Чиповые карты, получившие распространение в первой половине 90-х гг. в многочисленных банковских проектах, реализовывали идею предавторизованных карт. В качестве основного
технологического достоинства они обеспечивали авторизацию в режиме офлайн, благодаря чему требования к качеству, а иногда и наличию коммуникаций существенно снижались. Идея предавторизованных карт заключается в следующем. Вносимая клиентом в банк сумма денежных средств отражается на карточном счете, а также на карте как баланс доступных средств. При совершении операций (покупок или получения наличных средств) осуществляется проверка достаточности баланса, и в случае положительного результата проверки баланс на карте уменьшается на сумму выполненной операции. Информация об операциях сохраняется в платежных терминалах и передается в виде файлов транзакций в систему учета карт*(53), где поддерживаются карточные счета. Система учета карт, получая транзакции по каждой карте, отражает проведенные операции на карточных счетах, приводя в соответствие остатки на банковских карточных счетах и балансы, хранимые на картах.
"Рис. 4. Схема функционирования предавторизованных карт" Помимо офлайнового режима совершения операций еще одним безусловным достоинством предавторизованных карт является их безопасность. Карта допускает осуществление операции только после проверки ею ПИНа. В зависимости от того, является ли корректным представленный ей (в зашифрованном виде) ПИН, карта продолжит выполнение операции или прекратит его. Это означает, в частности, что при утрате карты ее держатель не потеряет своих средств, поскольку ПИН-код известен только ему. По прошествии некоторого времени со дня утраты карты банк, выпустивший карту и ведущий карточный счет, может выдать держателю остаток средств на счете или перевыпустить карту. Большая степень защищенности позволила использовать предавторизованные карты для записи на них крупных сумм и использования этого типа карт, в частности, в зарплатных проектах. В России начиная с 1993 г. реализованы более сотни проектов на базе чиповых карт. Практически все они поддерживали описанный механизм предавторизованных карт. К типу предавторизованных карт относятся и наиболее популярные в России карты "Золотая Корона" и "Сберкарт", а также карты, используемые в проектах на основе технологий SmartPay и DUET (U.E.P.S). Детали технологии отличались, но основные финансовые свойства были именно такими. Что касается базовых технологических отличий, то здесь заслуживает отдельного рассмотрения вопрос аутентификации*(54) карты. В большинстве проектов платежный терминал в модуле секретности хранил определенные ключи. Он предоставлял карте временный (сессионный) ключ для шифрования обмена информацией при совершении операции с картой. Карта формировала ответ, используя для этого ключи, как хранимые в ее секретной зоне, так и временный ключ, полученный от терминала. Терминал осуществлял дешифрацию полученного ответа с использованием сессионного ключа и сравнивал его с ожидаемым результатом. В случае соответствия полученного от карты ответа ожидаемому результату аутентификация карты признавалась успешной. Степень безопасности таких решений обусловливалась степенью безопасности терминалов. Большую популярность приобрел также проект, технология которого легла в основу карты Visa Horizon (первоначально Visa COPAC). В нем для аутентификации использовались две карты: клиента и продавца, которые обменивались шифрованными данными. Дешифрация их внутри микропроцессоров
позволяла картам осуществить взаимную проверку. Подобное взаимодействие затрагивало не только фазу аутентификации, но практически всю операцию. Платежный терминал, имеющий два картридера, играл роль передаточного звена между двумя картами. С точки зрения безопасности указанная технология представляется наиболее совершенной, однако при эксплуатации могут возникать неудобства, связанные с постоянной необходимостью присутствия карты продавца в платежном терминале. В первых реализациях данной технологии ей был присущ еще один минус: на карту продавца помещались все транзакции, т.е. данные по всем операциям, совершенным по картам покупателей в течение рабочего дня на данном терминале, что ограничивало возможность использования одной карты продавца. Оценивая практический опыт реализации чиповых проектов, необходимо отметить, что, хотя операции уменьшения баланса карты (составляющие большинство) выполняются в режиме офлайн, операции кредитования карты, т.е. ее пополнения деньгами, выполняются все же в режиме онлайн. Во многих проектах устройства, обеспечивающие кредитование балансов, хранимых на картах, были "узким местом" систем. Особенно страдали от этого зарплатные проекты: операций пополнения балансов карт было действительно меньше, чем платежных операций, но, поскольку операции кредитования имели массовый характер (после начисления зарплаты на картсчета), в ряде проектов они представляли серьезную проблему.
Ви переглядаєте статтю (реферат): «Предавторизованные карты» з дисципліни «Пластикові картки»
