Технология 3D Secure

[Николай Шахов]

Коллеги, добрый день! Скажите, технология 3D Secure для клиента что-то стоит? Может быть есть банки, которые берут за это комиссию?

[GBX]

Коллеги, добрый день! Скажите, технология 3D Secure для клиента что-то стоит? Может быть есть банки, которые берут за это комиссию?

Для банка стоит, а уж переносить свои затраты на клиента, повышая тарифы или нет - дело самой КО.

[Николай Шахов]

Благодарю

[Николай Шахов]

В принципе банк может например увеличить стоимость обслуживания карты? или выпуска карты, при этом в тарифах как то не афишировать что мол за технологию платишь лишнее 100 руб?

[mandobass]

или выпуска карты, при этом в тарифах как то не афишировать что мол за технологию платишь лишнее 100 руб?

Почему не афишировать? Наоборот, рекламировать безопасный шоппинг в Интернете с использованием данной технологии.

Только ведь весь ваш "3D-Secure" на СМС-ках - туфта.
Настоящий 3D-Secure - это чиповая (гибридная) карта с САР-приложением и ридер для нее.

[TSprinter]

Только ведь весь ваш "3D-Secure" на СМС-ках - туфта.
Настоящий 3D-Secure - это чиповая (гибридная) карта с САР-приложением и ридер для нее.

Ну приехали :-)))
В механизм генерации кодов можно много чего заложить :-) да и в этом случае все бесплатно. А вот примочки аля калькулятор на карте, приставки и тд для генерации кодов стоят денег для держателей карт - так что дело в соотношении цена качество. А вот "хаканье" кодов 3D Secure слишком маловероятно (если 3D Secure по уму сделан) чтобы инвестировать в другие варианты...

[mandobass]

А вот "хаканье" кодов 3D Secure слишком маловероятно (если 3D Secure по уму сделан) чтобы инвестировать в другие варианты...

Ничего "хакать" не надо. Для того, чтобы воспользоваться "СМС-3D-Secure", достаточно отжать карту и мобилу.
А вот чтобы воспользоваться настоящим 3D-Secure, помимо отжатой карты надо знать ПИН-код САР-приложения (может совпадать или не совпадать с ПИН-кодом платежного приложения).

[TSprinter]

Как работают такие карты я в курсе :-)

настоящим 3D-Secure,

Так вот отжать и то и то сразу маловероятно - на то и расчет.
Целенаправленое "отжимание" это криминал. Если уж на то пошло то и ПИН легко "отжать" :-))) А отжатую карту сложно незаметить а следовательно она будет заблокирована держателем сразу же.
А вот потерять сразу и карту и мобилу мало кому удается.

Я это к тому что нет спроса на такие карты / ридеры.

[mandobass]

Я это к тому что нет спроса на такие карты / ридеры.

Спроса нет, потому что нет предложения.
Ни один российский банк не эмитирует чиповые (гибридные) карты с САР-приложением. Соответственно, нет нужды и в ридерах для них.
Вопрос, по какой цене российские банки могли бы предлагать клиентам-обладателям настоящих 3D-Secure карт 10-долларовые ридеры для них - оставим в сторонке.

[Иван Федотов]

mandobass, у нас пока и шопинга в интернете как такового нету, все еще развивается. Оплату сотового и покупку авиабилета в расчет не берем. Нету еще у покупателя доверия интернет-магазинам. Когда явление станет массовым, будет необходимость в более удобных и надежных технологиях дополнительных проверок.

[VMS]

Шопинга нет, а с 3D его не будет вообще. 66% отлупов дает это "3D". На кой черт магазинам вообще карты принимать с такой "безопасностью".

[Иван Федотов]

VMS, ПС следят за уровнем отказов со стороны эмитента по запросам ECI=6, и жестоко карает.

[VMS]

VMS, ПС следят за уровнем отказов со стороны эмитента по запросам ECI=6, и жестоко карает.

А при чем тут эмитент? До него даже не доходит. Карать людей что они не обновили (или наоборот обновили) браузер или что забыли пароль?

[TSprinter]

Я Вас не пойму. Большинство точек в России работает через сервис провайдеров и все они поддерживают 3D Secure. Так что я не пойму что за точки его НЕ поддерживают и почему их большинство?
Пароль приходит на телефон обычно - как его забыть то?!

[mandobass]

Карать людей что они не обновили (или наоборот обновили) браузер или что забыли пароль?

На стороне клиента ничего обновлять не нужно, так как 3D-Secure вообще не затрагивает клиентское оборудование/софт.

Клиент на веб-странице зл. магазина вводит реквизиты своей карты и нажимает кнопку "Оплатить". Далее запрос по цепочке мерчант-эквайрер-эмитент доходит до эмитента и эмитент по этой же цепочке возвращает URL веб-страницы эмитента, на которую должен перейти браузер клиента. Браузер клиента переходит на веб-страницу эмитента, на которой клиент должен ввести одноразовый пароль и нажать кнопку "Подтвердить". Этот введенный одноразовый пароль проверяется эмитентом, и если он верен, то эмитент одобряет транзакцию и передает авторизационный ответ обратно по цепочке эмитент-эквайрер-мерчант, а клиентский браузер возвращается на веб-страницу эл. магазина, подтверждающую покупку.

Затыки начинаются именно из-за того, что "левый" 3D-Secure построен не на САР-приложении карты клиента, а на СМС-ках, при помощи которых эмитент передает клиенту одноразовый пароль. Эти СМС-ки имеют свойство задерживаться или вообще теряться. Поэтому, выждав до таймаута ответ от клиента с введенным одноразовым паролем и не дождавшись его, эмитент отклоняет транзакцию.

[TSprinter]

Эти СМС-ки имеют свойство задерживаться или вообще теряться.

Может быть дело не в левом 3D Secure а в кривом СМС информировании в этом случае? :-) А это уже несколько серьезнее.
Честно у нас таких проблем не было вообще :-) и Ваши CAP-приложения нафиг никому не были нужны :-)))
Так что если отказов больше 66% то наверное дело не в технологии 3D Secure

[VMS]

Друзья, я вообще-то сам сервис провайдер, в стране где 100% 3Д, и то что я вам говорю, просто фактическая статистика. А СМС в качестве пароля в 3D очень сомнительное и в Европе не используется.

[Bald]

Поэтому, выждав до таймаута ответ от клиента с введенным одноразовым паролем и не дождавшись его, эмитент отклоняет транзакцию.

Нет, в этом случае эмитент сообщает о неуспешной аутентификации. А далее возможны варианты, иногда очень неожиданные.

[MS]

Друзья, я вообще-то сам сервис провайдер, в стране где 100% 3Д, и то что я вам говорю, просто фактическая статистика. А СМС в качестве пароля в 3D очень сомнительное и в Европе не используется.

Интересно, что используется в Европе?
Карта одноразовых паролей)))?

[VMS]

Интересно, что используется в Европе?
Карта одноразовых паролей)))?

В том числе.

[mandobass]

Нет, в этом случае эмитент сообщает о неуспешной аутентификации. А далее возможны варианты, иногда очень неожиданные.

А разве эмитент на авторизационный запрос эквайрера не должен ответить авторизационным ответом с кодом ошибки? Неуспешная верификация кардхолдера автоматически означает отклонение транзакции эмитентом. Эквайрер, конечно, может провести такую транзакцию, но на свой риск. В случае возникновения спора по данной транзакции эквайрер понесет финансовую ответственность.

По сути, 3D-Secure реализует онлайновую верификацию кардхолдера в CNP-транзакциях. И неуспешная верификация кардхолдера в CNP-транзакциях означает то же самое, что и неуспешная верификация кардхолдера в СР-транзакциях. Ведь никому не придет в голову одобрять СР-транзакцию с проваленной верификацией кардхолдера по ПИН-онлайн.

[Bald]

А разве эмитент на авторизационный запрос эквайрера не должен ответить авторизационным ответом с кодом ошибки?

Авторизационного запроса еще не было. Если эмитент сообщил о неуспешной аутентификации, торговая точка не имеет права проводить
авторизацию с 3DS. Однако, бывает, что после неуспешной аутентификации торговец проводит транзакцию не на свой риск, а с ECI 6.

[mandobass]

Да, мерчант может выставить авторизационный запрос с ECI 6. А эмитент может его отклонить.
Далее мерчант может проводить транзакцию только на свою ответственность.

[Bald]

mandobass,
Нет, не может, посмотрите Implementation Guide. Только ECI 7.

[mandobass]

Может, но "нерегулярно".
Правда, понятие "регулярности" МПС не раскрывают, поэтому на практике эмитенты отклоняют авторизационные запросы с ECI 6.
Или, как минимум, устанавливают лимит на величину транзакции, ниже которого могут одобрить, а выше - отклоняют.

[Bald]

mandobass,
Вы, очевидно, путаете аутентификацию и проверку enrollment. Да, если карта не участвует в сервисе, то может быть ECI 6,
но ECI 6 после PARes=N не лезет ни в какие ворота.

[mandobass]

Я говорю про PARes=A

[TSprinter]

Однако, бывает, что после неуспешной аутентификации торговец проводит транзакцию не на свой риск, а с ECI 6.

Что есть ECI? Это терминология Visa для 25 поля в 0120 сообщении или что?
Т.е. посылают эдвайс после неуспешной проверки 3D Secure? А точнее посылают его если ответ не получен... Или речь о трюках - как протолкнуть покупку? :-)
Не понимаю зачем это делать - можно же попробовать заслать запрос без 3D Secure :-) взяв риски по ChargeBack-ам на себя.
Или вообще заслать Offline :-))) если уж такие проблемы с 3D Secure (66% отказов)

Бред какой то.

ECI 6 после PARes=N не лезет ни в какие ворота.

А что за PARes?

[Magnum]

Коллеги,
а это в принципе защита на сколько процентов?
Что передового еще в мире пластика предлагают?

Может быть уже есть новые горизонты?
А мы все дружно одну технологию привязываем к своим системам.

[Николай Шахов]

Банк что-то платит в Visa за открытие проекта? Помимо платежей в свой процессинг за процессинговые услуги?