Internet security или Verified by Visa и MC SecureCode vs Private Payments

[klos]

Хотелось бы услышать ваше мнение по поводу сравнительной надежности subj, а так же насколько эти введения коснулись банковских карт Российских эмитентов.
Так же хотелось бы подчеркнуть, что речь идет не о технических решениях 3D Secure, а о статистике надежности, сравнительном анализе удобств и неудобств для холдеров, ну, конечно, и о том, что из этого доступно для ваших клиентов и какие перспективы на нашем рынке.
Для удобства читателей, не имеющих представления о вопросе (ни в коем случае не затрагивая никого из присутствующих, ведь мало ли кто заходит на форум, вроде меня), размещаю ссылки на рекламные проспекты этой технологии:
MasterCard; Visa; AmEx

С уважением, Александр

[Заморский гость]

Пользуюсь AmEx Private Payments постоянно. Более надежной и удобной услуги просто трудно себе представить. Когда что-нибудь надо оплатить по интернету или по телефону захожу на сайт AmEx, получаю новый номер и дату (как правило до окончания текущего месяца), все это занимает от силы 10 секунд и вперед за покупкой.
Гениальность и удобство этого сервиса в том, что даже продавцы не догадываются, что это специальный номер карты, который работает только один раз. После транзакции номер просто больше не работает, только на возврат. К тому же все это бесплатно! Супер!!!

[Dimitrii]

Заморский гость
услуга удобная.
продавцы не догадываются, что это специальный номер карты, который работает только один раз знают, иначе вторая операция в одной точке не пройдет

[Count]

3D Secure беззащитна против соц. инженерии, мы еще столкнемся с письмами типа http://dom.bankir.ru/showthread.php?...242#post863242, где от имени эмитента или платежной системы будут просить подтвердить свой VbV-пароль.

[nick_st]

Count
IMHO, к методу социальной инженерии неустойчивы практически все технические средства, здесь нужны именно социальные методы защиты
(обучение, информирование и т.д.). Когда эпидемией считается распространение тривиального вируса, требующего просто запуска
присланного exe-шника, то говорить об устойчивости к методам социальной
инженерии не приходится.

[Count]

nick_st
Чуть-чуть не согласен: соц. инженерия направлена на людей, а не на технические средства, поэтому система защиты должна учитывать в т.ч. и то, что человек - это тоже слабое звено, и попытаться минимизировать "человеческие" риски. Одноразовые номера, IMHO, более продуманное с этой точки зрения решение.

[nick_st]

Count
Одноразовые номера, IMHO, более продуманное с этой точки зрения решение.

Согласен, динамическая аутентификация всегда лучше статической, но есть
методы обхода другим образом, например появление на компьютере пользователя трояна, который будет просто перехватывать одноразовые номера (симулируя транзакции) и через некоторое время использовать их
для уже реальных операций, о которых клиент и не догадывается, будет
сводить на нет все усилия по динамической аутентификации.

А для 3D-Secure есть расширение, которое работает с EMV-картами, используя
ARQC как динамический аутентификатор (как впрочем и MasterCard Secure Code). Вообщем нигде не регламентируется механизм проверки картхолдера
ACS, просто текущие реализации используют login/password - просто потому,
что это проще реализовать и внедрить, а в общем случае - есть свобода действий. И это скорее социальная проблема, чем техническая.

[klos]

А изменяются ли взаимоотношения банк-клиент-merchant в свете этих технологий, то есть не становится ли отмена интернет транзакции более сложной и на кого перекладываются риски (Насколько я понимаю merchant перестает быть крайним)?
И второе - есть ли Российские банки которые используют эти технологии?

[Rzhevsky]

klos А изменяются ли взаимоотношения банк-клиент-merchant в свете этих технологий
Да, изменяются - меняется договорная база.

есть ли Российские банки которые используют эти технологии
Эквайринг - есть.

[mCom]

klos А изменяются ли взаимоотношения банк-клиент-merchant в свете этих технологий, то есть не становится ли отмена интернет транзакции более сложной и на кого перекладываются риски (Насколько я понимаю merchant перестает быть крайним)?

"Мерчант крайний ВСЕГДА!" - цитата из жизни. :-((( Теперь, ввиду снижения количества авторизаций (среди которых конечно есть % 60-70 с положительным ответом) из-за отказов эмитентов обрабатывать 3ДСЕКовый запрос!

[nick_st]

mCom
отказов эмитентов обрабатывать 3ДСЕКовый запрос!


Вообще-то есть перенос ответственности...

[brenda]

"Мерчант крайний ВСЕГДА!"

К три-д-сек не применимо. Виза сказала по таким транзакциям просто нельзя делать чачи. Посему риски перекладываются полностью на эмитента и держателя.

[mCom]

brenda
А я и не говорил о чарджбэках.
А если о них - то они будут всеравно (например недоставлен товар, или у Шермана проблемы).

[klos]

То есть, по сути, картхолдеру сейчас безопаснее не использовать VbV, раз отмена обычной Интернет транзакции сравнительно легка, а при использовании VbV на него вешают все риски (или высока вероятность стать крайним)?
P.S. А что за зверь Private Payments?

[mCom]

klos Хорошее замечание!!!
All
А что действительно прописано в договоре с банком (VbV эмитентом!) у кардхолдера про Инет платежи!!!???