3-D Хамгаалалт

2001 онд SET протоколын дараа Visa болон MasterCard хамтран, тусгаар нэг схем гаргасан нь 3-D Хамгаалалт протокол юм. 3-D Хамгаалалтын үндсэн зорилго бол CNP төлбөрийн картны залиланг бууруулахын тулд төлбөрийн гүйлгээний турш карт эзэмшигчийг адилтган таних зорилготой юм. Интернет-д суурилсан CNP гүйлгээнд карт эзэмшигчийн адилтган танилт дутагдаж байгаа ба энэ нь карт эзэмшигч карттайгаа хамт байж баталгаажуулалтын хэд хэдэн аргуудыг ашиглах гүйцэтгэх юм. Жишээ нь баримтан дээр гарын үсэг зурах эсхүл пин кодоо оруулах гэх мэт. 3-D Хамгаалалт нь карт эзэмшигчийг олгогч-удирдлагын үйлчилгээнд ‘бүртгүүлэх’-ийг шаарддаг ба энэ нь онлайн худалдан авалт хийх болон бас бусад зүйлс авч байхад юм. Карт эзэмшигч нь ерөнхийдөө бол хувийн баталгааны мессеж буюу нууц үгийг сонгон оруулахыг асуудаг. Худалдан авалтын гүйлгээний турш, карт эзэмшигч нь өөрийн бүртгүүлсэн 3-D Хамгаалалтын нууц үгийг оруулан өөрийгөө тухайн картны албан ёсны эзэмшигч гэдгийг батлан харуулах юм. Бүртгэлийн тодорхойлолт нь төлбөрийн картнаас болон худалдаачны системээс тусдаа байрлах ба мэдээлэл алдагдан эсхүл хэн нэгэн харахад асуудалгүй байх юм. Карт эзэмшигчийн адилтган танилт дууссаны дараа, төлбөрийн баталгаажуулалтыг худалдагчийн банкны замруу төлбөрийн картны сүлжээг ашиглан гүйцэтгэн хийх юм. Энэхүү процессыг Visa “Төлбөрийн адилтган танилт” гэдэг бол MasterCard “Карт эзэмшигчийн адилтган танилт” гэж үздэг.
Уг протокол дээр суурилан дараах байгууллага болон банкнууд өөсрдийн гэсэн үйлчилгээг гаргасан:
Уг протоколын суурь ойлголт нь онлайн адилтган танилттай санхүүгийн адилтган танилт хийх процесс юм. Энэ адилтган танилт нь 3-н домайнд суурилсан:
Протокол нь клиент адилтган танилттай SSL холболтон дээр XML мессежүүдийг ашигладаг ба энэ нь тоон сертификатуудыг ашиглан сервер болон клиентийн хооронд адилтган танилтыг хийж, хэрэглэгч мөн эсэхийг тодорхой болгож өгдөг юм.
Verified-by-Visa эсхүл SecureCode-ыг ашигласан гүйлгээ нь гүйлгээг зөвшөөрөх гэж хүсэлт гаргаж байгаа хэрэглэгчийн банкны вебсайт руу хандуулж өгдөг. Худалдан авагч бүр нь ямар ч адилтган таних арга хэрэглэж болох юм гэвч ерөнхийдөө, бидний нийтлэг хэрэглэдэг нь нууц үгэнд суурилсан аргыг ашигладаг ба энэ нь картан дээрээ ямар нууц үг өгсөн тэрийгээ ашиглан интернетээс худалдан авалт хийх нь үр дүнтэй юм.
Verified-by-Visa протокол нь банкны шалгах хуудасыг inline frame session (энэ нь HTML броузер цонхыг сегментүүдэд хуваан өөр өөр документыг харуулдаг юм. )-д ачаалуулахыг санал болгодог. Энэ аргаар, банкны системүүдийг хэрэглэгчдэд тохиолдсон ихэнхи аюулгүй байдлын дайралт болон халдлагуудад хариуцлага тооцож болдог юм. Өнөөдөр, цагаан-жагсаасан мессежүүдийг бүртгүүлсэн банкнаас илгээхийн оронд, ганц-удаагийн нууц үгийг SMS техт мессежийг хэрэглэгч рүү илгээн, адилтган танилтыг хийх нь хялбар болж байгаа юм.
Visa болон MasterCard-нуудын ялгаа нь үүний UCAF (Universal Cardholder Authentication Field)-ыг үүсгэх арга барилаараа ялгаатай юм. MasterCard нь AAV (Accountholder Authentication Value)-г ашигладаг бол Visa нь CAVV (Cardholder Authentication Verification Value)-г ашигладаг.
3-D Хамгаалалтын адилтган танилтын үйл явц нь 2 үетэй ба Бүртгэлийг баталгаажуулах үе, Карт эзэмшигчийн адилтган танилтын үе гэсэн 2 үе байдаг.
1-р үе
Дээрх зурган дээр бүртгэлийг баталгаажуулах 1-р үеийг харуулсан ба дараах 5 дарааллаар худалдагч карт эзэмшигчийг 3-D Хамгаалалтанд бүртгүүлсэн эсэхийг шалган шийдэх юм.
2-р үе
Дээрх зургаар, Хэрвээ карт эзэмшигчийн PAN нь 3-D Хамгаалалтанд бүртгэлтэй бол, худалдагч карт эзэмшигчийг баталгаажуулах арга хэмжээг авна
Дээрх зурган дээр харуулснаар, худалдагчийн веб хуудас нь оруулж өгсөн iFrame-тэй ба энэ нь 3-D Хамгаалалттай ACS (Verified by Visa) адилтган танилтын хүсэлт юм. Энэ тохиолдолд, худалдагч нь Barclaycard Business-ээс ePDQ-ээр хостлогдсон төлбөрийн гарц болон үйлчилгээг ашигласан байна. iFrame нь ACS сервер руу хандах URL болон карт олгогчийн ACS серверээс мэдээллийг авах юм. Энэ тохиолдолд, карт олгогч First Direct – UK интернет банк руу. 3-D Хамгаалалтын өмнөх хэрэгжүүлэлтүүд дээр шинэ цонх нээгддэг байсан ба одоо MasterCard болон Visa картууд дээр үүнийг хийхийг хориглосон ба учир нь халдлагуудаас сэргийлж юм.
Мөн энэ үед хэрэглэгчийн хувийн баталгааны мессеж ACS адилтган танилтын хуудсан дээр гарч ирэн 3-D Хамгаалалтын ACS хүсэлтийг баталгаажуулах зорилготой юм.
a. “Y” – Нууц үг зөв b. “N” -- Нууц үг буруу c. “U” – Нууц үгийг батлах боломжгүй болсон. Жишээ нь 3-D Хамгаалалтын системд алдаа гарлаа гэх мэт алдаанууд гарч болно. d. “A” – Энэ нь худалдагч адилтган таних оролдлогыг хийсэн гэх баталгаа юм.
Дараах зургаар 3-D Хамгаалалтын адилтган таних хуудас нь хэрэглэгчийн гар утасруу илгээгдсэн OTP буюу ганц-удаагийн нууц үгийг оруулахыг асууж байна
Протоколын тодорхойлолт нь одоогоор 1.0.2 хувилбар дээрээ явж байгаа ба MasterCard болон JCB үүний шинэ хувилбарыг аван ашиглаж байгаа.
Visa эсхүл MasterCard гишүүн банкнууд нь үйлчилгээгээ ашиглахын тулд протоколыг дэмждэг тохиромжтой програм хангамж хэрэгтэй юм. Програм хангамж суусны дараа, гишүүн банк нь өөрийн бүтээгдэхүүнийг өөрийн төлбөрийн системийн сервертэйгээ уялдуулан нийлүүлж шалгадаг юм. Уг програм хангамжыг нийлүүлэгч ерөнрий 2 нийлүүлэгч байдаг.
3D-Secure протоколд, ASC (Access Control Server) нь худалдан авагчийн талд (Банк)-д байх юм. Одоогоор ACS-ыг 3-дагч этгээд гэж үзэн ашиглаж байгаа. Ерөнхийдөө, худалдан авагчийн веб хөтөч нь банкны домайн нэрийг харуулахаас илүү ACS нийлүүлэгчийн домайн нэрийг харуулдаг хэдий ч энэ нь протоколоор бол шаардлагагүй юм.
Access Control Service нь Microsoft-ын үүлэн тооцоололд суурилсан үйлчилгээ ба энэ нь хэрэглэгчийг веб аппликэшн болон үйлчилгээнүүдийг авахад хялбар аргаар адилтган таних болон хэрэглэгчдэд зөвшөөрөл олгодог үйлчилгээ юм.
ACS дээрх гүйлгээний урсгалыг American Express дээр харъя:
3D-Secure гүйлгээн 2 интернет хүсэлт/хариу хослолыг өөртөө агуулдаг: VEReq/VERes болон PAReq/PARes юм. Visa болон MasterCard нь худалдаачдыг өөрсдийнх нь серверүүдрүү хүсэлт илгээхэд лиценздэггүй ба тэд өөрсдийнхөө серверүүдийг програм хангамж нийлүүлэгчид болох MPI (Merchant Plug-In) нийлүүлэгчдээр лицензүүлдэг.
MPI нь merchant буюу худалдагч талд ажилладаг. Merchant Plug-In нь програм хангамжийн модуль ба энэ нь кредит картны луйвараас урьдчилан сэргийлэхийн тулд 3D-Secure протоколтай хамтран ажилладаг. MPI нь дансны дугаар болон карт олгогч (Visa, MasterCard эсхүл JCB International) серверүүдрүү хандан хэрвээ энэ нь 3D-Secure програмд бүртгэгдээд олдсон бол худалдан авагчийн хандалт удирдлагын серверийн (ACS) веб сайтын хаягруу буцахыг нь тодорхойлж өгдөг. Худалдаачид нь өөрсдийн сервер дээрээ SSL/TLS-ыг суулгах хариуцлагатай байдаг.
MPI-г хэрэгжүүлэх хэд хэдэн сонголтууд байдаг:
лэгч эсхүл худалдаачин нь цагаан шошготой MPI эсхүл Self-Development Kit (SDK)-г худалдан авч одоо байгаа дэлгүүрийн худалдан авалтын машиндаа эсхүл төлбөрийн сервертэйгээ нэгтгэн хэрэглэх юм.
3-D Secure нь Visa болон MasterCard-уудаар удирдагддаг ба мөн дараах картуудад ашиглагддаг: VISA, VISA DELTA, MASTERCARD, MASTERCARD DEBIT, INTERNATIONAL MAESTRO, UK MAESTRO, LASER, and VISA ELECTRON.
Худалдагчдад байх нэг давуу тал нь “зөвшөөрөгдөөгүй гүйлгээ”-г багасгах юм. Харин нэг сул тал нь худалдагчид Visa эсхүл MasterCard директор сервертэй холбогдох MPI-г худалдаж авах ёстой ба энэ их үнэтэй. Үүн дотор: төлбөр, сарын төлбөр болон гүйлгээ бүрт төлөгдөх төлбөр багтах ба нэмээд MPI нийлүүлэгчдийн хүү бодогдоно.
3D-Secure-г дэмжин гэдэг нь их төвөгтэй ба заримдаа гүйлгээний алдаануудыг үүсгэдэг. Хараад байхаар, үүний хамгийн том сул тал нь маш олон алхамтай адилтган танилтууд юм.
Энэ системийн зорилго нь карт эзэмшигчдийн картыг интернетээр хууль бусаар хэрэглэгчийн зөвшөөрөлгүйгээр гүйлгээ хийх эрсдлийг багасгах зорилготой юм. Одоогоор хийгдэж байгаа 3-D Secure-ийн хэрэгжүүлэлтэнд, хэрэглэгчийн буюу худалдан авагчийн нууц үгийг зөвхөн тухайн банк болон ACS нийлүүлэгч л мэдэх ба уг мэдээллийг худалдагч мэдэхгүй болон дундаас барьж авч чадахгүй учраас зөвхөн банк л үүнийг хариуцах буюу гүйлгээ хийсэн мэдээлэл нь байх юм. Эрсдлийг бууруулж буй 2 аргыг дараахаар харуулав:
3-D Secure нь яг үнэндээ нууц үгийн адилтган танилтын хэрэглээг заавал шаардаад байдаггүй. Үүнийг ухаалаг карт уншигч, аюулгүй байдлын token болон бусад зүйлстэй хамт хэрэглэх боломжтой юм. Эдгээр төрлийн төхөөрөмжүүд нь хэрэглэгчдэд худалдан авалт хийхэд зөвхөн аюулгүй нууц үг/pin code асуух ба хэрэглэгчдэд гайхалтай туршлага болж өгөх буюу хэрэглэхэд хялбар гэдгийг харуулах юм.
Хэрэглэгчдэд тулгарах нэг том асуудал буюу аюул нь хуурамж веб сайтуудруу орж, өөрсдийн картын мэдээллийг алдах зүйл юм. Тиймээс хэрэглэгчид веб сайтаар худалдан авалт хийхдээ https болон цоожны зурагтай эсэхийг нь хамгийн түрүүнд харах хэрэгтэй.
Үүн дээр гардаг нэг ядаргаатай гэх юм нь веб хуудсыг өөр хуудасруу шиддэгт буюу pop-up цонх юм. Үүнээс болж зарим хэрэглэгчид тухайн сайт нь албан ёсных уу гэдэгт эргэлзэх тохиолдол их байдаг. Эдгээр тохиолдол нь ихэвчлэн тухайн хэрэглэгч анх удаагаа тус вебсайт-аар үйлчлүүлж байгаа тохиолдолд болдог юм. Үүний шийдэл гэхээсээ илүү хэрэглэгчид тухайн сайтыг албан ёсных уу гэдгийг мэдэж болох зүйлсийг өөрстөө мэдэж авсан байх шаардлагатай юм.
3-D Secure баталгааны код шаардлагатай үед, хэрвээ баталгааны код нь бидний утсан дээр ирдэг бол энэ нэг хязгаар нь юм. Хэрвээ хэрэглэгчийн тухайн бүртгүүлсэн утас нь зөвхөн тухайн бүсдээ хамаарагддах ба хэрвээ өөр бүсэд байгаа үед утас руу мессеж ирэхгүй юм. Мөн систем нь хэрэглэгч өөр газар руу явна гээд утасны дугаараа өөрчлөх боломжийг системдээ тавьж өгөөгүй юм. Энэ мэт асуудал байгаа.
Энэ нь юу гэсэн үг вэ гэхээр? Тухайн 3-D Secure систем нь зөвхөн тухайн бүсдээ хамааран ажиллан гэсэн үг юм. Жишээ нь Америкийн 50 мужид 3-D Secure хамгаалалт ажиллана бусад газар буюу өөр оронд тухайн америкт бүртгэлтэй карт нь ажиллахгүй юм. 3-D Secure нь улам хөгжүүлэгдэж байгаа ба энэ асуудал нь удахгүй шийдэгдэнэ гэдэгт итгэлтэй байна.
3-D Secure-ын шинэ хувилбар нь болох 1 удаагийн нууц үг ба энэ нь маш хүчтэй хамгаалалтан дээр суурилсан програм хангамжийн хэлбэр юм. Хэдийгээр, статик нууц үгтэй хууль ёсны хувилбар нь Европын төв банкны (ECB) шаардлаганд 2013 оны 1 сард нийцээгүй юм. 3-D Secure нь голдуу худалдан авагч талын аюулгүй байдлыг ихээхэн хангаж өгөхөөр шийдэгдсэн байдаг.
Давуу тал Хариуцлага шилжилт буюу хариуцлагын тогтолцоо юм. Ерөнхийдөө, гүйлгээнд асуудал гарахад, худалдаачин төлбөрийг буюу хариуцлагыг үүрэх юм. 3-D хамгаалалт нь худалдаачнаас худалдан авагчийн банк руу хариуцлагыг шилжүүлж болох эсхүл худалдан авагчаас худалдаачин руу гэх мэт хариуцлагыг шилжүүлж чаддаг ба ганц энэ үзүүлэлт нь гэхэд л 3-D хамгаалалт таны бизнесд ашиглагдахад үр дүнтэй гэдгийг харуулж өгч байгаа юм. Буцаан төлөлтийн хамгаалалт. Виза-гаар баталгаажуулагдсан буюу Verified by Visa нь таньд хэзээ ч буцаан төлөлтийг өгөхгүй буюу хэрэглэгч нь авч чадахгүй юм. Энэ нь “Friendly fraud буюу нөхөрсөг залилан” ба энэ нь хэрэглэгч банк өөрийг нь дэмжин гэдгийг мэдэж байгаа буюу санаатайгаар буцаан төлөлтийг авах хүсэлтийг илгээх юм. MasterCard буцаан төлөлтийн хаалтыг дэмждэггүй буюу буцаан төлөлтийг олгодог юм. Харилцан солилцооны үр өгөөжүүд. Эдгээр нь гүйлгээнд бага төлбөр авах болон худалдаачны банктай төлбөрийн удаан харилцаа гэх зэрэг зүйлс багтдаг. Онлайн худалдан авалт нэмэгдсэн ба энэ нь хэрэглэгчид онлайн худалдан авалтанд тулгардаг залилангаас айхаа больсоноос буюу хамгаалалт сайтай болсоноос юм. Сул тал Худалдаачдад уг хамгаалалтыг авахад бага зэрэг хүндрэлтэй байдаг ба мөн хэрэглэгчдэд бас асуудалтай зүйл нь байгаа билээ. Энэ нь баталгаажуулалтын нэмэлт асуултууд байдаг юм. Үүнээс болж хэрэглэгчид онлайн худалдан авалт хийхдээ хааяа зайлсхийх тал их байдаг ба тэгээд ийм олон асуултгүй худалдаж буй газрыг хайдаг. Карт блоклох. Онлайн худалдан авалт хийхдээ блоклуулсан ууртай хэрэглэгчид таны хэрэглэгчийн үйлчилгээний шугамруу залган гомдол илэрхийлэх тоо нэмэгдэх ба үүнээс болж тэд дахиж гүйлгээ хийхгүй юм. Бид бүхэн болон судлаачдын хэлж байгаагаар 3-D Хамгаалалт нь тийм ч аюулгүй биш ч одоогоор хэрэглэгдэж байгаа дундаа хамгаалалт сайтай ба энэ нь зөвхөн баталгаажуулалтын нэмэлт давхарга нэмж өгсөнөөс өөр зүйл байхгүй юм.
Дараахаар хэд хэдэн хэрэглэгчдийн асуусан асуултанд хариулав:
Бүртгэгдээгүй картнуудад, хамгийн эхэнд ашигласан хүн нууц үгийг тохируулж өгдөг. Identity thieves буюу мэдээллийн хулгайчид нь хохирогчийн буюу хэрэглэгчийн банканд бүртгүүлэхэд болон картаа идэвхижүүлэхэд ашиглагддаг мэдээллийг social security card (Нийгмийн аюулгүй байдлын карт) болон иргэний үнэмлэх, жолооны үнэмлэхээс төрсөн он сар өдөр болон сүүлийн оронуудыг голдуу мэддэг. Кибер хулгайчид 3-D хамгаалалтын нууц үгийг хэрхэн сэргээхээ маш сайн мэддэг ба мөн таахад амархан байдаг. Үүнтэй холбоотойгоор бидний байнга хэрэглэдэг Visa биднээс “таны нууц үг санахад хялбар байх хэрэгтэй” гэж хэлдэг нь visa картыг хэрэглэхэд аюултай байлгадаг юм. 3-D Хамгаалалт нь phishing халдлагаас хамгаалагдсан байдаг ба хэрэглэгчдийг 3-D Хамгаалалт-г ашиглахад итгэлтэй байлгахын тулд, VbV-ийн бүртгэлийн турш, карт эзэмшигчийг phrase буюу хэлц үг эсхүл өгүүлбэр сонгохыг асуудаг ба энэ нь нээлттэй байгаа цонхон дээр гарч ирэх ба энэ нь ‘Happy birthday’ гэх мэт байж болдог. Эцэст нь буюу 3-D Хамгаалалт дээр яригдах сүүлийн зүйл бол хэрэглэгчдийн картыг адилтган танигдаагүй хэрэглээнээс хамгаалж мөн хэрэглэгчдийг онлайн худалдан авалт хийх итгэлийг нэмэгдүүлэхэд оршиж буй юм. Гэвч 3-D Хамгаалалт бүх issuing bank-ууд дээр суулгагдаагүй учраас хамгаалалт нь янз янз байдаг. Мөн 3-D Хамгаалалт нь data breach буюу өгөгдлийн нэвтрэлтээс хэрэглэгчийн мэдээллийг хамгаалж чадахгүй юм.
Европ-д UK-нь кредит картны нэвтрэлт хамгийн их болдог ба үүний улмаас тэд аюулгүй байдлын шинэ бүтээгдэхүүнүүд болох AVS, 3-D хамгаалалт, харилцаагүй төлбөр төлөлт болон урвуу адилтган танилт гэх бүтээгдэхүүнүүдийг туршиж байгаа ба Cybersource-ын мэдээллэж байгаа UK-ын 73% нь 3-D хамгаалалтыг ашиглаж байгаа ба 10%-нь энэ онд хэрэгжүүлэхээр төлөвлөж байгаа юм. Үүнтэй холбоотойгоор UK дэхь хэрэглэгчид нь уг схемтэй аль хэдийнээ танил болсон ба түгээмэл хэрэглэж байгаа юм.
Amazon.co.uk нь UK-д хэрэгжүүлэгдэж байгаа дүрэмний эсрэг байр суурьтай байгаа ба мөн торгууль төлж байгаа юм. Учир нь Амазонд залилантай холбоотой болон түүний эсрэг хамгаалалт хийх урьдчилан сэргийлэх болон хамгаалах бүхэл бүтэн баг байдаг учир залилангийн халдлага болон оролдлогуудаас хэрэглэгчдээ хамгаалж чадах юм. Амазоны хувьд 3-D хамгаалалтыг ашиглахгүй байгаан хэрэглэгчдэд төвөгтэй гэж үзсэн ба үүнээс болж хэрэглэгчдээ буюу төлөх торгуультай харьцуулахад маш их мөнгийг алдан гэж үзсэн учраас торгууль төлж буй юм.