Платежные карты в системах электронной коммерции

В настоящий момент нет смысла определять сам термин «электронная коммерция», так как за последние 5–7 лет произошел качественный скачок в области развития систем, посредством которых производится обслуживание клиентов по открытым каналам связи. Прежде всего необходимо отметить, что появилось два больших класса систем электронной коммерции: коммерция в среде Интернет (e-commerce) и коммерция с использованием мобильных телефонов (m-commerce). Дело в том, что исторически развитие Интернета и услуг мобильных операторов происходило по-разному в различных регионах и странах. Так, например, в Европе и в странах Азии мобильные услуги развиваются большими темпами, чем Интернет, а в США наоборот. Именно поэтому возникли эти два класса. В основу систем e-commerce положен принцип предоставления услуг через каналы связи, основанные на публичных сетях. Системы m-commerce используют для этих целей каналы операторов мобильной связи, основной проблемой которых в плане использования для коммерции является относительная дороговизна использования и малая пропускная способность — это ограничивает возможности торговых точек в области предоставления информации о своих услугах. Именно поэтому в настоящий момент торговые точки, которые хотят предоставить наиболее полную информацию о товаре, делают это на своих сайтах в Интернете. Мобильные каналы в основном используются для предоставления услуг, не требующих дополнительной информации (например, оплата услуг операторов мобильной связи, цифрового ТВ и т. д.), хотя бывают удачные исключения, например продажа электронных билетов, удобно, быстро, практично.

Рассматривая средства проведения платежей, можно выделить два основных типа платежных средств:

• анонимные платежные средства;

• авторизованные платежные средства.

В разряд анонимных платежных средств попадают все возможные средства проведения электронных платежей, получение которых не требует от клиента предоставления официальных документов, удостоверяющих личность, или же данные таких документов не могут быть ассоциированы с клиентом при проведении платежной операции. Примером могут служить предоплаченные карты, покупка которых может производиться за наличные средства клиента без удостоверения личности последнего.

Авторизованные платежные средства — это, как правило, средства управления банковским счетом клиента. Классический пример — это платежная банковская карта либо другие электронные платежные средства, дающие возможность однозначно аутентифицировать клиента. В данном случае подразумеваются различные средства электронной аутентификации, начиная от электронных ключей и заканчивая специальными апплетами для смарт-карт, КПК и смартфонов.

Для более полного понимания порядка взаимодействия всех участников процесса электронной коммерции, рассмотрим основные схемы организации сервисов и предоставления услуг оплаты в публичных сетях.

Схема на рис. 1 показывает порядок предоставления сервисов и проведения оплаты клиентом, в случае, когда поставщик услуг (торговая точка) предоставляет полный набор сервисов. В соответствии с выбранной схемой торговой точкой поддерживаются одновременно функции электронного магазина и платежного сервиса. Это значит, что клиент выбирает услугу или товар и производит его оплату, как правило, в рамках единого программно аппаратного комплекса, который используется данным поставщиком услуг. Иными словами, торговая точка заключает договор с банком-эквайером на оказание услуг авторизации платежных транзакций, а клиент предоставляет данные своего платежного средства (наиболее распространенный случай, когда предоставляются реквизиты банковской карты) непосредственно магазину. В данном случае проведение платежа и хранение конфиденциальной информации клиента будет производить торговая точка. Обеспечение безопасности платежей (фрод-мониторинг) также будет являться функцией программного обеспечения, предоставляемого торговой точкой. Данное решение является достаточно затратным поэтому его могут себе позволить лишь немногие крупные компании (например, крупные авиакомпании). Очевидным плюсом данного решения является то, что торговая точка обладает полной информацией о клиенте, что позволяет эффективно управлять процессом обслуживания последнего.

Для уменьшения затрат на реализацию функционала платежного сервиса в настоящий момент наиболее распространена другая схема взаимодействия торговой точки с другими участниками электронной коммерции.

В случаях, показанных на рис. 2, платежный сервис предоставляется магазину другими участниками. В качестве таких участников могут выступать либо банк-эмитент, либо специализированная компания, осуществляющая авторизацию транзакций для торговых точек, работающих в области электронной коммерции. Данная схема имеет больше преимуществ, так как уменьшаются расходы на обслуживание одной торговой точки, создается централизованная система для применения политики безопасности и систем фрод-мониторинга. Такие схемы менее затратны, как для магазинов, так и для поставщиков платежных сервисов, в данном случае термин «каждый должен делать свое дело» приходится как нельзя кстати.

Необходимо отметить, что ни в одной из приведенных выше схем не решен вопрос безопасности платежей в целом. Вся ответственность за проведение платежа лежит на банке-эквайере либо на торговой точке (в зависимости от условий договора эквайрингового обслуживания), но ни один из участников таких схем обслуживания клиентов не может гарантировать полную аутентичность владельца карты, также как и аутентичность торговой точки, в которой совершается платежная транзакция.

^{1 — клиент на сайте торговой точки производит выбор товара и формирование корзины покупок, затем он переходит на страницу оплаты покупки; 2а — данные суммы платежа, идентификатора покупки и идентификатора торговой точки передаются через браузер клиента модулю MPI}[240]^{, который осуществляет связь между торговой точкой и платежным сервисом с DS}[241]^{, для получении информации об участии банка-эмитента и данной карты в программе 3D-Secure; 2b — В случае наличия у банка-эмитента, зарегистрированного в платежной системе, сервера ACS}[242] ^{и присутствия номера карты в таблице выделенных для участия в программе диапазонов карт, запрос передается ACS соответствующего эмитента; 2с, 2d — данные карты клиента сравниваются с данными зарегистрированных карт для проведения аутентификации клиента. Ответ передается серверу DS, а затем модулю MPI. В данном случае сервер DS служит универсальным центром, подтверждающим данные, передаваемые ACS банка-эмитента и подписывающим ответ банка-эмитента ключом платежной системы; 3а, 3b — Данные запроса на аутентификацию клиента передаются через браузер на ACS. Фактически устанавливается прямой защищенный канал между клиентом и ACS банка-эмитента; 4 — Клиент вводит данные своего пароля или секретного кода, однозначно его аутентифицирующие; 5а, 5b — Данные ответа сервера ACS передаются модулю MPI для последующего принятия решения о проведении авторизации данной транзакции; 6 —Процессинговый центр банка-эквайера проводит стандартную процедуру авторизации платежа с использованием полей, возвращаемых MPI, для указания результатов проведения аутентификации клиента.}

Для решения этой задачи платежными системами VISA и MasterCard была разработана принципиально новая схема, которая позволяла бы однозначно аутентифицировать владельца карты и торговую точку в процессе проведения платежа. Таким образом, можно разделить ответственность между участниками. Также необходимо отметить, что данная схема позволила использовать различные методы аутентификации не ограниченные жесткими рамками протокола обмена между хостом и платежным сервисом. Ниже приводится краткое описание третьей схемы взаимодействия участников при проведении платежной транзакции — при использовании протокола 3D-Secure.

Программа безопасности электронных платежей в среде Интернет была запущена компанией Visa в 2003 г., она получила название Verified by VISA (VbV) и базировалась на протоколе безопасного проведения платежных операций 3D-Secure. Аналогичную программу в 2004 г. начал использовать MasterCard данная программа получила название Mastercard Secure Code, в ее основе лежит использование того же типа протокола. Общая схема взаимодействия участников в процессе использования протокола 3D-Secure показана на рис. 3.

В случае, когда банк-эмитент не участвует в программах безопасности или не поддерживает протокол 3D-Secure, шаги 2b—5b не проводятся. Банк-эквайер указывает это в отдельном поле протокола авторизации платежной транзакции.

В настоящий момент сертификация, проводимая системой VISA для банков — эквайеров стала де-факто обязательной для получения эквайринговой лицензии в области электронной коммерции. MasterCard не требует обязательной сертификации банков — эквайеров, но они, как правило, для обеспечения безопасности системы в целом по своей воле проводят полную сертификацию. Сертификация банков-эмитен-тов в области электронной коммерции в настоящий момент обязательна только в случае использования компоненты ACS и протокола 3D-Secure.

Обеспечение безопасности операций

Безопасность использования платежных сервисов это один из самых важных вопросов в области электронной коммерции. Прежде всего, необходимо понять какие риски могут быть применимы к каждому из участников в процессе использования электронного платежного сервиса. Вот, далеко не полный перечень рисков, которым подвергаются участники:

• риски клиента:

• неполучение услуги или получение услуги несоответствующей требованиям качества;

• дискредитация платежного средства клиента; риски продавца:

• отказ клиента от оказанной услуги;

• Риски эквайера:

• оказание авторизационных услуг «плохому» продавцу;

• оказание авторизационных услуг «плохому» клиенту;

• Риски эмитента:

• оказание услуг авторизации лицу, не имеющему права использования данного платежного средства;

• оказание услуг авторизации «плохому» клиенту;

«Плохой клиент» — это не только клиент, который отказался от услуги и требует возврата денег (как правило, такие инциденты решаются силами продавца или поставщика услуг). Данный термин, скорее, относится к мошенникам или, выражаясь юридически, — людям, целенаправленно использующим не принадлежащие им средства платежа (в общем случае неважно, что это за средство платежа — карта или любое другое средство доступа к счету). Проблема «плохого клиента», как известно, не нова, появление таких клиентов провоцируют два фактора: анонимность и относительная безнаказанность (далеко не всякого карточного мошенника имеет смысл ловить). Решение этой проблемы может лежать в создании четкой системы обеспечения безопасности электронной коммерции, которая должна включать в себя:

• правила оценки и ограничения возможности нелегитимного использования платежных средств (фрод-мониторинг и аутентификация);

• создание экономической базы защиты анонимных платежей.

Экономическая база защиты анонимных платежей предусматривает ограничение возможности клиента совершения платежа в анонимном режиме. Это означает, что клиент может совершить ограниченное число попыток такого платежа на небольшую сумму. Таким образом, использование анонимных платежей для кардеров становится просто невыгодным, а значит малоинтересным (именно поэтому большинство систем электронных платежей стремятся максимально ограничить возможности анонимных клиентов).

Фрод-мониторинг, безусловно, важная часть систем электронной коммерции. В основе систем фрод-мониторинга лежат два механизма: (1) статические фильтры и (2) анализ данных накопленных транзакций с целью поиска платежей с высоким риском фрода. Статические фильтры — это наиболее простой метод снижения риска платежных операций. Как правило, фильтры являются частью политики безопасности, согласованной торговой точкой и платежным сервисом. Анализ данных накопленных транзакций может выявить последовательность транзакций «плохого клиента», которая вызывает опасения (например, использование карт нескольких стран одновременно).

Аутентификация клиента обеспечивает легитимность использования платежного средства.

Средства аутентификации пользователей

Классическим методом, используемым для аутентификации клиента, до сих пор является сочетание данных уникального имени, в качестве которого, как правило, используется номер карты и пароля, указываемого клиентом в момент регистрации в системе электронных платежей. К сожалению, данный метод не является достаточно безопасным для использования его в качестве универсального метода аутентификации в сервисах электронной коммерции в целом. В последнее время все более широкое развитие получают методы формирования уникального одноразового пароля, к таким методам относятся алгоритмы One Time Password (OTP). Методы OTP относятся к методам двух-факторной аутентификации. В основе данных методов лежит алгоритм формирования криптограммы на основе секретного ключа, который расположен на безопасном носителе (например смарт-карта) — 1 фактор, а также ПИН кода клиента, для доступа к данным носителя — 2 фактор, и последующего представления этой криптограммы в виде так называемого «токена» — набора десятичных либо символьных знаков (слов). Токен необходим для возможности быстрого и безошибочного ввода данных пароля в системах аутентификации.

В настоящий момент наибольший интерес при использовании карт международных платежных систем в качестве средства платежа, может представлять реализация OTP в виде отдельного приложения на карте. Для получения одноразового пароля достаточно воспользоваться картой, обладающей таким приложением и специального устройства в виде брелка, которое осуществляет проверку PIN-кода карты и отображение одноразового пароля на жидкокристаллическом экране (как правило, это 6–8 значные десятичные числа).

Платежные системы VISA и MasterCard обладают собственными реализациями такого приложения, построенного на базе стандарта Chip Authentication Program (CAP) MasterCard, для платежной системы Visa такое приложение носит название Dynamic Passcode Authentication (DPA). Данное приложение построено на базе стандарта EMV и может быть размещено на платежной карте совместно с основным платежным приложением, что дает возможность банку-эмитенту использовать карту и как платежное средство и как средство аутентификации клиента для доступа к сервисам, требующим строгой аутентификации. Таким образом, смарт-карта является действительно универсальным средством доступа к счету клиента. Изменение схемы взаимодействия клиента с ACS в платежных системах, использующих протокол 3D-Secure, показано на рис. 4.

4а — передача клиенту формы для аутентификации; 4b — ввод данных для формирования криптограммы (токена) (выполняется при помощи дополнительного устройства); 4с — ввод данных токена в форму аутентификации; 4d — передача данных токена серверу ACS и проверка данных криптограммы.

В заключение хочется отметить одну важную деталь. Использование сложных многофакторных систем аутентификации, безусловно, повышает безопасность систем электронной и мобильной коммерции, но не решает всех вопросов безопасности. Системы аутентификации не позволяют защищать пользователя и систему от атак типа: «man — in the — middle» (злоумышленник находится между пользователем и сервисом электронных платежей и может совершать действия от имени пользователя в рамках уже инициализированной сессии), для защиты в данном случае, необходимо использовать протоколы защиты канала SSL/TLS. Также необходимо защищать систему от атак с использованием программ — «Троянов», которые позволяют контролировать действия клиента непосредственно на его компьютере. Защитой в данном случае может служить использование альтернативного канала подтверждения операции (например, SMS уведомление с данными проведенной операции). В случае несанкционированных действий мошеннику сложно проследить действия пользователя по альтернативному каналу.

В настоящий момент нет смысла определять сам термин «электронная коммерция», так как за последние 5–7 лет произошел качественный скачок в области развития систем, посредством которых производится обслуживание клиентов по открытым каналам связи. Прежде всего необходимо отметить, что появилось два больших класса систем электронной коммерции: коммерция в среде Интернет (e-commerce) и коммерция с использованием мобильных телефонов (m-commerce). Дело в том, что исторически развитие Интернета и услуг мобильных операторов происходило по-разному в различных регионах и странах. Так, например, в Европе и в странах Азии мобильные услуги развиваются большими темпами, чем Интернет, а в США наоборот. Именно поэтому возникли эти два класса. В основу систем e-commerce положен принцип предоставления услуг через каналы связи, основанные на публичных сетях. Системы m-commerce используют для этих целей каналы операторов мобильной связи, основной проблемой которых в плане использования для коммерции является относительная дороговизна использования и малая пропускная способность — это ограничивает возможности торговых точек в области предоставления информации о своих услугах. Именно поэтому в настоящий момент торговые точки, которые хотят предоставить наиболее полную информацию о товаре, делают это на своих сайтах в Интернете. Мобильные каналы в основном используются для предоставления услуг, не требующих дополнительной информации (например, оплата услуг операторов мобильной связи, цифрового ТВ и т. д.), хотя бывают удачные исключения, например продажа электронных билетов, удобно, быстро, практично.

Рассматривая средства проведения платежей, можно выделить два основных типа платежных средств:

• анонимные платежные средства;

• авторизованные платежные средства.

В разряд анонимных платежных средств попадают все возможные средства проведения электронных платежей, получение которых не требует от клиента предоставления официальных документов, удостоверяющих личность, или же данные таких документов не могут быть ассоциированы с клиентом при проведении платежной операции. Примером могут служить предоплаченные карты, покупка которых может производиться за наличные средства клиента без удостоверения личности последнего.

Авторизованные платежные средства — это, как правило, средства управления банковским счетом клиента. Классический пример — это платежная банковская карта либо другие электронные платежные средства, дающие возможность однозначно аутентифицировать клиента. В данном случае подразумеваются различные средства электронной аутентификации, начиная от электронных ключей и заканчивая специальными апплетами для смарт-карт, КПК и смартфонов.

Для более полного понимания порядка взаимодействия всех участников процесса электронной коммерции, рассмотрим основные схемы организации сервисов и предоставления услуг оплаты в публичных сетях.

Схема на рис. 1 показывает порядок предоставления сервисов и проведения оплаты клиентом, в случае, когда поставщик услуг (торговая точка) предоставляет полный набор сервисов. В соответствии с выбранной схемой торговой точкой поддерживаются одновременно функции электронного магазина и платежного сервиса. Это значит, что клиент выбирает услугу или товар и производит его оплату, как правило, в рамках единого программно аппаратного комплекса, который используется данным поставщиком услуг. Иными словами, торговая точка заключает договор с банком-эквайером на оказание услуг авторизации платежных транзакций, а клиент предоставляет данные своего платежного средства (наиболее распространенный случай, когда предоставляются реквизиты банковской карты) непосредственно магазину. В данном случае проведение платежа и хранение конфиденциальной информации клиента будет производить торговая точка. Обеспечение безопасности платежей (фрод-мониторинг) также будет являться функцией программного обеспечения, предоставляемого торговой точкой. Данное решение является достаточно затратным поэтому его могут себе позволить лишь немногие крупные компании (например, крупные авиакомпании). Очевидным плюсом данного решения является то, что торговая точка обладает полной информацией о клиенте, что позволяет эффективно управлять процессом обслуживания последнего.

Для уменьшения затрат на реализацию функционала платежного сервиса в настоящий момент наиболее распространена другая схема взаимодействия торговой точки с другими участниками электронной коммерции.

В случаях, показанных на рис. 2, платежный сервис предоставляется магазину другими участниками. В качестве таких участников могут выступать либо банк-эмитент, либо специализированная компания, осуществляющая авторизацию транзакций для торговых точек, работающих в области электронной коммерции. Данная схема имеет больше преимуществ, так как уменьшаются расходы на обслуживание одной торговой точки, создается централизованная система для применения политики безопасности и систем фрод-мониторинга. Такие схемы менее затратны, как для магазинов, так и для поставщиков платежных сервисов, в данном случае термин «каждый должен делать свое дело» приходится как нельзя кстати.

Необходимо отметить, что ни в одной из приведенных выше схем не решен вопрос безопасности платежей в целом. Вся ответственность за проведение платежа лежит на банке-эквайере либо на торговой точке (в зависимости от условий договора эквайрингового обслуживания), но ни один из участников таких схем обслуживания клиентов не может гарантировать полную аутентичность владельца карты, также как и аутентичность торговой точки, в которой совершается платежная транзакция.

^{1 — клиент на сайте торговой точки производит выбор товара и формирование корзины покупок, затем он переходит на страницу оплаты покупки; 2а — данные суммы платежа, идентификатора покупки и идентификатора торговой точки передаются через браузер клиента модулю MPI}[240]^{, который осуществляет связь между торговой точкой и платежным сервисом с DS}[241]^{, для получении информации об участии банка-эмитента и данной карты в программе 3D-Secure; 2b — В случае наличия у банка-эмитента, зарегистрированного в платежной системе, сервера ACS}[242] ^{и присутствия номера карты в таблице выделенных для участия в программе диапазонов карт, запрос передается ACS соответствующего эмитента; 2с, 2d — данные карты клиента сравниваются с данными зарегистрированных карт для проведения аутентификации клиента. Ответ передается серверу DS, а затем модулю MPI. В данном случае сервер DS служит универсальным центром, подтверждающим данные, передаваемые ACS банка-эмитента и подписывающим ответ банка-эмитента ключом платежной системы; 3а, 3b — Данные запроса на аутентификацию клиента передаются через браузер на ACS. Фактически устанавливается прямой защищенный канал между клиентом и ACS банка-эмитента; 4 — Клиент вводит данные своего пароля или секретного кода, однозначно его аутентифицирующие; 5а, 5b — Данные ответа сервера ACS передаются модулю MPI для последующего принятия решения о проведении авторизации данной транзакции; 6 —Процессинговый центр банка-эквайера проводит стандартную процедуру авторизации платежа с использованием полей, возвращаемых MPI, для указания результатов проведения аутентификации клиента.}

Для решения этой задачи платежными системами VISA и MasterCard была разработана принципиально новая схема, которая позволяла бы однозначно аутентифицировать владельца карты и торговую точку в процессе проведения платежа. Таким образом, можно разделить ответственность между участниками. Также необходимо отметить, что данная схема позволила использовать различные методы аутентификации не ограниченные жесткими рамками протокола обмена между хостом и платежным сервисом. Ниже приводится краткое описание третьей схемы взаимодействия участников при проведении платежной транзакции — при использовании протокола 3D-Secure.

Программа безопасности электронных платежей в среде Интернет была запущена компанией Visa в 2003 г., она получила название Verified by VISA (VbV) и базировалась на протоколе безопасного проведения платежных операций 3D-Secure. Аналогичную программу в 2004 г. начал использовать MasterCard данная программа получила название Mastercard Secure Code, в ее основе лежит использование того же типа протокола. Общая схема взаимодействия участников в процессе использования протокола 3D-Secure показана на рис. 3.

В случае, когда банк-эмитент не участвует в программах безопасности или не поддерживает протокол 3D-Secure, шаги 2b—5b не проводятся. Банк-эквайер указывает это в отдельном поле протокола авторизации платежной транзакции.

В настоящий момент сертификация, проводимая системой VISA для банков — эквайеров стала де-факто обязательной для получения эквайринговой лицензии в области электронной коммерции. MasterCard не требует обязательной сертификации банков — эквайеров, но они, как правило, для обеспечения безопасности системы в целом по своей воле проводят полную сертификацию. Сертификация банков-эмитен-тов в области электронной коммерции в настоящий момент обязательна только в случае использования компоненты ACS и протокола 3D-Secure.

Обеспечение безопасности операций

Безопасность использования платежных сервисов это один из самых важных вопросов в области электронной коммерции. Прежде всего, необходимо понять какие риски могут быть применимы к каждому из участников в процессе использования электронного платежного сервиса. Вот, далеко не полный перечень рисков, которым подвергаются участники:

• риски клиента:

• неполучение услуги или получение услуги несоответствующей требованиям качества;

• дискредитация платежного средства клиента; риски продавца:

• отказ клиента от оказанной услуги;

• Риски эквайера:

• оказание авторизационных услуг «плохому» продавцу;

• оказание авторизационных услуг «плохому» клиенту;

• Риски эмитента:

• оказание услуг авторизации лицу, не имеющему права использования данного платежного средства;

• оказание услуг авторизации «плохому» клиенту;

«Плохой клиент» — это не только клиент, который отказался от услуги и требует возврата денег (как правило, такие инциденты решаются силами продавца или поставщика услуг). Данный термин, скорее, относится к мошенникам или, выражаясь юридически, — людям, целенаправленно использующим не принадлежащие им средства платежа (в общем случае неважно, что это за средство платежа — карта или любое другое средство доступа к счету). Проблема «плохого клиента», как известно, не нова, появление таких клиентов провоцируют два фактора: анонимность и относительная безнаказанность (далеко не всякого карточного мошенника имеет смысл ловить). Решение этой проблемы может лежать в создании четкой системы обеспечения безопасности электронной коммерции, которая должна включать в себя:

• правила оценки и ограничения возможности нелегитимного использования платежных средств (фрод-мониторинг и аутентификация);

• создание экономической базы защиты анонимных платежей.

Экономическая база защиты анонимных платежей предусматривает ограничение возможности клиента совершения платежа в анонимном режиме. Это означает, что клиент может совершить ограниченное число попыток такого платежа на небольшую сумму. Таким образом, использование анонимных платежей для кардеров становится просто невыгодным, а значит малоинтересным (именно поэтому большинство систем электронных платежей стремятся максимально ограничить возможности анонимных клиентов).

Фрод-мониторинг, безусловно, важная часть систем электронной коммерции. В основе систем фрод-мониторинга лежат два механизма: (1) статические фильтры и (2) анализ данных накопленных транзакций с целью поиска платежей с высоким риском фрода. Статические фильтры — это наиболее простой метод снижения риска платежных операций. Как правило, фильтры являются частью политики безопасности, согласованной торговой точкой и платежным сервисом. Анализ данных накопленных транзакций может выявить последовательность транзакций «плохого клиента», которая вызывает опасения (например, использование карт нескольких стран одновременно).

Аутентификация клиента обеспечивает легитимность использования платежного средства.

Средства аутентификации пользователей

Классическим методом, используемым для аутентификации клиента, до сих пор является сочетание данных уникального имени, в качестве которого, как правило, используется номер карты и пароля, указываемого клиентом в момент регистрации в системе электронных платежей. К сожалению, данный метод не является достаточно безопасным для использования его в качестве универсального метода аутентификации в сервисах электронной коммерции в целом. В последнее время все более широкое развитие получают методы формирования уникального одноразового пароля, к таким методам относятся алгоритмы One Time Password (OTP). Методы OTP относятся к методам двух-факторной аутентификации. В основе данных методов лежит алгоритм формирования криптограммы на основе секретного ключа, который расположен на безопасном носителе (например смарт-карта) — 1 фактор, а также ПИН кода клиента, для доступа к данным носителя — 2 фактор, и последующего представления этой криптограммы в виде так называемого «токена» — набора десятичных либо символьных знаков (слов). Токен необходим для возможности быстрого и безошибочного ввода данных пароля в системах аутентификации.

В настоящий момент наибольший интерес при использовании карт международных платежных систем в качестве средства платежа, может представлять реализация OTP в виде отдельного приложения на карте. Для получения одноразового пароля достаточно воспользоваться картой, обладающей таким приложением и специального устройства в виде брелка, которое осуществляет проверку PIN-кода карты и отображение одноразового пароля на жидкокристаллическом экране (как правило, это 6–8 значные десятичные числа).

Платежные системы VISA и MasterCard обладают собственными реализациями такого приложения, построенного на базе стандарта Chip Authentication Program (CAP) MasterCard, для платежной системы Visa такое приложение носит название Dynamic Passcode Authentication (DPA). Данное приложение построено на базе стандарта EMV и может быть размещено на платежной карте совместно с основным платежным приложением, что дает возможность банку-эмитенту использовать карту и как платежное средство и как средство аутентификации клиента для доступа к сервисам, требующим строгой аутентификации. Таким образом, смарт-карта является действительно универсальным средством доступа к счету клиента. Изменение схемы взаимодействия клиента с ACS в платежных системах, использующих протокол 3D-Secure, показано на рис. 4.

4а — передача клиенту формы для аутентификации; 4b — ввод данных для формирования криптограммы (токена) (выполняется при помощи дополнительного устройства); 4с — ввод данных токена в форму аутентификации; 4d — передача данных токена серверу ACS и проверка данных криптограммы.

В заключение хочется отметить одну важную деталь. Использование сложных многофакторных систем аутентификации, безусловно, повышает безопасность систем электронной и мобильной коммерции, но не решает всех вопросов безопасности. Системы аутентификации не позволяют защищать пользователя и систему от атак типа: «man — in the — middle» (злоумышленник находится между пользователем и сервисом электронных платежей и может совершать действия от имени пользователя в рамках уже инициализированной сессии), для защиты в данном случае, необходимо использовать протоколы защиты канала SSL/TLS. Также необходимо защищать систему от атак с использованием программ — «Троянов», которые позволяют контролировать действия клиента непосредственно на его компьютере. Защитой в данном случае может служить использование альтернативного канала подтверждения операции (например, SMS уведомление с данными проведенной операции). В случае несанкционированных действий мошеннику сложно проследить действия пользователя по альтернативному каналу.