miniaturadeimagen|Mastercard Identity Check 3-D Secure es un protocolo basado en XML diseñado para ser una capa de seguridad adicional para transacciones de tarjetas de crédito y débito en línea. Originalmente fue desarrollado por Arcot Systems (ahora CA Technologies) y primero desplegado por Visa con la intención de mejorar la seguridad de los pagos por Internet, y se ofrece a los clientes bajo las marcas Verified by Visa/Visa Secure. Los servicios basados en el protocolo también han sido adoptados por Mastercard como Identity Check, Discover como ProtectBuy y por JCB International como J/Secure. American Express agregó 3-D Secure en mercados seleccionados el 8 de noviembre de 2010 como American Express SafeKey, y continúa lanzando mercados adicionales.
EMV 3-D Secure Three-Domain Secure (3DS) es un protocolo de mensajería desarrollado por EMVCo para permitir a los consumidores autenticarse con el emisor de su tarjeta al realizar transacciones con tarjeta no presente (CNP). La capa de seguridad adicional ayuda a evitar transacciones CNP no autorizadas y protege al comerciante de la exposición de CNP al fraude. Los tres dominios Secure consisten en el dominio del comerciante / adquirente, el dominio del emisor y el dominio de interoperabilidad (p. Ej. Sistemas de pago).https://www.emvco.com/emv-technologies/3d-secure/
El análisis de la primera versión del protocolo por parte de la academia ha demostrado que tiene muchos problemas de seguridad que afectan al consumidor, incluida una mayor superficie de phishing y un cambio de responsabilidad en el caso de pagos fraudulentos.
Descripción y aspectos básicos El concepto básico del protocolo es vincular el proceso de autorización financiera con la autenticación en línea. Esta autenticación de seguridad adicional se basa en un modelo de tres dominios (de ahí el 3-D en el nombre mismo). Los tres dominios son:
Dominio del adquirente (el banco y el comerciante al que se paga el dinero). Dominio del emisor (el banco que emitió la tarjeta que se está utilizando). Dominio de interoperabilidad (la infraestructura proporcionada por el esquema de tarjeta, crédito, débito, prepago u otro tipo de tarjeta de pago, para soportar el protocolo 3-D Secure). Incluye Internet, el complemento comercial, el servidor de control de acceso y otros proveedores de software.
El protocolo utiliza mensajes XML enviados a través de conexiones SSL con autenticación de clientehttp://people.sabanciuniv.edu/levi/cs432/xxspring%202008%20fsdfgsd/3D_Secure_Emre_Kaplan.pdf (esto garantiza la autenticidad de ambos pares, el servidor y el cliente, utilizando certificados digitales).
Una transacción que utilice Verified-by-Visa o SecureCode iniciará una redirección al sitio web del banco emisor de la tarjeta para autorizar la transacción. Cada emisor podría usar cualquier tipo de método de autenticación (el protocolo no cubre esto) pero, por lo general, se ingresa una contraseña vinculada a la tarjeta al realizar compras en línea. El protocolo Verified-by-Visa recomienda que la página de verificación del banco se cargue en una sesión de marco en línea. De esta manera, los sistemas del banco pueden ser responsables de la mayoría de las violaciones de seguridad. Hoy es fácil enviar una contraseña de un solo uso como parte de un mensaje de texto SMS a los teléfonos móviles y correos electrónicos de los usuarios para la autenticación, al menos durante la inscripción y para las contraseñas olvidadas.
La principal diferencia entre las implementaciones de Visa y Mastercard radica en el método para generar el UCAF (campo de autenticación del titular de la tarjeta universal): Mastercard usa AAV (Valor de autenticación del titular de la cuenta) y Visa usa CAVV (Valor de verificación de autenticación del titular de la tarjeta). miniaturadeimagen| Flujo 3-D Secure
Implementaciones Las especificaciones están actualmente en la versión 1.0.2. Las versiones anteriores 0.7 (solo utilizadas por Visa USA) y 1.0.1 han quedado obsoletas y ya no son compatibles. Mastercard y JCB han adoptado la versión 1.0.2 del protocolo solamente.
Para que un banco miembro de Visa o Mastercard use el servicio, el banco debe operar un software compatible que admita las últimas especificaciones de protocolo.
Proveedores de ACS En el protocolo 3-D Secure, el ACS (servidor de control de acceso) está en el lado del emisor (bancos). Actualmente, la mayoría de los bancos subcontratan el ACS a un tercero. Comúnmente, el navegador web del comprador muestra el nombre de dominio del proveedor de ACS, en lugar del nombre de dominio del banco; sin embargo, esto no es requerido por el protocolo. Dependiendo del proveedor de ACS, es posible especificar un nombre de dominio propiedad del banco para uso de ACS.
Proveedores de MPI Cada transacción de 3-D Secure versión 1 involucra dos pares de solicitud / respuesta de Internet: VEReq / VERes y PAReq / PARes. Visa y Mastercard no permiten que los comerciantes envíen solicitudes directamente a sus servidores. Los comerciantes deben utilizar en su lugar proveedores de MPI (merchant plug-in).
Comerciantes La ventaja para los comerciantes es la reducción de los contracargos por "transacciones no autorizadas". Una desventaja para los comerciantes es que tienen que contratar un merchant plug-in (MPI) para conectarse al servidor de directorio Visa o Mastercard. Esto es costoso (tarifa de instalación, tarifa mensual y tarifa por transacción); Al mismo tiempo, representa ingresos adicionales para los proveedores de MPI. Apoyar 3-D Secure es complicado y, a veces, crea fallas en las transacciones. Quizás la mayor desventaja para los comerciantes es que muchos usuarios ven el paso de autenticación adicional como una molestia u obstáculo, lo que resulta en un aumento sustancial en el abandono de transacciones y la pérdida de ingresos. This 2010 study documented increases in the number of abandoned transactions of 10% to 12% for merchants newly joining the program.
Compradores y titulares de tarjetas de crédito La intención detrás del sistema es reducir el riesgo de que las personas puedan usar las tarjetas de pago de otras personas de manera fraudulenta en Internet.
En la mayoría de las implementaciones actuales de 3-D Secure, el banco emisor o su proveedor ACS solicita al comprador una contraseña que solo el banco / proveedor ACS y el comprador conocen. Dado que el comerciante no conoce esta contraseña y no es responsable de capturarla, el banco emisor puede usarla como evidencia de que el comprador es efectivamente el titular de su tarjeta. Esto tiene la intención de ayudar a disminuir el riesgo de dos maneras:
Copiar los detalles de la tarjeta, ya sea escribiendo los números en la tarjeta o por medio de terminales o cajeros automáticos modificados, no da la posibilidad de comprar por Internet debido a la contraseña adicional, que no está almacenada ni escrita en la tarjeta . Dado que el comerciante no captura la contraseña, existe un menor riesgo de incidentes de seguridad en los comerciantes en línea; Si bien un incidente aún puede provocar que los piratas informáticos obtengan otros detalles de la tarjeta, no hay forma de que obtengan la contraseña asociada.
3-D Secure no requiere estrictamente el uso de autenticación de contraseña. Se dice que es posible para usarlo junto con lectores de tarjetas inteligentes, tokens de seguridad y similares. Estos tipos de dispositivos pueden proporcionar una mejor experiencia de usuario para los clientes, ya que liberan al comprador de tener que usar una contraseña segura. Algunos emisores ahora están utilizando dichos dispositivos como parte del Programa de autenticación de chip o los esquemas de autenticación de código de acceso dinámico.
Una desventaja significativa es que es probable que los titulares de tarjetas vean que su navegador se conecta a nombres de dominio desconocidos como resultado de las implementaciones de MPI de los proveedores y el uso de implementaciones de ACS subcontratadas por los bancos emisores, lo que podría facilitar la realización de ataques de phishing en los titulares de tarjetas.
American Express SafeKey American Express SafeKey está disponible en los siguientes mercados: Argelia, Australia, Austria, Baréin, Bangladés, China, Chipre, Egipto, Finlandia, Francia, Alemania, Grecia, Hong Kong, India, Irak, Italia, Japón, Jordania, Kenia, Kuwait, Líbano, Lesoto, Libia, Malasia, Mauritania, México, Mongolia, Marruecos, Namibia, Países Bajos, Nueva Zelanda, Omán, Perú, Filipinas, Catar, Rusia, San Marino, Singapur, Somalia, Sudáfrica, España, Sri Lanka, Suecia, Suiza, Tanzania, Túnez, Turquía, Emiratos Árabes Unidos, Uganda, Reino Unido, Ciudad del Vaticano, Vietnam, Yemen.
Crítica general
Verificabilidad de la identidad del sitio El sistema involucra una ventana emergente o un marco en línea que aparece durante el proceso de la transacción en línea, requiriendo que el titular de la tarjeta ingrese una contraseña que, si la transacción es legítima, el banco emisor de la tarjeta podrá autenticar. El problema para el titular de la tarjeta es determinar si la ventana emergente o el marco es realmente del emisor de su tarjeta, cuando podría ser de un sitio web fraudulento que intenta obtener los detalles del titular de la tarjeta. Tales ventanas emergentes o marcos basados en scripts carecen de acceso a cualquier certificado de seguridad, eliminando cualquier forma de confirmar las credenciales de la implementación de 3-DS.
El sistema Verified-by-Visa ha generado algunas críticas, ya que es difícil para los usuarios diferenciar entre la ventana emergente legítima Verified-by-Visa o el marco en línea, y un sitio de phishing fraudulento. Esto se debe a que la ventana emergente se sirve desde un dominio que:
No es el sitio donde el usuario está comprando No es el banco emisor de la tarjeta No es visa.com o mastercard.com
En algunos casos, los usuarios han confundido el sistema Verified-by-Visa con una estafa de phishing y se ha convertido en el objetivo de algunas estafas de phishing. La recomendación más reciente de usar un marco en línea (iframe) en lugar de una ventana emergente ha reducido la confusión del usuario, a costa de hacer que sea más difícil, si no imposible, que el usuario verifique que la página sea genuina en primer lugar. A partir de 2011, [necesita actualización] la mayoría de los navegadores web no proporcionan una forma de verificar el contenido de un iframe en el certificado de seguridad. Sin embargo, algunas de estas inquietudes sobre la validez del sitio para Verified-by-Visa se mitigan, ya que su implementación actual del proceso de inscripción requiere ingresar un mensaje personal que se muestra en las ventanas emergentes de Verified-by-Visa para brindar cierta seguridad al usuario las ventanas emergentes son genuinas.
Algunos emisores de tarjetas también usan la activación durante la compra (ADS), en la que los titulares de tarjetas que no están registrados en el esquema tienen la oportunidad de registrarse (o ser obligados a registrarse) durante el proceso de compra. Por lo general, esto los llevará a una forma en la que se espera que confirmen su identidad respondiendo preguntas de seguridad que el emisor de su tarjeta debe conocer. Una vez más, esto se hace dentro del iframe, donde no pueden verificar fácilmente el sitio al que están brindando esta información: un sitio agrietado o un comerciante ilegítimo podría reunir de esta manera todos los detalles que necesitan para hacerse pasar por el cliente.
La implementación de 3-D Secure a menudo no permite a un usuario continuar con una compra hasta que haya acordado registrarse en el protocolo y sus términos y condiciones, y de esta manera no ofrece ninguna forma alternativa de navegar fuera de la página que cerrarla, suspendiendo así la transacción.