تراکنش‌های ناخواسته یا کلاهبرداری‌های شعاع نزدیک به صفر می‌رسد.

ارزش واقعی این آپدیت برای کاربران بازار ایران

وقتی بحث تکنولوژی‌های مالی و پرداخت به میان می‌آید، تحلیل وضعیت بازار ایران و ارزش دلاری نسبت به تومان بازار آزاد ایران اهمیت بالایی پیدا می‌کند. اگرچه گوگل والت به دلیل تحریم‌های بانکی و عدم اتصال شبکه شتاب به سوئیچ‌های بین‌المللی مانند ویزا و مسترکارت به صورت مستقیم برای خریدهای نانوایی یا سوپرمارکت در ایران فعال نیست، اما استفاده از بانکداری الکترونیک و سرویس‌های داخلی بر پایه ان‌اف‌سی (NFC) طی سال‌های اخیر رشد چشمگیری داشته است.

برنامه‌های بومی پرداخت در ایران که از چیپ ان‌اف‌سی گوشی‌های هوشمند استفاده می‌کنند، همواره با چالش‌های امنیتی مشابهی دست‌وپنجه نرم کرده‌اند. الگوبرداری سازندگان نرم‌افزارهای ایرانی از معماری امنیتی گوگل می‌تواند استانداردهای پرداخت کشور را ارتقا دهد. از طرفی، ایرانیان خارج از کشور یا افرادی که از کارت‌های اعتباری بین‌المللی استفاده می‌کنند، با فعال‌سازی این قابلیت روی پرچمداران خود، مطمئن خواهند بود که حتی با وجود نوسانات قیمت دلار و هزینه‌های سنگین خرید یک گوشی پرچمدار، اطلاعات مالی‌شان در ایمن‌ترین لایه ممکن نگهداری می‌شود.