الزامی شدن احراز هویت تصویری سطح ۲ برای کاربران حقیقی در ایرنیک

مرکز ثبت دامنه‌های کشوری ایران (ایرنیک) در اطلاعیه‌ای رسمی اعلام کرد که احراز هویت تصویری سطح ۲ برای تمامی کاربران حقیقی ایرانی الزامی شده است. بر اساس این ابلاغیه، کاربرانی که این مرحله را تکمیل نکنند، به‌زودی با محدودیت‌های جدی در دریافت خدمات زیرساختی مواجه خواهند شد.[1][2]

این محدودیت‌ها شامل مسدود شدن امکان ثبت دامنه‌های جدید، تمدید دامنه‌های فعلی و انتقال دامنه‌های نقطه آی‌آر (.ir) خواهد بود. ایرنیک در پیام خود به کاربران هشدار داده است که برای جلوگیری از تضییع حقوق خود، باید در اسرع وقت به پنل کاربری مراجعه کرده و فرایند ارتقای سطح را انجام دهند.[1]

ایرنیک که زیرمجموعه پژوهشگاه دانش‌های بنیادی (IPM) است، وظیفه مدیریت بیش از یک و نیم میلیون دامنه فعال ملی را بر عهده دارد. این حجم عظیم از دامنه‌های اینترنتی، زیرساخت اصلی کسب‌وکارهای آنلاین ایران را تشکیل می‌دهد و هرگونه تغییر در قوانین ثبت آن، مستقیماً بر اکوسیستم دیجیتال کشور تاثیر می‌گذارد.[3]

گذر از سامانه شاهکار به هدا

تا پیش از این، ایرنیک برای تایید هویت کاربران از سامانه «شاهکار» استفاده می‌کرد. در آن سیستم، تنها تطابق کد ملی با شماره موبایل کاربر بررسی می‌شد که حفره‌های امنیتی فراوانی داشت. اکنون سامانه هویت دیجیتال ایرانیان موسوم به «هدا» که توسط سازمان ثبت احوال کشور توسعه یافته، جایگزین روش‌های قبلی شده است.[3]

محمدرضا رحمانی، مدیرعامل یکی از پلتفرم‌های خرید و فروش دامنه، درباره این تغییر زیرساختی می‌گوید: «سازمان ثبت احوال سامانه‌ای به نام هدا راه‌اندازی کرده و از آنجایی که دیتای مرجع هویتی در اختیار این سازمان است، مهاجرت ایرنیک به این سامانه برای جلوگیری از پخش شدن اطلاعات کاربران منطقی بود.»[3]

این تغییر معماری در عمل به معنای پایان دوران دامنه‌های بی‌هویت یا ثبت‌شده با اطلاعات اجاره‌ای است. در سال‌های گذشته، کلاهبرداران اینترنتی با سوءاستفاده از ضعف‌های سیستم پیامکی، دامنه‌های ملی را با سیم‌کارت‌های بی‌نام ثبت می‌کردند تا از آن‌ها برای راه‌اندازی درگاه‌های پرداخت جعلی استفاده کنند.[3]

مکانیسم بیومتریک و تشخیص زنده بودن

فرایند احراز هویت تصویری سطح ۲ بر پایه انطباق بیومتریک زنده (Biometric Liveness Detection) طراحی شده است. کاربر پس از ورود به پنل ایرنیک و درخواست ارتقای سطح، از طریق یک رابط برنامه‌نویسی (API) به درگاه سامانه هدا هدایت می‌شود تا هویت فیزیکی خود را به صورت بلادرنگ اثبات کند.[1][3]

در این مرحله، کاربر با اسکن یک کیوآر کد (QR Code)، اپلیکیشن اختصاصی هدا را روی تلفن همراه خود نصب می‌کند. در داخل اپلیکیشن، دوربین سلفی گوشی فعال شده و از کاربر می‌خواهد چهره خود را در یک کادر بیضی‌شکل قرار داده و برای چند ثانیه بدون حرکت ثابت بماند.[3]

سیستم هوش مصنوعی سامانه هدا، مجموعه‌ای از پارامترها مانند عمق تصویر، ریزحرکات عضلات صورت و بازتاب نور را تحلیل می‌کند. اگرچه در اطلاعیه‌ها از آن به عنوان سدی نفوذناپذیر یاد می‌شود، اما این فناوری در واقع تلاش می‌کند تا از تقلب با عکس چاپ‌شده یا ویدیوهای از پیش ضبط‌شده جلوگیری کند.[3]

پس از تایید زنده بودن تصویر، الگوریتم‌های پردازش تصویر، چهره کاربر را با عکس مرجع موجود در پایگاه داده مرکزی سازمان ثبت احوال کشور تطبیق می‌دهند. این پردازش رمزنگاری‌شده در کسری از ثانیه در سرورهای دولتی انجام می‌شود تا هویت دیجیتال فرد با هویت قانونی او گره بخورد.[3]

یکپارچگی سیستم‌ها و تجربه کاربری

در صورت موفقیت‌آمیز بودن تطبیق بیومتریک، سامانه هدا یک توکن تاییدیه دیجیتال به سرورهای ایرنیک ارسال می‌کند. با دریافت این توکن، سطح کاربری فرد در سامانه ایرنیک به صورت خودکار به سطح ۲ ارتقا می‌یابد و تمامی دسترسی‌های مسدودشده برای مدیریت دامنه‌ها بلافاصله در پنل کاربری باز می‌شود.[3]

با این حال، یکپارچگی سیستم‌ها همیشه بی‌نقص نیست. کاربرانی که پیش از این در سامانه هدا ثبت‌نام کرده‌اند، در تئوری نیازی به تکرار کامل مراحل ندارند و سیستم باید با فراخوانی توکن معتبر قبلی ارتقای سطح را اعمال کند؛ اما در عمل، قطعی‌های مقطعی ارتباطات بین‌سازمانی گاهی کاربران را مجبور به طی مجدد مراحل می‌کند.[3]

دامنه شمول و استثنائات قانون جدید

طبق اعلام رسمی ایرنیک در روز جاری، این الزام در حال حاضر منحصراً برای اشخاص حقیقی ایرانی تعریف شده است. کاربران حقوقی، شامل شرکت‌های ثبت‌شده، سازمان‌های دولتی و نهادهای آموزشی، فعلاً مشمول این قانون جدید احراز هویت تصویری نمی‌شوند و از این محدودیت‌ها مستثنی هستند.[1]

فرایند تایید هویت برای اشخاص حقوقی همچنان طبق روال‌های گذشته و از طریق ارسال مدارک ثبتی شرکت، روزنامه رسمی و معرفی‌نامه نماینده قانونی انجام می‌پذیرد. با این وجود، کارشناسان پیش‌بینی می‌کنند که در آینده نزدیک، نمایندگان اشخاص حقوقی نیز ملزم به عبور از فیلترهای بیومتریک سامانه هدا شوند.[1][2]

از سوی دیگر، این قانون برای کاربران غیرایرانی که قصد ثبت دامنه .ir را دارند، اعمال نمی‌شود. اشخاص حقیقی خارجی همچنان باید از طریق ارسال تصویر گذرنامه معتبر بین‌المللی و تایید دستی توسط کارشناسان ایرنیک، هویت خود را در سیستم ثبت دامنه‌های کشوری اثبات کنند.[3]

پیامدهای امنیتی برای اکوسیستم وب فارسی

اجباری شدن این سطح از احراز هویت، هزینه ارتکاب جرم در فضای وب ایران را به شدت افزایش می‌دهد. با اتصال مستقیم مالکیت هر دامنه به چهره و هویت بیومتریک تاییدشده یک شخص، امکان انکار مالکیت یا استفاده از هویت افراد ناآگاه برای راه‌اندازی سایت‌های مخرب عملاً از بین می‌رود.[2][3]

در حملات فیشینگ، مجرمان سایبری معمولاً دامنه‌هایی با املای مشابه سایت‌های بانکی ثبت می‌کنند. تا پیش از این، ردیابی مالکان این دامنه‌ها به دلیل استفاده از مدارک هویتی سرقتی بسیار دشوار بود. اما اکنون، نهادهای ناظر می‌توانند مستقیماً به فردی که چهره‌اش در سیستم ثبت شده است مراجعه کنند.[2]

این اقدام ایرنیک، روی کاغذ گامی مهم و همسو با استانداردهای جهانی امنیت سایبری محسوب می‌شود. با این حال، اجباری شدن ناگهانی این سطح از احراز هویت در کوتاه‌مدت باعث ایجاد اصطکاک و کندی در فرایند ثبت دامنه برای کاربران عادی و نمایندگان فروش هاستینگ شده است.[2]

با پاکسازی فضای دامنه‌های ملی از هویت‌های مجهول و حساب‌های کاربری جعلی، انتظار می‌رود اعتماد عمومی کاربران به وب‌سایت‌های دارای پسوند .ir ارتقا یابد. این شفافیت هویتی، پایه‌ای محکم‌تر برای توسعه تجارت الکترونیک و محافظت از داده‌های شهروندان در برابر تهدیدات سایبری فراهم می‌کند.[2][3]