7.6. Основные методы обеспечения безопасности электронных платежей

Традиционный и проверенный способ электронной торговли, который ведет свое начало от обычной торговли по каталогам, представляет собой оплату товаров и услуг кредитной карточкой по телефону. В этом случае покупатель заказывает на Web-сервере список товаров, которые он хотел бы купить, и потом сообщает по телефону номер своей кредитной карточки продавцу коммерческой фирмы. Затем происходит авторизация карты, а списание денег со счета покупателя производится лишь в момент отправки товара по почте или с курьером.

При создании платежной системы одной из основных решаемых задач является выработка и соблюдение общих правил обслуживания карт, выпущенных входящими в платежную систему эмитентами, проведения взаиморасчетов и платежей. Эти правила охватывают как чисто технические аспекты операций с картами - стандарты данных, процедуры авторизации, спецификации на используемое оборудование и другие, так и финансовые аспекты обслуживания карт — процедуры расчетов с предприятиями торговли и сервиса, правила взаиморасчетов между банками и т.д.

Для того, чтобы покупатель - владелец кредитной карточки мог без опасений расплатиться за покупку через сеть, необходимо иметь надежные механизмы защиты передачи электронных платежей.

Рассмотрим упрощенную схему платежей с помощью smart-карт. Банк, заключивший соглашение с платежной системой и получивший соответствующую лицензию, может выступать в двух качествах - как банк-эмитент и как банк-эквайер. Банк-эмитент выпускает пластиковые карты и гарантирует выполнение финансовых обязательств, связанных с использованием этих карт как платежных средств. Банк-эквайер обслуживает предприятия торговли и сервиса, принимающие к оплате карты как платежные средства, а также принимает эти платежные средства к обналичиванию в своих отделениях. Технические атрибуты деятельности банка-эквайера (обработка запросов на авторизацию; перечисление на расчетные счета точек средств за товары и услуги, предоставленные по картам; прием, сортировка и пересылка документов, фиксирующих совершение сделок с использованием карт и т.п.) могут быть делегированы эквайером процессинговым центрам.

Процессинговый центр представляет собой специализированную сервисную организацию, которая обеспечивает обработку поступающих от банков-эквайеров или непосредственно из точек обслуживания запросов на авторизацию и протоколов транзакций - фиксируемых данных о произведенных посредством пластиковых карт платежах и выдачах наличными. Для этого процессинговый центр ведет базу данных, которая, в частности, содержит данные о банках-членах платежной системы и держателях пластиковых карт.

Каждый банк-эквайер осуществляет перечисление средств точкам обслуживания по платежам держателей карт банков-эмитентов, входящих в конкретную платежную систему. Поэтому соответствующие средства должны быть затем перечислены банку-эквайеру банками эмитентами. На основании накопившихся за операционный день протоколов транзакций процессинговый центр готовит и рассылает итоговые данные для проведения взаиморасчетов между банками-участниками платежной системы, а также формирует и рассылает банкам-эквайерам и непосредственно в точки обслуживания стоп-листы (перечни карточек, операции по которым по разным причинам приостановлены)

Процессинговый центр может также обеспечивать потребности банков-эмитентов в новых картах, осуществляя их заказ на заводах и последующую персонализацию.

При использовании smart-карты на нее записывается величина суммы денег, которые покупатель разместил в своем банке. Кроме этого карта содержит идентификаторы эмитента и покупателя, номер счета покупателя и другую служебную информацию. По этой схеме в месте совершения сделки купли-продажи в качестве эквивалента денег используются защищенные и подписанные цифровой подписью электронные сообщения (транзакции), содержащие сумму платежа, идентификатор лица, выполнившего платеж, идентификатор банка-эмитента и идентификатор продавца. Транзакция передается терминалом продавца через процессинговый центр в банк и на основании нее с карты-счета покупателя переносится сумма сделки на счет продавца. Банк не может отказаться от такой транзакции, т.к. она выполнена (подписана) smart-картой, которую выпустил (эмитировал) сам банк.

Таким образом, деньги покупателя хранятся в банке на так называемом карт-счете и списываются банком по мере расходования их владельцем. Соответствующая отметка производится и в smart-карте во время совершения операции купли-продажи.

Карта может пополняться (кредитоваться) в банке-эмитенте, при этом на карту-счет владельца заносится соответствующая сумма, которая списывается с его обычного счета в банке, либо поступает от владельца в виде наличных денег.

Важными моментами в этой схеме электронных платежей являются создание и защита электронных транзакций. С одной стороны, она должна обеспечивать невозможность подделки транзакций злоумышленником, а с другой - гарантировать, что транзакция, сформированная smart-картой законного ее владельца, будет принята и соответствующим образом обслужена.

Основными элементами системы безопасности smart-технологий в электронных платежах являются:

• идентификация и аутентификация пользователя (эмитент, платежный терминал продавца, платежный межсетевой интерфейс, владелец карты, карта);

• обеспечение целостности данных с обязательной локализацией любого вмешательства;

• постоянный текущий контроль и регистрация информации и ее преобразований;

• обеспечение конфиденциальности данных в системе;

• контроль за оборудованием и программным обеспечением;

• сертификация и нотаризация всех операций, например, с помощью торговых чеков.

Большинство из указанных элементов реализуются с использованием криптографических методов.

Область применения криптографических методов не ограничивается smart-картами. Они могут использоваться для обеспечения безопасности информации, хранимой и обрабатываемой в информационных системах, а также передаваемой по линиям связи. В электронной коммерции используется шифрование как традиционными методами (симметричное шифрование с секретным ключом), так и шифрование с открытым ключом. В частности шифрование с открытым ключом необходимо для подписи транзакций (электронных сообщений, связанных с финансовой информацией).

Идентификация и аутентификация, обеспечение целостности и конфиденциальности данных в системе - реализация этих функций базируется на использовании различных методов шифрования.

Кроме указанных выше методов безопасность электронных сделок обеспечивается использованием защищенных протоколов передачи данных в сети, в частности протоколов SET и SSL.