Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Отдел рекламы
График выхода журнала
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Протоколы для платежей через Интернет

Брайан Уолш

Сегодняшний триумф электронной коммерции (ЭК) обусловлен наличием открытых стандартов, таких, как TCP/IP и HTTP, а также относительно дешевым доступом к Интернет. Но самое главное — ее успех напрямую связан с протоколами платежей, т. е. с получением денег в обмен на товары и услуги. Именно эти протоколы платежей и являются определяющими в электронной коммерции, именно они позволяют различать настоящие узлы ЭК и сугубо информационные. Платежные протоколы пересылают не просто данные, они пересылают деньги. Сервисы, предоставляемые этими протоколами, наряду с управляющей информацией, содержащейся в их заголовках, — это видимая часть айсберга, невидимой же частью его остаются протоколы передачи данных и протоколы канального уровня.

В данной статье рассмотрены узлы ЭК типа “бизнес—клиент” (а не узлы “бизнес—бизнес”). Из нее мы узнаем о роли покупателя, продавца и банка в сценариях реальной жизни, она поможет нам составить схему необходимых требований к платежным протоколам и проиллюстрирует потоки их сообщений.

В реальной жизни передача платежной информации включает в себя как наличные (банкноты и монеты), так и безналичные (чеки и кредитные карты) расчеты. Мир же ЭК сконцентрирован, как правило, на безналичных расчетах.

Однако существуют протоколы (например, DigiCash), использующие так называемую “электронную наличность”. Пока они, что называется, только представляют интерес для нас, хотя в будущем вполне могут стать очень популярными. Мы же сконцентрируем свое внимание на наиболее широко применяемой в настоящее время схеме платежей, включающей протоколы SSL и CyberCash.

Сегодняшний процесс платежей по сети Интернет — это комбинация технологий, включающая в себя унаследованные методы проведения расчетов по кредитным картам и протокол SSL, которая позволяет покупать и продавать товары и услуги при безопасном и успешном проведении транзакций.

По существу, определяющим в любом виде торговли является соглашение между покупателем и продавцом относительно того, что и по какой цене продается. Продавец поставляет свои товары в обмен на деньги покупателя. Эта основная форма сделки между ними не изменилась со времен первобытно-общинного строя, когда люди впервые начали обменивать наконечники для копий на мясо животных. Разбитая на составляющие сделка представляет собой предложение, идентификацию товара, его оплату и поставку. В виртуальном мире Интернет процесс демонстрации товара продавцом и принятия предложения покупателем осуществляются посредством Web-страниц.

Web-узел для ведения электронной коммерции и соответствующие системы ее поддержки должны защищать интересы и покупателя и продавца, обеспечивая при этом безопасность и целостность сделок. Система безопасности защищает покупателя от несанкционированного использования его платежных инструментов, в то же время не позволяя ему с их помощью вводить в заблуждение продавца. Обеспечение целостности сделки предохраняет покупателя от несанкционированного ее разглашения и ограждает продавца от участия в возможных диспутах по поводу условий поставки. Эти требования существенно усложняют построение Web-узлов и использование протоколов ЭК.

Давайте рассмотрим один-единственный элемент ЭК — номер кредитной карты. Чтобы ее владелец был основательно застрахован от его кражи, этот номер должен шифроваться не только в процессе передачи, но и во всех регистрационных файлах и базах данных, в которых хранится. Чтобы помешать мошенникам получить его, номер должен быть “усечен” до четырех последних цифр, которые и показывают персоналу коммерческих служб.

С правовой точки зрения очевидно, что требования к обеспечению целостности сделок усложняются пропорционально их стоимости или объему. Протоколы и серверные приложения Web (HTTP-сервер, программные средства ЭК, средства разработки Web-узла

и управления им) должны гарантировать выполнение транзакций, их надежность и сохранность. Обязательными элементами также являются обработка платежей, защита от мошенников, расчет и уплата налогов, соблюдение интересов сторонних организаций и лиц.

Существующие платежные системы

Платежные протоколы — это электронные эквиваленты методов безналичного расчета за товары и услуги. Фактически электронная покупка при надлежащем исполнении должна быть намного надежнее по сравнению с обычной, поскольку традиционные бумажные документы содержат номера кредитных карт целиком, в незакодированном виде.

В США большинство карточных транзакций между торговцами и владельцами кредитных карт совершаются через коммутируемые линии связи. В экономике Интернет многие Web-узлы по-прежнему основываются на аналогичных технологиях. Это особенно касается компаний, имеющих развитые системы розничной торговли, в которых Web-узел выступает в роли витрины магазина.

Для обеспечения целостности передаваемых данных протоколом предусматриваются тайм-ауты и повторные передачи. Если запрос на авторизацию номера кредитной карты в силу каких-либо причин остается без ответа, транзакция аннулируется. Терминал не станет выполнять очередную транзакцию до тех пор, пока не получит подтверждение об аннулировании. Система POS-терминалов розничной торговли требует также физической защиты, в то время как сами протоколы шифровать довольно легко: с помощью алгоритма шифрования данных ANSI X3.92 вместо всех сообщений шифруются только определенные поля, например поля, содержащие значения PIN-кода, в частности при дебитных транзакциях. Идентификация же ограничивается совершенно конкретными продавцами и терминалами.

В определенной степени карточная транзакция наиболее удачно вписывается в существующие протоколы, использующие унаследованные механизмы проведения денежных расчетов. Обычно это осуществляется с помощью платежного модуля узла ЭК или третьей стороной, например CyberCash. Такая интеграция нового платежного механизма со старым позволяет клиентам обращаться к выбранным коммерческим Web-узлам наугад, без какого бы то ни было специального ПО. Это также позволяет банкам и другим финансовым учреждениям акцептовать произведенные в Интернет транзакции, используя существующие системы.

Вовсе не обязательно иметь исчерпывающее представление о протоколе канального уровня связи, важно понимать назначение тех полей, с помощью которых формируются сообщения и отклики в процессе аутентификации. Конфигурирование идентификаторов оптовых и розничных Интернет-торговцев обеспечивается с помощью ПО электронной коммерции в соответствии с назначенными банком полями. Если же вы разрабатываете базу данных заказов для конкретных отраслей, вам потребуются еще и описания полей, специфических для них, которые могут сделать идентифицирующие сообщения более расширенными.

Кто вы?

Первым требованием любой реальной транзакции является взаимная идентификация, независимо от того продавец вы или покупатель. К примеру, покупателю может быть доподлинно известно, с каким магазином он будет иметь дело. Тем не менее, перед тем как принять от него деньги по безналичному расчету, продавец должен потребовать от покупателя, чтобы он идентифицировал себя.

В мире ЭК наиболее общепринятой формой идентификации является цифровой сертификат, выданный сертификационным центром (Certificate Аuthority — CA). Фактически ЭК требует использования защищенных браузеров и HTTP-сервера, а также сертификата доверенной третьей стороны — СА. Сертификат, снабженный цифровой подписью сертификационного центра VeriSign или Entrust, идентифицирует продавца (покупателя). Такое доказательство подлинности может, в частности, защитить продавца от недобросовестного покупателя, который попытается выдать себя за другого.

Сертификат покупателя содержит его открытые ключи, заверенные секретным ключом CA. Продавец предъявляет его сертификационному центру, там проверяют его, и результат проверки возвращают продавцу.

В дальнейшем сертификат сохраняется продавцом для последующих идентификаций покупателя.

Поддержка протокола SSL — необходимое условие для построения коммерческого Web-узла. Вместе с сертификатами он формирует основу для безопасности, аутентичности, целостности и конфиденциальности транзакций. Эти высокоуровневые услуги предоставляются любым приложениям, например таким, как HTTP, FTP и telnet. Созданный фирмой Netscape и служащий основой для стандарта IETF TLS (Transport Layer Security — безопасность на транспортном уровне) протокол SSL инкапсулирует данные транзакций и гарантирует конфиденциальность и целостность их составных частей. Протокол установления связи SSL используется для согласования алгоритмов шифрования. Это необходимо для того, чтобы соответствующие встраиваемые программные модули могли обеспечить сам процесс шифрования. Продавец посылает свой сертификат и запрашивает покупателя, а тот в ответ возвращает свой сертификат, подписывая запрос.

(Соответственно и продавец, и покупатель должны признавать выданные CA сертификаты.) Протокол передачи документов SSL (SSL Record Protocol) поддерживает функции фрагментации, сжатия и шифрования сообщений.

В дополнение к описанным выше механизмам следует отметить, что типичные Web-узлы ЭК используют CyberCash — наиболее популярную реализацию этих протоколов для малых и средних Web-узлов. (Ранняя версия протокола CyberCash задокументирована в RFC 1898.) Для идентификации в этом протоколе используются сертификаты, а для того чтобы обезопасить каналы между “виртуальным” кошельком покупателя, Web-сервером продавца и шлюзом CyberCash поддерживается протокол SSL. Интернет-транзакции обрабатываются в CyberCash с применением платежных протоколов, использующих выделенные линии. Таким образом, услуга CyberCash включает передачу информации о кредитной карте и получение ответа от оператора платежной системы, поэтому продавцу не надо поддерживать прямую связь с существующими платежными системами.

Покупатель посылает платежную и другую информацию на Web-узел продавца. После подтверждения сделки покупателем продавец пересылает подписанную и зашифрованную информацию о ней на сервер CyberCash. Последний расшифровывает ее, проверяет достоверность и разбивает сообщение на компоненты. Транзакция переформатируется согласно традиционным форматам кредитно-карточного обращения и через POS-сеть посылается в банк-эмитент. Код подтверждения или отказа в авторизации пересылается на Web-узел продавца, и покупатель информируется о согласии его со сделкой или отказе от нее.

Протокол CyberCash является модульным и гибким одновременно. С его помощью описывается взаимодействие трех сторон: виртуального кошелька покупателя, ПО электронной торговли продавца и сервера CyberCash. Отдельные наборы сообщений CyberCash определены как для покупателя (CH), так и для продавца (CM). Этот гибкий метод позволяет продавцам принимать платежи от покупателей, выбравших кошелек CyberCash, либо применять для этого их собственные HTML-формы, защищенные с помощью протокола SSL. CyberCash зашифровывает все данные на уровне сообщений, используя 1024-битовый ключ RSA и 56-битовый ключ DES. При использовании виртуального кошелька продавцу нет необходимости вникать в детали процесса платежей.

Важно отметить, что сообщения, которыми стороны обмениваются в системе CyberCash, существуют на уровне приложений. Низлежащими уровнями эти сообщения рассматриваются как пользовательская полезная нагрузка, не более того. Вы не сможете воспользоваться обычным анализатором протоколов, поэтому добивайтесь, чтобы поставщик приложения предоставил вам необходимые API, средства регистрации и диагностики.

Сообщения приложений CyberCash представляют собой текстовые блоки. Аналогично сообщениям электронной почты поля данных воспринимаются здесь как пары “имя—значение”. Все сообщения включают следующие элементы: заголовок, где указываются тип и версия сообщения; “прозрачный” компонент, в котором содержатся известные всем сторонам данные; “непрозрачный” компонент, в который включена защищенная конфиденциальная финансовая информация, циркулирующая между кошельком и CyberCash-сервером; трейлер, отмечающий конец сообщения и включающий контрольный признак. Файлы регистрации этих сообщений гарантируют целостность транзакций, что отсутствует в SSL.

Для разработки ПО электронной коммерции вам необходимо освоить различные протоколы, схемы безопасности и форматы сообщений. Даже системные интеграторы и разработчики, которые не вникают в тонкости работы на низких сетевых уровнях, должны полагаться на свое понимание этих протоколов, чтобы уметь конфигурировать, поддерживать и использовать необходимые API-интерфейсы ПО электронной коммерции.





  
9 '1999
СОДЕРЖАНИЕ

колонка редактора

• Опыт проведения Интернет-рекламы

локальные сети

• От тактовой частоты до информационной магистрали

• Сдуйте пыль с ленточного накопителя

• Планируем перевод сети NetWare на протокол IP

бизнес

• Управление документами, знаниями и инновациями в бизнесе

интернет и интрасети

• Протоколы для платежей через Интернет

корпоративные сети

• Модернизация сети с помощью Gigabit Ethernet

услуги сетей связи

• Серверы RAS для крупных предприятий

• Концепции прежние — решения новые

• Транстихоокеанская сеть АТМ

• В игру вступает Россия

защита данных

• Единая регистрация в системах безопасности

новые продукты

• Кабельные системы ХЕ компании ITT-NS&S; DynaSite: для своих и иностранцев



 Copyright © 1997-2007 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх