Две отечественные реализации подобной концепции - Phonepay и Eaccess - находятся в самом начале своего пути. И та, и другая системы предполагают, что клиент для совершения платежа должен совершить звонок на определенный междугородный номер в коде 8-809 (предоставляемый, по всей видимости, компанией "МТУ-информ), после чего ему будет продиктована роботом некая ключевая информация. В случае Eaccess это pin-код, используемый для доступа к платному информационному ресурсу, а в случае с Phonepay - универсальная "цифровая монетка", состоящая из 12 цифр одного из пяти жестко заданных в системе номиналов. Глядя на сайты систем, можно отметить, что e-access все-таки постепенно развивается, увеличивая количество подключенных к системе магазинов, а Phonepay так и не подключил к своей системе ни одного магазина, не принадлежащего разработчикам.

На мой взгляд, подобные системы в России имеют вполне определенные перспективы, связанные с легкостью доступа к ним конечного пользователя, однако сфера их применения будет ограничиваться продажей информационных ресурсов. Длительная задержка в получении платежей (система перечислит их магазину не ранее, чем покупатель оплатит телефонный счет) делает торговлю материальными ценностями с использованием этих ЭПС довольно невыгодным занятием.

Наконец, следует упомянуть еще один вид ЭПС - специализированные системы переводов между физическими лицами, конкурирующие с традиционными почтовыми и телеграфными переводами. Первыми эту нишу заняли такие зарубежные системы, как Western Union и Money Gram. По сравнению с традиционными переводами они обеспечивают большую скорость и надежность платежа. В то же время они обладают рядом существенных недостатков, главным из которых является высокая стоимость их услуг, доходящая до 10% от суммы перевода. Другая неприятность заключается в том, что эти системы не могут быть использованы легально для систематического приема платежей за товар. Однако тем, кто хочет просто пересылать деньги родным и близким, имеет смысл обратить свое внимание на эти системы, а также на их отечественные аналоги (Anelik и Contact). Пока что ни Paycash, ни Webmoney не в состоянии составить им конкуренцию, так как получить на руки наличные, вытащив их из электронного кошелька где-нибудь в Австралии или Германии, не представляется возможным. В ЭПС Rapida заявлена такая возможность, но пока что на сайте отсутствуют какие-либо подробности, да и география офисов системы не идет ни в какое сравнение с уже имеющимися на рынке системами.

Владельцам электронных магазинов, по всей видимости, следует думать прежде всего о приеме денег с кредитных карт и систем электронных наличных - Webmoney и Paycash. По совокупности потребительских характеристик, по нашему мнению, конкуренции с CyberPlat не выдерживает ни одна из имеющихся на российском рынке систем приема платежей с кредитных карт. Все прочие системы подлежат факультативному использованию, особенно если помнить, что тот же самый E-port вовсе не обязательно устанавливать отдельно, т. к. его карты обслуживаются CyberPlat.

2. СРЕДСТВА ЗАЩИТЫ СИСТЕМ ЭЛЕКТРОННЫХ ПЛАТЕЖЕЙ

2.1 Угрозы, связанные с использованием систем электронных платежей

Рассмотрим возможные угрозы разрушающих действий злоумышленника по отношению к данной системе. Для этого рассмотрим основные объекты нападения злоумышленника. Главным объектом нападения злоумышленника являются финансовые средства, точнее их электронные заместители (суррогаты) - платежные поручения, циркулирующие в платежной системе. По отношению к данным средствам злоумышленник может преследовать следующие цели:

1. Похищение финансовых средств.

2. Внедрение фальшивых финансовых средств (нарушение финансового баланса системы).

3. Нарушение работоспособности системы (техническая угроза).

Указанные объекты и цели нападения носят абстрактный характер и не позволяют провести анализ и разработку необходимых мер защиты информации, поэтому в таблице 4 приводится конкретизация объектов и целей разрушающих воздействий злоумышленника.

Таблица 4 Модель возможных разрушающих действий злоумышленника

Объект воздействия	Цель воздействия	Возможные механизмы реализации воздействия.
HTML-страницы на web-сервере банка	Подмена с целью получение информации, вносимой в платежное поручение клиентом.	Атака на сервер и подмена страниц на сервере. Подмена страниц в трафике. Атака на компьютер клиента и подмена страниц у клиента
Клиентские информационные страницы на сервере	Получение информации о платежах клиента (ов)	Атака на сервер. Атака на трафик. Атака на компьютер клиента.
Данные платежного поручения, вносимые клиентом в форму	Получение информации, вносимой в платежное поручение клиентом.	Атака на компьютер клиента (вирусы и т.д.). Атака на данные поручения при его пересылке по трафику. Атака на сервер.
Частная информация клиента, расположенная на компьютере клиента и не относящаяся к системе электронных платежей	Получение конфиденциальной информации клиента. Модификация информации клиента. Выведение из строя компьютера клиента.	Весь комплекс известных атак на компьютер, подключенный к сети Интернет. Дополнительные атаки, которые появляются в результате использования механизмов платежной системы.
Информация процессингового центра банка.	Раскрытие и модификация информации процессингового центра и локальной сети банка.	Атака на локальную сеть, подключенную к Интернет.

Из данной таблицы вытекают базовые требования, которым должна удовлетворять любая система электронных платежей через Интернет:

Во-первых, система должна обеспечивать защиту данных платежных поручений от несанкционированного изменения и модификации.

Во-вторых, система не должна увеличивать возможности злоумышленника по организации атак на компьютер клиента.

В-третьих, система должна обеспечивать защиту данных, расположенных на сервере от несанкционированного чтения и модификации.

В-четвертых, система должна обеспечивать или поддерживать систему защиты локальной сети банка от воздействия из глобальной сети.

В ходе разработки конкретных систем защиты информации электронных платежей, данная модель и требования должны быть повергнуты дальнейшей детализации. Тем не менее, для текущего изложения подобная детализация не требуется.

Какие действия предпринимаются в деле создания систем безопасных расчетов в сети Интернет и какие при этом используются технологические средства защиты? И почему, несмотря на якобы надежную защиту, продолжают процветать мошенничество и кражи в Интернете?

Лучше быть в безопасности, чем потом сожалеть.
Американская пословица

Не так давно автору довелось беседовать с одним из друзей, который в обычной застольной беседе внезапно заинтересовался, насколько же безопасны пластиковые карты вообще и использование их в расчетах при покупках в сети Интернет в частности. Попытки отмахнуться от него ставшей уже классической фразой «Полную гарантию может дать только страховой полис» ни к чему не привели. Подняв тему, он тут же запряг всю киплинговскую шестерку «Что? Почему? Когда? Как? Где? Кто?» и, пристегнув к ним своего любимца «А вот если?», этот друг, с детских лет отличающийся феноменально занудливой въедливостью, настроился услышать распространенные и доскональные ответы на все свои вопросы. Наверное, можно было бы ответить ему с большим усердием и постараться разложить все, как говорится, по полочкам, только вот интерес его был праздным…

Однако вопросы безопасности расчетов за товары и услуги в сети Интернет — вовсе не праздные, особенно с учетом широкого наступления электронной коммерции, залогом успеха которой становится постоянное увеличение числа пользователей Интернета, привлеченных более низкими ценами и отсутствием необходимости покидать дом или офис для приобретения товара или услуги. Как известно, жертвами онлайн-мошенников становятся не только держатели карт, пользующиеся услугами электронной коммерции, но и сами продавцы, предлагающие свои товары и услуги в сети Интернет.

Покупая в интернет-магазине и используя карту для оплаты покупки, держатель рискует потерять свои деньги, если данные его карты станут известны мошенникам, интернет-продавец же в свою очередь несет риск финансовых потерь, если товары или услуги были оплачены по украденной карте мошенником.

Эмитенты, эквайеры, крайние…

Напомним, что в платежных системах участники разделяются на банки-эмитенты, выпускающие карты для держателей, и банки-эквайеры (в частном случае эмитентом и эквайером может быть одна кредитная организация/банк), обеспечивающие прием выпущенных карт в точках продажи товаров и услуг. В соответствии с этим разделением строится следующая модель взаимодействия: обладатель карты осуществляет покупку в магазине, информация с магнитной полосы карты из магазина в форме запроса передается банку-эквайеру, обслуживающему этот магазин, оттуда, через сервисы самой платежной системы, — в банк-эмитент. Банк-эмитент производит проверку полученной информации о карте и держателе, а также состояния авторизационного лимита и по результатам проверки разрешает (или не разрешает) проведение транзакции. Положительный ответ банка-эмитента на авторизационный запрос является своего рода гарантией, что банк-эквайер получит средства и переведет их на счет магазина. По правилам международных платежных систем в традиционной торговле ответственность за мошеннические операции с картами распределяется приблизительно в равных пропорциях между банком-эмитентом и банком-эквайером, то есть в случае мошенничества держателю возвращает списанные средства либо эмитент (редкость в российских банках, где ответственность чаще перекладывается на держателя), либо эквайер за счет торгового предприятия. В интернет-коммерции же ответственность за мошеннические операции ложится уже однозначно на эквайера, который в свою очередь перекладывает ее на магазин, в итоге возврат средств обладателю карты осуществляется за счет интернет-магазина, через который прошла мошенническая транзакция. Отсюда следует, что наиболее незащищенным звеном в схеме совершения платежа в сети Интернет является онлайновая торговая точка, поскольку в конечном итоге именно за ее счет осуществляется возмещение убытков держателю карты. По описанной схеме работает значительное количество интернет-магазинов, принимающих к оплате карты, что предполагает наличие неких механизмов защиты, способных относительно успешно противостоять мошенничеству.

Протоколы и другие методы защиты

Меры, предпринимаемые участниками электронной коммерции для обеспечения безопасных расчетов в сети Интернет, всегда были достаточно многообразны.

Прежде всего, это обучение держателей карт минимальным навыкам для обеспечения собственной безопасности: пользование только знакомыми интернет-ресурсами, изучение порядка доставки товаров и предоставления услуг, проверка использования интернет-коммерсантом сертифицированных протоколов, гарантирующих безопасность передаваемой информации.

Кроме таких простых методов защиты от мошенничества, как воспитание держателей, безусловно, используются и технологические средства.

Широко используемый и ставший практически обязательным в интернет-торговле протокол SSL (Secure Socked Layer) позволяет всем участникам торговли спокойно передавать самую разную информацию. При попытке перехвата данных они будут закрыты шифром, взломать который за сколько-нибудь адекватный промежуток времени невозможно.

Грамотный держатель карты, пользующийся услугами интернет-ресурсов, осуществляющих продажу товаров и услуг, отнесется с предубеждением к отсутствию SSL у точки электронной коммерции. Протокол SSL использует технологию шифрования с открытым ключом и цифровые сертификаты для опознания сервера, участвующего в транзакции, и защиты информации в процессе ее передачи от одной стороны к другой по каналам Интернета. Транзакции протокола SSL не требуют идентификации клиента. Вначале клиент посылает сообщение серверу. Сервер отвечает и отправляет клиенту свой цифровой сертификат в качестве средства идентификации. Прежде чем продолжить транзакцию, клиент и сервер договариваются по поводу сеансовых ключей. Ключи сеанса — симметричные закрытые ключи — используются только в данной транзакции. Как только ключи выбраны, сеанс связи между клиентом и сервером продолжается, при этом используются ключи сеанса и цифровые сертификаты.

Итак, хотя протокол SSL надежно защищает информацию, передаваемую через Интернет, он не может уберечь частную информацию, хранимую на сервере продавца, — например, номера кредитных карт. Когда продавец получает данные кредитной карты вместе с заявкой на покупку, информация расшифровывается и сохраняется на сервере, пока заявка не будет выполнена. Если сервер не защищен и данные не зашифрованы, то возможен несанкционированный доступ к частной информации и дальнейшее использование ее в мошеннических целях.

В дополнение к использованию протокола шифрования передаваемых данных участники интернет-коммерции используют такие хорошо известные способы идентификации держателя карты, как проверка СVV2/СVK2-кодов (СVV2-код для карт платежной системы Visa и CVK2 — для MasterCard).

К способам идентификации стоит добавить проверку адреса AVS (Address Verification Service). Данная процедура в большей степени характерна для североамериканского рынка электронной коммерции, но, тем не менее, с ней приходилось сталкиваться и держателям карт российских банков, пытавшимся воспользоваться картами для оплаты товаров с доставкой на территории США.

Однако все эти меры безопасности явно недостаточны для обеспечения высокого уровня безопасности расчетов в сети Интернет.

Доля интернет-торговли неуклонно растет из года в год, увеличиваются обороты от продажи товаров и услуг в сети, пропорционально растет и количество мошеннических операций, но мало кто хочет отказываться от получаемых выгод, поэтому всех участников процесса все больше волнует безопасность проведения платежей и расчетов.

3-D — это не только захватывающие фильмы

Вопрос безопасности волнует не только держателя карты, производящего оплату товара в интернет-магазине, но и интернет-магазин, и эквайера, и эмитента, и больше всего — платежные системы, которые вкладывают огромные средства для обеспечения безопасности платежей и защиты от мошенничества.

Многочисленные попытки международных платежных систем сделать расчеты в области электронной коммерции максимально безопасными привели к появлению разработанного платежной системой Visa International протокола 3-D Secure.

Технология 3-D Secure представляет собой протокол аутентификации владельца карты при проведении покупок в сети Интернет, предназначенный для обеспечения безопасности интернет-платежей: проверка личности осуществляется в онлайн-режиме.

Основным действующим принципом технологии 3-D Secure стала гарантия безопасности проведения расчетов в системе электронной коммерции. Причем данная технология не только гарантирует сохранение в безопасности сведений о покупателях, но и в значительной степени способствует сохранению финансовых средств остальных участников платежа.

Реализуется технология 3-D Secure на основе трех доменов (что и заложено в ее названии), в которых начинается и завершается жизненный цикл транзакции. Это домен эмитента, в котором происходит аутентификация держателя, домен эквайера, включающий в себя банк-эквайер и интернет-магазин, и, наконец, домен взаимодействия, содержащий службы и сервисы платежной системы.

Цепочка, обеспечивающая безопасность 3-D Secure, состоит из таких звеньев, как:

— проверка личности владельца карты в реальном времени, которая начинается после ввода номера карты на платежной странице электронного магазина, откуда покупатель перенаправляется на сервер своего банка-эмитента. Для проверки используется пароль, известный только владельцу карты и банку;

— формирование банком-эмитентом по результатам проверки ответного сообщения, которое банк-эмитент защищает от несанкционированных изменений, используя цифровую пдпись;

— защита конфиденциальной информации пользователя, например номера карты, для чего используются защищенные страницы платежного сервера, на котором сохраняется введенная информация. Получатель платежа — электронный магазин — не имеет доступа к этой информации, что защищает от ее хищения.

Таким образом, 3-D Secure не только обеспечивает безопасное проведение платежа, но и разграничивает риски участников транзакции за счет четкого разделения функций при обработке платежной операции: банк-эмитент проверяет личность держателя карты, поскольку именно он располагает информацией о клиенте, а банк-эквайер автоматически организует связь с системой аутентификации эмитента, используя для этого сервисы платежных систем. Отметим, что, если мошенническая транзакция прошла через интернет-магазин, использующий технологию 3-D Secure, ответственность за нее, согласно правилам платежных систем, будет нести уже не эквайер, а эмитент, и при этом не имеет значения, использует эмитент технологию 3-D Secure или нет. Выгода использования протокола 3-D Secure для точки электронной коммерции понятна, а вот эмитенты попадают в сложную ситуацию, поскольку оказываются перед выбором: либо приобрести очень недешевое решение 3-D Secure и обезопасить своих клиентов и себя от мошенников, либо запретить держателям карт их использование в интернет-магазинах и потерять значительную часть клиентов, пользующихся интернет-коммерцией, либо ничего не делать и надеяться, что мошенничество не затронет их.

Можно с уверенностью сказать, что применение этого протокола гарантирует безопасность платежей через Интернет для всех пользователей в любых электронных магазинах.

В борьбе за безопасность интернет-платежей международные платежные системы действуют сообща, поэтому протокол 3-D Secure, предложенный Visa Int., был поддержан системой MasterCard Worldwide. Результатом сотрудничества в сфере безопасности интернет-расчетов стало появление программ Verified by Visa и MasterCard SecureCode. Обе программы для безопасных расчетов в Сети предлагают использовать технологию 3-D Secure.

В самом общем виде обе программы предлагают держателю карты для проведения интернет-платежей зарегистрироваться на сайте банка-эмитента и получить от него некое кодовое слово (число), которое потребуется ввести в всплывающем окне после решения держателя оплатить выбранный товар/услугу на сайте интернетпродавца. Именно по этому слову (числу), которое известно только банку-эмитенту и держателю, эмитент идентифицирует держателя и подтверждает возможность успешного проведения операции оплаты. Как вариант, кодовое слово или число может генерироваться единожды для каждой оплаты и высылаться SMS-сообщением на телефон держателя карты. В этом случае при регистрации держателю потребуется сообщить банку-эмитенту свой номер мобильного телефона, проконтролировать, чтобы на момент проведения операции телефон был в зоне действия оператора связи, и иметь положительный баланс на счете для успешного получения SMS-сообщения. Таким образом, проверкой введенной кодовой информации и отправкой банком-эмитентом ответного сообщения транзакция успешно завершается. Даны гарантии безопасности платежа и сохранности индивидуальной информации, эмитент и эквайер обеспечили проведение безопасного расчета, интернет-коммерсант продал товар, а держатель карты получил не только товар, но и новые преимущества от совершения покупки по 3-D Secure: в системе создается специальная регистрационная запись, фиксирующая платежи в Интернете, держателю не нужно иметь особую карту, чтобы оплачивать товары или услуги в сети Интернет. Кроме того, владельцам зарегистрированных карт Visa Int. предоставляет дополнительные удобства: возможность возврата денег, гарантированную защиту от мошенничества.

Прочитав все вышеизложенное, резонно задаться вопросом, почему же не все так хорошо, если все так хорошо? Почему продолжают встречаться случаи мошенничества и кражи персональных данных, почему Интернет кишит сообществами интернет-шоперов, делящихся информацией о потерянных деньгах и отказах в проведении платежей? Ответ прост — вся красивая модель работы 3-D Secure строится на непременном участии в этих программах и эмитента, и эквайера, и интернет-коммерсанта. Если держатель карты зайдет на сайт интернет-коммерсанта, участвующего в любой из программ Verified by Visa или MasterCard SecureCode, и получит отказ в проведении операции, это будет означать, что банк-эмитент, выдавший держателю карту, не присоединился к протоколу 3-D Secure.

По информации MasterCard Worldwide, в мире зарегистрировано более 470 тыс. интернет-магазинов, участвующих в программе MasterCard SecureCode, и примерно столько же участвующих в программе Verified by Visa.

А что в России?

В 2003 г. система ASSIST стала первой российской системой электронных платежей, сертифицированной Visa International по новой технологии 3-D Secure, что можно считать как значимым событием для самой компании, так и важным этапом в развитии электронной коммерции в России в целом. С этого времени система ASSIST выступает в качестве независимого провайдера аутентификации кард-холдера Verified by Visa.

Банки, принципиальные члены МПС, имеющие лицензию на интернет-эквайринг и заинтересованные в нем, могут подключать свои процессинговые центры к шлюзу ASSIST.

В деле обеспечения возможности участникам электронной коммерции принимать к оплате карты международных платежных систем активно стартовала компания PayOnline System — самая современная из российских систем интернет-платежей. Компания сертифицирована на соответствие PCI DSS и прошла сертификацию в международных платежных системах Visa International и MasterCard Worldwide.

Солидным игроком в области предоставления интернет-процессинга по банковским картам, работающим на российском рынке, является голландская компания CronoPay.

Интересным, на наш взгляд, явлением на российском рынке стала система HandyBank, которая представляет собой интернет-банковский сервис для пользователей — физических лиц. Этот сервис предоставляют банки — участники системы. HandyBank дает возможность клиенту банка круглосуточно с любого компьютера или мобильного телефона совершать интернет-платежи со счета своей банковской карты. Система только начинает свое развитие, но уже сейчас у нее есть ряд реальных преимуществ по сравнению с обычными карточными платежами в Интернете. Во-первых, высокий уровень безопасности: система позволяет совершать транзакции, не передавая в Интернет ни номера своей карты, ни ПИН-кода к ней, ни других ее реквизитов. Во-вторых, более широкий спектр платежных операций. Клиенты HandyBank могут оплачивать множество услуг в упрощенном режиме, совершать банковские переводы, платить налоги и штрафы (госплатежи), совершать интернет-покупки с банковской гарантией возврата денег при любых проблемах с поставкой товара. К дополнительным преимуществам можно отнести также мобильный банкинг и пополнение счета через терминальные сети.

Таким образом, у российской интернет-коммерции есть все необходимые ресурсы для того, чтобы привлечь к себе большое число интернет-покупателей, предоставив им широкий спектр предлагаемых товаров и услуг и продемонстрировав высокую степень защищенности расчетов.

***

По последним сообщениям, появившимся в СМИ, в кампанию по борьбе с интернет-мошенничеством включилась корпорация Microsoft. Как сообщает пресс-служба корпорации, Microsoft совместно с Национальной ассоциацией по борьбе с киберпреступностью (NCFTA) разработали систему Internet Fraud Alert, призванную противодействовать интернет-мошенникам. Инициативу поддержали eBay, система PayPal, Citizens Bank, а также американская Федеральная комиссия по торговле и некоторые другие организации.

Internet Fraud Alert позволяет создавать базу украденных данных о сетевых аккаунтах или кредитных картах. Информация будет максимально оперативно передаваться в организацию, обслуживающую владельца данных. Таким образом, банки и другие компании смогут обеспечить безопасность пользователя и, проанализировав механизм кражи данных, предотвратить новые случаи.

Все вышесказанное дает основания полагать, что защита платежей в сети Интернет есть краеугольный камень в деле дальнейшего развития электронной коммерции, и участие в этой работе таких монстров, как Visa International, MasterCard Worldwide и корпорация Microsoft, приведет к повышению безопасности производимых интернет-расчетов и, как следствие, к повышению уровня доверия держателей карт и пользователей интернет-коммерции.

Ну и, наконец, не забывайте о старом добром способе защиты — о страховом полисе, который в настоящее время предлагают в основном активные банки-эмитенты. Банки, заключая договоры со страховыми компаниями, предлагают держателям страхование рисков от мошеннических операций, а в связи с ростом количества таких операций страхование пластиковых карт становится все более востребованным как со стороны банков-эмитентов, так и со стороны держателей карт. Среди основных рисков, которые покрывает страховка карты, — получение мошенниками денег из АТМ с использованием украденной карты или поддельной карты, использование поддельной карты и поддельной подписи на платежных документах, совершение мошеннических операций по украденным данным карты в сети Интернет.

Банкам-эмитентам, которые хотят разрушить традицию перекладывания убытков по мошенническим операциям на держателей карт, следует серьезнее отнестись к этому перспективному способу защиты средств клиента и собственного имиджа.

Сегодня сложно представить себе серьезный — и не обязательно крупный — бизнес без интернет-поддержки в виде собственного ресурса, продающей странички или интернет-магазина. Превратить обычный электронный каталог в действующий виртуальный магазин с возможностью подобрать на сайте продавца товар и заплатить за него, позволяет . Неудивительно, что вопрос эффективной организации безопасности электронных платежей важен для владельца любого интернет-сервиса, специализирующегося на финансовых расчетах.

Защита информации в электронных платежных системах предполагает выполнение следующих условий:

• конфиденциальность — в процессе интернет-расчетов данные покупателя (номер пластиковой кредитной карты или других расчетных средств) должны оставаться известны только учреждениям и структурам, обладающим законным правом на это;
• аутентификация — чаще всего PIN-код или сообщение, благодаря которому клиент (или продавец) может удостовериться в том, что второй участник сделки именно тот, за кого себя выдает;
• авторизация — дает возможность до начала перечисления денег определить наличие у покупателя достаточной суммы для того, чтобы оплатить заказ.

Все это нацелено на обеспечение безопасного платежного алгоритма, который сможет минимизировать риски электронных финансовых взаиморасчетов как для покупателя, так и для продавца.

Современные методы защиты информации электронных платежных систем

Сегодня защита информации электронных платежных систем осуществляется, главным образом, с помощью:

• моментальной авторизации плательщика;
• шифрования финансовой информации в интернет-сети;
• специальных сертификатов.

Предусматривая одновременное взаимодействие с тысячами пользователей, современные приложения чисто коммерческого характера не могут работать с классическими «однозначными» системами — как с действующими исключительно на открытых ключах, так и с функционирующими только на закрытых. Перехват злоумышленниками хотя бы одного ключа полностью «закрытой» системы автоматически ведет к полному вскрытию всей ее цепи защиты. В свою очередь, шифрование только открытыми ключами нуждается в значительных затратах вычислительных ресурсов.

В связи с этим, сегодня безопасность платежных систем в э-коммерции обеспечивает одновременное применение протоколов с закрытыми и открытыми ключами. Информация, которая передается по сетям, шифруется с использованием закрытого ключа. При этом его генерация осуществляется динамически, и он передается второму участнику сделки с шифром на основе открытого ключа. Как правило, шифрование проводится посредством протокола Seсure Sockets Layer (SSL), а также Secure Electronic Transaction (SET) — его разработкой занимались финансовые гиганты MasterCard, VISA. Первый протокол выполняет шифровку на уровне канала, а второй шифрует непосредственно финансовые данные. В процессе использования приложений с протоколом SET применяется алгоритм двойной электронной подписи.

Ее одна часть высылается продавцу, а другая — банку. Благодаря такой схеме покупателю доступны все данные по заказам, но он не имеет доступа к расчетным реквизитам продающей стороны, а банку, в свою очередь, открыты все финансовые данные обоих участников сделки при полном отсутствии информации о составе заказа. Улучшить защиту виртуальных сделок призваны также виртуальные центры сертификации, выдающие представителям э-коммерции уникальные «сертификаты» электронного формата с подписанным персональным открытым ключом. Электронный сертификат выдается центром на основе идентификационных документов сторон сделки и действителен на протяжении определенного времени. С подобным сертификатом участник коммерческой сделки может совершать финансовые операции, проверяя действительность открытых ключей других участников.

Понятие электронной платежной системы

Определение 1

Электронная платежная система (ЭПС) – совокупность субъектов и методов, которые обеспечивают использование банковских пластиковых карт в системе в качестве платежного средства.

Определение 2

Пластиковая карта – это индивидуальный платежный инструмент на материальном носителе, который предоставляет пользователю карты возможность безналично оплачивать товары и услуги, получать наличные средства в банкоматах и отделениях банков.

Практически полную безопасность ЭПС с использованием микропроцессорных карт обеспечивается высокой степенью защищенности кристалла с микропроцессором и реализацией полной дебетовой схемы расчетов. Такие ЭПС в сущности являются транзитным счетом и непосредственно содержат информацию о состоянии счета клиента. Все операции происходят в режиме оффлайн в процессе взаимодействия между картой и терминалом или картой клиента и картой торговца.

Микропроцессорные карты дороже обычных, но эксплуатация ЭПС дешевле, т.к. в режиме оффлайн не используются телекоммуникации.

Безопасность в электронных платежных системах

Сегодня популярны банкоматы и автоматизированные торговые POS-терминалы (Point-Of-Sale – оплата в точке продажи). При взаимодействии с POS-терминалом реквизиты пластиковой карты считываются с ее магнитной полосы встроенным считывателем POS-терминала. Клиент вводит собственный PIN-код (Personal Identification Number – персональный идентификационный номер), который знает только он. Элементы PIN-кода используются в общем алгоритме шифрования записи на магнитной полосе и являются электронной подписью владельца карты.

Запросы на авторизацию или проведение транзакции от банков-эквайеров или из самих точек обслуживания поступают в процессинговый центр – специализированную сервисную организацию, которая обеспечивает их обработку. Процессинговым центром ведется база данных, в которой содержатся данные о банках и владельцах пластиковых карт.

Уязвимые места информационной безопасности в системе электронных платежей:

• процесс пересылки платежных сообщений между банками, между банком и банкоматом и между банком и держателем платежной карты;
• процесс обработки информации в организации отправителя и получателя сообщений;
• процесс доступа клиентов к средствам, которые аккумулированы на счетах.

Особенности процесса пересылки платежных сообщений:

• системы организаций отправителя и получателя сообщений должны обеспечивать необходимую защиту отправки, получения и обработки электронных документов внутри организации (защита оконечных систем);
• использование для взаимодействия отправителя и получателя электронных документов канала связи.

Механизмы защиты , которые должны быть реализованы для обеспечения функций защиты информации на отдельных узлах ЭПС:

• обеспечение управления доступом на оконечных системах;
• контролирование целостности и обеспечение конфиденциальности сообщения;
• обеспечение взаимной аутентификации абонентов;
• обязательное указание автора сообщения;
• гарантированная доставка сообщения;
• обязательное принятие мер по сообщению;
• ведение регистрации и контролирование целостности последовательности сообщений.

Обеспечение достаточного уровня защиты прежде всего зависит от рационального выбора криптографических средств.

Электронные пластиковые карты

При использовании банкоматов и POS-терминалов пластиковые карты используются в качестве носителя информации, который позволяет идентифицировать пользователя и хранить учетные данные.

Одной из главных функций пластиковых карт является идентификация субъекта платежной системы. С этой целью на карту наносится логотип банка-эмитента и платежной системы, которая обслуживает карту, фамилия и имя владельца карты, номер карты, срок ее действия и т. п. Для более надежной защиты на карту наносится фото и подпись держателя карты. Часто такие данные, как имя владельца, номер счета, срок действия карты и др., эмбоссированы, т.е. наносятся рельефным шрифтом. Это позволяет быстро перенести данные на чек посредством специального устройства-импринтера, который осуществляет «прокатывание» карты.

Пластиковые карты классифицируют по принципу действия на пассивные и активные пластиковые карты.

Пассивные пластиковые карты , к которым относятся пластиковые карты с магнитной полосой, только хранят информацию. Они являются наиболее распространенными и относительно уязвимыми для мошенников. Для улучшения защиты таких карт иногда используются дополнительные средства защиты (например, голограммы и применение нестандартных шрифтов для эмбоссирования).

Активные пластиковые карты отличаются наличием встроенных в них электронных микросхем. Наблюдается тенденция скорого вытеснения картами на интегральных микросхемах карт магнитной полосой.

Замечание 1

По различным классификациям различают карты-счетчики, карты с памятью, с микропроцессором (смарт-карты), карты с контактным и индукционным считыванием.

Для защиты информации процесс использования пластиковых карт проходит этап:

• персонализации карты при выдаче карты владельцу;
• авторизации карты.

Кроме эмбоссирования, указания номера карты, срока действия карты, фамилии и имени владельца важными способами персонализации карты является:

• кодирование магнитной полосы ;
• программирование микросхемы , отдельные операции которого разнесены территориально с разграничением прав сотрудников, которые участвуют в процессе программирования, во избежание возможного злоупотребления и для повышения безопасности.

Платежная Internet-система – это система проведения расчетов между финансовыми, бизнес-организациями и Internet-пользователями в процессе покупки/продажи товаров и услуг через Internet. Именно платежная система позволяет превратить службу по обработке заказов или электронную витрину в полноценный магазин со всеми стандартными атрибутами: выбрав товар или услугу на сайте продавца, покупатель может осуществить платеж, не отходя от компьютера.

В системе электронной коммерции платежи совершаются при соблюдении ряда условий:

1. Соблюдение конфиденциальности. При проведении платежей через Internet покупатель хочет, чтобы его данные (например, номер кредитной карты) были известны только организациям, имеющим на это законное право.

2. Сохранение целостности информации. Информация о покупке никем не может быть изменена.

3. Аутентификация. Покупатели и продавцы должны быть уверены, что все стороны, участвующие в сделке, являются теми, за кого они себя выдают.

4. Средства оплаты. Возможность оплаты любыми доступными покупателю платежными средствами.

6. Гарантии рисков продавца. Осуществляя торговлю в Internet, продавец подвержен множеству рисков, связанных с отказами от товара и недобросовестностью покупателя. Величина рисков должна быть согласована с провайдером платежной системы и другими организациями, включенными в торговые цепочки, посредством специальных соглашений.

7. Минимизация платы за транзакцию. Плата за обработку транзакций заказа и оплаты товаров, естественно, входит в их стоимость, поэтому снижение цены транзакции увеличивает конкурентоспособность. Важно отметить, что транзакция должна быть оплачена в любом случае, даже при отказе покупателя от товара.

Все указанные условия должны быть реализованы в платежной Internet‑системе, которая, в сущности, представляют собой электронные версии традиционных платежных систем.

Таким образом, все платежные системы делятся на:

Дебетовые (работающие с электронными чеками и цифровой наличностью);

Кредитные (работающие с кредитными карточками).

Дебетовые системы

Дебетовые схемы платежей построены аналогично их оффлайновым прототипам: чековым и обычным денежным. В схему вовлечены две независимые стороны: эмитенты и пользователи. Под эмитентом понимается субъект, управляющий платежной системой. Он выпускает некие электронные единицы, представляющие платежи (например, деньги на счетах в банках). Пользователи систем выполняют две главные функции. Они производят и принимают платежи в Internet, используя выпущенные электронные единицы.

Электронные чеки являются аналогом обычных бумажных чеков. Это предписания плательщика своему банку перечислить деньги со своего счета на счет получателя платежа. Операция происходит при предъявлении получателем чека в банке. Основных отличий здесь два. Во-первых, выписывая бумажный чек, плательщик ставит свою настоящую подпись, а в онлайновом варианте - подпись электронная. Во-вторых, сами чеки выдаются в электронном виде.

Проведение платежей проходит в несколько этапов:

1. Плательщик выписывает электронный чек, подписывает электронной подписью и пересылает его получателю. В целях обеспечения большей надежности и безопасности номер чекового счета можно закодировать открытым ключом банка.

2. Чек предъявляется к оплате платежной системе. Далее, (либо здесь, либо в банке, обслуживающем получателя) происходит проверка электронной подписи.

3. В случае подтверждения ее подлинности поставляется товар или оказывается услуга. Со счета плательщика деньги перечисляются на счет получателя.

Простота схемы проведения платежей (рис. 43), к сожалению, компенсируется сложностями ее внедрения из-за того, что чековые схемы пока не получили распространения и не имеется сертификационных центров для реализации электронной подписи.

В электронной цифровой подписи (ЭЦП) используют систему шифрования с открытым ключом. При этом создается личный ключ для подписи и открытый ключ для проверки. Личный ключ хранится у пользователя, а открытый может быть доступен всем. Самый удобный способ распространения открытых ключей - использование сертификационных центров. Там хранятся цифровые сертификаты, содержащие открытый ключ и информацию о владельце. Это освобождает пользователя от обязанности самому рассылать свой открытый ключ. Кроме того, сертификационные центры обеспечивают аутентификацию, гарантирующую, что никто не сможет сгенерировать ключи от лица другого человека.

Электронные деньги полностью моделируют реальные деньги. При этом, эмиссионная организация - эмитент - выпускает их электронные аналоги, называемые в разных системах по-разному (например, купоны). Далее, они покупаются пользователями, которые с их помощью оплачивают покупки, а затем продавец погашает их у эмитента. При эмиссии каждая денежная единица заверяется электронной печатью, которая проверяется выпускающей структурой перед погашением.

Одна из особенностей физических денег - их анонимность, то есть на них не указано, кто и когда их использовал. Некоторые системы, по аналогии, позволяют покупателю получать электронную наличность так, чтобы нельзя было определить связь между ним и деньгами. Это осуществляется с помощью схемы слепых подписей.

Стоит еще отметить, что при использовании электронных денег отпадает необходимость в аутентификации, поскольку система основана на выпуске денег в обращение перед их использованием.

На рисунке 44 приведена схема платежа с помощью электронных денег.

Механизм осуществления платежа следующий:

1. Покупатель заранее обменивает реальные деньги на электронные. Хранение наличности у клиента может осуществляться двумя способами, что определяется используемой системой:

На жестком диске компьютера;

На смарт-картах.

Разные системы предлагают разные схемы обмена. Некоторые открывают специальные счета, на которые перечисляются средства со счета покупателя в обмен на электронные купюры. Некоторые банки могут сами эмитировать электронную наличность. При этом она эмитируется только по запросу клиента с последующим ее перечислением на компьютер или карту этого клиента и снятием денежного эквивалента с его счета. При реализации же слепой подписи покупатель сам создает электронные купюры, пересылает их в банк, где при поступлении реальных денег на счет они заверяются печатью и отправляются обратно клиенту.

Наряду с удобствами такого хранения, у него имеются и недостатки. Порча диска или смарт-карты оборачивается невозвратимой потерей электронных денег.

2. Покупатель перечисляет на сервер продавца электронные деньги за покупку.

3. Деньги предъявляются эмитенту, который проверяет их подлинность.

4. В случае подлинности электронных купюр счет продавца увеличивается на сумму покупки, а покупателю отгружается товар или оказывается услуга.

Одной из важных отличительных черт электронных денег является возможность осуществлять микроплатежи. Это связано с тем, что номинал купюр может не соответствовать реальным монетам (например, 37 копеек).

Эмитировать электронные наличные могут как банки, так и небанковские организации. Однако до сих пор не выработана единая система конвертирования разных видов электронных денег. Поэтому только сами эмитенты могут гасить выпущенную ими электронную наличность. Кроме того, использование подобных денег от нефинансовых структур не обеспечено гарантиями со стороны государства. Однако, малая стоимость транзакции делает электронную наличность привлекательным инструментом платежей в Интернет.

Кредитные системы

Internet-кредитные системы являются аналогами обычных систем, работающих с кредитными картами. Отличие состоит в проведении всех транзакций через Internet, и как следствие, в необходимости дополнительных средств безопасности и аутентификации.

В проведении платежей через Internet с помощью кредитных карт участвуют:

1. Покупатель. Клиент, имеющий компьютер с Web-браузером и доступом в Internet.

2. Банк-эмитент. Здесь находится расчетный счет покупателя. Банк-эмитент выпускает карточки и является гарантом выполнения финансовых обязательств клиента.

3. Продавцы. Под продавцами понимаются сервера Электронной Коммерции, на которых ведутся каталоги товаров и услуг и принимаются заказы клиентов на покупку.

4. Банки-эквайеры. Банки, обслуживающие продавцов. Каждый продавец имеет единственный банк, в котором он держит свой расчетный счет.

5. Платежная система Internet. Электронные компоненты, являющиеся посредниками между остальными участниками.

6. Традиционная платежная система. Комплекс финансовых и технологических средств для обслуживания карт данного типа. Среди основных задач, решаемых платежной системой, - обеспечение использования карт как средства платежа за товары и услуги, пользование банковскими услугами, проведение взаимозачетов и т.д. Участниками платежной системы являются физические и юридические лица, объединенные отношениями по использованию кредитных карт.

7. Процессинговый центр платежной системы. Организация, обеспечивающая информационное и технологическое взаимодействие между участниками традиционной платежной системы.

8. Расчетный банк платежной системы. Кредитная организация, осуществляющая взаиморасчеты между участниками платежной системы по поручению процессингового центра.

Общая схема платежей в такой системе приведена на рисунке 45.

1. Покупатель в электронном магазине формирует корзину товаров и выбирает способ оплаты "кредитная карта".

Через магазин, то есть параметры карты вводятся непосредственно на сайте магазина, после чего они передаются платежной системе Internet (2а);

На сервере платежной системы (2б).

Очевидны преимущества второго пути. В этом случае сведения о картах не остаются в магазине, и, соответственно, снижается риск получения их третьими лицами или обмана продавцом. И в том, и в другом случае при передаче реквизитов кредитной карты, все же существует возможность их перехвата злоумышленниками в сети. Для предотвращения этого данные при передаче шифруются.

Шифрование, естественно, снижает возможности перехвата данных в сети, поэтому связи покупатель/продавец, продавец/платежная система Internet, покупатель/платежная система Internet желательно осуществлять с помощью защищенных протоколов. Наиболее распространенными из них на сегодняшний день является протокол SSL (Secure Sockets Layer), а также стандарт защищенных электронных транзакций SET (Secure Electronic Transaction), призванный со временем заменить SSL при обработке транзакций, связанных с расчетами за покупки по кредитным картам в Internet.

3. Платежная система Internet передает запрос на авторизацию традиционной платежной системе.

4. Последующий шаг зависит от того, ведет ли банк-эмитент онлайновую базу данных (БД) счетов. При наличии БД процессинговый центр передает банку-эмитенту запрос на авторизацию карты (см. введение или словарь) (4а) и затем, (4б) получает ее результат. Если же такой базы нет, то процессинговый центр сам хранит сведения о состоянии счетов держателей карт, стоп-листы и выполняет запросы на авторизацию. Эти сведения регулярно обновляются банками-эмитентами.

Магазин оказывает услугу, или отгружает товар (8а);

Процессинговый центр передает в расчетный банк сведения о совершенной транзакции (8б). Деньги со счета покупателя в банке-эмитенте перечисляются через расчетный банк на счет магазина в банке-эквайере.

Для проведения подобных платежей в большинстве случаев необходимо специальное программное обеспечение. Оно может поставляться покупателю, (называемое электронным кошельком), продавцу и его обслуживающему банку.