Системы электронных платежей для Интернет

Технология работы

Online-покупка и проведение платежа с открытием счета в банке — участнике системы

1. Покупатель через Интернет подключается к Web-серверу магазина, формирует корзину товаров и направляет магазину запрос на выставление счета.
2. Магазин в ответ на запрос покупателя направляет ему подписанный своей электронной цифровой подписью (ЭЦП) счет, в котором указывает:
   • наименование товара (услуги);
   • стоимость товара (услуги);
   • код магазина;
   • время и дату совершения операции.
3. Покупатель подписывает своей ЭЦП предъявленный ему счет и отправляет его обратно в магазин. Договор считается заключенным с момента подписания покупателем выставленного ему счета, который становится чеком.
4. Подписанный двумя ЭЦП (магазином и покупателем) чек направляется магазином на сервер CyberCheck для авторизации.
5. CyberCheck производит проверку подписанного чека:
   • проверяет наличие в системе магазина и покупателя;
   • проверяет ЭЦП покупателя и магазина;
   • сохраняет копию чека в базе данных CyberCheck.

   В случае положительного результата проверки чек отправляется в банк покупателя (банк — участник системы, в котором ведутся счета клиента-покупателя в системе CyberPlat) для проведения платежа.

   Банк покупателя проверяет его счет, в результате чего формируется разрешение или запрет на проведение платежа. Банк покупателя передает результат авторизации CyberCheck.

6. При разрешении платежа:
   • CyberCheck передает магазину разрешение на оказание услуги (отпуск товара);
   • банк покупателя переводит денежные средства со счета покупателя в банк магазина;
   • банк магазина зачисляет денежные средства на счет магазина;
   • магазин оказывает услугу (отпускает товар).
7. При запрете платежа:
   • CyberCheck передает магазину отказ от проведения платежа;
   • покупатель получает отказ с описанием причины.

   Покупатель полностью контролирует процесс совершения покупки.

   В качестве документального подтверждения совершенной сделки у каждой стороны остаются подписанные ЭЦП чеки, удостоверяющие факт совершения сделки и имеющие юридическую силу.

8. Выписка по счету:
   • покупатель запрашивает выписку о состоянии своего счета, подписывая запрос своей ЭЦП;
   • CyberCheck проверяет код покупателя и его ЭЦП;
   • при положительных результатах проверки CyberCheck направляет банку запрос на выписку, получает выписку и перенаправляет ее покупателю в виде криптографически преобразованного текста с ЭЦП CyberCheck;
   • покупатель получает сообщение, производит проверку подписи CyberCheck и обратное криптографическое преобразование выписки;
   • покупатель сохраняет выписку на своем компьютере.
9. Запрос о прохождении платежей покупателя в магазине:
   • покупатель запрашивает информацию о проведенных им в данном магазине платежах, указывая свой код в системе CyberPlat;
   • на основании полученного кода магазин предоставляет информацию о платежах данного покупателя.

Технология CyberCheck при обслуживании держателей банковских пластиковых карточек

1. Регистрация держателя пластиковой карты: держатель банковской кредитной карточки — VISA, Eurocard/MasterCard, Diners Club, JCB (далее — покупатель) — регистрируется в платежной системе CyberPlat.

   При регистрации покупатель указывает:

   • свои персональные данные (фамилия, имя, отчество; паспортные данные; адрес электронной почты; почтовый адрес; телефон);
   • параметры своей карточки (название платежной системы, к которой принадлежит карточка, ее номер, дата окончания действия, имя держателя транскрипции, указанной на карточке).

   Информация о карточке передается в защищенном виде только на сервер CyberCheck компании CYBERPLAT.COM при регистрации покупателя и не предоставляется магазину при операциях покупателя.

2. Online-покупка и проведение платежа.

   Процедура покупки товаров в магазинах осуществляется по технологии системы CyberPlat:

   • покупатель через Интернет подключается к Web-серверу магазина, формирует корзину товаров и направляет магазину запрос на выставление счета;
   • магазин в ответ на запрос покупателя направляет ему подписанный своей электронной цифровой подписью (ЭЦП) счет. Договор считается заключенным с момента подписания покупателем выставленного ему счета. В системе счет, подписанный покупателем, становится чеком;
   • подписанный двумя ЭЦП (магазином и покупателем) чек направляется магазином на CyberCheck для авторизации. CyberCheck производит проверку подписанного чека, его копия сохраняется в базе данных CyberCheck.
3. При отрицательном результате проверки:
   • CyberCheck передает магазину отказ от проведения платежа;
   • покупатель получает отказ с описанием причины.
4. При положительном результате проверки:
   • чек перенаправляется серверу CyberPOS для формирования авторизационного запроса;
   • CyberPOS передает его в процессинговый центр банка.
   Запрос на авторизацию передается через закрытые банковские сети банку — эмитенту карточки покупателя или процессинговому центру карточной платежной системы, уполномоченному банком-эмитентом.
5. При положительном результате авторизации, полученном от карточной платежной системы:
   • процессинговый центр банка передает CyberPOS положительный результат авторизации;
   • CyberPOS передает CyberCheck положительный результат авторизации;
   • CyberCheck передает покупателю положительный результат авторизации;
   • CyberCheck передает магазину разрешение на оказание услуги (отпуск товара);
   • магазин оказывает услугу (отпускает товар);
   • банк зачисляет средства на счет магазина в соответствии с существующими договорными отношениями между банком и магазином.
6. При отказе в авторизации:
   • процессинговый центр банка передает CyberPOS отказ от проведения платежа;
   • CyberPOS передает CyberCheck отказ с описанием причины;
   • CyberCheck передает покупателю отказ с описанием причины;
   • CyberCheck передает магазину отказ от проведения платежа.
   Покупатель полностью контролирует процесс совершения покупки.

   В качестве документального подтверждения совершенной сделки у каждой стороны остаются подписанные ЭЦП чеки, удостоверяющие факт совершения сделки и имеющие юридическую силу.

7. Выписка по счету:
   • покупатель запрашивает выписку о состоянии своего счета, подписывая запрос своей ЭЦП;
   • CyberCheck проверяет код покупателя и его ЭЦП;
   • при положительных результатах проверки CyberCheck направляет банку запрос на выписку, получает выписку и перенаправляет ее покупателю в виде криптографически преобразованного текста с ЭЦП CyberCheck;
   • покупатель получает сообщение, производит проверку подписи CyberCheck и обратное криптографическое преобразование выписки;
   • покупатель сохраняет выписку на своем компьютере.
8. Запрос о прохождении платежей покупателя в магазине:
   • покупатель запрашивает информацию о проведенных им в данном магазине платежах, указывая свой код в системе CyberPlat;
   • на основании полученного кода магазин предоставляет информацию о платежах данного покупателя.

Тарифы

Подсистема CyberPOS

CyberPOS — подсистема обслуживания платежей по пластиковым картам международных и российских платежных систем, в том числе Visa, EuroCard/MasterCard, Diners Club, JCB, American Express, Union Card, STB Card (в ближайшее время), скретч-карт e-port (в ближайшее время), не требующая регистрации клиента-покупателя в системе CyberPlat.

Услугами CyberPOS может воспользоваться любой держатель пластиковой карты, причем данные о карточке и ее владельце становятся известны только CyberPOS и недоступны ни для Интернет-магазина, в котором оплачивается покупка, ни тем более для третьих лиц, поскольку все данные передаются по каналу, защищенному с помощью протокола SSL.

Соответственно, использование этой подсистемы не требует установки на компьютере какого-либо специального программного обеспечения.

Технология CyberPOS

1. Покупатель через Интернет подключается к Web-серверу магазина, формирует корзину товаров и выбирает форму оплаты по кредитным карточкам.
2. Магазин формирует заказ и переадресует покупателя на авторизационный сервер CyberPOS.
3. Все информационное взаимодействие между магазином и CyberPOS происходит по защищенному протоколу SSL и заверяется ЭЦП сторон.

   CyberPOS устанавливает с покупателем соединение по защищенному протоколу (SSL) и принимает от покупателя параметры его кредитной карточки. Информация о карточке передается в защищенном виде только в CyberPOS и не предоставляется магазину при операциях покупателя.

   CyberPOS проверяет наличие магазина в системе, проверяет соответствие операции установленным системным ограничениям. По результатам проверок формируется запрет или разрешение проведения авторизации транзакции в карточную платежную систему.

4. При запрете авторизации:
   • CyberPOS передает покупателю отказ с описанием причины;
   • CyberPOS передает магазину отказ с номером заказа.
5. При разрешении авторизации CyberPOS передает ее в процессинговый центр банка.

   Запрос на авторизацию передается через закрытые банковские сети банку — эмитенту карточки покупателя или процессинговому центру карточной платежной системы, уполномоченному банком-эмитентом.

6. При положительном результате авторизации, полученном от карточной платежной системы:
   • процессинговый центр банка передает CyberPOS положительный результат авторизации;
   • CyberPOS передает покупателю положительный результат авторизации;
   • CyberPOS передает магазину положительный результат авторизации с номером заказа;
   • магазин оказывает услугу (отпускает товар);
   • банк зачисляет средства на счет магазина в соответствии с существующими договорными отношениями между банком и магазином.
7. При отказе в авторизации:
   • процессинговый центр банка передает авторизационному серверу отказ от проведения платежа;
   • CyberPOS передает покупателю отказ с описанием причины;
   • CyberPOS передает магазину отказ с номером заказа.

Безопасность работы с системой CyberPlat

Подсистема CyberCheck контролирует каждый этап проведения платежа в режиме online. Очень важно, что CyberCheck полностью отвечает требованиям российского законодательства, легализуя осуществляемые платежи и сохраняя у каждого из участников комплект электронных документов, которые заверены электронно-цифровыми подписями (ЭЦП) сторон, имеют юридическую силу и пригодны для разбирательства в обычном арбитражном суде.

В подсистеме CyberCheck используется асимметричный алгоритм шифрования RSA с использованием 512-битного ключа. Система CyberPlat может использовать сертифицированные средства криптографии для работы с государственными структурами.

Благодаря подсистеме CyberPOS и используемому в ней протоколу SSL, в CyberPlat полностью снята проблема попадания номера карты покупателя к посторонним. Движение денежных средств через подсистему CyberPOS происходит только в закрытых межбанковских сетях, а реквизиты клиента известны только CyberPOS и никому более, что гарантирует недосягаемость вашего банковского счета для злоумышленников и недобросовестных Интернет-торговцев.

Практикум

Разобравшись наконец во всей этой веренице терминов и банковских понятий, попробуем что-нибудь приобрести в Сети. Для примера купим фотографию на одном из демонстрационных магазинов. Выберем в магазине конкретную фотографию и запросим счет на ее оплату.

Следующий этап — получение от магазина счета, подписанного его электронно-цифровой подписью.

Теперь необходимо либо подписать счет, оплатив таким образом предоставление услуги, либо отказаться от оплаты. Это очень ответственный момент, так как с вашего счета будут сняты совершенно реальные деньги и обратного пути уже не будет.

Теперь платеж прошел и можно воспользоваться купленой фотографией, услугой или ожидать доставки товара.

PayCash

PayCash (http://www.paycash.ru) — совместный проект, разрабатываемый банком «Таврический» и группой компаний «Алкор-Холдинг».

Система PayCash задумана как доступное средство быстрого и эффективного проведения платежей в широком диапазоне сумм в рамках Всемирной сети.

PayCash позволяет совершать покупки через Интернет и производить мгновенные и защищенные платежи через собственный электронный кошелек.

В настоящее время система представляет собой готовый программный продукт, позволяющий эффективно осуществлять платежи при помощи электронных денег с другими участниками PayCash. В будущем планируется выпустить версию системы, интегрированную c банковским программным обеспечением и позволяющую при помощи кошелька PayCash управлять банковским счетом.

В системе PayCash для осуществления финансовых операций применяется специальное программное обеспечение — кошелек. Установленный на персональном компьютере кошелек приобретает особый уникальный параметр — ключ для выработки электронной цифровой подписи под всеми электронными документами, отправляемыми при помощи кошелька. Ключ связан только с кошельком и никак не связан с компьютером, на котором он запущен. Владелец кошелька без каких-либо ограничений может переносить его с одного компьютера на другой, проводить платежи дома, на работе или даже в гостях.

Описание работы

Технические характеристики:

1. Многовалютность — система может поддерживать до 255 различных валют одновременно.
2. Диапазон возможных платежей. За один прием любой клиент может заплатить любому другому клиенту сумму от 0,001 коп. и выше.  
3. Дискретность платежа — сумма платежа может быть выражена любым числом с точностью до 0,001 коп. Например, платеж в рублях может быть выражен числом 1234,56789 руб.
4. Перевод электронных денег со счета на платежную книжку — за один прием клиент может перевести со своего счета на одну из своих платежных книжек любую сумму от 0,1 до 1 600 000 руб. с шагом 0,1 руб. За период существования платежной книжки через нее может пройти около 260 млн. руб.
5. Продолжительность операций — если в банке используется компьютер типа Pentium-200, то любую операцию, инициированную клиентом, он выполняет за время от 0,1 до 0,5 секунд. 
6. Безопасность. При пересылке по сети все данные шифруются методами, имеющими устоявшуюся в криптографических кругах репутацию. При этом используются открытые ключи длиной 1024 бита и симметричные ключи длиной 160 битов, поэтому перехват зашифрованных сообщений в обозримом будущем теоретически невозможен.
7. Защищенность. Все участники системы защищены друг от друга и от внешних злоумышленников в том смысле, что они имеют в своем распоряжении доказательства своей правоты в виде цифровых подписей всех участников финансово значимой операции. Для цифровых подписей используется алгоритм RSA с ключами в 1024 бит.
8. Устойчивость по отношению к обрывам связи. Если какой-либо протокол обмена сообщениями, который обслуживает финансово значимую операцию, не был успешно доведен до конца, ни одна из сторон не рискует потерять деньги.

Для регистрации необходимо получить с сайта платежной системы PayCash инсталляционный пакет кошелька и установить его на своем компьютере. При этом на персональном компьютере создается уникальная битовая последовательность, используемая для создания электронных ключей, необходимых для управления счетами в банке и совершения операций в системе PayCash. После этого при помощи кошелька клиент открывает один или несколько счетов в банке. Управление этими счетами возможно только посредством того кошелька, с помощью которого был открыт счет в банке. На эти счета распространяются правила, действующие для обыкновенных банковских счетов; могут начисляться банковские проценты как на депозитные и вкладные счета. Размер процентных ставок по счетам, а также комиссионных сборов за совершение операций самостоятельно устанавливается владельцем конкретного банка системы PayCash.

После зачисления денег на счет системы PayCash владелец кошелька может производить платежи через Интернет. Для этого ему необходимо открыть у себя в кошельке одну или несколько платежных книжек и перевести на них электронные деньги со счета. Использование системы PayCash обеспечивает пользователю кошелька получение этих обязательств анонимно. Система PayCash позволяет перечислить через Интернет точно затребованную сумму денег независимо от того, какая сумма находится на платежной книжке.

Цепочка сообщений во время правильного платежа имеет следующий вид: продавец -> покупатель -> продавец -> Банк ->

Установка ПО «Кошелек» платежной системы PayCash

Для работы с платежной системой PayCash необходимо установить клиентское программное обеспечение «Кошелек». Предлагается две версии программного обеспечения:

1. Простой «Кошелек», работающий только с одним банком системы PayCash и имеющий две основные функции: при каждом запуске связываться с банком и получать все деньги, лежащие на счете; платить с согласия владельца.
2. Полнофункциональный «Кошелек», работающий с неограниченным количеством банков системы PayCash и позволяющий как управлять деньгами на счетах системы PayCash, так и заводить множество платежных книжек для различных типов платежей.

Для получения общего представления о работе системы PayCash можно бесплатно получить игрушечные деньги демо-банка. Этот банк оперирует рубликами, доллариками, йенками и лириками. Для того чтобы положить деньги на счет в демо-банке, вы можете воспользоваться виртуальным банкоматом. Затем попробовать совершить покупки в демо-магазинах.

Инструкция по установке простого «Кошелька»

Загрузите в компьютер дистрибутив «Кошелька». Простая версия «Кошелька» поставляется в виде инсталляционного исполняемого файла.

Для установки и работы с «Кошельком» запустите инсталляционный исполняемый proxy-файл. Следуя инструкциям программы, проведите установку и персонализацию «Кошелька». Во время инсталляции компьютер должен быть подключен к Интернету, поскольку «Кошелек» связывается с банком системы PayCash для открытия счета. При использовании для связи с Интернетом телефонного соединения (dial-up) необходимо отключить proxy-сервер.

После того как «Кошелек» установлен, в него нужно поместить некоторую сумму денег. Сегодня это можно сделать путем перевода наличных денег через банки, работающие с данной системой. Правда, к началу 2001 года такие банки существуют только в Москве и Санкт-Петербурге. Игрушечные же деньги можно получить совершенно бесплатно с помощью виртуального банкомата.

«Кошелек» готов совершать покупки в магазинах, принимающих оплату через систему PayCash.

Инструкция по установке полнофункционального «Кошелька»

Загрузите в свой компьютер дистрибутив «Кошелька». Процесс загрузки занимает в среднем 3-4 минуты при скорости модема в 28 800 бит/c. Полнофункциональная версия «Кошелька» поставляется в виде zip-архива.

Создайте новую папку, например c:\Wallet, и распакуйте в нее все файлы из архива.

Для установки и работы с «Кошельком» запустите программу Wallet.exe. Следуя инструкциям программы, проведите установку и персонализацию «Кошелька».

С помощью «Кошелька» откройте счет в одном из банков системы PayCash (опции меню «Счета» — «Открыть новый»). Во время открытия счета компьютер должен быть подключен к Интернету.

После того как «Кошелек» установлен, в него нужно поместить некоторую сумму денег.

Создайте хотя бы одну платежную книжку («Книжки» — «Создать новую»). Платежи в системе PayCash возможны только с книжки.

Переведите некоторую сумму со счета в банке на книжку («Книжки» — «Пополнить»).

«Кошелек» готов совершать покупки в магазинах, принимающих оплату через систему PayCash.

Вывод денег из PayCash

Трансфер-агент — юридическое или физическое лицо (банк, почта или иной субъект хозяйственной деятельности), осуществляющее передачу денег от клиента к оператору системы PayCash и обратно.

Суммарная комиссия, снимаемая с клиента, состоит из оплаты услуг трансфер-агента и комиссии платежной системы PayCash, взимаемой с общей суммы, выводимой из «Кошелька».

А теперь попробуем совершить покупку в одном из магазинов системы PayCash. Допустим, мы хотим узнать адрес девушки в одном из магазинов знакомств. Для этого мы выбираем понравившуюся девушку и нажимаем кнопку об оплате. Нажав на кнопку «Платить», мы получаем с помощью «Кошелька» текст договора об оплате. Теперь осталось только нажать в «Кошельке» клавишу «Платить» и получить адрес девушки. Одновременно в кошельке появляется информация от банка и магазина о проведенной операции.

Все три рассмотренные нами системы имеют много общего, однако существуют и различия. Например, CyberPlat — единственная система, позволяющая оплачивать покупки с кредитной карточки без регистрации, а система PayCash еще не приобрела достаточного распространения, поэтому ввод денег в нее возможен только в двух городах России – Москве и Санкт-Петербурге. С моей точки зрения, система WebMoney имеет самый простой и практичный интерфейс и очень удобна в работе.

В системах CyberPlat и PayCash предусмотрена работа в режиме демо-версии с демо-банками и демо-магазинами, что позволяет легко и быстро ознакомиться со всеми тонкостями работы этих систем без риска потерять свои деньги.

И наконец, все три системы предоставляют свои услуги для тех, кто хочет открыть свой виртуальный магазин. Проще всего это сделать в системе WebMoney, где опубликована специальная программа для создания виртуального магазина и даны подробные рекомендации. В системе PayCash тоже представлена специальная программа, однако предназначена она только для магазинов, работающих в среде Windows 9х или Windows NT 4.0. Следовательно, если вы работаете в среде UNIX, вам эта система оплаты совершенно не подходит. Система CyberPlat требует обязательного привлечения специалистов компании CYBERPLAT.COM для создания и настройки виртуального магазина. А это может себе позволить далеко не каждый.

Общие рекомендации по защите при работе с электронными платежными системами

Известно, что из-за открытости протоколов и несовершенства операционных систем пользователь, подключившийся к cети (локальной или глобальной), может быть легко атакован извне, с других сетевых компьютеров, с целью кражи либо уничтожения данных.

Как правило, объектами кражи становятся файлы с секретными ключами, персональные логины и пароли для пользования теми или иными услугами, а также другая важная информация, с помощью которой можно получить доступ к компьютерам локальной сети и, следовательно, к размещенной на них информации.

Для предотвращения несанкционированного доступа используется целый комплекс мер — начиная с организационных и заканчивая специальными программными и аппаратными средствами, такими как брандмауэры, файрволы, proxy-серверы и пр.

Предлагаем вам ряд рекомендаций для защиты персонального компьютера от несанкционированного доступа. Опыт показывает, что, следуя этим рекомендациям, можно безбоязненно доверять своему компьютеру суммы в десятки тысяч долларов. В то же время важно понимать, что вопросы, касающиеся защиты компьютеров корпоративной сети, решаются на более высоком уровне и с обязательным привлечением квалифицированных специалистов.

Итак, для защиты компьютера, на котором хранится конфиденциальная информация, рекомендуется следующее:

1. Целесообразно установить на вашем компьютере Windows NT. Говорить о Windows 2000 пока все-таки рано по причине отсутствия наработанного опыта использования системы (в отличие от NT 4.0). Существуют претензии обычных пользователей и к Linux (UNIX): полноценная защита этой операционной системы требует вмешательства специалиста очень высокого уровня, что доступно не каждому (и уж тем более эксплуатация продуктов, подобных VmWare). Если таковых рядом нет, то десять раз подумайте и проконсультирутесь со специалистами, прежде чем сделать выбор.
2. Производите постоянное обновление Service Pack и Hot-fix, доступных на сайте windowsupdate (http://windowsupdate.microsoft.com/).
3. Обязательно реализуйте самостоятельно (или с привлечением специалиста) защиту вашей ОС с максимальным приближением к стандарту С2 или ITSEC (см. http://www.microsoft.com/technet/winnt/winntas/technote/ntitsec.asp; http://msdn.microsoft.com/library/backgrnd/html/msdn_secinst.htm).
4. Установите персональный брандмауэр типа «Кокон», AtGuard или аналогичный им и закройте на входящий и исходящий доступ все порты и IP-адреса, кроме используемых вами в работе.
5. Используйте современные антивирусные средства и своевременно обновляйте вирусную базу.
6. Обязательно контролируйте весь входящий поток информации (web, email, news и пр.) на наличие троянских коней и тому подобной «нечисти». Даже при выполнении всех указанных выше действий ваш компьютер будет по-прежнему беззащитен при атаках этого типа, поэтому не запускайте исполняемые модули (программы, скритпы, пакетные файлы, файлы документов с макрокомандами и прочее), полученные из ненадежного источника.
7. Храните файлы с секретной информацией на сменном носителе (дискета, сменный диск, смарт или флэш-карта и пр.).
8. Периодически делайте копию на другие (резервные) сменные носители.
9. Закончив работу в системе, не забудьте извлечь сменный носитель и убрать его в недоступное для окружающих место.
10. Храните сменный носитель с секретной информацией и его копию отдельно друг от друга, в надежных местах.
11. Внимательно изучите возможности по обеспечению безопасности и защиты от несанкционированного доступа, заложенные в используемых вами системах.
12. Отходя от компьютера (даже на несколько минут), обязательно заблокируйте его или завершите программы, используемые для финансовых операций и требующие повышенной секретности. При этом не забудьте обеспечить недоступность внешних носителей с секретной информацией.

Выполняя эти рекомендации, вы существенно повысите безопасность вашего компьютера, обеспечите конфиденциальность управления и сохранность денежных средств в электронных банковских и платежных системах.

По материалам официальных сайтов платежных систем: http://www.webmoney.ru/; http://www.cyberplat.ru/; http://www.paycash.ru/ 

КомпьютерПресс 2'2001