Будущее SET пока неясно

В начале 1996 г. нам предсказывали, что года через полтора все будут делать покупки через Internet, расплачиваясь при помощи кредитных карточек. Нас ожидает невиданная активизация Web-торговли. Мы и думать забудем о проблеме защиты данных - и все благодаря протоколу защищенных электронных транзакций (SET).

С момента выпуска первой версии протокола SET прошло почти два года, и можно с уверенностью утверждать, что предсказания не сбылись. Обильные сообщения о тестовых проектах, поддержке в продуктах и отрасли в целом создают иллюзию, что с SET все в порядке. Однако при более глубоком ознакомлении с ситуацией обнаруживается масса проблем, которые способны отодвинуть широкомасштабное внедрение SET еще на полтора года.

Непонятно, например, как обеспечить безопасность распространения и использования электронных сертификатов, на которых основан SET, да и будут ли они вообще применяться на практике. Серьезные дебаты идут вокруг защитных механизмов SET - утверждается, что они предоставляют банкам и торговым организациям чересчур большую свободу в обращении с номерами кредитных карточек. Еще один вопрос: кто будет компенсировать потери в случае мошенничества? Ни Visa, ни MasterCard пока не хотят брать на себя никакой ответственности.

Тем временем набирает силу технология смарт-карт, которая, как считают ее сторонники, менее громоздка и более надежна, чем SET. Visa и MasterCard поддержали все основные проекты с использованием смарт-карт. Есть у них планы развертывания систем на базе смарт-карт и в США - правда, они относятся к отдаленному будущему и не рассчитаны на замену SET.

Для чего нужен SET

SET представляет собой систему шифрования данных и аутентификации участников при совершении сделок через Internet с помощью кредитных карточек. Протокол использует шифрование сообщений на основе секретных и открытых ключей, цифровые подписи и сертификаты - электронные удостоверения личности. В результате, уверяют разработчики (а среди них - Visa, MasterCard, Netscape, Microsoft, IBM, GTE, корпорация Science Applications International (SAIC), Terisa Systems, VeriSign), система расчетов через Internet становится столь же защищенной, как и при традиционной торговле с помощью кредитных карточек.

Сегодня сделки с использованием в качестве расчетного средства кредитных карт считаются настолько надежнее заказов по телефону, почте или через Internet, что компании типа Visa или MasterCard компенсируют потери торговых организаций в случае мошенничества. Банки также предоставляют скидки торговым организациям, принимающим в оплату кредитные карточки.

Протокол SET призван создать такие условия для торговли через Internet, чтобы пересылка сертификата через киберпространство стала равноценной предъявлению пластиковой карточки. Стив Херц, старший вице-президент по электронной коммерции компании Visa, утверждает: "Протокол SET даст электронным торговцам полную уверенность в том, что счет будет оплачен в соответствии с правилами, действующими и в обычной торговле".

Большинство аналитиков признает, что система аутентификации SET вполне эффективна. Поступление по компьютерной сети заказа с сертификатом SET означает, что у клиента имеется действующая кредитная карточка. Аналогично, клиенты могут не сомневаться, что их партнер, имеющий сертификат известных платежных систем, вроде Visa, MasterCard или American Express, действительно является надежным торговым предприятием. Это предприятие, в свою очередь, уверено в надежности организации-шлюза, через которую предоставляются банку счета, оплаченные с помощью кредитных карт.

Когда SET не помогает

Однако при внимательном рассмотрении выясняется, что спецификация SET решает далеко не все проблемы.

• В спецификации ничего не говорится о том, каким образом банки должны предоставлять клиентам право на получение сертификата.
• SET не гарантирует 100-процентного признания правомочности снятия денег со счетов клиентов. Иначе говоря, у торговой организации нет надежного способа удостовериться, что заказ сделан именно владельцем сертификата. Специальной программой, запущенной на компьютере держателя сертификата, может воспользоваться злоумышленник, которому удалось взломать пароль.
• Предоставляется возможность достаточно свободного обращения с SET, что, вообще говоря, способно повредить прочим функциям протокола. Например, одним из преимуществ принятой в SET системы идентификационных сертификатов и ключей является то, что компьютер торговой организации "не знает" реального номера обрабатываемой кредитной карточки. Однако во многих торговых организациях номера кредитных карт клиентов используются в компьютерных бухгалтерских системах.

Спецификация SET не запрещает банкам по завершении сделки сообщать торговым организациям номера кредитных карт. В результате, эта информация попадает на компьютеры торговых организаций, где до номеров карт может добраться хакер. В протоколе SET ничего не говорится о средствах защиты таких данных при хранении в компьютерах, принадлежащих потребителю, торговой организации или банку.

Г-н Херц из компании Visa это признает. "Торговая организация по-прежнему будет поддерживать связь с банком. По завершении сделки магазин и банк имеют полную свободу действий",- говорит он. Уильям Кемпбелл, вице-президент по технологиям Bank of America, добавляет: "Эмитенты кредитных карт будут всячески приветствовать возможность возвращения торговой организации информации о сделке с использованием кредитной карты. Наша задача - найти способ осуществления этого. Например, данные можно передавать не через Internet, а по другим каналам".

В спецификации SET 1.0 указано, что "сертификаты владельцев кредиток являются необязательными, и их наличие оставлено на усмотрение фирмы - эмитента платежной карточки". Это - временная мера, рассчитанная на период отсутствия сертификатов у многих потенциальных клиентов. Однако Стивен Клег, старший вице-президент по продажам и маркетингу корпорации CyberSource, создавшей Web-сервер онлайновой торговли под названием software.net, беспокоится, не затянется ли процесс перехода к обязательному использованию сертификатов: "Как должен будет вести себя продавец, если от него в какой-то момент потребуют, чтобы он говорил клиенту: "Я не могу продать вам это, поскольку у вас нет сертификата"? Но пока он этого не скажет, потребитель будет думать: "Чего ради мне возиться с сертификатом?"

Сторонники SET уверяют, что от протокола нельзя требовать защиты от любой случайности, поскольку в процессе участвует колоссальное число различных клиентов и организаций. Они полагают, что потребители будут защищены от потерь в такой же степени, как и при использовании пластиковых кредитных карт, когда риск ограничивается суммой в 50 дол. У торговых организаций будет убедительный повод заботиться о своей безопасности, что, собственно, они делают и сегодня. Так же станут поступать банки и прочие организации, обеспечивающие сделку.

Главные вопросы, оставшиеся нерешенными: что собой будут представлять дополнительные защитные процедуры и примут ли потенциальные пользователи SET защитный протокол, чье действие ограничено отдельными областями огромной сферы электронных транзакций в режиме реального времени?

Никто не отрицает, что SET повысит стоимость онлайновых систем розничной торговли. Будут организованы новые центры сертификации и платежные шлюзы, чем займутся компании, подобные SPYRUS, CertCo, VeriSign (официальная служба сертификации Visa) и GTE (официальный центр сертификации MasterCard). Всем им надо платить, но неясно, кто это будет делать. Банки начнут создавать центры сертификации и платежные шлюзы либо самостоятельно, либо с помощью сторонних компаний. Соответствующие затраты могут быть (а могут и не быть) перенесены на торговые организации и покупателей.

Торговые компании и потребители должны будут приобрести новое программное обеспечение и сертификаты. Кроме того, таким фирмам, возможно, придется закупать какое-то новое оборудование. Стоимость всего этого еще не определена.

Г-н Кемпбелл, участвующий в пробной эксплуатации SET в компаниях Visa, First Union Bank и Alaska Airlines, утверждает, что Bank of America пока не решил, требовать ли плату за сертификаты и программное обеспечение с клиентов. "Но это выяснится при испытаниях. А вот как люди без электронного кошелька (т. е. клиентского программного обеспечения SET. - Прим. ред.) смогут взаимодействовать с банком, чтобы обзавестись таким кошельком, - мы не знаем. А ведь число запросов на его получение - один из способов оценить спрос", - говорит он.

Без особого энтузиазма

Тем временем электронные коммерсанты, уже добившиеся успеха на своем поприще, интересуются, какой им от всего этого прок. "У нас, как у торговой организации, есть ряд вопросов по поводу SET. Например, снизит ли он опасность мошенничества? Нам пока не ответили на данный вопрос", - говорит Уильям Мак-Кирнан, президент и генеральный директор компании CyberSource, чей Web-сервер software.net имеет ежемесячный оборот свыше 1 млн дол.

Пол Грэм, президент корпорации Viaweb, предоставляющей пакет услуг электронной торговли под названием viaweb.com и содержащей электронный универмаг viamall.com, высказывается более определенно: "Протокол SET выгоден только владельцам платежных систем. Для торговой организации или потребителя абсолютно ничего не улучшается". Грэм говорит, что торговые организации, которые он поддерживает, стремятся продолжать работу со своими комплексами авторизации кредитных карточек, а не устанавливать новые системы без ясной перспективы экономических выгод.

Большинство аналитиков уверяют: если бы компании типа Visa давали торговым организациям те же гарантии от мошенничества, что и при обычных расчетах с помощью пластиковых карт, это подвигнуло бы торговые организации к поддержке SET. Visa к подобному еще не готова. Г-н Херц (Visa) утверждает, что по степени безопасности электронные сделки торговых организаций будут подобны осуществляемым в реальном, физическом, мире. Каким именно образом Visa будет страховать торговые организации от мошенничества при сделках на базе SET "определяется правилами и инструкциями, обеспечивающими не только проверку законности сделки, но и целостность данных при платежах через Internet". Однако последние правила еще не выработаны.

Ситуация меняется медленно

Как бы то ни было, испытания SET с участием Visa и MasterCard проходят, по словам г-на Херца, в 25 странах. Тем временем банки и владельцы платежных систем пытаются выработать дополнительные правила и инструкции к использованию протокола SET. Результатом этой деятельности станет полномасштабная реализация SET. Но до нее еще далеко.

Клифф Кондон, главный аналитик по финансам и технологиям корпорации Forrester Research, говорит: "Мы не увидим крупных новых проектов в ближайшие полтора года". Он обосновывает свой вывод четырьмя соображениями. Во-первых, торговые организации хотят платить за обслуживание сделок, заключенных с помощью SET, меньше, чем платят сейчас за сделки без непосредственного предъявления кредитной карты. Во-вторых, необходимо создать программы широкомасштабного маркетинга и обучения потребителей и начать их реализацию. В-третьих, надо сформулировать критерии соответствия конкретного программного обеспечения и Web-узлов торговых организаций протоколу SET. Наконец, в-четвертых, клиентское программное обеспечение, или собственно электронный кошелек, нужно встроить в Web-браузеры таким образом, чтобы им было достаточно легко пользоваться.

Справедливости ради отметим, что SET уже имеет несколько существенных достижений. Были реализованы демонстрационные проекты на базе SET, в настоящее время идут реальные испытания работы протокола. О своей поддержке протокола объявило большинство производителей соответствующего программного обеспечения, торговых организаций, банков и платежных систем. Стандарт SET поддерживают многие производители, которые ранее предлагали собственные системы онлайновых сделок с использованием кредитных карточек, например Microsoft, VeriSign, Netscape, IBM, Visa, MasterCard, CyberCash и др.

Такое признание - немалый успех. Говорит г-н Херц: "В конце июля 1997 г. на семинаре "The Promise of SET" 18 производителей программного обеспечения демонстрировали продукты, позволяющие использовать SET. Раньше эти компании лишь называли различные сроки готовности".

Однако многие утверждают, что система транзакций громоздка и сложна для понимания. Во всех программах под SET, производимых разными фирмами, будут использоваться сертификаты, аутентифицируемые в центре сертификации. Он будет работать по технологии SPYRUS/CertCo, одобренной компаниями Visa и MasterCard. Все банки, желающие выдавать сертификаты, должны стать центрами сертификации или пользоваться услугами таких центров. Каждому банку, обслуживающему торговые организации, понадобится организовать SET-шлюз или заказать его на стороне. Любой пользователь SET, намеренный воспользоваться его преимуществами, должен будет получить сертификат на свои кредитные карточки и взаимодействовать только с торговыми организациями, которые также сертифицированы на совместимость с SET.

Эти шаги требуют времени и денег, а ведь сомнения относительно работоспособности системы еще остаются. Поэтому неудивительно, что начинают обсуждаться альтернативные варианты.

Смарт-карта

В качестве альтернативы чаще всего упоминается смарт-карта - пластиковая карточка размером с обычную кредитную со встроенным процессором. В сочетании со считывающими устройствами и, возможно, с сетью связи данная карта способна выполнять самый широкий спектр функций.

В качестве "расчетной карты" ее используют вместо наличных для каких-то строго определенных платежей (например, оплаты телефонных звонков) или в более общих целях. Смарт-карту можно спроектировать и таким образом, чтобы применять ее как кредитную или дебетную карту. В частности, во второй версии спецификации SET планируется описать дополнительное программное обеспечение SET, которое позволит проводить сделки с помощью смарт-карт.

Visa и MasterCard анонсировали проекты, предусматривающие использование смарт-карт. Весной 1997 г. компания MasterCard приобрела контрольный пакет акций Mondex International, ведущего производителя многоцелевых смарт-карт. Летом того же года корпорация Sun Microsystems объявила, что разрабатывается версия языка Java для работы со смарт-картами. Десятки миллионов смарт-карт уже применяются за пределами Соединенных Штатов, в основном для оплаты телефонных звонков и прочих специализированных платежей. Однако они начинают все активнее служить средством расчетов более общего характера, причем ожидается, что число соответствующих систем будет расти.

Сторонники технологии смарт-карт заявляют, что она безопаснее и проще, чем SET. Теоретически, потребитель, имеющий в своем распоряжении ПК, к которому подключено считывающее устройство для смарт-карт, может обмениваться шифрованной информацией с торговой организацией. Поскольку карта физически помещается в считывающее устройство, это позволяет аутентифицировать самого пользователя, а не только его компьютер. Для работы со смарт-картой надо ввести пароль; утверждается, что при попытке подобрать пароль карта немедленно аннулируется.

Один из апологетов технологии смарт-карт даже начал обвинять владельцев платежных систем в намеренном притормаживании реальных проектов. "SET - это запудривание мозгов, - говорит Джером Свигалс, бывший сотрудник IBM, работавший над картами с магнитной полосой, а сейчас занимающийся консультативной деятельностью. - В 1987 г. компания Booz, Allen & Hamilton провела исследование, которое показало: если платежные системы Visa и MasterCard, получающие деньги на авторизации кредиток, перейдут на смарт-карты, они потеряют 86% своих доходов. Получив эту информацию, обе компании поклялись, что добровольно на смарт-карты не перейдут. Они топчутся на месте, чтобы затормозить продвижение новой технологии".

Visa и MasterCard, естественно, оспаривают эти заявления. Херц говорит, что, делая выбор между SET и смарт-картами, необходимо взглянуть на цифры: "По современным оценкам, 60 млн людей имеют доступ в Internet. А у скольких из них есть считывающие устройства для смарт-карт? Смешно сравнивать. И что же, мы скажем: "Давайте ждать появления считывающего устройства?" И потом, какой может быть его розничная цена? Сколько времени потребуется, чтобы устройства появились на всех 60 млн персональных компьютеров? Да и с распространением смарт-карт придется повозиться".

С другой стороны, говорит г-н Херц, программное обеспечение SET и сертификаты можно просто загружать по сети с Web-узлов различных провайдеров. "Нам нужно максимально быстро разместить в Internet хоть что-нибудь для поддержки расширяющегося рыночного пространства. Затем, по мере развития и усовершенствования технологии, мы сумеем перейти и к смарт-картам, но нельзя же делать это за счет удобства людей!"

Г-н Клебе (CyberSource), 20 лет работающий в области финансовых технологий, приходит к тем же выводам: "Мы только что завершили работы по оборудованию всех торговых точек считывающими устройствами для магнитных карт. Попробуйте теперь добиться, чтобы торговые организации согласились выбросить это оборудование и установить вместо него считывающие терминалы для смарт-карт. Такая замена обойдется в миллиарды долларов".

Клебе также отмечает, что главные доходы от кредитных карточек дают проценты по кредитованию платежных операций. Если смарт-карты или другие технологии позволят совершать онлайновые платежи с наличными, то банки отнесутся к такой идее без энтузиазма, поскольку перестанут получать проценты за кредит. "То, что хорошо для эмитентов кредитных карт, произойдет, но то, что хорошо лишь для торговли, - никогда", - считает Клебе.

Подведем итоги

Еще одна возможность - оставить все как есть. Многие потребители уже пользуются кредитными карточками в сети Internet. Их число будет расти благодаря компаниям типа CyberSource, предлагающим специальные способы отслеживания мошенничества с кредитками. Технология Secure Sockets Layer, разработанная Netscape, способна обеспечить информационную безопасность при передаче данных через Internet, хотя в ней участники сделки и не аутентифицируются. Кроме того, торговые организации могут использовать дополнительные методы защиты, предлагаемые CyberSource.

По словам Клебе, CyberSource также будет поддерживать SET. Такие производители, как корпорация Viaweb, скорее всего, будут избегать перемен, пока SET (или его аналоги) не понадобится большому числу потребителей или производящих компаний.

Широкое внедрение многоцелевых смарт-карт, по-видимому, произойдет нескоро, и виной тому - стоимость считывающих устройств. Большая часть систем на смарт-картах развертывается за пределами США, поскольку там стоимость телефонных линий, необходимых для системы авторизации кредитных карт, очень высока. В Америке же, как правило, смарт-карты имеют ограниченное применение: для специализированных целей, поддержки постоянных покупателей, а также в системах безопасности, например контролирующих доступ в здание.

Короче говоря, ни одна другая система онлайновых сделок повышенной надежности не пользуется даже приблизительно такой же поддержкой, как SET. Это дает основания предположить, что SET - единственная жизнеспособная технология, чье практическое внедрение в США не за горами.

При этом комиссия по SET работает над второй версией стандарта для смарт-карт, планируя выпустить ее через полтора года или раньше. Если SET будет продвигаться медленно, то возможно, что технология смарт-карт его опередит. Скорее всего, со временем они так или иначе сольются. Долговременные прогнозы пока делать трудно, но несмотря на все сложности, в обозримом будущем SET является наилучшим вариантом развития.

Главные проблемы

• Как аутентифицировать получателя и обеспечить конфиденциальность при пересылке сертификатов и другого программного обеспечения?
• Кто будет оплачивать работу сертификационных центров и платежных шлюзов?
• Кто будет платить за сертификаты и клиентское программное обеспечение?
• Будут ли эмитенты кредитных карточек компенсировать торговым организациям потери, возникающие в связи с мошенничеством при сделках с помощью протокола SET (как это делается при традиционных сделках с использованием кредитных карточек)?