هر سیستم پرداخت بیش از هر چیز به یک عامل وابسته است:
اعتماد.
شبکههای پرداخت سنتی این اعتماد را از طریق کنترل متمرکز ایجاد میکنند. بانکها، پردازشگران پرداخت و مؤسسات مالی تراکنشها را تأیید میکنند، سوابق را نگه میدارند و مشخص میکنند کدام پرداختها معتبرند.
سیستمهای بلاکچینی همان چالش را به شیوهای متفاوت حل میکنند.
شبکه بهجای اعتماد به یک نهاد، برای ایمنسازی تراکنشها به رمزنگاری، اعتبارسنجی توزیعشده و قواعد اجماع متکی است.
همین موضوع امنیت پرداختهای بلاکچینی را بهطور اساسی از زیرساخت پرداخت سنتی متمایز میکند.
در سیستمهای بلاکچینی، امنیت بعداً بهعنوان یک لایه محافظ اضافه نمیشود؛ بلکه مستقیماً در نحوه ایجاد، تأیید و ثبت تراکنشها ساخته شده است.
امنیت بلاکچین پیش از انتشار تراکنش در شبکه آغاز میشود
یکی از مهمترین تفاوتها در پرداختهای بلاکچینی این است که مجوزدهی با استفاده از رمزنگاری انجام میشود.
پیش از آنکه تراکنش وارد شبکه شود:
- کیف پول تراکنش را میسازد
- فرستنده آن را با استفاده از یک کلید خصوصی
- امضا از نظر ریاضی مالکیت وجوه را اثبات میکند
شبکه نمیپرسد:
“Who are you?”
در عوض میپرسد:
“Can you produce a valid cryptographic signature for these funds?”
این روش نیاز به احراز هویت متمرکز هنگام مجوزدهی تراکنش را از بین میبرد. بلاکچین بهجای هویت فرستنده، به ریاضیات پشت امضا اعتماد میکند. راهنمای توسعهدهندگان Bitcoin برای خوانندگانی که به توضیح فنی عمیقتری نیاز دارند، نحوه ساختاردهی و امضای تراکنشها در سیستمهای مبتنی بر Bitcoin را شرح میدهد.
راهنمای تراکنشهای Bitcoin را بخوانید
تراکنشها پس از امضا بهسادگی قابل تغییر نیستند
پس از امضای یک تراکنش، محتوای آن از نظر رمزنگاری به همان امضا پیوند میخورد.
حتی تغییر کوچکی در مبلغ، آدرس گیرنده یا ساختار تراکنش، امضا را بلافاصله نامعتبر میکند.
این ویژگی از دستکاری پنهانی جلوگیری میکند.
یک عامل مخرب نمیتواند تراکنشی را رهگیری کند، مقصد آن را تغییر دهد و در عین حفظ اعتبار اثبات اولیه، آن را به شبکه بفرستد. در این حالت، امضا دیگر معتبر نخواهد بود.
به همین دلیل، مجوزدهی در پرداختهای بلاکچینی پیش از آن انجام میشود که شبکه حتی اعتبارسنجی جمعی را آغاز کند.
شبکه تراکنشها را بهصورت جمعی تأیید میکند
یک امضای معتبر بهتنهایی برای ایمنکردن پرداخت کافی نیست.
شبکه باید تأیید کند که تراکنش از تمام قواعد پروتکل پیروی میکند.
شبکههای بلاکچینی بهجای تکیه بر یک مرجع مرکزی، این مسئولیت را میان گرههای مستقل متعدد توزیع میکنند.
هر گره موارد زیر را بررسی میکند:
- امضاها
- موجودیها
- قواعد تراکنش
- انطباق با پروتکل
نکته مهم این است که این بررسیها مستقل از یکدیگر انجام میشوند.
هیچ سازمان واحدی تصمیم نمیگیرد که یک پرداخت باید پذیرفته شود یا نه.
این مدل اعتبارسنجی توزیعشده یکی از پایههای امنیت پرداختهای بلاکچینی است، زیرا اعتماد از نهادها به تأیید جمعی منتقل میشود.
برای خوانندگانی که میخواهند پیش از ورود عمیقتر به بحث امنیت، جریان کامل پرداخت را درک کنند، این راهنما درباره نحوه کار پرداختهای بلاکچینی ، مسیر تراکنش را از ایجاد پرداخت تا تسویه توضیح میدهد.
امنیت در بلاکچین ارتباط نزدیکی با اجماع دارد
اعتبارسنجی بهتنهایی همچنان کافی نیست.
شبکه باید درباره ترتیب تراکنشها و تاریخچه بلاکچین نیز به توافق برسد.
اینجاست که مکانیزمهای اجماع نقشی حیاتی پیدا میکنند.
بلاکچینهای مختلف از روشهای متفاوتی استفاده میکنند، از جمله:
- Proof of Work
- Proof of Stake
- سیستمهای اعتبارسنجی واگذارشده
- مدلهای دیگر اجماع
اگرچه سازوکارها متفاوتاند، هدف یکسان است:
جلوگیری از پذیرفتهشدن تاریخچههای جعلی تراکنش بهعنوان وضعیت معتبر شبکه.
اجماع همان چیزی است که دوبار خرجکردن را دشوار میکند. بدون اجماع، ممکن است چند نسخه از تاریخچه تراکنشها همزمان وجود داشته باشد و درباره معتبر بودن پرداختها ابهام ایجاد کند.
امضاهای رمزنگاری، اعتبارسنجی توزیعشده و اجماع در کنار هم پایه امنیتی شبکههای بلاکچینی را میسازند. NIST نیز اجماع، اجزای پایه رمزنگاری و دفترکلهای توزیعشده را از مفاهیم اصلی معماری بلاکچین میداند.
مرور فناوری بلاکچین NIST را بخوانید
چرا تغییرناپذیری برای پرداختها اهمیت دارد؟
پس از تأیید تراکنشها و افزودهشدن بلوکهای بیشتر روی آنها، تغییر تاریخچه بهتدریج دشوارتر میشود.
این ویژگی معمولاً تغییرناپذیری نامیده میشود.
تغییرناپذیری به این معنا نیست که بازگرداندن یک تراکنش از نظر ریاضی ناممکن است. معنای آن این است که بازنویسی تاریخچه بلاکچین در شرایط عادی از نظر اقتصادی و محاسباتی غیرعملی میشود.
این ویژگی نحوه انجام تسویه در سیستمهای پرداخت را تغییر میدهد.
پرداختهای سنتی ممکن است:
- برگردانده شوند
- مشمول چارجبک شوند
- پس از انجام تراکنش به تصمیم واسطهها وابسته باشند
هرچه عمق تأیید افزایش مییابد، تغییر تراکنشهای بلاکچینی بهتدریج دشوارتر میشود.
تفاوت میان پرداخت کارتی و یک پرداخت بلاکچینی تأییدشده را در نظر بگیرید.
ممکن است یک فروشنده امروز پرداخت کارتی دریافت کند و چند هفته بعد همچنان با چارجبک روبهرو شود. بازگرداندن یک تراکنش بلاکچینی که تأییدهای کافی گرفته است، بهتدریج دشوارتر میشود؛ زیرا چنین کاری مستلزم تغییر تاریخچه پذیرفتهشده شبکه است.
این موضوع مدل اعتماد پیرامون قطعیت تسویه را تغییر میدهد.
امنیت بلاکچین با امنیت کیف پول یکسان نیست
این تمایز بسیار مهم است.
افراد اغلب میگویند:
“Blockchain was hacked.”
اما بسیاری از زیانهای واقعی خارج از خود بلاکچین رخ میدهند.
ممکن است بلاکچین کاملاً امن بماند، اما کاربران به دلایل زیر دارایی خود را از دست بدهند:
- افشاشدن عبارتهای بازیابی
- حملات فیشینگ
- دستگاههای آلوده یا دراختیارگرفتهشده
- مجوزهای مخرب قرارداد هوشمند
- امنیت عملیاتی ضعیف
شبکه یکپارچگی تراکنش را حفظ میکند، اما از کاربران در برابر مدیریت ناامن کلیدها محافظت نمیکند.
به همین دلیل امنیت بلاکچین و امنیت کیف پول مفاهیمی مرتبطاند، اما یکسان نیستند.
برای کسبوکارها، محافظت از کیف پول یک لایه عملیاتی جداگانه است. این راهنما درباره ایمنسازی کیف پولهای رمزارزی برای کسبوکارها ، اقدامهای عملی مانند کنترل دسترسی، پشتیبانگیری و مدیریت امن کیف پول را توضیح میدهد.
شفافیت نیز بخشی از امنیت است
سیستمهای بلاکچینی فعالیت تراکنشها را بهصورت عمومی نمایش میدهند.
هر کسی میتواند:
- تراکنشها را بررسی کند
- موجودیها را تأیید کند
- تأییدها را دنبال کند
- جریانهای پرداخت را با استفاده از مرورگرهای بلاکچین حسابرسی کند
این شفافیت نحوه تأیید را تغییر میدهد.
شرکتکنندگان بهجای اعتماد به گزارش یک واسطه، میتوانند وضعیت شبکه را بهطور مستقل بررسی کنند.
برای کسبوکارها، این سطح از مشاهدهپذیری ابهام را در موارد زیر کاهش میدهد:
- زمان پرداخت
- پیشرفت تأییدها
- اصالت تراکنش
شفافیت تقلب را بهطور کامل از بین نمیبرد. بااینحال، دستکاری پنهان در زیرساخت پرداخت را به میزان قابلتوجهی کاهش میدهد.
اگر میخواهید بدانید کاربران و کسبوکارها چگونه میتوانند پرداختها را مستقیماً بررسی کنند، این راهنما توضیح میدهد مرورگر بلاکچین چیست و چگونه باید از آن استفاده کرد.
قراردادهای هوشمند ملاحظات امنیتی بیشتری ایجاد میکنند
در بلاکچینهای برنامهپذیر مانند Ethereum، پرداختها ممکن است بهجای انتقال ساده ارزش میان کیف پولها، با قراردادهای هوشمند تعامل داشته باشند.
این قابلیت امکاناتی مانند تسویه خودکار، پرداخت با توکن، منطق اشتراک و دیگر جریانهای پرداخت برنامهپذیر را فراهم میکند.
همزمان، امنیت دیگر فقط به اجماع بلاکچین وابسته نیست.
طراحی ضعیف قرارداد، مجوزهای بیشازحد یا آسیبپذیریهای نرمافزاری میتوانند حتی در صورت امنبودن بلاکچین زیرین، خطر ایجاد کنند.
در نتیجه، امنیت پرداخت بلاکچینی در شبکههای قرارداد هوشمند هم به امنیت خود بلاکچین و هم به کیفیت منطق برنامهای وابسته است که روی آن ساخته میشود.
مستندات توسعهدهندگان Ethereum نحوه کار قراردادهای هوشمند را توضیح میدهد و راهنمای امنیتی آن، خطرهای رایج در طراحی و پیادهسازی را پوشش میدهد.
مستندات قرارداد هوشمند Ethereum را بخوانید
راهنمای امنیت قرارداد هوشمند Ethereum را بخوانید
چرا تمرکززدایی سطح حمله را تغییر میدهد؟
سیستمهای متمرکز معمولاً نقاط شکست متمرکز ایجاد میکنند.
اگر یک پایگاه داده مرکزی، پردازشگر پرداخت یا سیستم تسویه در معرض نفوذ قرار گیرد، پیامد آن میتواند کل شبکه را تحتتأثیر قرار دهد.
سیستمهای بلاکچینی مسئولیت را میان شرکتکنندگان مستقل متعدد توزیع میکنند.
این موضوع اقتصاد حمله را بهطور چشمگیری تغییر میدهد.
دستکاری وضعیت بلاکچین معمولاً به موارد زیر نیاز دارد:
- کنترل محاسباتی در مقیاس بزرگ
- نفوذ قابلتوجه بر اعتبارسنجها
- دستکاری اجماع اکثریت
مهاجم بهجای حمله به یک سرور، باید بر یک سیستم توزیعشده غلبه کند که برای مقاومت در برابر دستکاری هماهنگ طراحی شده است.
دشواری اجرای چنین حملاتی در زیرساخت غیرمتمرکز، یکی از دلایل تابآوری بالای امنیت پرداختهای بلاکچینی است.
امنیت به معنای نهاییشدن فوری نیست
ظاهرشدن یک تراکنش در شبکه بهطور خودکار به این معنا نیست که کاملاً امن شده است.
تراکنشها معمولاً چند مرحله را طی میکنند:
- منتشرشده در شبکه
- در انتظار
- قرارگرفته در یک بلوک
- تأییدشده
- بهاندازه کافی نهاییشده برای اعتماد
این تفاوت بهویژه برای کسبوکارها اهمیت دارد.
برای مثال، تصور کنید یک فروشگاه آنلاین پرداختی ۲۰ دلاری دریافت کرده است. چون ریسک مالی نسبتاً کم است، فروشنده ممکن است پس از یک تأیید سفارش را بپذیرد.
اکنون پرداختی ۱۰٬۰۰۰ دلاری برای تجهیزات گرانقیمت را در نظر بگیرید. در چنین شرایطی، فروشنده ممکن است پیش از تسویهشده تلقیکردن پرداخت، منتظر چند تأیید بماند.
ممکن است تراکنش تقریباً بلافاصله قابل مشاهده باشد، اما با اضافهشدن بلوکهای بیشتر روی آن، اطمینان به تسویه افزایش مییابد.
This is one of the most practical aspects of blockchain payment security. Security is not a binary state that appears instantly. It strengthens progressively as the network gains greater certainty about a transaction’s position in blockchain history.
برای توضیحی عمیقتر با تمرکز بر کسبوکار، این راهنما درباره سیستمهای تأیید پرداخت توضیح میدهد چرا سیاستهای تأیید، تصمیمهای عملیاتی هستند و نه صرفاً رویدادهای بلاکچین.
کسبوکارها همچنان به امنیت عملیاتی نیاز دارند
حتی با وجود زیرساخت قدرتمند بلاکچین، کسبوکارها همچنان به اقدامات محافظتی عملیاتی نیاز دارند.
این اقدامات ممکن است شامل موارد زیر باشند:
- مدیریت امن کیف پول
- سیستمهای مجوزدهی چندامضایی
- دسترسی کنترلشده کارکنان
- رویههای پشتیبانگیری و بازیابی
- پایش تراکنش
- سیاستهای پرداخت متناسب با ویژگیهای شبکه
بلاکچین برخی دستههای ریسک پرداخت را کاهش میدهد، اما مسئولیت عملیاتی را از بین نمیبرد.
برای مثال، یک کسبوکار میتواند روی بلاکچینی بسیار امن پرداخت دریافت کند و همچنان بهدلیل کنترل دسترسی ضعیف یا افشای اطلاعات ورود کیف پول، دارایی خود را از دست بدهد.
به همین دلیل پلتفرمهای زیرساخت پرداخت مانند OxaPay Merchant Service فقط بر اتصال به بلاکچین تمرکز نمیکنند؛ بلکه جریانهای ساختاریافته پرداخت، پایش تراکنشها و قابلیت اطمینان عملیاتی در شبکههای پشتیبانیشده را نیز پوشش میدهند.
توسعهدهندگان و تیمهای پرداخت باید از لایه API پیرامون سیستمهای پرداخت نیز محافظت کنند. این راهنما درباره بهترین روشهای امنیت API پرداخت توضیح میدهد کلیدهای API، کنترل دسترسی و پیکربندی امن چگونه بر عملیات پرداخت رمزارزی اثر میگذارند.
بلاکچین امنیت تراکنش را تأمین میکند.
سیستم پرداخت از جریان کاری پیرامون آن تراکنش محافظت میکند.
امنیت بلاکچین واقعاً به چه معناست؟
یکی از بزرگترین برداشتهای نادرست درباره امنیت بلاکچین این است که آن را حاصل یک ویژگی واحد بدانیم.
در واقع، امنیت از همکاری چندین لایه شکل میگیرد.
این لایهها شامل موارد زیرند:
- امضاهای رمزنگاری
- اعتبارسنجی توزیعشده
- مکانیزمهای اجماع
- تاریخچه تغییرناپذیر تراکنشها
- سیستمهای تأیید شفاف
هیچ جزء واحدی بهتنهایی اعتماد ایجاد نمیکند.
سیستم بهصورت جمعی اعتماد میسازد.
در نهایت، همین طراحی چندلایه است که به امنیت پرداختهای بلاکچینی قدرت میدهد.
جمعبندی
امنیت پرداختهای بلاکچینی بر همکاری چند لایه، از جمله رمزنگاری، اعتبارسنجی توزیعشده، اجماع و تأیید شفاف بنا شده است.
شبکههای بلاکچینی بهجای وابستگی به یک مرجع مرکزی، از طریق قواعد ریاضی و توافق جمعی اعتماد ایجاد میکنند. همزمان، مدیریت امن کیف پول، طراحی قرارداد هوشمند و اقدامات محافظتی عملیاتی همچنان بخشهای ضروری یک محیط پرداخت امن هستند.
اگر کسبوکار شما میخواهد از طریق زیرساختی امن و قابلاعتماد پرداخت رمزارزی بپذیرد، استفاده از درگاه پرداخت کریپتو OxaPay را بررسی کنید تا پردازش پرداخت سادهتر شود، تراکنشها را پایش کنید و پرداختهای رمزارزی را در چندین شبکه بلاکچین مدیریت کنید.
