SET: миссия возможна

Проблема доверия между участниками рынка е-коммерции охватывает такие области, как гарантии конфиденциальности, качества предлагаемых товаров/услуг, сроков доставки и послепродажного сервиса. Обеспечение безопасности е-платежей включает аутентификацию осуществляющих сделку сторон, защиту платежной информации, гарантию оплаты поставленных товаров/услуг, разрешение споров по финансовым вопросам в случае невыполнения обязательств.

Расчеты с использованием пластиковых карт — одна из наиболее важных форм электронных платежей. В настоящее время единственным стандартом, принятым основными международными платежными системами, является SET (Secure Electronic Transactions — безопасные электронные трансакции). Существует обширная литература, описывающая механизмы работы и структуру этого стандарта. Цель данной статьи — показать необходимость и возможность применения SET в электронной коммерции уже сегодня, а также дать описание стандартных расширений к SET с точки зрения завтрашних потребностей рынка. При этом большинство описанных ниже технологий и решений проверено автором статьи на практике в рамках реализации первого в России проекта создания инфраструктуры защищенных электронных платежей на базе SET для одной из крупных российских корпораций.

Мифология

Официальной датой рождения стандарта SET является 1 февраля 1996 г. В этот день Visa International и MasterCard International совместно с рядом технологических компаний объявили о разработке единого открытого стандарта защищенных Интернет-расчетов с использованием пластиковых карт. В декабре 1997 г. была создана некоммерческая организация SETCo LLC, призванная координировать работы по развитию стандарта и осуществлять тестирование и сертификацию предлагаемого на рынке программного обеспечения (ПО) с целью контроля за соответствием этого ПО спецификациям SET.

Надежность SET-платформы для организации защищенных платежей в Сети и поддержания быстрого развития электронной коммерции общепризнана. Однако в средствах массовой информации периодически звучит критика SET, в которой используется стандартный набор аргументов: сложность реализации и применения, дороговизна решения и высокие эксплуатационные расходы, самодостаточность схем, основанных на протоколе SSL (Secure Sockets Layer — уровень безопасных разъемов). Эти доводы базируются в значительной мере на ранних технологических реализациях SET и не учитывают существенный рост производительности и расширение функциональности, достигнутые в новейших SET-решениях.

Производительность

Анализ сравнительной эффективности SET и решений на основе протокола SSL был проведен Gartner Consulting в ноябре 1998 г. Полный отчет о результатах исследований можно увидеть на сайте SETCo LLC (setco.org). Главный вывод состоит в следующем: криптографические процессы требуют значительных вычислительных ресурсов в обеих схемах. При этом криптография не является узким местом SET: со стороны сервера проблема решается использованием аппаратных криптографических акселераторов, которые увеличивают стоимость стандартного серверного оборудования не более чем на 5% (аппаратная реализация криптографических функций — безусловное требование для прохождения SET-сертификации в международных платежных системах). Со стороны клиента современные персональные компьютеры и их портативные варианты легко справляются с дополнительными вычислениями. Используемые для этого специальные программы — электронные бумажники (SET e-wallets), автоматически отправляющие на сервер предварительно подготовленные параметры пластиковой карты, адрес доставки и другую клиентскую информацию, позволяют обеспечить дополнительную безопасность и корректность данных по сравнению с ручным заполнением экранных форм.

Доверие и безопасность

Ни одна схема организации электронной коммерции не может гарантировать 100%-ную безопасность. Мошенничество существует и в традиционном мире: банкноты могут быть подделаны, чеки фальсифицированы, номера кредитных карт украдены. Но при этом традиционные платежи продолжают успешно использоваться, поскольку итоговая польза и удобство значительно превышают ущерб от возможных потерь.

В основе системы безопасности, используемой SET, лежат стандартные криптографические алгоритмы DES (Data Encryption Standard — стандарт шифрования данных) и RSA (Rivest—Shamir—Adleman — алгоритм цифровой подписи Райвеста—Шамира—Адлемана). Инфраструктура SET построена в соответствии с инфраструктурой открытого ключа (Public Key Infrastructure, PKI) на базе сертификатов, соответствующих ISO-стандарту X.509. В этом SET не сильно отличается от других схем электронных расчетов.

Главная особенность SET состоит в том, что использование системы безопасности регламентируется международными платежными системами. Требования Visa и Europay к процессинговому центру на основе SET включают, во-первых, традиционные требования к процессингу пластиковых карт (защита помещений, контроль над доступом, резервное энергоснабжение, аппаратная криптография и т. п.) и, во-вторых, специфические дополнения — межсетевые экраны (firewalls) для защиты Интернет-каналов. Такой подход предусматривает единые методики оценки рисков при проведении электронных платежей вне зависимости от способа аутентификации клиента (традиционная карта с магнитной полосой, смарт-карта или цифровой сертификат). Это позволяет участникам платежной системы использовать отработанные механизмы разрешения спорных ситуаций и сконцентрироваться на развитии своего электронного бизнеса, а не на перманентном тестировании различных информационно-технологических новаций.

Опыт функционирования платежных систем свидетельствует: нельзя недооценивать количество денег, времени и сил, которые кто-нибудь готов потратить на разрушение вашей системы безопасности. Всегда разумнее предполагать: противники серьезнее, чем они есть на самом деле, а наука и технологии уже завтра позволят сделать то, что кажется невозможным сегодня. Поэтому создайте себе запас прочности с помощью SET.

Современная функциональная модель

Повсеместное распространение мобильных средств связи, на использовании которых базируются практически все программы стратегического развития информационных технологий в XXI веке, а также необходимость учитывать распространение конкурирующих решений — вот что определяет современные направления развития электронной коммерции и онлайновых платежей на базе SET-стандарта.

При организации SETCo LLC действует группа технического консультирования (Technical Adviser Group) и группа бизнес-консультирования (Business Adviser Group), занимающиеся разработкой и утверждением расширений SET-стандарта, которые включают функциональность, не входящую в спецификации SET 1.0. На сегодняшний день приняты следующие расширения:

1. Common Chip Extension (расширение общего процессора) — передача данных смарт-карты в рамках авторизационного запроса. Формат сообщений данного расширения базируется на стандарте EMV (Europay MasterCard Visa) и спецификациях CEC (chip electronic commerce — электронная коммерция на базе микропроцессорной технологии), принятых платежными системами Europay, MasterCard и Visa. При этом допускается использование схем, отличных от EMV, путем проецирования (mapping) данных в формат EMV. Таким образом, к сотням тысяч банкоматов и миллионам торговых терминалов добавляются десятки и сотни миллионов сотовых телефонов и других мобильных устройств, пользователи которых могут совершать защищенные финансовые операции наравне с владельцами традиционных пластиковых карт.

2. Merchant Initiated Authorization (авторизация, инициированная в торговой точке) — использование торговой организацией SET-сообщений для авторизации и оплаты заказов, которые были размещены их клиентами с использованием форматов и протоколов, отличных от SET. Это расширение позволяет торговым предприятиям обеспечить безопасность функционирования электронных магазинов, применяющих локальные схемы расчетов с клиентами, а также проводить авторизацию по запросам клиентов, не имеющих SET-сертификатов и использующих протокол SSL для защиты канала связи с Интернет-магазином.

3. Online PIN Extension (расширение онлайнового персонального идентификационного номера) — передача в платежном запросе клиента персонального идентификационного номера (Personal Identification Number, PIN) и другой информации, необходимой для верификации. Допускается использование как стандартной клавиатуры персонального компьютера, так и специальных PIN-клавиатур, снабженных аппаратной криптографической защитой. Данное расширение позволяет проводить авторизацию платежей по дебетовым картам клиентов, которые не предполагают другого способа аутентификации, кроме ввода PIN-кода.

4. CVV2/CVC2 Extension (расширение дополнительной верификации) — включение в платежный запрос клиента таких данных, как Card Verification Value 2 (CVV2) для Visa и Card Verification Code 2 (CVC2) для MasterCard, а также Four-digit Batch Code (4DBC) для American Express. Эти данные представлены на обратной стороне пластиковой карты, на полосе для подписи в виде трех- или четырехзначного цифрового кода. Код генерируется банком-эмитентом и может быть проверен при обработке авторизационного запроса. Правильный код означает, что клиент, заполнявший экранную платежную форму Интернет-магазина, имел (в тот момент или когда-либо ранее) физический доступ к карте. Указанное расширение направлено на повышение безопасности расчетов с клиентами, не имеющими SET-сертификатов.

5. Track-2 Data Extension (расширение данных второй дорожки) — передача в платежном запросе клиента информации, считываемой из определенных полей второй дорожки магнитной полосы пластиковой карты. Потребность в этом расширении возникла в связи с тем, что для правильной обработки авторизационных запросов некоторые эмитенты требуют предоставления значений этих полей (это является еще одним способом повышения безопасности платежей).

6. Generic Cryptogram Extension (расширение групповой криптограммы) — передача в платежном запросе клиента идентификационной информации, считываемой с портативных аппаратных устройств, способных хранить и обрабатывать информацию о клиенте в защищенном виде. Под устройствами понимаются смарт-карты, DES-калькуляторы, PCMCIA-карты (карты в формате Personal Computer Memory Card International Association — международной ассоциации карт ПК-памяти; эти карты вставляются в разъем персонального компьютера, обычно портативного) и др. В частности, генерация криптограммы смарт-картой может потребовать дополнительной аутентификации клиента с помощью PIN-кода, проверяемого этой смарт-картой. Такая проверка соответствует офлайновой PIN-верификации, правила использования которой устанавливаются эмитентом.

SETCo LLC утверждает также расширения, учитывающие особенности платежных инструментов для электронной коммерции в отдельных странах (например, JPO в Японии или карт B0 во Франции).

Первые три вышеприведенных SET-расширения объединены в так называемую трехдоменную модель (Three Domain Model), применение которой позволяет выполнять защищенные платежи, инициированные клиентами с помощью различных мобильных и стационарных устройств, с использованием дебетовых или кредитных карт с магнитной полосой или микропроцессором, вне зависимости от способа аутентификации владельца карты или счета. Главный результат внедрения SET-расширений — обеспечение эволюционного перехода к созданию глобальной инфраструктуры защищенных Интернет-платежей.

Выбор решения

На сайте организации SETCo LLC представлен список сертифицированного программного обеспечения для SET-решений и компаний-разработчиков, предлагающих эти решения. В настоящее время список поставщиков состоит из 26 компаний, в том числе IBM, Globeset, VeriFone, Fujitsu, Hitachi, VeriSign. Безусловным лидером в области сертифицированных SET-расширений является IBM.

Эта компания с самого начала участвовала в разработке спецификаций SET и соответствующего программного обеспечения, вошедшего в состав IBM-набора платежных инструментов (IBM Payment Suite). IBM является также лидером по числу инсталляций тех SET-решений, которые во многом определили направление развития технологий электронных платежей во всем мире (в скобках приведены названия банков и процессинговых компаний, осуществивших трансакции):

• Первая SET-трансакция в международной сети (PBS, Дания)
• Первый SET-проект для дебетовых карт (Fuji Bank)
• Первая SET-транcакция в Азии (Citibank Singapore)
• Первая межбанковская SET-транcакция
• Первая SET-трансакция в Африке (ABSA)
• Первая SET-транcакция в Канаде (SASKATEL)
• Первая SET-транcакция в Латинской Америке (Banco do Brazil)

Не лишним будет отметить, что первая SET-трансакция в России также была проведена с помощью IBM Payment Suite.

Распространение

По официальной информации международной платежной системы Visa, проекты по внедрению решений в рамках стандарта SET реализованы в 39 странах мира. В Европе первым приступил к пилотному проекту весной 1997 г. один из ирландских банков, за ним последовали финансовые институты в Испании и Финляндии, затем началось массовое присоединение банков Австрии, Швеции, Норвегии, Дании, Италии, Германии, Португалии и Франции. Всего 47 финансовых институтов в 18 странах приняли участие в реализации европейской программы SET.

По данным Europay International на конец 1999 г., в программе по продвижению SET участвуют 55 банков из 17 стран, при этом в 41 банке SET уже находится в промышленной эксплуатации. Общее количество выданных сертификатов превысило 25 тыс., 194 торговые и сервисные компании принимают платежи через SET. В SET-программе системы MasterCard участвуют 104 банка, в 56 банках стандарт находится в промышленной эксплуатации.

Для получения актуальной информации о распространении SET, включая информацию о банках, имеющих сертификаты Visa и Europay/MasterCard, и торговых/сервисных компаниях, принимающих SET-платежи, можно обратиться на сайт set-sites.com или сайты международных платежных систем.

Таким образом, подробный анализ ситуации в сфере развития SET-стандарта приводит нас к выводу: действительное положение дел с точки зрения важнейших параметров (производительность, обеспечение доверия и безопасности, наличие требуемых для реализации в е-коммерции расширений, степень распространенности в мире) не дает никаких оснований для того скептического мнения, которое сформировалось на основе опыта работы ранних SET-технологий. Сделанные без необходимости, эти «лишние утверждения» должны быть отсечены «бритвой Оккама».

ОБ АВТОРЕ

Александр Скороходов — исполнительный директор компании «Банковский производственный центр», e-mail: ask@bpc.ru

* Не должно быть множества утверждений без необходимости.
Оккам Уильям. Избранное, книга 5.
(Уильям Оккам, 1285—1347/9 гг. — английский философ-схоласт, францисканский монах, главный представитель номинализма XIV в. Приведенное высказывание известно как один из вариантов формулировки «бритвы Оккама», отрезающей все ненужное. — Прим. ред.)