Авторизация банковской карты – В мире кредиток

В первой статье нашего цикла мы представили краткий обзор развития платежных карт в нашей стране, а также предпосылок для создания функциональной инфраструктуры. В некотором роде это была разминка, и теперь мы можем перейти к важным практическим вопросам. Для того чтобы понять, как на самом деле функционирует любая платежная система, необходимо разобраться в ее устройстве. Все они, как было сказано в первом разделе, принципиально одинаковы – и по принципу работы, и по внутреннему устройству. Что такое карта? Какая характеристика карты является наиболее важной?

Карты предназначены для чисто безналичных расчетов или как своего рода переходная мера между наличными и наличным оборотом. Для получения наличных можно использовать любой банкомат, а многие банкоматы также позволяют вносить наличные на карточный счет.

Имеет ли значение фактическая физическая память? И да, и нет. когда вы предъявляете карту реальному человеку, который проводит транзакцию, зачастую используя рудиментарную технологию. В настоящее время большинство транзакций автоматизированы и осуществляются электронным способом. Кассир работает за обычной кассой в магазине, но его обязанности ограничиваются отправкой запросов на платежные терминалы и, при необходимости, направлением клиентов к месту, где должны находиться их карты. Каждый человек посещает банкомат или киоск самообслуживания в одиночку, без присутствия других людей, просто для собственного ознакомления. Онлайн-транзакции могут происходить и тогда, когда фактический номер карты просто не прикреплен. Для этого даже созданы уникальные виртуальные карты, которых пока нет. Они могут принимать участие в транзакции только потому, что у них нет информации о карте для ее начала.

На первый взгляд, схема довольно проста, поскольку основным требованием к карте является ее номер в десятичном порядке. Стандарт допускает длину от 13 до 19 цифр, но в настоящее время наиболее популярным числом является 16. Более старые системы, такие как Diners Club или American Express, ведут расчеты с использованием цифр 14 и 15. Однако номер не всегда присваивается картам, изготовленным для электронной обработки данных (не всем); вместо этого он отображается рядом с картой на отдельном листе. Кроме того, терминалы с магнитным чипом и полосой могут работать только в магнитном поле. Номер открыто хранится на первом листе; второй мы обсудим отдельно.

Кроме того, последняя цифра номера обычно служит контрольной цифрой для первых значащих цифр и не имеет самостоятельного значения. Однако в первых цифрах номера зашифрована платежная система, конкретный банк и другие данные, определяемые сервисом. Это упрощает автоматическую обработку, так как продавец, увидев цифру 4 (которая является первой буквой номера), знает, что нужно обращаться в Visa, и наоборот. Первые шесть символов также должны быть на картах, поскольку они были на картах Maestro.

Номера на картах “Мир” начинаются с 22, а 35 обозначает японскую JCB. Терминал просто сообщит тот же незнакомый номер карты в течение 24 часов после получения карты от клиента по телефону 8 800 775-900-8000 из банкомата без объяснения причин исчезновения карты из Интернета до звонка владельца карты (исключение составляют 34 или 37 для American Express, 62-63 или 68 для Union Pay, а 64/68 необходимы для всех банковских продуктов). Программное обеспечение терминала содержит все необходимые данные, встроенные в него. Даже там, где люди остаются, обработка карт уже давно отошла от ручного труда, потому что время – деньги. Все также просто. Армянская ArCa и белорусская “Белкарт” подписали соглашение с НСПК (оператором карты “Мир”), и все российские терминалы быстро сообразили, что делать со всеми кодами в их программном обеспечении. До этого они были в неведении. Отечественные карты стали работать во всех терминалах ArCa и “Белкарт”, и эти операции не требовали отдельных соглашений на уровне банков-участников, что и отразилось. В теории, платежные системы для этого и нужны, но использование их на таком уровне делает их еще более удобными. вместо кобрендовых карт, которые совместимы с двумя системами. Но в этой ситуации быть готовым к неожиданностям – не лучшая идея. Например, на картах “Мир-JCB” и Maestro отсутствуют номера JCB и Maeste. “Huawei Pay” не может быть привязан к “Мир-UnionPay” Россельхозбанка для бесконтактных платежей со смартфонов.

Некоторые из тонкостей, которых мы обещали избежать в начале нашего плана, уже начались в этом разделе. На этом мы пока закончим. Номер карты – не только самый важный аспект, но и единственный. Однако требование к номеру слишком простое. дополнительно использовать его по назначению. Может быть, правы те, кто утверждает, что использование карт чрезвычайно рискованно? На самом деле, нет. Для предотвращения проблем необходимы комплексные системы безопасности. Они более сложные, и именно такими они и должны быть. При пополнении карты по номеру нет никакого риска для ее владельца. Поэтому нет необходимости в каких-либо схемах, достаточно одного номера.

Дебетовые транзакции показывают, что держатель разрешил транзакцию. Карты и платежные технологии развивались таким образом, что повысили уровень безопасности. Кроме того, в каждой платежной системе существует значительная доля передачи ответственности. Иногда в этом участвуют торговец и его банк (эмитент карты). Однако главное преимущество правил передачи ответственности заключается в том, что они заставляют банки использовать все доступные меры безопасности и прилагать усилия, чтобы ограничить свою подверженность риску. По мере продвижения гонки вооруженные силы обеих сторон проводят аналогичные мероприятия. Однако все вводится в действие очень быстро.

Для ответа на этот вопрос мы рассмотрим один из примеров эволюции – переход от “полосатых” карт (с магнитной полосой) к чиповым. Несмотря на то, что в прошлом веке они еще активно использовались, сейчас первые практически исчезли с рынка. Вся платежная информация, включая номер и любую дополнительную информацию, открыто хранилась на магнитной полосе. Любой терминал, даже поддельный, мог считать любую из них. На основе сохраненной информации можно было полностью продублировать карту, записав данные с новой заготовки в том же открытом формате. Кроме того, поскольку эквайер всегда несет ответственность за клоны, он должен защищать сами карты (вместе с любыми потенциальными голограммами и логотипами), заставляя продавцов узнавать об этих мерах безопасности. Однако время – это деньги. Да, и они тоже, говорит он, называя себя живым кассиром. В России все большее распространение получают терминалы самообслуживания и автоматизированные кассы. Даже человек, который проверял бы карту, отсутствует. Интернет небезопасен.

Требовался радикальный подход к решению проблем. В тот момент начали появляться микропроцессоры, потому что они были гораздо доступнее. Что отличает обработку полосовых карт от обработки чиповых карт? Информация хранится в зашифрованном виде, а карточный терминал передает только блокированные последовательности (токены), которые делают невозможным расшифровку всего набора данных. В результате, помимо всего прочего, чиповая карта не может быть полностью дублирована. Еще никому не удалось взломать эту систему безопасности, по крайней мере, за последние несколько десятилетий.

Каждый аспект идеален. Несколько мелких, несущественных деталей, которые мешают внедрению новой технологии, в стороне. Во-вторых, цена микропроцессорных карт выше. Терминалы обработки данных первого поколения также были значительно дороже. В частности, последнее предполагало внедрение новых карт с устаревшей технологией. Поскольку чиповые карты всех основных платежных систем уже давно имеют магнитную полосу, внедрение было простым. Другой проблемой было то, что режим совместимости полностью лишал их защиты от вторжения.

Как все эти вопросы были решены за столь короткое время? Законы о передаче ответственности чрезвычайно просты. Обычно за транзакцию на полосе отвечает продавец. В результате банки решили, что выгодно начать выпуск микропроцессорных карт, которые стоят дороже, но решают многие проблемы мошенничества. Но как только карт перестало не хватать, розничные торговцы начали бороться за новую технологию. По сути, это означало полный переход на более дорогую технологию и значительное вознаграждение. Все эти полосатые карты продолжали бы использоваться и без этого направляющего и направляющего “толчка”, а главной обязанностью банков было бы сообщать о мошеннических операциях.

В теории это хорошая вещь. Мы также смогли найти решение проблемы с торговыми автоматами и другим оборудованием. Однако есть определенная прелесть в том, что технологические инновации часто имеют массу побочных эффектов. PIN-код всегда использовался этими банками для проверки транзакций. Кроме того, он использовался в банкоматах для экономии денег: по дороге вы покупали бутылку воды, а через несколько дней кто-то обналичивал весь баланс. Однако тот факт, что микропроцессорные модели невозможно продублировать, сделал такие операции безопасными и очень распространенными; сделав небольшие инвестиции при внедрении чиповых карт, торговые сети смогли сэкономить. В настоящее время частота использования автоматических устройств с поддержкой карт практически равна нулю (по историческим меркам).

Можно ли считать, что проблема фронтинга – отсюда и название – полностью решена? Нет. Угроза по-прежнему существует, но теперь она требует более сложной преступной деятельности. Когда на кассе вводится PIN-код, карманнику в продуктовом магазине приходится вынимать карту из кармана владельца и бежать к ближайшему банкомату. Однако технологии развиваются, и эти сценарии кажутся все более надуманными. Например, использование таких карт теперь позволяет совершать небольшие покупки без повторного подтверждения. В вышеупомянутом сценарии риск снятия с карты крупной суммы денег исключен; единственная возможность для преступника “зацепиться” за что-то – это возможность совершить одну или несколько небольших покупок. Потеряв карту, владелец столкнется с последствиями, как очень неприятными, так и крайне неприятными. Кроме того, уважающий себя карманник не станет рисковать, что значительно повышает уровень безопасности пользователя в целом.

Мошенничество с использованием физических карт практически исчезло в современном мире. Хотя для этого уже существуют соответствующие технологии, в настоящее время эти риски не могут быть полностью устранены. Однако в виртуальном мире процент мошеннических операций чрезвычайно высок и даже растет. Однако он увеличивается гораздо медленнее, чем объем карточных платежей. Оборот онлайн-коммерции был бы теоретически невозможен, если бы мы пользовались интернет-технологиями прошлого века. Реальный мир и виртуальный мир также пересекаются. В данном случае небольшая покупка в Интернете может создать клон карты в другой стране. И обратное тоже верно: кто-то нажал на терминал, а кто-то другой оплатил покупку онлайн. В настоящее время это невозможно, и “чистые” интернет-транзакции подвергаются более строгой проверке. Однако по сравнению с простыми мошенничествами типа “украл номер” или “воспользовался им” сложные мошенничества встречаются относительно часто. В настоящее время мошенники прилагают большие усилия, чтобы получить доступ к счету клиента. К сожалению, социальной инженерии не избежать (а терморектального криптоанализа избежать еще сложнее).

Технологии обработки карт, в теории, довольно просты. Держатель карты, платежная система, торговец и банк-эквайер (который поддерживает торговца). Торговец должен предоставить эквайеру технические средства для обработки карты и сообщить ему требуемую сумму транзакции. Эквайер должен сделать запрос на списание указанной суммы в соответствующую платежную систему (которую можно легко определить). Платежная система отправляет запрос в банк-эмитент, который оценивает возможность использования конкретной карты на основании ее платежного баланса. Если нет, то никаких действий не предпринимается. Если да, то эквайер запрашивает подтверждение у держателя и затем собирает необходимые документы. Хотя современному человеку может показаться, что все эти процессы занимают всего несколько секунд, на самом деле это только первый шаг. Продавец и держатель больше не участвуют в третьем этапе, который может длиться несколько дней или даже недель; вместо этого они просто самостоятельно проходят путь от приобретателя к эмитенту. Третий этап наступает, когда продавец получает соответствующую сумму от “своего” банка, а держатель решает возместить ее своему банку. Если карта дебетовая, то второе действие происходит автоматически, и нужная сумма фактически физически снимается со счета. Поскольку соответствующая сумма денег была изначально заблокирована, предполагается, что она там находится. Когда речь идет о мультивалютных транзакциях, не возникает проблем с тем, что курсы валют могли измениться (если между авторизацией и списанием прошло меньше времени). Хотя они наиболее популярны в нашей стране, дебетовые карты – не единственный вариант. Кредитные карты также имеют историю, что необходимо для удобства и избежания подводных камней.

Однако это многоэтапный и довольно сложный процесс. Существуют уникальные типы транзакций. Вы не можете пройти весь цикл в банкомате, потому что вам срочно нужны наличные. Под защитой платежной системы банк (владелец банкомата) фактически кредитует держателя карты и “уверен” в получении требуемой суммы от эмитента. Однако бывает так, что связаться с эмитентом на этапе авторизации не удается. Возможно, есть несколько неиспользованных карт. Другие не позволят ее оформить, если сумма ниже установленного порога. Как эквайер должен различать эти обстоятельства? BIN карты содержит все данные о платежной системе и банке-эмитенте, как мы уже неоднократно говорили. Однако для держателя это означает, что авторизации нет и платежный баланс не будет проверен (эмитент может прийти, готовый списать документы). И с этим нужно что-то делать.

Процесс сокращения используется по-разному. Когда клиент регистрируется в гостинице, можно использовать блокирование. Сумма резерва должна быть авторизована, но ни в одном месте не нужно получать документы. Кроме того, некоторые отели не отменяют авторизацию гарантии до оплаты, что лишает владельца карты доступа к своим средствам в течение месяца. Прогресс налицо. Но в действительности все решения принимает владелец отеля, и ему остается только быть лояльным и помнить о собственных интересах.

Так что конкретики не так уж много, несмотря на то, что все просто. В действительности “достать карту и приложить ее к терминалу” запускает целый ряд действий. Требуется ли идеальное знание всех этих деталей? Нет! Карточки никогда не смогут заменить людей в жизни, даже если бы это было необходимо. Но время от времени нужно немного понимать, что и как происходит. Это облегчит процесс и поможет предотвратить ряд потенциальных проблем (в той мере, в какой это зависит от пользователя). Кроме того, поговорка “меньше знаешь – крепче спишь” не всегда применима и рискованна, поскольку может привести к неприятным пробуждениям. Вместо того чтобы ложиться спать, мы продолжим изучать темы, рассмотренные в следующем разделе, работая по пути к более сложным.