3D Secure
3-D Secure és un protocol basat en XML dissenyat per a ser una capa de seguritat adicional per a transaccions de targetes de crèdit i dèbit en llínea. Originalment va ser desenrollat per Arcot Systems (ara CA Technologies) i primer desplegat[1] per Visa en l'intenció de millorar la seguritat dels pagaments per Internet, i s'oferix als clients baix les marques Verified by Visa/Visa Secure. Els servicis basats en el protocol també han segut adoptats per Mastercard com Identity Check, Discover com ProtectBuy[2] i per JCB International com a J/Secure. American Express va agregar 3-D Secure en mercats seleccionats el 8 de novembre de 2010 com American Express SafeKey, i continua llançant mercats adicionals.[3]
EMV 3-D Secure Three-Domain Secure (3DS) és un protocol de mensageria desenrollat per EMVCo per a permetre als consumidors autenticarse en l'emissor de la seua targeta en realisar transaccions en targeta no present (CNP). La capa de seguritat adicional ajuda a evitar transaccions CNP no autorisades i protegix al comerciant de l'exposició de CNP al frau. Els tres dominis Secure consistixen en el domini del comerciant / adquirent, el domini de l'emissor i el domini d'interoperabilitat (p. eix. Sistemes de pagament).[4]
L'anàlisis de la primera versió del protocol per part de l'acadèmia ha demostrat que té molts problemes de seguritat que afecten al consumidor, inclosa una major superfície de phishing i un canvi de responsabilitat en el cas de pagaments fraudulents.[5]
Descripció i aspectes bàsics
El concepte bàsic del protocol és vincular el procés d'autorisació financera en l'autenticació en llínea. Esta autenticació de seguritat adicional es basa en un model de tres dominis (d'ahí el 3-D en el nom mateix). Els tres dominis són:
- Domini del adquirent (el banc i el comerciant al que es paga els diners).
- Domini de l'emissor (el banc que va emetre la targeta que s'està utilisant).
- Domini d'interoperabilitat (l'infraestructura proporcionada per l'esquema de targeta, crèdit, dèbit, prepagament o un atre tipo de targeta de pagament, per a soportar el protocol 3-D Secure). Inclou Internet, el complement comercial, el servidor de control d'accés i atres proveïdors de software.
El protocol utilisa mensages XML enviats a través de conexions SSL en autenticació de client[6] (açò garantisa l'autenticitat d'abdós parells, el servidor i el client, utilisant certificats digitals).
Una transacció que utilise Verified-by-Visa o SecureCode iniciarà una redirecció al sitie web del banc emissor de la targeta per a autorisar la transacció. Cada emissor podria usar qualsevol tipo de método d'autenticació (el protocol no cobrix açò) pero, per lo general, s'ingressa una contrasenya vinculada a la targeta en realisar compres en llínea. El protocol Verified-by-Visa recomana que la pàgina de verificació del banc es carregue en una sessió de marc en llínea. D'esta manera, els sistemes del banc poden ser responsables de la majoria de les violacions de seguritat. Hui és fàcil enviar una contrasenya d'un sol us com a part d'un mensage de text SMS als teléfons mòvils i correus electrònics dels usuaris per a l'autenticació, a lo manco durant l'inscripció i per a les contrasenyes oblitats.
La principal diferència entre les implementacions de Visa i Mastercard radica en el método per a generar el UCAF (camp d'autenticació del titular de la targeta universal): Mastercard usa AAV (Valor d'autenticació del titular del conte) i Visa usa CAVV (Valor de verificació d'autenticació del titular de la targeta). Plantilla:Quina
Implementacions
Les especificacions estan actualment en la versió 1.0.2. Les versions anteriors 0.7 (solament utilisades per Visa USA) i 1.0.1 han quedat obsoletes i ya no són compatibles. Mastercard i JCB han adoptat la versió 1.0.2 del protocol solament.
Per a que un banc membre de Visa o Mastercard use el servici, el banc deu operar un software compatible que admeta les últimes especificacions de protocol.
Proveïdors de ACS
En el protocol 3-D Secure, el ACS (servidor de control d'accés) està en el costat de l'emissor (bancs). Actualment, la majoria dels bancs subcontracten el ACS a un tercer. Comunament, el navegador web del comprador mostra el nom de domini del proveïdor de ACS, en lloc del nom de domini del banc; no obstant, açò no és requerit pel protocol. Depenent del proveïdor de ACS, és possible especificar un nom de domini propietat del banc per a us de ACS.
Proveïdors de MPI
Cada transacció de 3-D Secure versió 1 involucra dos parells de solicitut / resposta d'Internet: VEReq / VERes i PAReq / PARes.[7] Visa i Mastercard no permeten que els comerciants envien solicituts directament als seus servidors. Els comerciants deuen utilisar en el seu lloc proveïdors de MPI (merchant plug-in).
Vore també
- Transacció electrònica segura (SET)
- Merchant plug-in (MPI)
Referències
- ↑ «Visa USA tightens security with Arcot». ZDnet.
- ↑ «ProtectBuy». discover.com. Archivat des d'el original, el 22 d'agost de 2019. Consultat el 4 de juny de 2020.
- ↑ «SafeKey». AmericanExpress.com. Archivat des d'el original, el 7 d'agost de 2011. Consultat el 11 d'agost de 2010.
- ↑ https://www.emvco.com/emv-technologies/3d-secure/
- ↑ «Verified by Visa and MasterCard SecureCode: or, How Not to Design Authentication».
- ↑ http://people.sabanciuniv.edu/levi/cs432/xxspring%202008%20fsdfgsd/3D_Secure_Emre_Kaplan.pdf
- ↑ «Verified by Visa Implementation Guide».
Referències
- Este artícul conté una traducció derivada de «3D Secure» de Wikipedia en castellà publicada baix la Llicència de documentació lliure de GNU i la Llicència Creative Commons Reconeiximent-CompartirIgual 4.0 Internacional.