Протокол 3-D Secure: Дополнительная безопасность онлайн-платежей

Введение

Компьютерный сетевой протокол 3D Secure — это протокол, разработанный для обеспечения дополнительного уровня безопасности онлайн-транзакций с кредитными и дебетовыми картами. Название отсылает к "трем доменам", взаимодействующим посредством протокола: домену продавца/эквайера, домену эмитента и домену взаимодействия. Первоначально разработан осенью 1999 года компанией Celo Communications AB (которая была приобретена Gemplus Associates и интегрирована в Gemplus, Gemalto, а затем Thales Group) для Visa Inc. в рамках проекта под названием "p42" ("p" от "прыжки с шестом", поскольку проект представлял собой серьезную задачу, а "42" — ответ из книги "Автостопом по галактике"). Новая обновленная версия была разработана Gemplus в период с 2000 по 2001 год. В 2001 году компании Arcot Systems (ныне CA Technologies) и Visa Inc. разработали протокол с целью повышения безопасности интернет-платежей и предложили его клиентам под брендом Verified by Visa (впоследствии переименованным в Visa Secure). Сервисы, основанные на протоколе, также были приняты Mastercard под названием SecureCode (впоследствии переименованным в Identity Check), Discover под названием ProtectBuy, JCB International под названием J/Secure, а American Express под названием American Express SafeKey. Более поздние версии протокола были разработаны EMVCo под названием EMV 3D Secure. Версия 2 протокола была опубликована в 2016 году с целью соответствия новым требованиям ЕС в области аутентификации и устранения некоторых недостатков исходного протокола. Visa и Mastercard не разрешают продавцам отправлять запросы непосредственно на свои серверы. Вместо этого продавцы должны использовать провайдеров MPI (merchant plug-in).

Торговцы

Преимущество для продавцов – снижение числа возвратов платежей по причине "несанкционированных транзакций". Недостатком для продавцов является необходимость приобретения торгового плагина (MPI) для подключения к серверу каталогов Visa или Mastercard. Это обходится дорого (плата за установку, ежемесячная плата и комиссия за каждую транзакцию), но в то же время приносит дополнительный доход поставщикам MPI. Поддержка 3D Secure сложна и иногда приводит к ошибкам при проведении транзакций. Вероятно, самый существенный недостаток для продавцов заключается в том, что многие пользователи воспринимают дополнительный этап аутентификации как неудобство или препятствие, что приводит к значительному увеличению числа незавершенных транзакций и потере прибыли.

Покупатели и владельцы кредитных карт

В большинстве современных реализаций 3D Secure эмитент карты или его поставщик ACS запрашивает у покупателя пароль, известный только эмитенту карты или поставщику ACS и самому покупателю. Поскольку продавец не знает этого пароля и не отвечает за его получение, эмитент карты может использовать его как доказательство того, что совершающий покупку действительно является держателем карты. Это призвано снизить риск двумя способами:

Копирование данных карты, будь то запись номеров на самой карте или с использованием модифицированных терминалов или банкоматов, не позволяет совершать покупки в интернете из-за дополнительного пароля, который не хранится на карте и не записан на ней. Поскольку продавец не получает пароль, снижается риск, связанный с инцидентами безопасности у интернет-торговцев; даже если произойдет инцидент, и хакеры получат другие данные карты, они не смогут получить и соответствующий пароль. 3D Secure не требует обязательного использования парольной аутентификации. Утверждается, что его можно использовать совместно со считывателями смарт-карт, токенами безопасности и подобными устройствами. Эти устройства могут обеспечить более удобный пользовательский опыт, избавляя покупателя от необходимости использовать сложный пароль. Некоторые эмитенты уже используют такие устройства в рамках программы аутентификации чипов или схем аутентификации динамическим паролем. Однако одним из существенных недостатков является то, что держатели карт могут видеть, что их браузер подключается к незнакомым доменным именам из-за реализации MPI поставщиками и использования эмитентами карт аутсорсинговых реализаций ACS, что может облегчить проведение фишинговых атак на держателей карт.

Проверка идентичности объекта

Система предусматривает появление всплывающего окна или встроенной рамки в процессе онлайн-транзакции, требуя от держателя карты ввести пароль, который, в случае легитимности транзакции, эмитент карты сможет аутентифицировать. Проблема для держателя карты заключается в определении, действительно ли всплывающее окно или рамка исходят от его эмитента, поскольку они могут быть сгенерированы мошенническим веб-сайтом, пытающимся получить данные карты. Такие всплывающие окна или рамки, основанные на скриптах, не имеют доступа к сертификатам безопасности, что исключает возможность подтверждения подлинности реализации 3D Secure. Система Verified by Visa подверглась критике и сама стала объектом фишинговых атак. Более новая рекомендация использовать встроенную рамку (iframe) вместо всплывающего окна снизила путаницу пользователей, но одновременно усложнила, если не сделала невозможным, проверку подлинности страницы. Веб-браузеры не предоставляют возможности проверки сертификата безопасности содержимого iframe. Однако некоторые опасения относительно валидности сайтов для Verified by Visa смягчаются, поскольку текущая реализация процесса регистрации требует ввода личного сообщения, которое отображается в последующих всплывающих окнах Verified by Visa, обеспечивая пользователю некоторую уверенность в их подлинности. Некоторые эмитенты карт также используют активацию во время совершения покупки (ADS), предлагая незарегистрированным в системе держателям карт возможность зарегистрироваться (или принуждая к этому) в процессе покупки. Обычно это перенаправляет их на форму, где они должны подтвердить свою личность, ответив на контрольные вопросы, известные эмитенту карты. Опять же, это происходит в iframe, где сложно проверить сайт, которому предоставляется эта информация. Взломанный сайт или недобросовестный торговец таким образом может собрать все необходимые данные для выдачи себя за клиента. Реализация регистрации в 3D Secure часто не позволяет пользователю продолжить покупку, пока он не согласится с условиями использования 3D Secure, не предлагая альтернативного способа покинуть страницу, кроме как закрыть ее и отказаться от транзакции. Держатели карт, не желающие рисковать регистрацией своей карты во время покупки, когда браузер в определенной степени контролируется торговым сайтом, в некоторых случаях могут перейти на веб-сайт своего эмитента в отдельном окне браузера и зарегистрироваться там. Вернувшись на торговый сайт и начав процесс заново, они должны увидеть, что их карта зарегистрирована. Наличие на странице ввода пароля персонального сообщения о подтверждении (PAM), выбранного при регистрации, служит подтверждением того, что страница исходит от эмитента карты. Однако это все еще оставляет возможность атаки типа "человек посередине", если держатель карты не может проверить SSL-сертификат сервера для страницы ввода пароля. Некоторые торговые сайты используют для аутентификации полную страницу браузера, а не фрейм (не обязательно iframe), который является менее безопасным объектом. В этом случае значок замка в браузере должен отображать идентификацию эмитента карты или оператора сайта аутентификации. Держатель карты может убедиться, что это тот же домен, который он посетил при регистрации карты, если это не домен его эмитента. Мобильные браузеры представляют особые проблемы для 3D Secure из-за отсутствия определенных функций, таких как фреймы и всплывающие окна. Даже если у продавца есть мобильная версия сайта, страницы аутентификации могут отображаться некорректно или вообще не отображаться, если эмитент не поддерживает мобильные устройства. В конечном итоге многие аналитики пришли к выводу, что протоколы активации во время совершения покупки (ADS) создают больше рисков, чем устраняют, и перекладывают эти риски на потребителя. В некоторых случаях 3D Secure обеспечивает лишь незначительную защиту держателя карты и может служить инструментом для перекладывания ответственности за мошеннические транзакции с эмитента карты или продавца на держателя карты. Юридические условия предоставления услуги 3D Secure иногда сформулированы таким образом, что держателю карты сложно избежать ответственности за мошеннические операции.

The system involves a pop up window or inline frame appearing during the online transaction process, requiring the cardholder to enter a password which, if the transaction is legitimate, their card issuer will be able to authenticate. The problem for the cardholder is determining if the pop up window or frame is really from their card issuer when it could be from a fraudulent website attempting to harvest the cardholder's details. Such pop up windows or script based frames lack any access to any security certificate, eliminating any way to confirm the credentials of the implementation of 3 D Secure. The Verified by Visa system has drawn some criticism, and has itself become the target of some phishing scams. The newer recommendation to use an inline frame (iframe) instead of a pop up has reduced user confusion, at the cost of making it harder, if not impossible, for the user to verify that the page is genuine in the first place. , web browsers do not provide a way to check the security certificate for the contents of an iframe. Some of these concerns about site validity for Verified by Visa are mitigated, however, as its current implementation of the enrollment process requires entering a personal message which is displayed in later Verified by Visa pop ups to provide some assurance to the user the pop ups are genuine. Some card issuers also use activation during shopping (ADS), in which cardholders who are not registered with the scheme are offered the opportunity of signing up (or forced into signing up) during the purchase process. This will typically take them to a form in which they are expected to confirm their identity by answering security questions which should be known to their card issuer. Again, this is done within an iframe where they cannot easily verify the site they are providing this information to—a cracked site or illegitimate merchant could in this way gather all the details they need to pose as the customer. Implementation of 3 D Secure sign up will often not allow a user to proceed with a purchase until they have agreed to sign up to 3 D Secure and its terms and conditions, not offering any alternative way of navigating away from the page than closing it, thus abandoning the transaction. Cardholders who are unwilling to take the risk of registering their card during a purchase, with the commerce site controlling the browser to some extent, can in some cases go to their card issuer's website in a separate browser window and register from there. When they return to the commerce site and start over they should see that their card is registered. The presence on the password page of the personal assurance message (PAM) that they chose when registering is their confirmation that the page is coming from the card issuer. This still leaves some possibility of a man in the middle attack if the cardholder cannot verify the SSL server certificate for the password page. Some commerce sites will devote the full browser page to the authentication rather than using a frame (not necessarily an iframe), which is a less secure object. In this case, the lock icon in the browser should show the identity of either the card issuer or the operator of the verification site. The cardholder can confirm that this is in the same domain that they visited when registering their card if it is not the domain of their card issuer. Mobile browsers present particular problems for 3 D Secure due to the common lack of certain features such as frames and pop ups. Even if the merchant has a mobile website, unless the issuer is also mobile aware, the authentication pages may fail to render properly, or even at all. In the end, many analysts have concluded that the activation during shopping (ADS) protocols invite more risk than they remove and furthermore transfer this increased risk to the consumer. In some cases, 3 D Secure ends up providing little security to the cardholder, and can act as a device to pass liability for fraudulent transactions from the card issuer or retailer to the cardholder. Legal conditions applied to the 3 D Secure service are sometimes worded in a way that makes it difficult for the cardholder to escape liability from fraudulent transactions.

Географическая дискриминация

Эмитенты карт и торговые предприятия могут использовать системы 3-D Secure непоследовательно в отношении эмитентов, выпускающих карты в различных географических регионах, что приводит к различиям, например, между картами, выпущенными на территории США, и картами, выпущенными за ее пределами. Например, поскольку Visa и Mastercard относят неинкорпорированную территорию США Пуэрто-Рико к международным, а не к внутренним регионам США, держатели карт там могут чаще сталкиваться с запросами 3-D Secure, чем держатели карт в пятидесяти штатах. Соответствующие жалобы поступали в Департамент по делам потребителей Пуэрто-Рико на платформу, посвященную экономической дискриминации и равному обращению.

3-D Secure как прочная аутентификация клиентов

Версия 2 протокола 3D Secure, включающая одноразовые пароли, является формой надежной аутентификации клиента на основе программного обеспечения, как это определено в пересмотренной Директиве ЕС о платежных услугах (PSD2); более ранние версии использовали статические пароли, которых недостаточно для соответствия требованиям директивы. 3D Secure требует активного участия эмитента и обеспечения регистрации каждой выпущенной карты ее держателем; в связи с этим, эквайеры должны либо принимать незарегистрированные карты без проведения строгой аутентификации клиента, либо отклонять такие транзакции, включая транзакции по картам небольших платежных систем, не поддерживающих 3D Secure. Альтернативные подходы осуществляют аутентификацию на стороне эквайера, не требуя предварительной регистрации у эмитента. Например, запатентованная PayPal система "верификации" использует одну или несколько пробных транзакций, направленных на кредитную карту, и держатель карты должен подтвердить их сумму, хотя полученная аутентификация не может быть напрямую связана с конкретной транзакцией между продавцом и держателем карты. Запатентованная система iSignthis разделяет согласованную сумму транзакции на две (или более) случайные суммы, после чего держатель карты подтверждает право владения счетом, подтвердив эти суммы в выписке по карте.

ACCC блокирует 3-D Secure предложение

Предложение о введении обязательного использования 3D Secure в Австралии было отклонено Австралийской комиссией по конкуренции и защите прав потребителей (ACCC) после получения многочисленных возражений и представлений, указывающих на недостатки.

Индия

В некоторых странах, таких как Индия, для подтверждения платежа требуется не только CVV2, но и обязательное использование 3D Secure – SMS-код, отправленный эмитентом карты, который необходимо ввести в браузере после перенаправления со страницы оплаты на сайт платежной системы или эмитента карты. Только после ввода кода операция подтверждается. Тем не менее, Amazon по-прежнему может проводить транзакции из других стран с включенным 3D Secure.

3-D Secure 2.0

В октябре 2016 года EMVCo опубликовала спецификацию 3-D Secure 2.0; она разработана, чтобы быть менее обременительной, чем первая версия спецификации, позволяя передавать эмитенту карты клиента больше контекстных данных (включая почтовые адреса и историю транзакций) для проверки и оценки риска транзакции. Клиент должен будет проходить аутентификацию только в случае, если транзакция будет признана высокорискованной. Кроме того, процесс аутентификации разработан таким образом, что он больше не требует перенаправлений на отдельную страницу и может также активировать аутентификацию по альтернативным каналам через мобильное приложение эмитента (которое, в свою очередь, может также поддерживать биометрическую аутентификацию). 3-D Secure 2.0 соответствует требованиям ЕС по строгой аутентификации клиентов.