2.3 Технологии безопасности электронных интернет-платежей по пластиковым картам
В настоящее время в Интернет популярны следующие протоколы безопасности передачи данных: SSL - протокол и протокол безопасности 3D Secure. Рассмотрим каждый из этих протоколов безопасности в отдельности:
SSL-протокол(Secure Socket Layer) был разработан американской компанией Netscape Communications Corp. как протокол, обеспечивающий защиту данных между сервисными протоколами (FTP, HTTP) и транспортными протоколами (TCP/IP) с помощью современной криптографии. Протокол SSL предназначен для решения традиционных задач обеспечения защиты информационного взаимодействия, которые в среде "клиент-сервер" интерпретируются следующим образом: - пользователь и сервер, подключаясь, должны быть взаимно уверены, что они обменивается информацией не с подставными абонентами, а именно с теми, которые нужны, не ограничиваясь паролевой защитой; - после установления соединения между сервером и клиентом весь информационный поток между ними должен быть защищен от несанкционированного доступа; - и, наконец, при обмене информацией стороны должны быть уверены в отсутствии случайных или умышленных искажений при ее передаче. Протокол SSL позволяет серверу и клиенту перед началом информационного взаимодействия аутентифицировать или провести проверку подлинности друг друга ("server/client authentication"), согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (асимметричные) криптосистемы. Рассмотрим принцип работы SSL. При инициализации сеанса связи (процесс "SSL - рукопожатие") стороны используют первую, асимметричную схему шифрования. В этот период стороны идентифицируют друг друга по сертификату и договариваются об алгоритме и ключе шифрования, которые будут использоваться при второй, симметричной схеме. По завершению процесса "SSL - рукопожатия" на каждой стороне имеется разовый секретный ключ, которым шифруются весь последующий трафик. Кроме этого, используя механизм электронной подписи, SSL гарантирует неизменность данных в процессе их передачи. 99 Майкл Д.Г. - Защита информации в интернете. Протокол безопасных соеденений (SSL) Протокол 3D Secure - как видно из названия в основе протокола лежит секретный код. Данные код держатель карточки вводит на сайте банка-эмитента. Правильно введенный код идентифицирует держателя карты и подтверждает его желание произвести оплату на указанную сумму. Введение данного протокола безопасности для платежей через интернет по пластиковым картам Visa позволяет существенно снизить риск мошеннических транзакций.Упрощенно платеж по протоколу 3D Secure выглядит так:
Покупатель, выбрав в интернет-магазине товар, нажимает кнопку «Оплатить».
Браузер покупателя перенаправляется на страничку платежной системы, где покупатель вводит реквизиты карты.
Сервер платежной системы проверяет, учавствует ли данная карта в платежах по протоколу 3D Secure, если участвует то браузер покупателя перенаправляется на сайт банка-эмитента данной пластиковой карты. Если не участвует в 3D Secure, то платеж может проходить по протоколу MIA SET.
Допустим, что карта участвует в 3D Secure. Покупатель, попав на сайт банка-эмитента, проходит аутентификацию, способ аутентификации определяет банк-эмитент. В случае успешной аутентификации банк-эмитент возвращает платежной системе, подписанное подписью сообщение, что банк-эмитент верит данному покупателю и не возражает против операции по данной пластиковой карте.
Далее платеж проходит как MIA SET.
Таким образом, в случае платежа по протоколу 3D Secure интернет-магазин не несет ответственности за мошенническое использование пластиковой карты. Решение о том, что является ли данная операция по пластиковой карте законной или нет, принимает банк-эмитент. В итоге результате столь серьезных изменений в области безопасности онлайновых платежей и ситуации с карточным фродом в целом ведущие платежные системы с трудом находят общий язык с эмитентами, эквайрерами, виртуальными акцептантами и процессорами транзакций при попытках заставить их уставнавливать дорогостоящие системы и решения по проверке аутентичности держателей.
3. Порядок работы с пластиковыми картами в интернет-магазинах на примере ОАО «Альфа-Банк»
Виды и описание систем электронных платежей.
В настоящее время в электронных расчетах через сеть интернет участвует большое количество известных систем электронных платежей таких: PayCash, Pay Pal, Cyber Plat, Webmoney, Rapida, e-port, Kredit Pilot и многие другие. ОАО «Альфа-Банк» работает с такими известными провайдерами услуг, как: Assist, Paymentgate, которые являются сертифицированными системами электронных платежей и предоставляют интернет-магазинам функционал приема к оплате пластиковых карт и просмотр листа статистики совершенных транзакций по пластиковым картам. Рассмотрим в отдельности каждую из вышеуказанных систем электронных платежей. Система электронных платежей Assist (г. Санкт-Петербург) - основана в апреле 1998 г. Полный коммерческий запуск системы состоялся в 1999 г. В 2000 г. Assist подключился к «Альфа-Банку» и банкам обслуживающим процессинг СТБ-кард. Assist - это мультибанковская система платежей по пластиковым и виртуальным картам через интернет, позволяющая в реальном времени производить авторизацию и обработку транзакций. Assist занимает лидирующее положение на российском рынке, проводя более 80 % всех совершаемых в российском интернете транзакций. В дополнение к стандартному набору карт VISA, MasterCard, Assist также предоставляет возможность оплаты электронной наличностью - WebMoney, Яндекс.Деньги, Rapida, e-port, Kredit Pilot в рамках единого пользовательского интерфейса. Пользователями Assist являются интернет-магазины и покупатели. Интернет-магазин получает возможность принимать через интернет пластиковые карты и электронную наличность без приобретения специального программно-аппаратного комплекса. Покупатель приобретает надежный и безопасный способ оплаты. Расчеты, проводимые с использованием системы Assist, полностью соответствуют законодательству РФ и регулируются соответствующими статьями Гражданского Кодекса Российской Федерации (ГК РФ). Платежи с использованием банковских кредитных карточек проводятся по схеме MOTO (Mail Order Telephone Order) в строгом соответствии правилам платежных систем (VISA, Europay и др.). В системе Assist безопасность платежей обеспечивается использование SSL-протокола, описание которого представлено раннее.
Далее рассмотрим краткое описание системы электронных платежей Платежная система "Альфа-банк-РБС" (г. Москва) создана Компаний «Банковский производственный центр» совместно с ОАО «Альфа-Банк». Система построена на основе технологии SET и позволяет в реальном времени осуществлять авторизацию платежных операций, совершаемых с помощью пластиковых карт международных платежных систем. Платежная система «Альфа-Банк-РБС» сертифицирована компаниями Europay и MasterCard. Используемая в системе технология позволяет осуществлять максимально безопасные на сегодняшний день платежи в интернете.
Стандарт SET (Secure Electronic Transaction)-технология, разработанная платежными системами Visa и MasterCard для обеспечения безопасных платежей с помощью пластиковых карт через открытую сеть. Проведение платежей с помощью SET - сертификата является на сегодняшний момент единственным 100 % безопасным методом осуществления платежей в интернете и по степени защищенности может быть приравнено к совершению операций в банкомате. Идентификация сторон при расчетах в сети производится путем обмена цифровыми сертификатами, удостоверяющими право участников сделки принимать или использовать пластиковые карты. SET - сертификат магазина содержит идентификационные параметры торговой точки. SET - сертификат владельца карты несет в зашифрованном виде информацию об основных параметрах карты. Проведение оплаты с использованием SET - сертификата не требует от клиента ввода параметров его карты и не предусматривает получение интернет-магазином данной конфиденциальной информации.
SET (Secure Electronic Transaction) - проведение операций в сети, при которой покупатель и продавец могут однозначно идентифицировать друг друга при совершении сделки, обменявшись цифровыми сертификатами. Это позволяет обеим сторонам удостовериться в правомерности осуществления операций другой стороной.
SET - сертификат on-line магазина - набор данных в электронном формате, содержащий параметры (Название, и др.) и копию открытого ключа Предприятия, который сертифицирован в Центре Сертификации Банка в соответствии со стандартной процедурой (Стандарт SET). Секретный ключ предприятия хранится на платежном сервере. Сертификат предназначен для идентификации Предприятия в системе платежей, а также для осуществления возможности проводить платежи по картам в полном или в усеченном стандарте в SET, в зависимости от типа Сертификата.
SET - сертификат держателя карты - набор данных в электронном формате, содержащий параметры карты (номер карты, Ф.И.О. держателя карты и др.) и копию открытого ключа держателя карты, который сертифицирован уполномоченным Центром Сертификации в соответствии с технологией SET. Система также позволяет осуществлять платежи с помощью пластиковых карт и без использования SET - сертификатов клиента, в случае, если клиенты такими сертификатами не располагают. В этом случае используется технология MIA SET. Для обеспечения безопасности платежей по технологии MIA SET, платежная система RBS предоставляет мощные возможности отсечения мошеннических транзакций. Подсистема борьбы с мошенническими операциями дает возможность клиентам - торгово-сервисным предприятиям самостоятельно настраивать ее под собственные нужды, выбирая соответствующие антифродовые критерии. В параграфе 3.1 описаны самые современные технологии безопасные технологии позволяющие производит безопасные платежи через сеть интернет.
3.1.1 Схема организации системы электронных платежей
Далее рассмотрим схему организации электронных платежей по каждой из представленных систем электронных платежей, т.е. как происходят расчеты в сети интернет по пластиковым картам международных платежных систем.
Расчет по кредитным картам в системе электронных платежей Assist
1. Покупатель через Интернет заходит на сайт Магазина, формирует корзину товаров и выбирает способ оплаты по кредитным картам.
2. Программное обеспечение Магазина формирует заказ и переадресует Покупателя на авторизационный сервер системы ASSIST с одновременной передачей параметров заказа.
3. Авторизационный сервер ASSIST устанавливает с Покупателем соединение по защищенному протоколу (SSL 3.0) и принимает от Покупателя данные его кредитной карты (номер карты, срок действия карты, имя держателя карты). Информация о кредитной карте передается в защищенном виде только на авторизационный сервер системы ASSIST и не предоставляется Магазину, в котором покупатель оформляет заказ.
4. Авторизационный сервер системы ASSIST производит предварительную обработку принятой информации и передает ее в расчетный банк системы (далее - Банк).
5. Банк проверяет наличие Магазина в Системе, проверяет соответствие операции установленным системным ограничениям. По результатам проверок формируется запрет или разрешение авторизации кредитной карты, который далее передается Банком в соответствующую МПС (Международную Платежную Систему)(Visa, Master Card и т.д.).
При запрете авторизации:
Банк передает авторизационному серверу Assist отказ от проведения платежа;
Авторизационный сервер передает Покупателю отказ с описанием причины;
Авторизационный сервер передает Магазину отказ с номером заказа.
7. При разрешении авторизации
запрос на авторизацию передается через закрытые банковские сети банку-эмитенту карты Покупателя или процессинговому центру карточной платежной системы, уполномоченному банком-эмитентом.
8. При положительном результате авторизации, полученном от карточной платежной системы:
Банк передает авторизационному серверу Assist положительный результат авторизации;
Авторизационный сервер передает Покупателю положительный результат авторизации;
Авторизационный сервер передает Магазину положительный результат авторизации с номером заказа;
Банк осуществляет перечисление средства на счет Магазина в соответствии с существующими договорными отношениями между Банком и Магазином;
Магазин оказывает услугу (отпускает товар).
При отказе в авторизации
Банк передает авторизационному серверу Assist отказ в проведении
платежа;
Авторизационный сервер передает Покупателю отказ с описанием
причины;
Авторизационный сервер перелает Магазину отказ с номером заказа.
Далее представлена схема проведения операций по кредитным картам в системе электронных платежей Assist:
Схема 2 Схема электронных платежей Assist
Источник:(материалы электронного портала www.assist.ru)
Расчеты по картам международных платежных систем в системе электронных платежей Runet Business System (RBS)
Описание стандартов SET «Полный стандарт SET» - проведение платежа по карте Visa, MasterCard или Cirrus/Maestro c использованием SET-сертификата держателя карты.
«Усеченный (MIA) стандарт SET - проведение платежа по пластиковой карте любой платежной системы, поддерживаемой банком, без использования SET-сертификата держателя карты. SET-стандарты оплаты представлены в табл.1 с полным описанием проведения платежей по пластиковым международных платежных платежных систем. На схема 3.1.3. представлена схема расчетов за товары и услуги по указанным раннее стандартам.
Таблица 1
Описание SET-стандартов оплаты по пластиковым картам
Схема 2 Схема оплаты за товары/услуги
В параграфе 3.1. представлено описание стандартных сертификатов оплаты в сети интернет, а именно как происходит процесс оплаты и покупки товара, по каждой из представленных систем электронных платежей (Assist, RBS).
Система электронных платежей ОАО «Альфа-Банк». Подключение интернет-магазина к услуге приема и обслуживания пластиковых карт через сеть интернет.
ОАО «Альфа-Банк» - является первым и единственным банком на российском рынке финансовых услуг предлагает решение по обеспечению безопасности электронных платежей на уровне мировых стандартов, сертифицированное международными платежными системами
Интернет-эквайринг через Альфа-Банк:
предоставление услуг по интернет-эквайрингу;
лидер в области новых технологий платежей в интернете;
уникальная система обеспечения безопасности проведения операций и расчетов в соответствии с требованиями международных платежных систем (SET - Secure Electronic Transaction);
многоуровневая система мониторинга с использованием обширных баз данных;
два года успешной работы на рынке электронной коммерции.
Система электронных платежей Альфа-Банка - система, позволяющая в реальном времени проводить авторизацию и процессинг платежей, совершаемых при помощи пластиковых карт с любого компьютера, подключенного к интернету.