Между двумя огнями: использование CBDC в офлайн-режиме

Востребованность возможности использования розничной CBDC в офлайн-режиме

Оффлайн-транзакции в цифровой валюте центрального банка (CBDC) могут осуществляться между пользователями без подключения к внешнему источнику питания или главной бухгалтерской книге. Возможность использования в офлайн-режиме является основным требованием к розничной CBDC ^[1], поскольку это обязательная составляющая для успешного достижения ключевых стратегических целей центробанка, в частности обеспечить для населения постоянный доступ к деньгам центробанка. Также это является принципиальным условием для расширения охвата населения финансовыми услугами и доступа к финансовым сервисам в регионах, где использование цифровой валюты может быть ограничено из-за их географической удаленности и/или отсутствия сети связи или инфраструктуры энергоснабжения.

В недавнем опросе, проведенном Банком международных расчетов (BIS) среди представителей центробанков стран с развивающейся экономикой, респонденты назвали возможность выполнения транзакций в офлайн-режиме наиболее важным фактором, способствующим расширению финансовой доступности ^[2. Дэвид Берч, эксперт по цифровым финансовым услугам, отмечает следующее: «в цифровой валюте, предназначенной для использования всем населением страны, будь то развитой или развивающейся, должна быть реализована возможность функционирования в офлайн-режиме, иначе такая валюта не сможет стать жизнеспособной заменой наличных денежных средств» ^[3].

Не менее важным фактором, повышающим востребованность возможности использования цифровых валют в офлайн-режиме ^[4], является обеспечение большей независимости платежных систем от перебоев в работе сети Интернет или инфраструктуры, обеспечивающей ее функционирование в онлайн-режиме. А подобных примеров уязвимости инфраструктуры уже предостаточно, например: восьмичасовой сбой в европейской платежной системе обработки крупных платежей TARGET2 ^[5], недавние массовые отключения в одной из двух национальных телекоммуникационных сетей Канады ^[6], перебои в работе сервисов AWS, повлекшие за собой целый ряд серьезных последствий ^[7], и даже фатальный сбой в работе DCash, розничной CBDC, недавно запущенной Восточно-карибским центральным банком, когда в начале 2022 года эта валюта на несколько недель стала недоступной для проведения транзакций ^[8]. Соответственно, в документе Федеральной резервной системы США утверждается, что «повысить операционную устойчивость платежной системы может только та CBDC, которая разработана с возможностью работы в офлайн-режиме» ^[9].

Кроме того, возможность использования в офлайн-режиме может оказаться тем преимуществом, которое повысит ценность CBDC ^[10] для конечных пользователей по сравнению с использованием карт коммерческих банков или другими электронными аналогами денег. Поскольку по понятным причинам для потребителей не очевидна разница между обязательствами коммерческого банка и центрального банка, то использование цифровой валюты в офлайн-режиме наряду с другими возможностями, такими как повышенная конфиденциальность и программируемость, как раз может стать весомым аргументом, который поможет завоевать их симпатии.

Сценарии использования CBDC в офлайн-режиме

Сценарии обработки офлайн-платежей определяются параметрами, заданными для них в главной бухгалтерской книге. В документе банка Riksbank отмечается, что «все платежи в CBDC фиксируются в удаленном реестре, поэтому ни одна CBDC не является по-настоящему одноранговой [и] автономной… как наличные деньги» ^[11]. В отличие от расчетов наличными денежными средствами, которые считаются завершенными в момент передачи денег от плательщика к получателю, расчеты по транзакциям в CBDC, выполненным в офлайн-режиме, сначала записываются в локальных реестрах на пользовательских устройствах и становятся окончательными и безотзывными только после сверки с общим обязательством центробанка. Следовательно, выбор проектного решения для обеспечения возможности функционирования розничной CBDC в офлайн-режиме зависит от степени асинхронности с главной бухгалтерской книгой:

• Периодические и временные перебои в работе. В этом случае система может обладать некоторой устойчивостью к кратковременным перебоям в работе сети или электроснабжении. Платежные данные по ограниченному количеству транзакций и на суммы в пределах определенного лимита могут временно храниться на устройствах CBDC до завершения этих транзакций после восстановления подключения.
• Использование CBDC вне зоны покрытия. Для отдельных регионов, а также при необходимости обработки большого количества транзакций, транзакций на значительные суммы или в случае длительных периодов полного отсутствия доступа к сетевым услугам могут потребоваться более устойчивые к сбоям механизмы обработки в офлайн-режиме. В этом сценарии функционал, поддерживающий работу вне зоны покрытия, необходимо периодически перезапускать с использованием сетевой аутентификации и проведением сверки, возможно, аналогично периодическому повторному вводу PIN-кода с помощью бесконтактных платежных карт.
• Использование при недоступности сети. В этом случае потребуются защищенные от несанкционированного доступа хранилище и приложения, чтобы снизить для конечных пользователей риски невыполнения своих финансовых обязательств и обеспечить возможность проведения большого количества транзакций посредством локальных устройств в течение длительного периода времени. Использование CBDC при недоступности сети потребует более сложного распределения данных, более высокого уровня интеорперабельности и проведения сверок с главной бухгалтерской книгой после восстановления подключения к сети Интернет.

Сложности использования CBDC в офлайн-режиме

При всех своих преимуществах использование CBDC в офлайн-режиме сопряжено с техническими сложностями и требует отражения в политике центробанка определенных факторов, которые должны быть учтены в проектном решении CBDC, в частности:

• Двойное расходование средств ^[12] и подделка ^[13]. Возможность списания одной и той же суммы более одного раза или сверх доступного баланса в случае взлома или неисправности устройства, использующегося в офлайн-режиме. И действительно, скомпрометированное устройство может превратиться в «печатный станок» и начать генерировать такие транзакции, которые только позже, в результате сверки, будут признаны недействительными ^[14]. В документе Всемирного экономического форума содержится предупреждение о том, что «транзакции, влекущие за собой двойное расходование средств, могут быть отправлены находящимся в офлайн-режиме организациям без выполнения соответствующей проверки с должным уровнем безопасности, которая в обязательном порядке проводится в онлайн-режиме» ^[15]. Степень этого риска значительно возрастает в случае скоординированных действий злоумышленников ^[16]. Наряду с этим существует риск подделки объектов значения или токенов, который должен быть минимизирован в любой системе CBDC, причем как для онлайн-, так и офлайн-режима ^[17].
• Потеря средств. Поскольку при использовании CBDC в офлайн-режиме данные о транзакциях и денежные средства хранятся на пользовательском устройстве, то в случае его повреждения, потери или кражи они могут быть утрачены. Следует отметить, что годичный риск потери устройства составляет 8–16% ^[18], а любое использование резервных данных для восстановления средств сопряжено с риском их двойного расходования ^[19]. В документе Банка Канады обозначена «трилемма» расходования средств в офлайн-режиме, заключающаяся в том, что в каждый момент времени система может обеспечить только два из трех параметров: расходование средств в офлайн-режиме, отсутствие двойных списаний и хранение данных для восстановления ^[20].
• «Уникальные» и «отдельные» пользовательские устройства. Для осуществления оффлайн-платежей требуется уникальное пользовательское устройство, несвязанное с глобальным реестром ^[21]. Таким образом, хранение и обработка денежных средств происходит в среде, защищенной от несанкционированного доступа. При этом такое устройство должно обладать достаточной интерактивностью, чтобы его владелец мог осуществлять основные операции и чтобы в нем всегда отображалось обновленное состояние реестра. Смартфон с используемой в нем внутренней доверенной средой исполнения (TEE) неслучайно считается основным претендентом на роль инструмента для использования CBDC в офлайн-режиме. Однако, как утверждается в документе банка Riksbank, «к сожалению, не существует устройств, на 100% защищенных от несанкционированного доступа» ^[22]. К тому же экономические стимулы для взлома таких устройств велики, а в системе не предусмотрена «изящная деградация» ^[23]. В результате проведенного анализа Банк Канады пришел к заключению о том, что «в литературе до сих пор нет однозначного мнения относительно того, могут ли защищенные от несанкционированного доступа устройства оставаться невзломанными в течение длительного периода использования в офлайн-режиме» и что «любое средство сбережения в CBDC и использование необходимых приложений, установленных на смартфоне, требуют дополнительной сложной многофакторной защиты от возможных угроз» ^[24]. Кроме того, для расширения охвата населения финансовыми услугами и доступа к CBDC проектировщики систем должны разработать и другие технологии для смартфонов или фичерфонов (мобильных телефонов с доступом в Интернет), например интерактивные смарт-карты, что сопряжено со множеством затрат, рисков и сложных проблем проектирования ^[25].

Конечно, заманчиво поверить в то, что проблема отсутствия возможности подключения к сети Интернет постепенно сходит на нет, особенно на фоне других предусмотренных политикой центробанка усилий по расширению быстрого доступа в Интернет ^[26]. Однако до повсеместного широкополосного доступа еще далеко, особенно в малонаселенных районах и развивающихся странах ^[27], поэтому использование в офлайн-режиме остается важнейшей функциональной особенностью CBDC.

Также большинство центробанков утверждают, что в обозримом будущем CBDC будет сосуществовать наряду с наличными денежными средствами. И хотя это может устранить некоторые проблемы с использованием CBDC в офлайн-режиме, возникает новое затруднение, связанное с тем, что в развитых странах использование наличных денег сокращается, причем в некоторых случаях разительно ^[28], и одновременно с этим снижается их признание и доступность в качестве средства обращения.

Решения без подключения к сети Интернет

Для решения проблем, связанных с использованием CBDC в офлайн-режиме существует целый ряд потенциальных возможностей. Например, риски можно снизить, установив для офлайн-транзакций ограничения по сумме и количеству транзакций или по количеству переходов (хопов) до сверки с интегрированной бухгалтерской книгой, а также осуществляя контроль как за суммой денежных средств, доступных для использования, так и за убытками и возможными сбоями в расчетах, инициированных через устройства в офлайн-режиме ^[29]. Локальная многофакторная аутентификация ^[30] также повышает безопасность устройств, работающих в офлайн-режиме. В документе Банка Канады предполагается, что срок действия денежных средств, хранящихся на устройствах, не подключенных к сети Интернет, может «истечь», и тогда они будут либо перевыпущены уже в виде онлайн-средств, либо автоматически обновлены посредством онлайн-аутентификации или сверки с главной бухгалтерской книгой ^[31].

Основная проблема заключается в том, что доверенные третьи стороны должны обеспечить безопасность и производительность предлагаемых ими решений. Это ставит центробанки в положение, когда они не смогут осуществлять адекватный контроль за рисками и когда к опасениям по поводу надежности, целостности и эффективности их предложений ^[32] добавляется то обстоятельство, что «производитель контролирует платформу и может ограничить доступ к критически важным компонентам системы, включая встроенные безопасные анклавы и SIM-карты (модули идентификации абонента)» ^[33].

Заключение

Среди целого ряда проблем проектирования, связанных с внедрением розничной CBDC, которая должна войти в широкое обращение как надежное и безопасное платежное средство, особую сложность для центробанков представляет обеспечение возможности ее использования в офлайн-режиме. Однако именно эта функциональность должна быть реализована для того, чтобы цифровая валюта выполняла свои задачи и стала достойным альтернативным способом оплаты, предлагаемым центробанком конечным пользователям.

---

Примечания