среда, 4 июля 2012 г.

Методы расчетов

Рассмотрим теперь технологии, позволяющие вести денежные расчеты через Интернет. Их можно условно разбить на две большие группы — электронные кредитные карточки и электронные деньги.
 
Электронные кредитные карточки
Обмен незашифрованными номерами кредитных карточек является сейчас основным способом ведения сетевого бизнеса. В последнее время это привело к резкому росту числа краж карточек в Соединенных Штатах: все больше бизнесменов и покупателей используют различные методы защиты информации, самым популярным из которых является упомянутая выше программа PGP — из за своей простоты, надежности и доступности. Более совершенный вариант заключается в следующем.
Каждый пользователь системы генерирует свою пару ключей. Открытый
ключ помещается на открытый сервер компании, выпускающей кредитные карточки. Секретный ключ зашифровывается паролем, а незашифрованный вариант стирается. Это стандартная возможность, реализованная в PGP.
При необходимости оплатить товар или услугу покупатель посылает продавцу сообщение, подписанное при посредстве его секретного ключа: «Сейчас такое то число, точное время такое то. Я плачу Х долларов продавцу Y за товар Z». Продавец в свою очередь подписывает сообщение и отправляет его кредитной компании. Кредитная компания проверяет обе подписи с помощью соответствующих открытых ключей и переводит Х долларов со счета покупателя на счет продавца. В этой схеме никто не может ни отказаться от платежа, ни оспорить его. Повторное использование сообщения продавцом также невозможно, поскольку оно
содержит точное время. Возможен вариант, когда каждому пользователю
выдается не один номер кредитки, а целый блок номеров, каждый из которых может быть задействован только единожды, — своеобразная электронная чековая книжка. В этом случае нет необходимости в использовании точного времени.
 
Электронные деньги
Простейший вариант электронных денег был предложен и применен Сетевым банком (Net Bank). Это так называемая сетевая наличность
(net cash). Она функционирует следующим образом. Пользователь соединяется с банком и получает несколько «электронных банкнот» — блоков информации, содержащих серийный номер банкноты и ее достоинство. Соответствующая сумма добавляется к телефонному счету пользователя. Чтобы оплатить покупку или услугу, пользователь посылает эти банкноты продавцу. Продавец отсылает их обратно в банк, и сумма перечисляется на его банковский счет. Комиссионные банка составляют
«всего лишь» 20%. Подобная схема имеет множество уязвимых мест:
централизованность — при сбое компьютерной системы банка никакие транзакции невозможны;
нельзя подтвердить транзакцию — если банк заявит, что данная банкнота использована повторно, нет никакой возможности оспорить это утверждение и найти «фальшивомонетчика»;
отсутствие защиты от «подслушивания» — любой пользователь, обладающий достаточными полномочиями, может перехватить «электронную банкноту», проходящую через его компьютер.
Другой, более совершенный, вариант — электронная наличность (e cash) «Электронная банкнота», кроме достоинства и серийного номера содержит электронную подпись банка, удостоверяющую ее подлинность. Она передается пользователю зашифрованной открытым ключом, что предохраняет ее от перехвата при пересылке. При оплате пользователь также применяет открытый ключ продавца. Таким образом, e cash, в отличие от net cash, защищена от «подслушивания», но сохраняет некоторые недостатки:
отсутствие анонимности сделки. Прослеживая путь банкнот, банк с легкостью определит, что покупал конкретный пользователь;
«электронные банкноты» неделимы. Это затрудняет получение сдачи, которая при электронном расчете так же необходима, как и в реальной жизни;
как и в предыдущем случае, сохраняются централизованность и отсутствие возможности найти «фальшивомонетчика», дважды использовавшего одну и ту же банкноту.
Существует множество способов усовершенствования технологии
«электронных денег». Для того чтобы обеспечить анонимность платежей
был разработан метод так называемой «слепой подписи». Неделимость
электронных денег также преодолима. «Автоматический кошелек» —
программа, ответственная за хранение денег на вашем винчестере, — сама обращается к банку при необходимости разменять слишком крупную
купюру. Уже разрабатываются электронные «интеллектуальные» карточки, хранящие в своей памяти всю вашу секретную информацию: ключи, пароли и тому подобное, что позволяет использовать электронные деньги с любого компьютера без риска для ваших средств.
 
Как все это применить в электронном магазине
К сожалению, электронные деньги находятся пока в стадии разработки даже на «родине» Интернет в Соединенных Штатах. Однако существуют вполне надежные инструменты для реализации варианта оплаты при помощи кредитных карточек банка или собственных карт компании.
Значительное число коммерческих Web серверов и броузеров имеет
встроенные механизмы обеспечения секретности передаваемых данных.
В частности, Netscape Navigator может при необходимости использовать
так называемый Secure HTTP (S HTTP) — протокол для передачи конфиденциальных данных, включающий алгоритм RSA для обмена секретными ключами. Следует, однако, отметить, что законодательством США запрещен экспорт программных продуктов, применяющих алгоритм
шифрования RSA с длиной ключа более 512 бит. Если вы не собираетесь
продавать в своем электронном магазине элитные автомобили или самолеты, то ключа длиной в 512 бит будет более чем достаточно.
Перед тем как предлагать пользователю ввести какую либо конфиденциальную информацию, сервер вашего электронного магазина
должен проверить, поддерживает ли броузер пользователя шифрование
передаваемых данных. Если нет, то необходимо вывести соответствующее сообщение и запретить доступ к секретной странице. Верхом вежливости было бы тут же предложить потенциальному покупателю скопировать на свой компьютер один из броузеров поновее и вернуться в магазин для совершения покупки. Для этого полезно не отсылать его (покупателя) на сервер компаний Netscape или Microsoft, которые, во первых, доступны далеко не всегда, а во вторых, далеко не каждый потенциальный
покупатель оттуда вернется, а всегда иметь на своем сервере последние
версии наиболее популярных броузеров, а именно Netscape Navigator и
Microsoft Internet Explorer.
 
Технология «слепой подписи»
Существенным препятствием к внедрению электронных денег является отсутствие анонимности. Многие люди не хотят выставлять напоказ свои покупки. Это особенно актуально в России, поскольку на рынке вращается большое количество «дурно пахнущих» денег. В настоящее время существует метод обеспечения анонимности электронных платежей, который называется «слепая подпись».
Он основан на том факте, что операции шифрования по алгоритму RSA и умножения на целое число можно производить в произвольном порядке, или, как говорят математики, они «коммутируют».
Электронная банкнота (ее серийный номер) создается не банком, а компьютером клиента с помощью генератора случайных чисел. Серийный номер умножается на некоторое произвольное число, известное только пользователю, и банкнота отсылается в банк вместе с требованием присвоить ей необходимый номинал. Банк имеет набор секретных ключей, каждый из которых соответствует конкретному достоинству.
При получении подобного запроса банк проверяет, имеется ли на счете
клиента достаточное количество средств, снимает с него причитающую
ся сумму, подписывает банкноту с помощью соответствующего ключа и
отправляет ее обратно. При этом реальный номер банкноты неизвестен,
поскольку он умножен на случайное число. Получив банкноту, пользователь убирает свой множитель, деля зашифрованный серийный номер на известное только ему число, и получает заверенную банкноту с заказанным номером.
На первый взгляд, метод кажется достаточно сложным, чтобы запутать любого. Но большая часть всех этих операций совершается внутри компьютера без непосредственного участия пользователя, от которого требуется только ввести пароль и, возможно, номер счета.
Давайте разберемся, как это могло бы происходить при помощи обычных средств связи. Клиент банка, желающий сохранить анонимность сделок, может вложить в конверт листок бумаги и копирку и послать его в банк с просьбой выписать чек на один доллар. Если бы он послал один листок, то в банке могли бы, например, снять отпечатки пальцев и по ним опознать чек, когда он будет предъявлен к оплате. В банке на конверт, не вскрывая его, ставят штамп «1 доллар», подписываются и отправляют конверт обратно. Клиент открывает конверт и достает чек, на котором через копирку отпечатались штамп и подпись банка.
Теперь он может использовать его для оплаты любого товара без опаски,
поскольку банк никогда не видел чек и не сможет определить, кому он
был выдан. Однако банк обязан принять его к оплате, так как на листке
стоит его подпись.

Безопасность платежных систем
Если говорить о возможности раскрытия перехваченной во время
транзакции информации, то против этого работают мощные алгоритмы
шифрования информации, основанные на таких методах криптографии,
как шифрование с закрытым ключом и шифрование с открытым ключом. Расшифровать послание, в принципе, можно, но для этого понадобились бы финансовые затраты в несколько миллионов долларов. К тому же ключи меняются для каждого нового сообщения. Стоят ли этого суммы, которыми покупатели оперируют в Интернете (особенно если речь идет о микроплатежах)?
Более того, во многих электронных платежных системах используются такие схемы, в которых банковская и персональная информация вообще не попадает к продавцу. В некоторых системах эта информация не передается по Интернету, а отправляется один раз факсом, по телефону или с помощью обычной почты. Большинство функционирующих систем используют в своих схемах цифровую подпись (технология, основанная на шифровании с открытым ключом), которую так же маловероятно подделать, как и расшифровать послание. Для подтверждения оплаты могут применяться всевозможные идентификаторы пользователя и пароли.
Поэтому ответ на поставленный вопрос такой: выполнение платежей в Интернете достаточно безопасно. Перехват и использование конфиденциальной информации при определенной предусмотрительности
пользователей маловероятны либо невозможны.
Несмотря на некоторые сложности на Западе для расчетов в Интернете платежные системы используются активно и довольно успешно.
А у нас?
В России существует несколько платежных систем, различающихся оперативностью, обеспечиваемым уровнем безопасности, удобством
пользования для продавца, покупателя и финансовой организации, а
также другими параметрами. Эти системы позволяют работать со многи
ми зарубежными платежными системами, а следовательно, могут использоваться в разных схемах платежей, когда плательщик и принимаю
щий платеж магазин находятся как в России, так и за рубежом.
Самыми развитыми платежными системами в настоящее время считаются система CyberPlat (http://www.cyberplat.ru/) и PayCash (http://www.paycash.ru/).
Первая из них — CyberPlat, созданная специалистами банка «Платина», — обеспечивает практически полную безопасность платежей для торговца и его банка, но имеет некоторое неудобство для клиента, так как он вынужден пользоваться нестандартным программным обеспечением и регистрировать свой платежный инструмент (карточку или счет) в банке «Платина».
Схема обработки транзакций имеет сходство со схемой, предлагаемой стандартом SET (Secure Electronic Transaction, безопасная электронная транзакция). В платежной схеме участвуют три субъекта: покупатель, виртуальный магазин и банк («Платина»), — причем первые два участника должны иметь открытые счета в банке. Отказ в платеже кого либо из участников невозможен, так как списание со счета осуществляется практически мгновенно.
Работа системы происходит следующим образом:
1. Покупатель подключается к web серверу магазина, формирует корзину заказа и отправляет запрос.
2. Магазин в ответ на запрос направляет покупателю счет с электронно цифровой подписью (ЭЦП).
3. Покупатель подтверждает намерение совершить покупку, для чего подписывает счет уже своей ЭЦП. После подписи покупателем счет становится чеком.
4. Чек с двумя ЭЦП (магазина и покупателя) направляется магазином в банк для авторизации.
5. Банк производит обработку подписанного чека и разрешает (либо не разрешает) проведение платежа.
Основным недостатком системы CyberPlat при всей безопасности расчетов является то, что она лишена главного достоинства реальных наличных денег — анонимности.
В платежной системе PayCash, поддерживаемой банком «Таврический», используются так называемые «электронные наличные» — своеобразные обезличенные обязательства банка заплатить некоторую сумму.
Схема подключения клиента к системе выглядит примерно так.
Будущий клиент получает специальное программное обеспечение («кошелек»), при помощи которого открывает счет в банке и любым доступ
ным способом переводит на этот счет деньги. После этого он при помощи «кошелька» создает на собственном компьютере одну или несколько
«платежных книжек» и переводит деньги со счета на «книжку». Теперь
клиент способен расплачиваться в Интернете анонимными виртуальными деньгами, находящимися на его «книжках», возвращать «обналиченные» средства на счет в банке, а также управлять счетом.
При расчетах системе PayCash безразлично, кому конкретно принадлежат книжки, с которых был осуществлен платеж. Каждая транзакция авторизуется в банке.
Основным недостатком системы PayCash является неопределенность статуса виртуальной наличности с точки зрения отечественного законодательства.
В число других платежных систем, работающих в России, входят следующие: «ЭлИТ», ASSIST, Interrussia.com, Russian Shopping Club.
К сожалению, названные платежные системы действуют не во всех городах, работают не со всеми банками и совместимы далеко не со всеми зарубежными платежными системами. Еще один их недостаток —
сравнительно высокая стоимость использования, обычно включающая в
себя начальный взнос (в системе ASSIST, например, он составляет $150),
и ощутимая стоимость одной транзакции. Это является препятствием при использовании их для микроплатежей либо когда общий объем месячных платежей невелик.

Комментариев нет:

Отправить комментарий