Проблемы безопасности пластиковых карт

Безопасность является ключевым вопросом для внедрения электронной коммерции. Легенды о мошенничествах, совершенных через Интернет (кстати говоря, часто преувеличенные), уже стали притчей во языцех. Мошеннические транзакции, совершенные с помощью украденных реквизитов карт, магазины, бесследно исчезающие с рынка после успешно исполненных афер, фиктивные магазины, предназначенные для сбора информации о картах клиентов - все это постоянные спутники сегодняшней ЭК.

Психологический фактор, связанный с осознанием угрозы потенциального мошенничества, остается основным препятствием для использования Интернета в качестве средства проведения коммерческих операций. Люди до сих пор не рассматривают Интернет как безопасную среду, чему способствуют как объективная информация о степени безопасности работы в Интернете, так и новомодные фильмы и рассказы о хакерах, успешно преодолевающих любые препятствия на пути к сколь угодно защищенной информации. Опросы показывают, что более всего люди боятся потенциальной угрозы получения кем-либо их персональных данных при работе через Интернет. По данным платежной системы VISA около 23% транзакций ЭК так и не производится из-за боязни клиента ввести запрашиваемую электронным магазином персональную информацию о клиенте.

Как результат, люди главным образом используют Интернет в качестве информационного канала для получения интересующей их информации. Лишь немногим более 2 % всех поисков по каталогам и БД в Интернет заканчиваются покупками.

Некоторые данные о масштабах мошенничеств в ЭК:

Примерно 25% всех сообщений chargeback (отказ от платежа), генерируемых в платежных системах, приходится на транзакции Cardholder Not Present, среди которых большая часть являются транзакциями ЭК. Заметим, что транзакции ЭК занимают второе место среди всех видов мошенничества по кредитным картам, уступая лишь мошенничествам, совершенным по украденным или потерянным картам (Lost/Stolen) - 40%, и сравнявшись с мошенничествами по подделанным картам (Counterfeit) - 25%. Полезно также отметить, что создание и отправка одного сообщения chargeback обходится банку-эмитенту в среднем в $10-15, а во многих случаях, связанных с электронной коммерцией, эта сумма может быть в несколько раз больше.

По данным платежной системы VISA объем сообщений chargeback в классе транзакций ЭК в 2000 г. варьируется от 0,5% до 1%. Для сравнения - средний объем мошенничеств в этой платежной системе составляет 0,1%. По данным исследования, выполненного компанией Gartner Group, уровень мошенничеств в ЭК в 12 раз выше, чем при выполнении обычных покупок с помощью пластиковых карт. Доля мошеннических транзакций ЭК имеет постоянную тенденцию к росту. Кроме того, следует иметь в виду, что мошенничества в ЭК имеют в основном латентный характер, поскольку наиболее распространенной стратегией мошенников является выполнение транзакций на небольшие суммы, которые часто остаются незамеченными пострадавшими владельцами счетов.

Общий объем транзакций ЭК в системах VISA и MasterCard в 2000 г. составлял около 40 млрд долларов; при этом размер отказов от платежей (chargeback) варьируется от 250 до 500 млн долларов.

На региональной конференции Russia Sub-Regional Meeting компании VISA, проходившей весной 2000 г. в Сан-Франциско, выражалась серьезная обеспокоенность быстрым ростом мошенничеств в платежных системах, отмечаемым с сентября 1998 г. В частности, с сентября 1998 г по сентябрь 1999 г. рост уровня мошенничеств в ЭК в системе VISA составил 31% и общая сумма украденного составила 313 млн долларов за год.

По данным консалтинговой компании Meridien Research, в 2000 году сумма похищенных через Интернет средств достигла 1,6 млрд долларов. Больше всего от электронных краж пострадали Соединенные Штаты. По прогнозам той же компании, если ситуация с безопасностью в ЭК не поменяется кардинальным образом, в 2005 году объем потерь будет составлять уже 15,5 млрд долларов.

Некоторые интернет-продавцы утверждают, что каждая четвертая попытка провести транзакцию через Интернет является мошеннической. Большинство таких транзакций завершаются отказом от авторизации из-за неправильного номера карты и/или срока действия карты. Еще более угрожающе выглядят данные системы VISA, утверждающей, что 47 % случаев предъявления ее карточек через Интернет оказываются мошенническими.

Следует отметить, что все приведенные выше цифры являются приблизительными (и на это указывают их источники). Это связано с разными обстоятельствами. В частности, только с середины 2000 года стало обязательным "помечать" транзакции ЭК специальным образом, что позволило платежным системам корректно учитывать транзакции, совершенные через Интернет (до этого такие транзакции в основном идентифицировались системами как MO/TO-транзакции).

Кроме того, известны факты сокрытия банками случаев совершения мошенничеств в их торговых предприятиях. Проблема латентности мошенничеств, связанных с транзакциями ЭК, часто вызвана небольшим размером таких транзакций. Маленький размер транзакции делает ее незаметной для владельца счета. Так, например, в случае нашумевшего дела, связанного с российским сайтом polit.ru (ТП, работавшее через систему CyberPlat), более 90% владельцев карт не заметили транзакции, никогда ими не совершавшиеся, в виду малости размеров последних.

соответствии с данными международных платежных систем все конфликты, связанные с ЭК, делятся в основном на три класса:

владелец карты утверждает, что никогда не проводил транзакцию через Интернет;
владелец карты утверждает, что заказ ЭК не был выполнен;
владелец карты оспаривает размер транзакции.
Наиболее многочисленным является первый класс отказов от платежей. Как показывают исследования, проведенные специалистами международных платежных систем, в подавляющем большинстве случаев причиной возникновения конфликта, относящегося к первому классу, является использование мошенниками украденных реквизитов карт (номер карты, срок ее действия и т. п.).

Существуют и другие причины возникновения конфликтов этого класса. Случается, что транзакция выполняется одним из членов семьи владельца карты, о чем последний ничего не знает. Еще одна причина - владелец карты по информации, полученной в своем банке, не узнает имени ТП, в котором он совершал покупку. Поэтому так важно, чтобы ТП оформляло электронный чек, выдаваемый клиенту в качестве подтверждения приема заказа от покупателя, правильным образом, о чем подробнее будет рассказано далее.

Второй класс конфликтов в специальных комментариях не нуждается. К сожалению, иногда случается так, что некоторые ТП по разным причинам не способны выполнить принятый заказ. Одна из таких причин состоит в том, что только крупные торговые предприятия имеют в своем арсенале системы управления складами, позволяющие им в любой момент времени точно определять наличие того или иного товара на складе. В результате только после приема заказа выясняется, что интересующего клиента товара на складе уже нет. Другая причина состоит в перегрузке ТП заказами (это характерно для праздничных дней, когда обороты вырастают на порядок). В результате обязательства магазина по доставке товара в оговоренные сроки оказываются сорванными, что, как правило, рассматривается клиентом как невыполнение заказа. Для избежания chargeback этого класса ТП должно иметь в своем арсенале развитый бэк-офис, эффективно управляющий запасами товаров на складах, а также обладающий модулем логистики, прогнозирующим сроки доставки товара покупателю.

Другим универсальным способом решения проблемы является задержка отправки финансового сообщения (презентмента) эмитенту владельца карты до момента исполнения заказа.

Наконец, третий класс конфликтов связан со случаями, когда ТП к согласованной с покупателем цене вдруг неожиданно для последнего добавляет дополнительные платы (налоги, плату за доставку и т. п.). Несогласие клиента с таким подходом к делу иногда выливается в жалобу последнего своему банку, генерирующему в свою очередь отказ от платежа, направляемый обслуживающему банку.

В России по данным STB CARD, крупнейшего российского процессора транзакций, выполняемых по пластиковым картам, уровень мошенничества в Интернете составляет примерно 0,5-3% от оборотов в ЭК. К этим цифрам нужно относиться осторожно, принимая во внимание общие объемы этого бизнеса в России сегодня, а также виды услуг, оказываемых электронными торговыми предприятиями. При этом количество попыток совершить мошенническую транзакцию по данным STB CARD составляет 5-15% от общего количества транзакций.

По данным МВД РФ количество преступлений, совершаемых через Интернет, растет, и растет быстро. Если в 1998 г. число подобных преступлений находилось на отметке 80, то в 1999 г. их было уже около 200, а в первом квартале 2000 г. больше, чем за весь предыдущий год.

Приведем классификацию возможных типов мошенничества через Интернет, приводимую международными платежными системами:

транзакции, выполненные мошенниками с использованием правильных реквизитов карточки (номер карточки, срок ее действия и т. п.);
компрометация данных (получение данных о клиенте через взлом БД торговых предприятий или путем перехвата сообщений покупателя, содержащих его персональные данные) с целью их использования в мошеннических целях;
магазины, возникающие, как правило, на непродолжительное время, для того чтобы исчезнуть после получения от покупателей средств за несуществующие услуги или товары;
злоупотребления торговых предприятий, связанные с увеличением стоимости товара по отношению к предлагавшейся покупателю цене или повтором списаний со счета клиента;
магазины и торговые агенты (Acquiring Agent), предназначенные для сбора информации о реквизитах карт и других персональных данных покупателей.
Обычно в рамках подобной классификации фигурирует еще пункт "Информационные сайты". Речь идет о сайтах, помогающих всевозможными рекомендациями и даже программными средствами совершить мошенническую транзакцию. Мы выносим этот пункт из общего перечня возможных мошенничеств, поскольку он не связан непосредственно с процессом ЭК.

Коротко остановимся на перечисленных типах мошенничества в отдельности. Как уже отмечалось, первый тип мошенничества является наиболее массовым. Для совершения транзакции ЭК мошеннику обычно достаточно знать только номер карты и срок ее действия. Такая информация попадает в руки мошенников различными путями. Наиболее распространенный способ получения мошенниками реквизитов карт - сговор с сотрудниками торговых предприятий. ТП, через которые проходят сотни и тысячи транзакций по пластиковым картам, зачастую хранят информацию о реквизитах карт в своих БД или на слипах (бумажных документах, подтверждающих факт совершения в ТП транзакции). Результатом сговора становится передача информации о реквизитах карт в руки криминальных структур.

Другой способ получения информации о реквизитах карт, ставший популярным в последнее время, - кража БД карточек в ТП, о чем будет рассказано чуть ниже.

Еще одним способом генерации правильного номера карты является программа CreditMaster, используемая мошенниками с 1995 года. Программа генерирует правильные номера карт, эмитированных некоторыми банками, используя для генерации номеров тот же алгоритм, что и банк-эмитент.

Достаточно распространенным является способ, когда криминальные структуры организуют свои магазины и торговые агенты (см. пятый тип мошенничества) с главной целью получить в свое распоряжение значительные наборы реквизитов карт. Часто такие магазины представляют собой различного рода порносайты. Сегодня западными спецслужбами установлена тесная связь порнобизнеса в Интернете с преступными группировками, специализирующимися на мошенничествах с пластиковыми картами.

Другая функция подобных магазинов состоит в их использовании для "отмывания" полученных реквизитов карт. Через подобные сайты "прокачиваются" сотни тысяч и даже миллионы украденных реквизитов карт.

Иногда обе функции - кража и "отмывание" - совмещаются в одном магазине. Например, воспользовавшись однажды услугами порносайта, владелец карты с удивлением выясняет, что стал подписчиком такого сайта, и, таким образом, с него ежемесячно будет взиматься плата за подписку, отказаться от которой весьма проблематично.

Наконец, существует и еще один способ узнать правильные реквизиты карт. Точнее не узнать, а эмпирически вычислить. Дело в том, что Интернет представляет собой прекрасный плацдарм для проведения различного рода "испытаний" с целью определения правильных реквизитов карт. Например, если мошеннику известен номер карты, но не известен срок ее действия, то определить этот параметр карты не составляет большого труда. Действительно, пластиковая карта обычно выпускается сроком на два года. Параметр "срок действия карты" определяет месяц и последние две цифры года, когда действие карты заканчивается. Таким образом, мошеннику требуется перебрать всего лишь 24 возможных вариантов этого параметра. В реальном мире сделать это не просто. В виртуальном мире решение подобной задачи не составляет труда. Мошеннику нужно отправить не более 24 авторизационных запросов для того, чтобы с вероятностью 1 определить верный срок действия карты. После этого воспользоваться известными реквизитами карты, можно различными способами. Проще всего совершить транзакцию ЭК. Более эффективный способ воспользоваться добытым знанием - изготовить поддельную карту с вычисленными реквизитами карты и использовать ее для оплаты покупок в реальных ТП. В этом случае такое мошенничество попадет в разряд "подделанная карта" (Counterfeit).

Приведенные выше рассуждения относились к случаю, когда известен номер карты и требовалось определить срок ее действия. Нужно сказать, что с помощью Интернета вполне решаемой становится задача вычисления обоих основных параметров пластиковой карты - ее номера и срока действия. Действительно, в большинстве случаев, номер карты представляет собой число, состоящее из шестнадцати десятичных цифр (хотя в соответствии со стандартом ISO 7812 "Идентификационные карты - система нумерации и процедура регистрации идентификаторов эмитентов" номер карты может состоять из 19 цифр). Из 16 цифр номера карты 6 первых представляют собой BIN (Bank Identification Number), предоставляемый банку либо международной платежной системой, участником которой он является, либо непосредственно организацией American Bankers' Association, уполномоченной ISO на выдачу идентификаторов банкам, если банк реализует собственную независимую карточную программу. Кроме того, достаточно часто крупные и средние банки используют 7-ю и 8-ю цифры номера для идентификации своих филиалов и отделений. Наконец, последняя цифра номера карты - цифра проверки на четность по алгоритму Luhn Check Parity, однозначно определяемая всеми остальными цифрами номера карты.

Таким образом, как правило, только 7 цифр номера карты являются независимыми переменными. Остальные цифры определены платежной системой и банком-эмитентом. Эти цифры не являются конфиденциальными, хотя бы потому, что содержатся в множестве различных таблиц, доступных широкому кругу специалистов. Кроме того, чтобы выяснить значения зависимых переменных номера карты, мошеннику достаточно получить для себя в интересующем его банке пластиковую карту.

С учетом того, что средний банк выпускает под одним префиксом (первые 8-11 цифр карты) 50 000-500 000 карт, легко видеть, что, если банк генерирует номер карты по случайному закону, то плотность заполнения пространства возможных номеров карт (верхняя граница отношения количества выпущенных карт ко всему возможному множеству значений номера карты) составит 0,005-0,05. С учетом числа различных вариантов срока действия карты получается, что мошеннику требуется перебрать порядка 500-5000 различных вариантов параметров карты для достижения своей цели. Очевидно, такая задача является вполне решаемой с учетом того, что мошенник имеет возможность направить авторизационные запросы одновременно в достаточно большое количество Интернет-магазинов.

Иногда помимо номера карты и срока ее действия требуется дополнительно сообщить торговому предприятию специальный цифровой код, называемый в системе VISA СVV2, а в системах Europay/MasterCard - CVC2. Этот цифровой код состоит из трех десятичных цифр, которые печатаются методом индент-печати на оборотной стороне карты на панели подписи сразу вслед за номером карты, и получается с помощью специального открытого алгоритма, применяемого к таким параметрам карты, как номер карты и срок ее действия. Алгоритм базируется на применении алгоритма шифрования DES (см. далее) и использует пару секретных ключей, известных только эмитенту карты. Таким образом, зная номер карты и срок ее действия, вычислить цифровой код без знания секретных ключей невозможно.

С 1 апреля 2001 г. в платежных системах Europay и MasterCard обслуживающие банки обязаны вставлять в авторизационные запросы для транзакций Cardholder Not Present значения CVC2. При этом, к сожалению, далеко не все эмитенты к этому моменту будут способны верифицировать полученные значения кода в своих системах (сегодняшние оценки показывают, что когда обслуживающий банк передает в сеть значение цифрового кода CVC2/CVV2, лишь примерно в 30% случаев эмитент проверяет этот параметр). Из-за того, что сегодня практически всегда (случай использования протокола SET не рассматривается) ответственность за мошенничество по транзакции ЭК лежит на обслуживающем банке, некоторые эмитенты, даже определив, что значение цифрового кода неверно, дают положительный ответ (Approval) на авторизационный запрос.

Отметим, что использование цифрового кода CVV2/CVC2 в некоторой степени поможет борьбе с мошенничествами в ЭК, но не решит проблемы в целом. Действительно, несмотря на то, что применение этого кода потребует от мошенника знания еще трех дополнительных цифр, сам код является статической информацией и, следовательно, рано или поздно попадет в руки мошенников теми же способами, что и номер карты.

Отметим также, что существует еще один способ повышения безопасности транзакции ЭК - использование метода VISA Address Verification System (AVS). Суть метода состоит в следующем. ТП запрашивает у клиента параметр Cardholder Billing Address (адрес клиента, по которому он получает из своего банка-эмитента так называемые стейтменты, отчет о транзакциях, совершенных клиентом по своей карте в течение некоторого периода времени), который направляется в авторизационных запросах банку-эмитенту владельца карты для верификации. Для того, чтобы метод AVS можно было применять, необходимо, чтобы параметр Cardholder Billing Address поддерживался в авторизационных запросах, передаваемых обслуживающим банком эмитенту карты. До последнего времени метод AVS поддерживался в системе VISA только американскими банками. С 15 мая 2001 г. система VISA предлагает банкам на опционной основе внедрить специальные изменения в авторизационных запросах обслуживающего банка с целью поддержки метода AVS (VISA International Address Verification System).

Технология AVS уже несколько лет успешно используется на американском рынке пластиковых карт. С апреля 2001 г. метод AVS является обязательным для банков в Великобритании.

У метода AVS два недостатка. Во-первых, он, также как и метод проверки CVC2/CVV2 является статическим и, следовательно, попадание в руки мошенников нового параметра является лишь вопросом времени. Во-вторых, этот метод поддерживается только системой VISA, и хотя на долю этой платежной системы в мире приходится более 50% всех транзакций ЭК, это все-таки не весь рынок платежей в Интернете. Другими словами, метод AVS не является на сегодняшний день универсальным.

Остановимся теперь на втором типе мошенничества - компрометации персональных данных владельцев пластиковых карт. 2000-й год стал рекордсменом по числу взломов БД карточек в информационных системах крупных ТП. Так, в марте этого года появилось сообщение о том, как в Уэльсе два подростка украли более 26 тысяч реквизитов карт из БД одного из электронных магазинов. К сожалению, это был единственный случай, когда мошенники были задержаны.

Другой пример является еще более масштабным. В начале 2000 г. российским хакером была вскрыта БД объемом 300000 записей. После того, как мошенник, представившийся Максимом, потребовал за сохранение тайны о случившемся выкуп в размере 100 тысяч долларов и получил в ответ отказ, часть украденных номеров карт была выставлена в Интернете для общего обозрения. Спецслужбы, занимавшиеся расследованием данного случая, отметили чрезвычайно высокий профессиональный уровень хакера - для вскрытия БД использовались методы, известные только профессионалам в области защиты информации, Кроме того, преступник так искусно скрыл следы своего присутствия на сайте ТП, что единственное, что можно было установить, так это то, что он действовал, используя российский IP-адрес.

Известно также о случае кражи реквизитов 485 тысяч карт, выставленных в сети National Aeronautic & Space Administration после отказа заплатить преступнику запрошенный им выкуп.

В середине 2000 г. Интернет-магазин Egghead.com объявил о вскрытии его системы защиты информации и краже БД карточек. БД карточек этого магазина содержала реквизиты 3,7 млн карт.

Интернет-магазин является идеальной мишенью для мошенников, желающих украсть реквизиты работающих карт. По данным исследования, проведенного Международной ассоциацией потребителей, более двух третей сайтов торговых точек хранят эти данные по самым разным соображениям и для разных целей. К таким соображениям может относиться необходимость хранения информации о выполненных платежах, установление отношений со своими покупателями (Client Relationship Management), технические причины и т. п. Говоря о технических причинах, можно упомянуть технологию, используемую в Amazon, и состоящую в том, что реквизиты карт запоминаются на сайте этого ТП в том числе и для того, чтобы при следующем обращении клиента ему не нужно было бы вводить реквизиты своей карты заново.

По данным компании Meridien Research, уязвимость Интернет-магазинов усугубляется еще и тем, что лишь 30% онлайновых продавцов используют надежные системы защиты для борьбы с компьютерными мошенниками.

В заключение остановимся на третьем типе мошенничества - магазинах-бабочках, открывающихся с целью "отмывания" украденных реквизитов карт. После того как в руках криминальных структур появляются украденные реквизиты карт, возникает задача ими воспользоваться. Один из способов - организация виртуального ТП, "торгующего" программным обеспечением или другими информационными ресурсами (программы телевизионных передач, подписка на новости и т. д.). В действительности, такое ТП, как правило, имеет свой сайт, но ничем реально не торгует. При этом в обслуживающий банк регулярно направляются авторизационные запросы, использующие украденные номера карт, а, следовательно, магазин регулярно получает от обслуживающего банка возмещения за совершенные в нем "покупки". Так продолжается до тех пор, пока уровень chargeback (отказов от платежей), от эмитентов украденных реквизитов карт не станет свидетельством того, что имеет место мошенничество. Обычно к этому моменту и сами магазины, почувствовав запах жаренного, исчезают и становятся предметом поиска правоохранительных органов.

Магазины-бабочки обычно выбирают две крайние стратегии своей работы. Выбор стратегии определяется размером украденной БД карточек. Если размер украденной БД достаточно большой (десятки тысяч карт), то выбирается стратегия, в соответствии с которой транзакции делаются на небольшие суммы (порядка 10 долларов США). Основная идея такой стратегии заключается в том, что действительный владелец карты заметит небольшую потерю средств на своем счете далеко не сразу и в результате за имеющееся в распоряжении мошенников время (как правило, 1-3 месяца) можно на подобных небольших транзакциях украсть сотни тысяч долларов.

Наоборот, когда в распоряжении мошенников несколько десятков карт, выбирается стратегия выполнения транзакций на крупные суммы (несколько тысяч долларов). В этом случае активная жизнь магазина-бабочки составляет несколько недель, после чего магазин исчезает.

Резюмируя все сказанное, следует отметить следующее:

в основе всех мошенничеств в ЭК лежит попадание в руки криминала информации о реквизитах действующих карт;
внедрение дополнительных методов повышения безопасности транзакций ЭК (CVC2/CVV2, AVS), сводящихся к увеличению размеров статических реквизитов карт, даст эффект в течение относительно небольшого интервала времени, но не позволит решить проблему кардинальным образом. Криминал не оставит попыток приобретения реквизитов карт, используя для этого самые разнообразные методы, начиная от классических (сговора с персоналом ТП), и заканчивая вскрытием БД карточек ТП и созданием специальных магазинов, ставящих своей главной целью завладеть информацией о номерах карт.

Действительно, при совершении операции покупки в физическом магазине продавец имеет возможность рассмотреть предъявляемую для расчетов пластиковую карту на предмет ее соответствия требованиям платежным системам (в частности, проверить наличие голограммы, специальных секретных символов, сверить подпись на панели подписи и торговом чеке и т. п.). Кроме того, продавец может потребовать от покупателя документ, удостоверяющий его личность. Все это делает мошенничество по поддельной карте достаточно дорогим мероприятием.

В случае транзакции ЭК все, что требуется от мошенника - знание реквизитов карты. Затраты, связанные с изготовлением поддельной физической карты, в этом случае не требуются. Безусловно, это не может не привлечь внимание криминала к этому типу коммерции, свидетелями чему мы становимся уже сегодня.

В мире пластиковых карт с магнитной полосой самым надежным способом защиты транзакции от мошенничества является использование PIN-кода для идентификации владельца карты его банком-эмитентом. Секретной информацией, которой обладает владелец карты, является PIN-код. Он представляет собой последовательность, состоящую из 4-12 цифр, известную только владельцу карты и его банку-эмитенту. PIN-код применяется всегда при проведении транзакций повышенного риска, например, при выдаче владельцу карты наличных в банкоматах. Выдача наличных в банкоматах происходит без присутствия представителя обслуживающего банка (ситуация похожа на транзакцию ЭК). Поэтому обычных реквизитов карты для защиты операции "снятие наличных в банкомате" недостаточно и используется секретная дополнительная информация - PIN-код.

Более того, общая тенденция развития платежных систем - более активное использование PIN-кода для операций "покупка" по дебетовым картам. Казалось бы, использование подобного идентификатора могло бы помочь решить проблему безопасности в ЭК, однако это не так. К сожалению, в приложении к ЭК этот метод в классическом виде неприменим.

Действительно, использование PIN-кода должно производиться таким образом, чтобы этот секретный параметр на всех этапах обработки транзакции оставался зашифрованным (PIN-код должен быть известен только владельцу карты и ее эмитенту). В реальном мире это требование реализуется за счет использования в устройствах ввода транзакции специальных физических устройств, называемых PIN-PAD и содержащих Hardware Security Module - аппаратно-программные устройства, позволяющие хранить и преобразовывать некоторую информацию весьма надежным способом. Эти устройства хранят специальным способом защищенный секретный коммуникационный ключ, сгенерированный обслуживающим банком данного ТП. Когда владелец карты вводит значение PIN-кода, оно немедленно закрывается (шифруется) коммуникационным ключом и отправляется внутри авторизационного запроса на хост обслуживающего банка. Точнее говоря, шифруется не сам PIN-код, а некоторый электронный "конверт", в который код помещается. На хосте обслуживающего банка зашифрованный идентификационный код перекодируется внутри Hardware Security Module хоста (хост обслуживающего банка также имеет свое устройство шифрования) в блок, зашифрованный на коммуникационном ключе платежной системы, и передается в сеть для дальнейшего предъявления эмитенту. По дороге к эмитенту PIN-код будет преобразовываться еще несколько раз, но для наших рассуждений это не важно. Важно другое - для того чтобы следовать классической схеме обработки PIN-кода, каждый владелец карты должен хранить криптограммы коммуникационных ключей всех обслуживающих банков, что на практике невозможно.

Классическую схему можно было бы реализовать с помощью применения асимметричных алгоритмов с шифрованием PIN-кода владельца карты открытым ключом ТП. Однако для представления PIN-кода в платежную сеть его необходимо зашифровать, как это принято во всех платежных системах, симметричным ключом. Автор не знает ни одного стандартного Hardware Security Module, способного выполнить трансляцию PIN-кода, зашифрованного с помощью асимметричного криптоалгоритма, в PIN-код, зашифрованный на симметричном алгоритме шифрования.

Существует другое, неклассическое решение по использованию PIN-кода. Например, можно на компьютере владельца карты шифровать PIN-код плюс некоторые динамически меняющиеся от транзакции к транзакции данные на ключе, известном только эмитенту и владельцу карты. Такой подход потребует решения задачи распределения секретных ключей. Эта задача является весьма непростой (очевидно, что у каждого владельца карты должен быть свой индивидуальный ключ), и если уж она решается, то использовать ее решение имеет смысл для других, более эффективных по сравнению с проверкой PIN-кода методов аутентификации владельца карты.

В то же время идея проверки PIN-кода была реализована для повышения безопасности транзакций ЭК по картам, БД которых хранится на хосте процессора STB CARD. В общих чертах STB CARD реализует следующую схему. Владельцы карт, эмитенты которых держат свою БД карточек на хосте STB CARD, могут получить дополнительный PIN-код, называемый ПИН2. Этот код представляет собой последовательность из 16 шестнадцатеричных цифр, которая распечатывается в PIN-конверте, передаваемом владельцу карты (специальный бумажный конверт, используемый банком-эмитентом для хранения в нем секретной информации, относящейся к эмитированной карте), и вычисляется эмитентом с помощью симметричного алгоритма шифрования, примененного к номеру карты и использующего секретный ключ, известный только эмитенту карты.

Далее во время проведения транзакции ЭК на одном из ТП, обслуживаемом банком STB CARD, у владельца карты в процессе получения данных о клиенте запрашивается информация по ПИН2. Клиент вводит значение кода ПИН2 в заполняемую форму и возвращает ее ТП.

Здесь нужно сделать важное замечание относительно сказанного ранее. Владелец карты в действительности ведет диалог в защищенной SSL-сессии не с ТП, а с виртуальным POS-сервером, через который работает ТП (система STB CARD в настоящее время использует сервер Assist).

Возвращаясь к схеме STB CARD, отметим, что, конечно же, в заполненной клиентом форме ПИН2 не содержится, а в действительности все выглядит следующим образом: ТП (точнее, сервер Assist), определив, что имеет дело с картой банка STB CARD, передает владельцу карты форму, содержащую подписанный Java-апплет, реализующий некоторый симметричный алгоритм шифрования. При этом ПИН2 играет роль секретного ключа этого алгоритма шифрования, а шифруемые данные получаются в результате применения хэш-функции к номеру карты, сумме и дате транзакции, а также случайному числу x, генерируемому ТП. Таким образом, в заполненной владельцем карты форме присутствует только результат шифрования перечисленных выше данных о транзакции на ключе ПИН2.

Далее ТП формирует авторизационное сообщение, передаваемое на хост обслуживающего банка, содержащее помимо "стандартных" данных о транзакции еще результат шифрования и случайное число x.

Эмитент карты, получив сообщение ТП, по номеру карты вычисляет значение ПИН2, и далее по номеру карты, сумме и дате транзакции, а также по случайному числу x, вычисляет результат шифрования этих данных на ключе ПИН2. Если полученная величина совпадает с аналогичной величиной из сообщения ТП, верификация PIN-кода считается выполненной успешно. В противном случае транзакция отвергается.

Таким образом, технология проверки PIN-кода, принятая в системе STB CARD, в действительности обеспечивает не только динамическую аутентификацию клиента, но еще и гарантирует "сквозную" целостность некоторых данных о транзакции (сумма транзакции, номер карты). Под "сквозной" целостностью здесь понимается защита от модификации данных на всем протяжении их передачи от клиента до банка-эмитента.

Минусы данного подхода состоят в следующем:

Для реализации схемы проверки значения PIN-кода необходимо, чтобы ТП "умело" формировать соответствующую форму с Java-апплет, что сразу сужает область применения схемы в относительно небольшом множестве ТП.
Использование длинного (шестнадцать шестнадцатеричных цифр) ключа делает его применение на практике крайне неудобным для владельца карты.
Защита от подставки (форма, запрашивающая ПИН2, предоставляется владельцу карты не ТП, а мошенником, желающим узнать значение ПИН2) основана на надежности аутентификации клиентом сервера ТП, а также на подписывании апплета секретным ключом сервера ТП. Поскольку нарушение обеих защит приводит только к появлению на экране монитора владельца карты соответствующего предупреждения, сопровождаемого вопросом - продолжить сессию или нет, то особенно доверять этим формам защиты не стоит.
Обеспечить надежную защиту от подставки можно с помощью электронного бумажника клиента (специального программного обеспечения, которое клиент может "скачать" на свой компьютер с некоторого сайта), заменяющего по своей функциональности Java-апплет в форме ТП. Такой электронный бумажник может использовать сколь угодно мощные средства шифрования данных. Секретные ключи владельца карты могут держаться в порядке повышения надежности их хранения на диске компьютера, дискете или микропроцессорной карте. Доступ к электронному бумажнику должен производиться по паролю его владельца.

В результате проведенного анализа платежные системы сформировали основные требования к схемам проведения транзакции ЭК, обеспечивающим необходимый уровень ее безопасности. Эти требования сводятся к следующему:

Аутентификация участников покупки (покупателя, торгового предприятия и его обслуживающего банка). Под аутентификацией покупателя (продавца) понимается процедура, доказывающая (на уровне надежности известных криптоалгоритмов) факт того, что данный владелец карты действительно является клиентом некоторого эмитента-участника (обслуживающего банка-участника) данной платежной системы. Аутентификация обслуживающего банка доказывает факт того, что банк является участником данной платежной системы.
Реквизиты платежной карты (номер карты, срок ее действия, CVC2/CVV2, и т. п.), используемой при проведении транзакции ЭК, должны быть конфиденциальными для ТП.

Невозможность отказа от транзакции для всех участников транзакции ЭК, то есть наличие у всех участников неоспоримого доказательства факта совершения покупки (заказа или оплаты).

Гарантирование магазину платежа за электронную покупку - наличие у ТП доказательства того, что заказ был ТП выполнен.
Всюду далее под протоколом ЭК понимается алгоритм, определяющий порядок взаимодействия участников ЭК (владельца карты, торгового предприятия, обслуживающего банка, банка-эмитента и центра сертификации) и форматы сообщений, которыми участники ЭК обмениваются друг с другом с целью обеспечения процессов авторизации и расчетов.

Источник: www.oborot.ru
И. Голдовский ИД "Питер"