10.2. Формы расчетов и методы платежей в электронной коммерции

Защита информации в электронных платежных системах

Одним из наиболее важных элементов электронной коммерции является наличие платежной системы, позволяющей пользователям оплатить произведенную покупку любым удобным для них способом. К платежным системам в Интернете предъявляются особенно жесткие требования по соблюдению конфиденциальности, сохранению целостности информации, аутентификации как со стороны продавца, так и покупателя. К этим требованиям добавляется также необходимость авторизации, которая позволит продавцу определить, располагает ли покупатель средствами для оплаты покупки и гарантии покупателю, что продавец компетентен и заслуживает доверия.

Для выполнения требований по конфиденциальности и аутентификации в Интернете используются методы шифрования информации, которые были рассмотрены выше, включая использование цифровой подписи и цифровых сертификатов для подтверждения надежности всех контрагентов.

Осуществление платежей в сети Интернет по сути представляет собой электронный аналог традиционных офлайновых платежей посредством наличных, чеков или кредитных карт. Платежные системы в Интернет можно разделить на кредитные, дебетовые или электронные чеки и системы, работающие с цифровыми наличными.

Кредитные системы

Кредитные системы — это аналог обычных систем с платежами, осуществляемыми с помощью кредитных карт: оплачивая покупкупокупатель доказывает продавцу свою платежеспособность, сообщая ему номер карты; продавец может проверить это и представить покупателю слип²¹, чтобы тот заверил его своей подписью. Затем продавец представляет слип в банк и получает деньги, а покупатель может проследить снятие денег со счета, изучив банковскую выписку. В последние годы широкую популярность приобрели банкоматы и автоматизированные торговые POS-терминалы (Point of Sale — оплата в точке продажи), при использовании которых нет необходимости в заполнении слипов: терминал позволяет считывать реквизиты карты, покупатель вводит свой PIN-код (Personal Identification Number — персональный идентификационный номер), и на клавиатуре терминала набирается сумма сделки.

Оплата покупки по кредитной карте в Интернете происходит аналогично, только с использованием дополнительных транзакций для передачи данных и с рядом дополнительных мер для обеспечения безопасности. Покупатель может направить продавцу незашифрованный номер своей кредитной карты или ее реквизиты, зашифрованные до проведения транзакций. Если покупатель пользуется электронным магазином и вносит номер кредитной карты в форму заказа, то данные на сервер продавца будут передаваться в открытом виде. При этом безопасность совершенно не гарантирована: информация может быть перехвачена, либо сам продавец может нелегально использовать незашифрованный номер карты для снятия с нее денег. Для того чтобы обезопасить подобный обмен, необходимо использовать браузер и сервер (электронный магазин), поддерживающие протокол шифрования SSL (см. далее).

В этом случае все данные будут защищены от несанкционированного доступа в сети Интернет, но защита не сервере продавца не обеспечивается. Для того чтобы защититься от недобросовестного продавца, который может использовать кредитную карту для несанкционированных покупок, разработаны специальные системы, использующие шифрование данных и цифровые подписи. Различные фирмы предлагают системы собственной разработки (наиболее известными являются CyberCash, Verifone), общим принципом функционирования которых является применение вспомогательного приложения для wеb-браузера, так называемого электронного бумажника (wallet), и передача зашифрованного номера кредитной карты на собственный сервер фирмы для аутентификации и подтверждения покупки. Другие системы, как, например, First Virtual, выдают пользователям персональный идентификатор (VirtualPIN), который они затем используют вместо номера кредитной карты; после получения информации о продаже от продавца этот идентификатор вновь преобразуется в номер кредитной карты для проведения окончательного расчета.

Еще одним способом, позволяющим покупателям избежать передачи данных кредитной карты через Интернет, является генерация одноразовых карт, такой способ предлагает компания Orbiscom. Банки — эмитенты одноразовых карт устанавливают у себя систему Orbiscom, а пользователи должны установить специальную программу, интерфейс которой выглядит как графическое изображение кредитной карты с чистой строкой вместо номера. Введя вчистую строку номер своей кредитной карты, пользователь получает уникальный номер, который затем и используется в электронном магазине вместо номера кредитной карты и действителен лишь на одну покупку.

Конечно, использование программного обеспечения различных разработчиков тормозит развитие единой системы платежей с помощью кредитных карт, поэтому требуется разработка единого стандарта, который позволит ввести единообразный способ провс дения платежных операций в Интернете. К настоящему времени работы в этом направлении продолжаются и уже действуют два стандарта, упрощающих применение электронного бумажника и осуществление платежей с помощью кредитных карт.

1. Первым является набор протоколов SET (Secure Electronic Transaction), предназначенных для использования в различных приложениях (например, web-браузерах). Этот набор протоколов обеспечивает использование цифровых сертификатов для идентификации всех сторон, участвующих в сделке купли-продажи, и шифрование информации о кредитной карте и покупке перед тем, как передать эту информацию в Интернет. Правила SET предусматривают первоначальное шифрование сообщения с использованием случайным образом сгенерированного симметричного ключа, который, в свою очередь, шифруется открытым ключом получателя сообщения, в результате чего образуется так называемый электронный конверт. Получатель сообщения может расшифровать этот конверт с помощью своего закрытого (секретного) ключа и получить таким образом секретный ключ отправителя, который затем используется для расшифровки присланного сообщения. Целостность информации и аутентификация участников обмена обеспечиваются использованием электронной цифровой подписи.

Многие компании интегрируют SET с другими технологиями для достижения максимальной конфиденциальности и безопасности совершения платежей. В настоящее время практически во всех крупных платежных системах Интернета предлагаются услуги с использованием протокола SET. К основным преимуществам использования SET для всех сторон сделки можно отнести следующие:

• продавец защищен от возможных покупок с помощью неавторизованной платежной карты и от отказа от покупки;

• банки защищены от необходимости осуществления платежей по покупкам с помощью неавторизованной карты;

• в случае перехвата номера кредитной карты или осуществления покупки у несуществующего продавца покупатели не пострадают.

К сожалению, протокол SET не получил всеобщего распространения, и компании электронной торговли, принимающие оплату по кредитным карточкам, вынуждены сталкиваться со сложностями, связанными с интеграцией конкурирующих технологий аутентификации покупателей. Ведущие компании — Visa International и MasterCard International, поддерживающие этот протокол с 1997 г., даже пришли к выводу, что он потерпел неудачу: при его использовании клиентам приходится терять время на длительную загрузку на свои компьютеры необходимых компонентов, в этой системе применяется не слишком удобная система цифровых сертификатов, интегрировать ее в системы продавцов и банков, эмитирующих кредитные карты, оказалось непросто.

В результате на рынке присутствуют технологии обеих компаний, основанные на существенно различных подходах. В схеме Verified by Visa аутентификация выполняется на узле продавца: владелец кредитной карты в процессе подписки на услуги аутентификации задает свой пароль, при покупке в электронном магазине у него запрашивается этот пароль, а банк-эмитент кредитной карты проводит верификацию пароля и передает продавцу уведомление о результате аутентификации вместе с параметрами платежа. Технология MasterCard Secure Payment Application предполагает, что аутентификация будет выполняться с помощью специального приложения: владелец карты задает пароль на сервере банка-эмитента и загружает с него на свой компьютер специальное приложение; работающая на сервере программа автоматически заполнит все стандартные поля заказа, а загруженное приложение генерирует код аутентификации; после этого клиент вводит свой пароль, а уведомление о результате аутентификации и параметры платежа передаются банку-эмитенту. В результате отсутствия единого стандарта и наличия разнородных технологий компаниям электронной торговли приходится поддерживать оба механизма аутентификации.

2. Вторым стандартом является JEPI (Joint Electronic Payment Initiative), также обеспечивающий стандартное взаимодействие сторон в процессе платежа. На стороне покупателя стандарт обеспечивает интерфейс, позволяющий web-браузеру и электронному бумажнику использовать различные протоколы платежей, а на стороне продавца он обеспечивает передачу поступающих транзакций соответствующему протоколу (например, SET). Этот стандарт удобен тем, что предоставляет возможность продавцу поддерживать различные платежные системы, предпочитаемые покупателем.

К основным недостаткам кредитных систем можно отнести необходимость проверки кредитоспособности клиента и авторизации карты, что повышает издержки на проведение транзакции и делает системы неприспособленными для осуществления микроплатежей (платежей на небольшие суммы). Для покупателя такие платежные системы также не всегда удобны, поскольку не все электронные магазины принимают оплату по кредитной карте, а сами покупатели часто опасаются передавать номер карты средствами Интернета.

В последнее время, когда взлом банковских информационных систем превратился в регулярный многомиллиардный бизнес, а кибератаки становятся все более изощренными, международные платежные системы VISA и MasterCard принимают дополнительные меры для защиты своих клиентов. Ими совместно разработан новый набор требований к безопасности данных — Payment Card Industry Data Security Standard (PCI DSS), т.е. стандарт защиты информации в индустрии платежных карт, призванный повысить защищенность этих платежных систем. PCI DSS объединяет разработанные VISA программы Account Information Security (AIS) и Cardholder Information Security Program (CISP), а также разработанную MasterCard программу Site Data Protection (SDP). Фактически это определенный набор требований по информационной безопасности, соблюдение которых должно свести к минимуму информационные риски, закрыть уязвимые бреши в компьютерных системах пользователей VISA и MasterCard и позволить сохранить значимую конфиденциальную информацию.

Действие PCI DSS распространяется на все торговые предприятия и на всех поставщиков услуг, подключенных к международным платежным системам VISA и MasterCard. Конкретный набор предъявляемых требований зависит от количества обрабатываемых компанией транзакций; для упрощения процедур проверки на соответствие стандарту каждому предприятию-пользователю присваивается соответствующий уровень. PCI DSS обязателен с 2005 г. для всех продавцов — пользователей международных платежных систем в Европе и Америке (в России пока действуют более мягкие условия).

Участниками стремительно развивающегося российского рынка процессинговых услуг являются государственные регулирующие органы (Банк России, МЭРТ, Минфин и др.), системы приема платежей и расчетов (ОСМП, Cyber Plat, E-port, «Рапида», «Элекснет», Auto-pay, Electro pay, Assist), системы цифровой наличности (Yandex.Деньги, WebMoney, RUPAY, PayCash, MK «Билайн», мобильный банк МТС, МК «МегаФон», E-gold), интернет-провайдеры, операторы сотовой связи, сервисные компании, кредитные организации и прочие заинтересованные в этом бизнесе фирмы.

Электронные чеки (дебетовые системы)

Бумажный чек представляет собой предписание покупателя банку перечислить деньги со своего счета на чей-то конкретный счет, которое покупатель вручает получателю платежа (продавцу). Продавец предъявляет чек в банк и получает деньги; после снятия денег со счета чек возвращается плательщику и может служить доказательством факта платежа.

Электронные чеки (дебетовые системы) представляют собой электронные эквиваленты бумажных чеков. Электронный чек также является указанием плательщика банку перечислить деньги и также выдается получателю платежа, который должен предъявить его в банк для получения денег. Ноу электронного чека есть важное преимущество: плательщик может обезопасить себя от мошенничества, зашифровав номер своего счета с помощью открытого ключа банка (и скрыв его таким образом от продавца). Со своей стороны, продавец с помощью цифровых сертификатов, как и при использовании протоколов SET, может провести аутентификацию плательщика и его банка.

Наиболее известные чековые системы разработаны консорциумом FSTC (Financial Services Technology Consortium) и компанией CyberCasch. Система компании CyberCasch является дополнением электронного бумажника для кредитных карт и может аналогично использоваться при проведении расчетов (за исключением обработки реквизитов чека — эта функция выполняется банком). Система корпорации FSTC, представляющей собой консорциум банков и клиринговых центров, предусматривает использование электронной цифровой подписи как при оформлении чека, так и при индоссировании (совершении передаточной надписи). Пользователь системы может применять чек как единый платежный инструмент, отвечающий требованиям различных продавцов. Планы корпорации предусматривают полную интеграцию систем межбанковских расчетов и системы платежей в Интернете.

Можно упомянуть также известные чековые системы NetCheque и NetChex. В системе NetCheque при открытии счета выпускается электронный документ, в котором содержится имя плательщика, название финансовой структуры, номер счета плательщика, название (имя) получателя платежа и сумма чека, основная часть информации не кодируется. Как и бумажный чек, NetCheque имеет электронный вариант подписи, подтверждающий, что чек исходит действительно от владельца счета. Прежде чем чек будет оплачен, он должен быть подтвержден электронной подписью получателя платежа.

Для пользователей электронные чеки являются достаточно удобным платежным средством, поскольку позволяют осуществлять различные виды платежей (при использовании системы FSTC), используя единый интерфейс, который сводит все финансовые транзакции в единую систему учета. Потребителю для осуществления платежей различных типов приходится иметь дело не с набором финансовых институтов, а только со своим банком.

Цифровые наличные деньги

Цифровой эквивалент наличных денег (digital cash, или e-cash) по сути также можно отнести к дебетовым системам. Цифровые деньги наиболее удобны, когда нужно перечислить по Интернету небольшую сумму денег в реальном времени. В настоящее время технологии цифровых денег являются небезупречными сточки зрения конфиденциальности, но многие эксперты высоко оценивают перспективы использования наличных денег в системах электронной коммерции.

Цифровые деньги представляют собой цепочку бит, которые банк «эмитирует», снимая со счета пользователя эквивалентную сумму. Прежде чем передать эмитированные цифровые деньги, называемые также купонами (token), банк заверяет каждый купон своей цифровой подписью. При необходимости оплатить покупку покупатель передает продавцу нужное количество купонов, продавец предъявляет их в банк, и после проверки купоны погашаются, а на счет продавца перечисляется соответствующая сумма. Для того чтобы каждый купон можно было потратить только однажды, в банке фиксируются серийные номера всех погашенных купонов, и при попытке вторично потратить купон (если его номер уже занесен в базу данных банка) банк информирует пользователя о том, что купон недействителен. Цифровые деньги могут храниться как на смарт-карте, так и на жестком диске пользователя.

Такая схема позволяет при необходимости проследить связь между конкретными электронными купюрами с определенными серийными номерами и их получателем, т.е. не обеспечивает конфиденциальности. Для пользователей, желающих сохранить анонимность, разработаны иные схемы, как, например, система DigiCash. Эти системы по существу аналогичны наличным деньгам и используют схему «слепой» подписи (blind signature), позволяющей получать в банке электронные наличные деньги таким образом, что впоследствии банк не сможет определить связь между конкретным пользователем и эмитированными купонами. Сначала клиент создает на своем компьютере электронные купюры, определяя их номинал и серийный номер, и заверяет их собственной цифровой подписью. Затем он посылает их в банк, который при поступлении реальных денег на счет подписывает эти купюры, зная только их номинал, и отправляет их обратно клиенту. При покупке клиент посылает купюры продавцу (причем продавец не получает никаких сведений о покупателе, но покупатель всегда может доказать, что покупку совершил он, так как только он знает серийные номера своих купюр). Продавец предъявляет их банку, банк проверяет подлинность предъявленных цифровых денег и производит соответствующее зачисление на счет продавца.

Известно несколько различных систем электронных денег (DigiCash, NetCash, CyberCash). Среди российских систем наиболее известными являются PayCash и WebMoney.

Финансовый сервис WebMoneyTransfer за период своего существования превратился из обычной платежной системы, привлекавшей прежде всего анонимностью платежей и многочисленными промо-акциями, в целую интернет-индустрию с более чем миллионом пользователей. К двум типам «кошельков», с которых начиналась работа системы (WMZ и WMR, долларовый и рублевый соответственно) добавились еще пять: WME (евро), WMU (украинские гривны), WMY (узбекские сумы), WM-C и WM-D (аналоги WMZ для кредитных операций). Способы ввода-вывода охватывают все известные методы дистанционных транзакций — от предоплаченных карт до банковского перевода, причем WebMoney удалось наладить сотрудничество со многими финансовыми организациями. В системе существует многоуровневая система аттестации, в зависимости от полноты персональной информации, предоставляемой участником для открытого доступа, он получает соответствующий WM-аттестат, играющий роль «сертификата доверия». Помимо упомянутого аттестационного сервиса, деньгами от WebMoney можно оплачивать различные услуги и покупки в интернет-магазинах, в рамках системы действуют такие службы, как арбитраж, банковский, почтовый и геоинформационный сервисы, «Капиталлер», траст и др. Также необходимо упомянуть о кредитной бирже, на которой одни владельцы WM-кошельков могут кредитовать других с последующим возвратом в срок и на условиях, назначенных кредитором. Биржа обеспечивает одновременность переводов кредитных средств и долговых обязательств, что значительно снижает финансовые риски сторон. В конце 2006 г. число регистраций в платежной системе WebMoney превысило 3 млн (речь в данном случае идет не о уникальных пользователях, а именно о регистрации, так как пользователи могут открывать по нескольку счетов для различных целей).

Ближайшим конкурентом WebMoney является совместный проект компании PayCash и поисковой системы «Яндекс» — «Яндекс.Деньги», которая за 2006 г. также выросла в два-три раза. Первоначально система была не слишком удобной, поскольку пользователям приходилось устанавливать ПО для «электронного кошелька» на свой компьютер, но в 2005 г. появился web-интерфейс. Пользователи могут пополнять счета как привычными методами, так и с помощью предоплаченных карт. Довольно существенным отличием проекта «Яндекс.Деньги» от остальных участников данного рынка является хранение данных о состоянии счета (т.е. фактически местонахождение «электронных денег») непосредственно на компьютере пользователя — данная технология характерна для всех проектов PayCash.

Обмен электронных валют позволяют производить электронные биржи, которые появились в том числе и в Рунете (российской зоне сети Интернет). Большинство таких ресурсов специализируется на финансах из WebMoney и «Яндекс.Деньги», самыми крупными являются MegaExchange.ru и Exlianger.ru, которые позволяют конвертировать российские электронные деньги в наличность зарубежных платежных систем. Наиболее распространен обмен на валюту E-gold. В соответствующих секциях Exchanger.ru (проект WebMoney) можно производить вывод WM-денег по денежным переводам Western Union и Contact. Среди особенностей Mega-Exchange необходимо отметить функцию вывода рублей системы «Яндекс.Деньги», а также всех валют WebMoney в доллары на счет в системе RuPay, рубли и доллары в Paymer и на карточные счета Visa и MasterCard. Существуют в Рунете и «классические» валютные биржи — в частности, на колебаниях кросс-курсов WM-валют предлагает работать система INDX.ru.

Системы электронных платежей постоянно развиваются. Так, в конце 2004 г. в Рунете появился новый финансовый сервис MoneyMail, реализующий интересную, но редко используемую на практике идею перевода денег посредством электронной почты. За рубежом такой вариант принят в работе платежной системы PayPal. Новый сервис является «гибридом» классической платежной системы и интернет-банкинга — кроме того, что пользователь может отправить деньги на любой e-mail (в том числе и адресату, не зарегистрированному в системе), MoneyMail также предлагает перечисление средств на счет в любом российском банке, проведение регулярных платежей, подключение к сервису кредитной карты для пополнения счета, совершения покупок в интернет-магазинах с более высокой степенью безопасности или обналичивания входящих переводов. Через MoneyMail можно даже оплатить услуги системы контекстной интернет-рекламы.

В 2005 г. было образовано ЗАО «Центр Интернет-Платежей», которое занимается внедрением в России американской технологии Оп-Line Card одноименной компании. Проект получил название INOCard. Оплачивать товары и услуги с помощью онлайн-карты (внешне похожей на обычную кредитную карту) можно после ввода четырехзначного PIN-кода. Пользователи INOCard имеют возможность пополнять счета в других платежных системах Рунета, а также совершать платежи за мобильную связь, доступ в Интернет и онлайн-игры.Компания Microsoft в 2007 г. начала разработку онлайновой платежной системы, которая позволит осуществлять микроплатежи дешевле, чем по обычным карточкам, что может поставить под угрозу онлайновые доходы международных платежных систем Visa и MasterCard. Предполагается, что эта система будет открыта для сторонних разработчиков, т.е. будут опубликованы программные интерфейсы.

Помимо банков, продавцы и другие посредники могут также эмитировать собственные электронные деньги (например, так называемые подарочные деньги — gift money, используемые для приобретения товаров в электронных магазинах). Для потребителя не очень удобным при использовании цифровой наличности является отсутствие возможности кредита и то, что сохранность цифровых денег, по сути, ничем не гарантирована: при выходе из строя жесткого диска компьютера или несанкционированного перехвата и расшифровки номеров электронной наличности нет никакой возможности вернуть утраченную сумму. Поскольку банк не связывает номера денег с именем клиента, он не может компенсировать потери клиента.

Но при всех недостатках цифровых денег, они имеют очень важное преимущество перед остальными платежными системами — возможность обеспечения микроплатежей. Поскольку номинал цифровых денег не связан с реально существующими монетами или купюрами, их можно использовать в качестве денег с самым маленьким номинальным достоинством, предназначенных только для оплаты товаров или услуг в Интернете. С учетом низкой стоимости транзакций продавцы могут предъявлять счета на небольшие суммы и даже с учетом уплаты комиссионных сборов (за совершенную транзакцию) получать прибыль. Цифровые микроденьги удобно использовать, например, на оплату биржевой информации, прогнозов погоды, новостей, аренды программного обеспечения, использования сетевых многопользовательских игр и т.п. К преимуществам цифровых денег можно также отнести то, что деньги «выпускаются в обращение» перед их использованием, и поэтому отпадает необходимость в аутентификации покупателя.

Конечно, электронные платежные системы пока только развиваются, и в электронных магазинах практикуются также и традиционные, не электронные формы оплаты: оплата наличными (курьеру при доставке товара), оплата банковским переводом, оплата наложенным платежом.

Описанные выше платежные системы в Интернет более пригодны для использования в рамках электронной коммерции по схеме Н2С. Платежи, осуществляемые по сделкам между крупными корпорациями, использующими схему электронной торговли В2В, часто осуществляются с использованием технологии электронного обмена данными (EDI) (см. гл. 7). Многие провайдеры предлагают компаниям доступ через Интернет к стандартным службам EDI, расположенным в их компьютерных центрах, избавляя компании от необходимости иметь собственное специализированное оборудование и программное обеспечение. Для повышения гибкости использования EDI в рамках краткосрочных сделок между компаниями разработан специальный набор спецификаций OpenEDI, призванный упростить формы EDI-транзакций и обеспечить возможность их использования в Интернете. Этот новый стандарт позволит организациям любых размеров обмениваться EDI-сообщениями через Интернет и, в частности, производить платежи. Для осуществления платежей специально предназначен стандарт FEDI (Financial EDI), обычно используемый в настоящее время банками и крупными компаниями. Поскольку стоимость операций в Интернете существенно ниже, чем в VAN-сетях, многие компании и финансовые организации проводят эксперименты с реализацией EDI-транзакций через Интернет²², хотя до настоящего времени у специалистов существуют достаточно обоснованные сомнения в надежности и устойчивости таких транзакций.