Кратко о 3-D Secure и особенностях его применения в современной интернет-торговле

1. Протокол 3-D Secure
Безопасность в электронной коммерции
Виктор Носов,
Группа компаний «Интервэйл»
Москва, 2 октября 2015

2. Группа компаний Интервэйл
Основана в Москве в 1999 году
Услуги:
– мобильной и электронной коммерции
– разработка решений для безопасных платежных транзакций
– sms-услуги
Партнеры: Mastercard, Сбербанк, МТС
Клиенты – более 100 банков и операторов сотовой связи России, СНГ и Европы
3D Secure, PCI DSS, PA-DSS
Центр разработки, контакт-центр, процессинговый центр, технологии работы с платежными
системами, сотовыми операторами, банками, поставщиками услуг и агрегаторами

3. Общая информация
3-D Secure - XML-протокол дополнительного уровня безопасности операций онлайн-покупок.
Двухфакторная аутентификация держателя карты.
Разработана Visa (Verified by Visa)
Принята MasterCard (MasterCard SecureCode)
JCB International (J/Secure)
AmEx (SafeKey)

4. Терминология

Аутентификация проверка подлинности (пользователя или платежного инструмента)
Авторизация предоставление права или проверка наличия права пользователя на
совершение какой-либо операции
Аутентификация
держателя карты
Авторизация
операции
Спасибо
за покупку!

5. Ввод данных
1
2

6. Базовые принципы
3-D Secure = «Трёхдоменная безопасность»:
1) Домен эмитента
2) Домен эквайрера
3) Домен взаимодействия
3-D Secure - протокол взаимодействия доменов
Отношения внутри домена не изменяются:
• Торговец и эквайрер - выбор способа проведения транзакций
• Эмитенты – выбор механизмов аутентификации держателя
1 2
3

7. Как это работает
Домен банка – эмитента карты Домен платежной системы
(домен взаимодействия)
Домен банка – эквайрера
торговой точки
Enrollment
Server (ES)
Сервер – «база данных»
карт банка, которые
участвуют в программе 3-
D Sec
Directory
Server (DS)
Сервер-маршрутизатор,
направляет запрос в банк-
эмитент
Merchant
plugin (MPI)
Программный модуль
для торговой точки для
участия в процессе
аутентификации
Access Control
Server (ACS)
Сервер, который
проводит
аутентификацию
держателя карты
Authenticati
on History
Server
(AHS)
Сервер истории
проведения операций
аутентификации (нужен
для проведения проверок)
Аутентификация покупателя
Информация об эмитенте (банк
держателя карты, интернет-адрес
эмитента), решение конфликтов
Направление покупателя в банк-
эмитент для верификации

8. Acquirer
Domain
Домен эквайрера
Issuer
Domain
Домен эмитента
Interoperability Domain
Домен функциональной совместимости
1. Выбор покупки, ввод реквизитов карты
2. MPI направляет запрос возможности
проверки держателя карты
(VeReq)
3. Запрос о
возможности
аутентификации для
данного PAN
4. Результаты
проверки
подписки
клиента на
сервис 3D
Secure
5. Ответ сервера эмитента (ACS)
возвращается в MPI.
При этом Directory также сообщает
IP-адрес ACS для проведения
аутентификации держателя
6. Запрос на аутентификацию держателя карты
7. Запрос
аутентифика
ции
8. Аутентификация
(например, ввод кода,
отправленного по sms)
9. Результат
аутентификации
10. Результат аутентификации держателя карты
9.1. Сохранение
результата
аутентификации
на сервере
истории (AHS)
11. Если
аутентификация
успешна - запуск
процесса
авторизации
Запрос авторизацииЗапрос авторизации
Результат авторизации Результат авторизации
Результат авторизации
Схема процесса

9. Перенос ответственности
Операция без 3D-Secure: ответственность - на эквайрере
Операция с 3D-Secure: ответственность переносится («liability shift») с
торговой точки на эмитента.
ВАЖНО: отвечает эмитент, даже если он не участвует в программе 3-DS, но
эквайрер попытался провести аутентификацию по 3-DS

10. Как примененять
Вариант участия Плюсы/минусы для сторон Что делать?
Эмитент и эквайрер участвуют в
программе
«Full 3D»
Снижается конверсия у торговой
точки (до 30%)
Применять 3-D выборочно
(+ антифрод)
В программе участвует только
эквайрер
«3-D Acquirer only»
Для эмитента – принимает
ответственность за фрод
Отвергать операции с 3-D
(запрещено МПС)
Вступать в 3-D Secure
Использовать антифрод
Никто не участвует в 3-D Secure
программе
Card not present (CNP)
Высокий риск мошеннических
операций
Вступать в 3-D Secure
Использовать антифрод

11. Вопросы