3D Secure

3D-Secure este un sistem antifraudă dezvoltat de Visa și MasterCard. Folosirea acestui sistem permite creșterea securității tranzacțiilor online, prin solicitarea unei parole la fiecare plată online. În caz de pierdere sau furt, cardul înrolat la 3D Secure, nu poate fi folosit de terțe persoane pentru cumpărături online. Se elimină astfel riscul fraudei prin copierea informațiilor de plată sau prin generarea aleatoare de numere de carduri și utilizarea lor ulterioară pe Internet. Prin folosirea acestui sistem de tranzacționare se așteaptă o reducere a disputelor din fraudele rezultate din tranzacțiile online cu cel puțin 80%.

Deținătorul cardului se poate orienta pentru cumpărături numai către site-urile care afișează logo-urile Verified by Visa sau Mastercard SecureCode. În aceste magazine virtuale, user-ul este solicitat să se autentifice la fiecare tranzacție păstrând astfel controlul asupra cumpărăturilor on-line.

Procesul de autentificare nu necesită instalarea vreunei aplicații speciale pe computerul clientului și nici nu îngreunează navigarea pe Internet și determină creșterea încrederii în aceasta modalitate de a cumpăra bunuri/servicii.

În conformitate cu recomandările VISA, toți acceptatorii de plați on-line pe Internet din regiunea CEMEA trebuiau să fie capabili să ofere sistemul 3DSecure de tranzacționare comercianților începând cu 1 aprilie 2003.

Funcționarea serviciului 3-D Secure implică efortul comun al băncilor emitente de carduri, al băncilor cu care posesorii magazinelor virtuale au încheiat contracte de acceptare la plată a cardurilor, al comercianților respectivi și al organizațiilor internaționale de carduri. Pe măsură ce tot mai multe magazine virtuale împreună cu băncile lor și tot mai multe bănci emitente de carduri aderă la acest serviciu, crește încrederea tuturor parților implicate în tranzacțiile pe Internet și implicit volumul acestora, scăzând concomitent riscul de fraudă.

3D Secure 2.0

În octombrie 2016, EMVCo a publicat specificația pentru 3-D Secure 2.0 pentru a se conforma cu reglementările UE privind „autentificarea puternică a clientului”. Această versiune permite trimiterea unui număr mai mare de date contextuale către emitentul cardului (cum ar fi adresa de corespondență și istoricul tranzacțiilor) pentru a verifica și evalua riscul tranzacției. Dacă tranzacția este considerată a fi de risc mare, clientul va fi solicitat să treacă printr-o provocare de autenficare.

Fluxul de lucru pentru autentificare este conceput astfel încât să nu mai fie necesare redirecționări către o pagină separată și poate activa autentificarea prin aplicația mobilă a instituției (care, la rândul ei, poate fi folosită și cu autentificarea biometrică).

Aspecte de bază

Conceptul de bază al protocolului este de a lega procesul de autorizare financiară de autentificarea online. Această autentificare suplimentară de securitate se bazează pe un model cu trei domenii (de unde și „3D” în nume). Cele trei domenii sunt:

• Domeniul comerciantului (banca și comerciantul căruia i se plătește suma),
• Domeniul emitentului (emitentul cardului),
• Domeniul de interoperabilitate (infrastructura oferită de schema de carduri, fie că este vorba de carduri de credit, debit, preplătite sau alte tipuri de carduri de plată, pentru a susține protocolul 3D Secure). Acesta include internetul, plugin-ul comerciantului, serverul de control al accesului și alți furnizori de software.

Protocolul utilizează mesaje XML trimise prin conexiuni SSL cu autentificare a clientului (acest lucru asigură autenticitatea ambelor părți, serverul și clientul, folosind certificate digitale). 3D Secure poate fi folosit cu parolă, cititoare de carduri smart sau tokenuri de securitate.

Serverul de control al accesului

În protocolul 3D Secure, ACS (serverul de control al accesului) se află pe partea emitentului cardului. În prezent, majoritatea emitenților de carduri externalizează serverele către părți terțe. De obicei, browserul web al cumpărătorului afișează numele de domeniu al furnizorului ACS, mai degrabă decât numele de domeniu al emitentului de card sau un nume specific de domeniu.

Comercianți

• Principalul avantaj pentru comercianți este reducerea numărului de tranzacții contestate ca fiind „neautorizate” (chargebacks).
• Comercianții trebuie să achiziționeze un plug-in pentru comercianți (Merchant Plug-In, MPI) pentru a se conecta la serverele de directori Visa sau MasterCard. Acest lucru implică costuri semnificative, incluzând o taxă de configurare, o taxă lunară și taxe per tranzacție.
• Utilizatorii pot considera pasul suplimentar de autenficare ca fiind un obstacol. Acesta duce la o pierdere de venituri pentru comercianți.

Cumpărători

În majoritatea implementărilor actuale ale 3-D Secure, emitentul cardului sau furnizorul său ACS cere cumpărătorului o parolă cunoscută doar de emitentul cardului.

• Parola suplimentară nu este stocată pe card, deci achizițiile online nu sunt permise nici dacă detaliile cardului sunt copiate.
• Se reduc riscurile de securitate pentru comercianții online deoarece aceștia nu capturează parola.