Прием кредитных карт в интернете. Почему умрет SET?
Спецификации SET (Secure Electronic Transaction) версии 1.0 датированы 31 мая 1997 года. SET был призван положить конец мошенничеству с пластиковыми карточками при совершении покупок в Интернет. С тех пор утекло немало воды, но должного распространения SET так и не получил. Попробуем разобраться почему. Если описывать в двух словах, то оригинальный SET подразумевает следующую схему взаимодействия между участниками процесса платежа в Интернете.
Владелец карточки и магазин устанавливают у себя программное обеспечение - Cardholder Wallet и Merchant Server соответственно. Эквайер должен определить себе Payment Gateway. Кроме того, необходимо чтобы все участники получили в Certificate Authority так называемые сертификаты, которые используются для формирования цифровых подписей и шифрования данных. Владелец карточки, покупая в Интернет-магазине товар, выбирает в качестве средства платежа пластиковую карточку.
Его Cardholder Wallet инициирует обмен с Merchant Server магазина по протоколу SET с соответствующим шифрованием и генерацией цифровых подписей. Авторизация операции проводится магазином через Payment Gateway эквайера. При этом очень важно, что номер карточки остается скрытым от магазина.
Тем самым ставится заслон на пути хакеров и недобросовестных администраторов Интернет-магазинов, ворующих номера карточек. Основная проблема SETа заключается в том, что он был создан людьми далекими от реального бизнеса в Интернете. Теоретически SET хорош. Им гарантируется надежная защита от мошенничества.
Только внедрение этой защиты весьма дорогое и сложное дело, влекущее за собой существенные изменения в уже работающем программном обеспечении магазинов и эквайеров. Очень существенный минус в том, что владельцу карточки требуется установить на свой компьютер довольно сложный в настройке Cardholder Wallet. Он оказался не выгодным экономически.
Более того учитывая надобность отнюдь не дешевой сертификации этих решений в SETCo, мне не совсем понятно, что в этом программном обеспечении может стоить так дорого. Поэтому оказалось глупо тратить, условно говоря, 20 долларов для предотвращения потерь в 10 долларов.
В дополнение к этому, по крайней мере на начальном этапе, были выявлены проблемы с совместимостью Cardholder Wallet, Merchant Server и Payment Gateway различных фирм-разработчиков. В 2000 году была сделана попытка вдохнуть новую жизнь в SET упростив для владельцев карточек и магазинов его использование. Его плюс в том, что владельцу карточки и магазину не нужно устанавливать у себя сложного программного обеспечения.
По сути дела, Cardholder Wallet перекачевывает на сервер эмитента, а Merchant Server - на сервер эквайера. Эмитент и эквайер обмениваются между собой по SET от имени владельца карточки и магазина. Это же правило распространяется и на эквайера при идентификации магазина.
Благодаря этому 3D SET более прост во внедрении и эксплуатации чем традиционный SET. Но похоже, что продвижение SET все-таки обречено на неудачу.
Рынок хочет еще более простого во внедрении решения, требущего минимальных изменений и дополнений в программном обеспечении магазинов и владельцев карточек и обеспечивающего надежную идентификацию участников проводимого платежа. В этой связи весьма показателен пример Дании. Именно в Дании была проведена первая в мире транзакция с использованием SET. К концу 2000 года датская национальная платежная система PBS заключила почти 2,000 контрактов с магазинами на прием карточек в Интернете.
Остальные предпочитают решение, основанное на SSL, несмотря на риск возможных потерь. Соединенные Штаты, являясь крупнейшим рынком пластиковых карточек, уже окончательно отказались от внедрения 3D SET. Сейчас американцы экспериментируют с использованием протоколов на базе SSL.
VISA объявила о разработке нового протокола, который призван заменить SET и стать, ни много ни мало, универсальным средством борьбы с мошенничеством в Интернет. Первые спецификации этого протокола ожидаются в марте 2001 года. Что же делать банкам в сложившейся ситуации? Во-первых, не покупать SET. Инвестиции в данное решение разумными и выгодными в сложившейся ситуации назвать никак нельзя.
Во-вторых, не дожидаясь пока все стандарты окончательно устоятся, начинать работать в условиях, сложившихся на рынке Интернет-эквайринга уже сейчас. Панацеи от мошенничества, увы, пока не существует, но соблюдая несложные правила предосторожности при работе с Интернет-магазинами, мошенничество можно слить к минимуму и сделать работу на этом рынке прибыльной.
Может быть золотые горы сейчас там и не заработать, но приобрести ценнейший опыт практической работы и приготовиться к быстрому росту спроса на данные услуги можно и нужно.