ينتهي الموعد النهائي للتحويل إلى بروتوكول TLS في 30 يونيو 2018. يجب على جميع التجار المعنيين استخدام تشفير TLS 1.1 (كحد أدنى) بحلول يونيو 2018، وإلا فلن يتمكنوا من معالجة أي معاملات بطاقات على الإطلاق. وضعت هيئة معايير الدفع الإلكتروني (PCI) هذا المعيار كضرورة حتمية لضمان حماية بيانات حاملي البطاقات. ونظرًا لأن عملية التحويل إلى بروتوكول TLS قد تكون معقدة بالنسبة للعديد من التجار، فمن الضروري البدء بها الآن لتجنب خسارة الإيرادات.
ما هو TLS؟
يُعدّ بروتوكول أمان طبقة النقل (TLS) الإصدار 1.2 أحدث بروتوكول تشفير معتمد من قِبل PCI لنقل البيانات عبر الإنترنت. وهو خليفة بروتوكول SSL، الذي كان على مدى العشرين عامًا الماضية المحرك الرئيسي لجميع اتصالات "https" الآمنة التي اعتدنا رؤيتها على الإنترنت.
تكمن المشكلة في أن بروتوكول SSL (وحتى TLS 1.0) لم يعدا من طرق التشفير الآمنة. فبروتوكولا SSL وTLS 1.0 يُعرّضان المستهلكين والشركات لخطر سرقة البيانات عبر مجموعة واسعة من الاختراقات. هل سبق لك أن سمعت بمصطلحات مثل Heartbleed أو DROWN أو POODLE؟ إنها ثغرات أمنية خطيرة تتسلل إلى اتصالات SSL وTLS 1.0، وهي السبب الرئيسي لخسائر مالية لا تُحصى تُقدّر بملايين الدولارات نتيجة لسرقة البيانات.
إن الثغرات الأمنية في بروتوكولي SSL وTLS 1.0 خطيرة للغاية لدرجة أنه لا توجد طريقة لإصلاحها. لذا كان من الضروري تطوير بروتوكول TLS جديد كليًا، وهو الإصدار 1.1 (وتحديثه، الإصدار 1.2).
من يحتاج إلى التحديث؟
ينطبق تحديث بروتوكول أمان طبقة النقل (TLS) على جميع التجار الذين يديرون مواقع للتجارة الإلكترونية، وكذلك التجار الذين ينقلون أي نوع من بيانات الدفع عبر بروتوكول الإنترنت (IP). قد يُستثنى من هذا التحديث التجار الذين لديهم اتصال هاتفي مخصص لجهاز طرفي واحد، أو الأجهزة الطرفية التي تعمل ضمن شبكة داخلية مغلقة. مع ذلك، ستحتاج الغالبية العظمى من التجار إلى الترقية. قد تشمل الأنظمة المعرضة للخطر أجهزة نقاط البيع، وأجهزة الدفع الافتراضية، وخوادم المكاتب الخلفية، وحتى أجهزة الكمبيوتر الخاصة بالمستخدمين. ببساطة، لا مكان لبروتوكولي SSL وTLS 1.0 في حماية البيانات المسؤولة، ويفرض الامتثال لمعايير أمان بيانات صناعة بطاقات الدفع (PCI DSS) استبدالهما.
متى يجب الترقية؟
معظم بوابات الدفع الرئيسية والبنوك وشركات معالجة المدفوعات قد انتقلت بالفعل إلى النظام الجديد، وما زالت تسمح بإجراء معاملات ذات مستوى خدمة أقل للتجار الذين لم ينتقلوا بعد. ولكن من الضروري للغاية أن يبدأ التجار عملية الانتقال الآن. ولأن هذه العملية قد تكون معقدة، فمن غير الحكمة التأخير. ورغم أن الانتقال قد يكون شاقًا، إلا أنه بديل أفضل بكثير من التعامل مع اختراق البيانات. واعتبارًا من الصيف المقبل، سيكون هذا هو السبيل الوحيد للحفاظ على استمرارية أعمالهم على الإنترنت.
ما المشاركة؟
تختلف إعدادات كل تاجر عن الآخر، فلا يوجد حل واحد يناسب الجميع. بالنسبة للعديد من التجار، ستكون عملية الانتقال معقدة. ولهذا السبب، يواجه مزودو خدمات الدفع قدراً كبيراً من معارضة التجار وتأخيرات. ومن يلومهم على ذلك؟ فنصف التجار في الولايات المتحدة ما زالوا في خضم عملية الانتقال إلى معيار EMV، ناهيك عن محاولتهم تلبية متطلبات جديدة.
لا يرغب التجار في التفكير في عملية تحديث أخرى تستغرق وقتًا طويلاً، وغير مريحة، وربما مكلفة. ومن المرجح أن يكون التحول إلى بروتوكول TLS ترقيةً كبيرةً بالفعل بالنسبة للعديد منهم. إذ سيتعين تضمين كل نظام متصل بالإنترنت يتعامل مع بيانات الدفع، بالإضافة إلى العديد من أنظمة البرامج الأخرى المرتبطة بالويب.
توصي PCI التجار بوضع خطة لتخفيف المخاطر والانتقال، لتحديد نقاط ضعف مؤسساتهم والتخطيط لتنفيذها. ولحسن الحظ، توفر PCI معلومات لمساعدة التجار على البدء. انقر هنا للمزيد وثيقة مفيدة يمكنك تقديمها لتجارك.
قد تُشكّل ترقيات البرامج والأنظمة عبئًا كبيرًا على التجار الصغار. فإذا لم يتمكن التاجر (أو لم يرغب) في ترقية أنظمة التشغيل الخاصة به، فإن خياراته محدودة. وقد طوّر مطورو البرامج الخارجيون تحديثات لجعل بعض أنظمة التشغيل القديمة متوافقة مع بروتوكول TLS 1.2. ولكن يجب التنبيه إلى أن هذه الحلول البديلة ستتطلب وقتًا وجهدًا برمجيًا.
التغلب على الاعتراضات
في الواقع، لا توجد طريقة سهلة لتجنب الجهد الذي قد يتطلبه تحديث بروتوكول TLS. ولكن على عكس معيار EMV، فإن التحول إلى TLS ليس اختيارياً. إذا لم يلتزم التجار بهذا التحديث، فلن يتمكنوا من إجراء المعاملات، ببساطة.
يتعين على مزودي خدمات الدفع توضيح الجانب الإلزامي لهذا التحديث، وتذكير التجار بالموعد النهائي. ففي نهاية المطاف، لا يمكن لأحد تحمل انقطاع الخدمة تمامًا اعتبارًا من يونيو 2018.
من خلال مساعدة التجار في تحديد نقاط ضعفهم وبدء خطط انتقالهم، يمكن لمقدمي خدمات الدفع أن يكونوا مورداً لا يقدر بثمن خلال عملية الانتقال هذه.