Про НСМЕП дуже мало інформації, як на платіжну систему. Час від часу на профільних форумах з'являється флейм з приводу доцільності системи (вже є Visa, MasterCard), наявності переваг та інші питання, які виникають внаслідок недостатньої кількості корисних даних про систему.
Для розробників робота з НСМЕП зводиться до підключення серверної частини до процессингу; специфікації роботи з карткою мають лише банки та організації, що увійшли до складу НСМЕП, що не додає їй публічності.
Отже, навіщо ще одна платіжна система?
Компанії Visa та Mastercard, картки яких складають левову частку ринку України здійснюють свою роботу не безкоштовно. З кожної транзакції сплачується певний відсоток на користь платіжних систем. Через це деякі компанії практикують встановлення підвищених цін при купівлі карткою. Більшість вже зрозуміла, що з електронними грошима люди купують більше, тому що немає фізичного відчуття грошей, не потрібно переживати про товщину гаманця. Тобто, разом зі сплатою коміссії, продавець отримує більшу суму середнього чеку. При чому тут НСМЕП? Вона позиціонується як дешевша альтернатива закордонним системам.
Для чого кардрідер?
Коротка відповідь - для попередження шахрайства.
Довга відповідь:
Платіжні картки пройшли кілька етапів. Спочатку було достатньо імпринтеру – картку клали під папір та знімали її номер (як олівцем малюнок монети переводять). Цю "систему" навіть зараз можна використовувати в Сполучених Штатах Америки. Потім отримувач платежу несе цей відбиток в банк і таким чином отримує гроші. В нашій країні імпринтерів майже нема (і за тими даними, які в мене є - ніхто ними не вміє та не бажає користуватися), через високий ризик шахрайства.
На картці треба було поставити свій підпис. Підпис та номер картки були єдиним захистом проти шахрайства. При транзакції продавець звіряв підпис на картці та чеку і вирішував, чи можна довіряти покупцеві.
Далі карткри отримали магнітну смугу. Дані на смузі ніяким чином не шифруються, тому зчитати інформацію зі смуги є дуже простою операцією (скіммер). Фактично на смузі знаходиться та сама інформація, що й на картці, але її використання дає змогу в автоматичному режимі зв'язуватися з банком-емітентом (через процессинг) та отримувати авторизацію на кошти. В такому випадку, якщо банк відмовляє через брак коштів, то про це відомо відразу.
Окрім відсутності шифрування, магнітну смугу можна розмагнітити (неодимовий магніт це може зробити дуже просто). В такому випадку картка втрачає можливість бути використаною у торгівельних мережах. Це і є однією з причин того, що картки видаються на певний термін. За 2-3 роки пластик стає зношеним та є ризик виникнення проблем з магнітною смугою.
CVV - Card Verification Code, код верифікації картки було введено для можливості порівняно-безпечного використання картки у мережі інтернет. Цей код частіше всього друкують на тильній стороні картки, біля поля з підписом. Цей код не є присутнім на магнітній смузі, тому зловмисники, маючи скан картки, можуть використовувати її тільки в торгівельній мережі та отримання готівки. Повертаючись до підпису, касир зобов'язаний перевіряти схожість підпису на картці та у чеку, але на практиці ця ступінь захисту у нас не працює.
До речі, американський Amazon не потребує вводу CVV при транзакціях американською карткою MasterCard, це необов'язковий тип захисту для закордонних магазинів. При цьому обов’язкове введення адреси, до якої прив’язана картка. Через нестандартизованість адрес в Україні наші банки не аналізують адресу зовсім.
Маючи фізично картку, або просто всі її дані (включаючи CVV), нічого більше не перешкоджає зловмисникам у розрахунках цією карткою в Інтернет, отриманню готівки в банкоматах або розрахунку в торгівельній мережі. Єдине - в банкоматах та у магазинах встановлюються камери спостереження, дані яких можна буде використати при зверненні клієнта стосовно втрачених грошей.
Деякі банки зробили обов'язковим введення PIN (Personal Identification Number - код персональної ідентифікації) для розрахунків в торгівельній мережі. Таким чином, окрім даних картки зловмисникам ще й потрібен PIN, який ніколи не повинен збергізатися разом з карткою. На жаль, такий метод ідентифікації клієнта теж має один недолік. Скімери, які встановлюються на банкомати, складаються як з магнітного зчитувача, так і з фальшивої пін-панелі. В деяких випадках втановлюється мікро-камера яка фіксує натискання клавіш пін-панелі. Після проведення операції створюється дублікат картки, і зловмисник вже може розраховуватися в торгівельній мережі з використанням PIN.
Йдемо далі. З'являються гібридні картки - з магнітною смугою та чіпом. На жаль, наявність чіпу хоч і створює видимість безпеки, але системи зворотньо-сумісні, і працюють наступним чином:
- Є чіп - використовується чіп
- Чіп відсутній або не відповідає - використовується магнітна смуга
- Магнітна смуга відсутня - використовується імпринтер
Знову достатньо даних магнітної смуги та PIN для проведення транзакцій. Чому роблять гібридні картки? Для того. щоб поступово привчити людей до чипованих карток і в майбутньому повністю відмовитися від магнітної смуги.
Чіп (як не дивно) містить дані про картку та спеціалізоване програмне забезпечення, яке дозволяє додатково шифрувати або підписувати транзакції. Так, під цими контактами знаходиться спеціалізований комп'ютер, що містить пам'ять, сховище даних, операційну систему з файлами та папками та спеціалізовані програми для шифрування даних. Починає ця машина працювати, коли картка вставлена в кардрідер та на неї подається напруга.
Операційна система на картці дозволяє розмежовувати доступ до даних і таким чином унеможливити отримання секретних ключів з картки. Це означає, що зробити дублікат чіпованої картки на даний момент не є можливим.
Повертаємося до НСМЕП.
Система НСМЕП була розроблена вже після того, як інші платіжні системи понаступали на граблі, що були описані вище. Вона не має магнітної смуги. Ії неможливо скопіювати і всі дані для авторизації транзакцій знаходяться всередині картки. Програмне забезпечення на комп'ютері спілкується з карткою, повідомляє їй дані транзакції і отримує їх вже підписаними секретним ключем. Для того, щоб комп'ютер і картка могли обмінюватися даними і існує кардрідер.
Насправді, електричний контакт не є єдиним методом доступу до картки. Існують специфікацї та готові картки, які використовують електромагнітне поле для живлення та передають дані по радіо (в безпосередній близькості до спеціального кардрідера). Прикладом таких систем можна назвати проїзні квитки в київському метрополітені а серед платіжних систем це MasterCard PayPass.
Поки безконтактних карток НСМЕП я не зустрічав.
