FinTech ve Ödeme Sistemlerinde SMS Doğrulama ve PCI-DSS Rehberi: 2FA/MFA Güvenlik Standartları ve Tokenizasyon

+-----------------------------------------------------------------------------------+
|               FİNTECH PCI-DSS v4.0 & PSD2 SCA GÜVENLİ OTP MİMARİSİ                 |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|   [ Ödeme Başlatma / Finansal Transfer İsteği ]                                   |
|                               |                                                   |
|                               v                                                   |
|   +---------------------------------------------------------------------------+   |
|   | Core Payment Engine & Dynamic Linking (İşlem Tutarı & Alıcı IBAN Hash)   |   |
|   +---------------------------+-----------------------------------------------+   |
|                               |                                                   |
|                               v                                                   |
|   +---------------------------------------------------------------------------+   |
|   | Hardware Security Module (HSM) / Key Vault                                |   |
|   |  - Kriptografik Rastgele 6 Haneli OTP (CSPRNG) Üretimi                   |   |
|   |  - HMAC-SHA256 (OTP + Salt + SessionID) İle Veritabanı Hash Saklama       |   |
|   |  - Plaintext OTP Asla Veritabanına Yazılmaz (PCI-DSS Kural 8.3)           |   |
|   +---------------------------+-----------------------------------------------+   |
|                               |                                                   |
|                               v  (mTLS, Dedicated Carrier Tunnel, No-Store)       |
|            [ EnOnay Regulated FinTech SMS Gateway v1.4 ]                          |
|                               |                                                   |
|                               v                                                   |
|            [ Güvenli GSM Telekom Omurgası (Direct Tier-1) ]                       |
|                               |                                                   |
|                               v                                                   |
|   [ Kullanıcı Cihazı ] ---> SMS OTP İletildi (TTL: 180 sn, Max 3 Deneme)          |
|                               |                                                   |
|                               v                                                   |
|   [ İstemci OTP Doğrulama İsteği ] ---> Constant-Time Compare (Timing Attack Önleme)|
+-----------------------------------------------------------------------------------+

import os
import hmac
import hashlib
import secrets
import time
import httpx

HSM_SYSTEM_SECRET = os.getenv("HSM_OTP_MASTER_KEY", "b4f8c92a1d3e5f7a0b2c4e6d8f1a3c5e7b9d1f3a5c7e9b1d3f5a7c9e1b3d5f7a")
ENONAY_API_KEY = os.getenv("ENONAY_FINTECH_KEY", "ENONAY_PROD_FINTECH_TOKEN")

def generate_secure_otp() -> str:
    """Kriptografik güvenli (CSPRNG) 6 haneli rastgele OTP kodu üretir."""
    # secrets.choice kullanarak öngörülemez 6 haneli kod
    return "".join(secrets.choice("0123456789") for _ in range(6))

def hash_otp(otp_code: str, session_id: str, salt: str) -> str:
    """OTP kodunu HMAC-SHA256 ile özetler. Açık metin saklama PCI-DSS ihlalidir."""
    payload = f"{otp_code}:{session_id}:{salt}".encode("utf-8")
    return hmac.new(HSM_SYSTEM_SECRET.encode("utf-8"), payload, hashlib.sha256).hexdigest()

def mask_phone_number(phone: str) -> str:
    """PCI-DSS PII standardına uygun telefon maskelemesi (+90 532 *** ** 88)."""
    if len(phone) < 10:
        return "***"
    return phone[:6] + " *** ** " + phone[-2:]

async def create_payment_otp_session(user_id: str, phone: str, amount_try: float, recipient_iban: str) -> dict:
    session_id = secrets.token_hex(16)
    salt = secrets.token_hex(8)
    plain_otp = generate_secure_otp()
    otp_digest = hash_otp(plain_otp, session_id, salt)

    # Dynamic Linking Mesajı (PSD2 SCA Uyumu)
    sms_text = f"En Onay FinTech: {amount_try:.2f} TL tutarindaki transferiniz icin onay kodunuz: {plain_otp}. Bu kodu kimseyle paylasmayiniz."

    # EnOnay SMS Gateway üzerinden iletim
    async with httpx.AsyncClient(timeout=3.5) as client:
        resp = await client.post(
            "https://enonay.com/api/v1.php",
            json={
                "action": "send_transaction_otp",
                "phone": phone,
                "message": sms_text,
                "session_id": session_id
            },
            headers={"Authorization": f"Bearer {ENONAY_API_KEY}"}
        )
        if resp.status_code != 200:
            raise RuntimeError("Finansal SMS ağ geçidi yanıt vermedi.")

    # Veritabanına YALNIZCA hash, salt ve maskeli numara kaydedilir
    session_record = {
        "session_id": session_id,
        "user_id": user_id,
        "phone_masked": mask_phone_number(phone),
        "otp_hash": otp_digest,
        "salt": salt,
        "attempts_remaining": 3,
        "expires_at": time.time() + 180, # 3 dakika TTL
        "amount_locked": amount_try
    }
    return session_record

def verify_payment_otp(session_record: dict, user_entered_otp: str) -> bool:
    """Zamanlama saldırılarına (timing attacks) karşı güvenli sabit zamanlı karşılaştırma."""
    if time.time() > session_record["expires_at"]:
        raise ValueError("Doğrulama kodunun süresi doldu (Timeout).")
    
    if session_record["attempts_remaining"] <= 0:
        raise ValueError("Maksimum hatalı deneme sayısı aşıldı. Oturum bloke edildi.")

    expected_hash = session_record["otp_hash"]
    computed_hash = hash_otp(user_entered_otp, session_record["session_id"], session_record["salt"])

    # Sabit zamanlı karşılaştırma (Constant-time compare)
    if hmac.compare_digest(expected_hash, computed_hash):
        return True
    else:
        session_record["attempts_remaining"] -= 1
        return False