Русский
Русский
English
Статистика
Реклама

Платежная система

Recovery mode Что безопаснее PIN Online или PIN Offline?

22.06.2020 20:08:04 | Автор: admin

С появлением на рынке микропроцессорных платежных карт наряду с хорошо и давно знакомым к этому времени методом для верификации держателя карты PIN Online, когда значение ПИН проверяется эмитентом карты на его хосте, начал повсеместно применяться метод PIN Offline.


Суть метода PIN Offline состоит в том, что эмитент карты делегирует проверку ПИН своей карте. Сама карта проверяет значение ПИН, введенного пользователем на терминальном устройстве, сравнивая его с референсным значением, защищенным образом хранимым в платежном приложении карты.

Несмотря на то, что оба метода верификации параллельно используются вот уже 15 лет, до сих пор иногда приходится слышать вопросы: какой метод обеспечивает более высокую безопасность при обработке операции- PIN Online или PIN Offline? И вообще- можно ли эмитенту (банку, выпустившему карту) обойтись только одним из указанных методов проверки ПИН? Например, методом PIN Online. Очевидно, с точки зрения эмитента этот метод проще метода PIN Offline при реализации процедур персонализации карты, изменения ПИН держателем карты, контроля лимита на число попыток ввода неверных значений ПИН, поскольку в этом случае перечисленные процедуры выполняются только на хосте эмитента и не требуют применения дополнительных действий на стороне платежного приложения карты.



Понятно, что приведенные выше вопросы могут задаваться людьми, знакомыми с карточными технологиями. Для обычного держателя карты оба метода его верификации неразличимы, и он может даже не знать об их существовании. Независимо от используемого метода держатель карты просто вводит на клавиатуре терминала значение ПИН, а уж каким образом этот ПИН потом проверяется, держателя карты мало интересует.


Проще всего ответить на вопрос о том, можно ли на практике обойтись одним методом верификации. Более универсальным для применения является метод PIN Online, который поддерживается практически всеми терминалами, обеспечивающими верификацию ПИН-кода. Исключение составляют терминалы, способные функционировать только в офлайновом режиме (Offline Only терминалы).


Заметим, что отказ от применения метода PIN Offline не приводит к отказу от использования офлайновых операций. Для офлайновых транзакций можно применять альтернативные методы верификации держателя карты- подпись и/или биометрическую верификацию (справедливости ради отметим, что биометрия на картах сегодня практически не используется).
Метод PIN-offline не применяется в банкоматах и в операциях с использованием бесконтактных карт может возникнуть ситуация, когда карта блокируется из-за превышения лимита неуспешных попыток ввода ПИН, а клиент об этом даже не знает. Кроме того, из-за необходимости шифрования ПИН-блока открытым ключом карты время выполнения операции существенно увеличивается, что плохо отражается на бесконтактных платежах, выполняемых в режиме Tap&Go. Поэтому обойтись только методом PIN Offline для обработки карточных транзакций не получается.


Может быть, имеет смысл ограничиться использованием метода PIN Online?
Мне, Igorgold, эта идея кажется плохой.


PIN Offline надежный инструмент для верификации держателя карты в офлайновых операциях и менять его на подпись (единственный альтернативный массово доступный метод верификации для офлайновых операций) заметная потеря уровня обеспечиваемой безопасности операции.

Таким образом, оба метода верификации держателя карты востребованы в карточных технологиях, и можно вернуться к первому вопросу: какой метод проверки ПИН обеспечивает более высокую безопасность карточной операции?


Как говорят математики, с точностью до величин второго порядка малости оба метода одинаково безопасны. Ниже мы как раз и поговорим об этих величинах второго порядка малости.

При использовании метода PIN Offline проверка ПИН делегируется эмитентом карте. В отличие от метода PIN Online, когда ПИН шифруется на банкомате/POS-терминале и в зашифрованном виде (после нескольких перешифрований на пути к хосту эмитента) попадает на проверку к эмитенту, в случае PIN Offline эмитент сам значение ПИН не проверяет и может пользоваться только информацией карты и терминала относительно результатов верификации держателя карты. Заметим, что этими данными эмитент может воспользоваться только в случае онлайновой авторизации операции. При офлайновой транзакции все решения по ее авторизации делегируются эмитентом своей карте (точнее платежному приложению на карте).


Ниже рассмотрим две угрозы, которые могут возникнуть при таком делегировании проверки ПИН, т.е. при использовании метода PIN Offline. Еще раз заметим, что речь пойдет об угрозах второго порядка малости. На практике реализация этих угроз не фиксировалась, и они носят в основном академический характер. Их внедрение слишком дорого и сложно в сравнении с другими известными методами мошенничества


Первая угроза связана с попыткой мошенника, у которого оказалась карта с неизвестным ему ПИН, обойти проверку ПИН. Для этого мошенник вживляет в карту специальный микропроцессор (т.н.wedge device), который с одной стороны подключен к контактной площадке карты, а с другой- работает с настоящим чипом карты, полностью контролируя APDU-команды терминала и ответы карты на эти команды (атака типа Man-in-the-Middle). В результате построенной конструкции все команды терминала попадают на чип карты через wedge device. Для проверки PIN Offline терминал передает карте команду Verify с зашифрованным значением ПИН, которая попадает на wedge device. Значение ПИН вводится мошенником, а потому с высокой вероятностью оно не совпадает (мошенник не знает значение ПИН) с референсным значением, хранимым на карте.


Далее мы покажем, что на правильной карте, каковой является, например, карта Мир, обойти проверку ПИН возможно только по решению эмитента, готовому взять на себя риски, связанные с отсутствием проверки ПИН или даже со знанием факта о проваленной проверке PIN Offline. Я не стану здесь утруждать читателя номерами байт и бит используемых для этого объектов данных и терминала, а также детальным описанием выполняемых картой проверок.


Для понимания дальнейшего читателю понадобится минимальное знание о следующих объектах данных:
Card Verification Results (CVR) объект данных карты, в том числе фиксирующий факт проверки картой PIN Offline, а также результат проверки PIN Offline (успешная/неуспешная). Кроме того, объект CVR содержит 4 младших бита двоичного представления количества доступных держателю карты проверок PIN Offline;
Terminal Verification Results объект данных терминала, в том числе указывающий на результат верификации держателя карты, факт использования метода PIN Online при обработке транзакции и факт превышения лимита на ввод неверных значений ПИН;
CVM Results объект данных терминала, указывающий на способ верификации держателя карты (например, PIN Offline, PIN Online, Подпись, No CVM) и результат верификации.


Все перечисленные объекты данных попадают к эмитенту в авторизационном запросе и используются им при принятии решения по авторизации транзакции.


Отметим, что ключевую роль в предотвращении атаки по обходу проверки PIN Offline играет также ряд специальных проверок, выполняемых на стороне карты, и поддержка картой метода комбинированной офлайновой аутентификации карты CDA.


Метод CDA обеспечивает целостность данных, передаваемых карте в командах терминала AC и данных, возвращаемых картой терминалу в ответе на команду Generate AC (команда, требующая у карты решения по способу продолжения обработки операции и криптограмму (криптографическую подпись) данных транзакции и терминала, на котором транзакция была инициирована).


Далее, в зависимости от злонамеренного поведения устройства wedge device, возможны следующие случаи.


Случай 1. Устройство wedge device не меняет содержание команды Verify, проверка PIN Offline оказывается проваленной. Этот факт будет зафиксирован в объекте CVR и CVM Result, и эмитент карты вряд ли решится в этом случае авторизовать транзакцию на существенную сумму. Чаще всего в подобных случаях эмитент транзакцию отклоняет независимо от размера транзакции.
Поэтому во всех описанных далее случаях wedge device пытается изменить диалог терминала с картой с тем, чтобы обмануть эмитента и не продемонстрировать ему факта незнания держателем карты ПИН.


Случай 2. Устройство wedge device на команду Verify отвечает терминалу подтверждением факта успешной проверки ПИН и не передает команду карте. После этого возможны варианты a-c, описанные ниже.


2a. Команда Generate AC не содержит объекта CVM Results (для карты Мир этот объект является обязательным). В этом случае карта на основании того, что проверка PIN Offline не выполнялась, формирует криптограмму ARQC, требующую обработки операции в онлайновом режиме, или криптограмму ААС (отклонение операции) в случае, если терминал имеет тип Offline only (функционирует только в офлайновом режиме).
Эмитент, получив авторизационный запрос, сравнивает флаги CVR (PIN Offline not performed) и CVM Results (PIN offline successful) и из-за противоречия данных в этих объектах отклоняет транзакцию.


2b. Команда Generate AC содержит CVM Results, и wedge device передает его карте без искажения (PIN offline successful).
Карта фиксирует противоречие с данными CVM Results (терминал ошибочно считает проверку PIN offline успешной) и либо отклоняет операцию в случае Offline Only терминала, либо отправляет авторизационный запрос эмитенту на его решение. Эмитент на основании своих процедур управления рисками принимает решение. Конечно, учитываются данные карты PIN Offline not Performed и того, что была попытка обмануть карту при принятии ею решения.


2с. Команда Generate AC содержит CVM Results, и wedge device передает этот объект данных на карту измененным (например, указывает в нем в качестве метода верификации держателя карты Подпись).


Если карта поддерживает CDA (карта Мир всегда поддерживает метод CDA), то терминал отклонит операцию в офлайновом режиме, поскольку объект CVM Results был изменен, и это обнаружится после расшифрования подписанных картой данных.


Если CDA не поддерживается, то операция уйдет эмитенту или будет отклонена в офлайновом режиме для терминалов типа Offline Only. Здесь имеет место полная аналогия с п.2a.


Случай 3. Устройство wedge device сообщает терминалу в ответ на команду Get Data с указанием тэга объекта PIN Try Counter (9F17) о том, что PIN Try Limit Exceeded. Команда Get Data всегда используется терминалом до начала проверки PIN Offline, чтобы узнать о возможности проведения этой проверки- если PIN Try Limit превышен, выполнение проверки PIN Offline невозможно и не проводится.


Карта должна ответить отказом из-за противоречия в данных объектов TVR (PIN Try Limit Exceeded) и CVR (PIN Try Counter не равен 0).


Изменить значение TVR устройство wedge device не может, так как при попытке это сделать либо провалится CDA (если карта поддерживает CDA, как в случае карты Мир), либо неуспешно завершится проверка ARQC на стороне эмитента, если карта CDA не поддерживает.


Случай 4. Устройство wedge device посылает карте серию команд Verify с неверным значением ПИН, пока в ответ на команду Get Data не получит в ответ PIN Try Limit Exceeded.


В этом случае карта потребует выполнения онлайновой авторизации эмитентом. Честно говоря, шансы на одобрение транзакции эмитентом в этом случае не намного выше, чем в случае, когда провалилась проверка PIN Offline. Но теоретически при обработке операции на незначительную сумму такое событие может произойти.


Обобщая сказанное выше, в некоторых случаях мошенник имеет шанс обойти проверку PIN Offline, хотя потери эмитента при его разумном поведении будут весьма умеренными.

Другой способ обойти проверку PIN Offline использование виртуального клонирования карты. Суть этой схемы мошенничества состоит в следующем.


Мошенники контролируют терминал в некотором торгово-сервисном предприятии (например, ресторане). Кроме того, они изготавливают специальную микропроцессорную карту, имеющую стандартный контактный интерфейс ISO 7816 и радиоинтерфейс, функционирующий в соответствии с одним из коммуникационных протоколов, обеспечивающих связь на расстоянии от нескольких десятков сантиметров до нескольких метров (например, ISO 15693, ISO 18000). С помощью такого радиоинтерфейса карта может обмениваться данными со специальным оборудованием, которое помимо поддержки связи с картой обеспечивает организацию удаленного радиоканала (например, в соответствии с протоколом Wi-Max (IEEE 802.16), см. рис.1) с контролируемым мошенниками терминалом.


Мошенник, вооружившись описанными выше картой и специальным оборудованием, приходит, например, в ювелирный магазин и выбирает там украшение стоимостью 200 000 рублей. В это время в ресторане завершает обед ничего не подозревающий держатель карты, которую он предъявляет официанту для оплаты обеда стоимостью 200 рублей. Официант является сообщником нашего любителя ювелирных украшений. Он звонит ему и предупреждает, что у него в руках действующая карта посетителя.


Дальше мошенники действуют следующим слаженным образом. Мошенник-официант вставляет карту посетителя в контролируемый мошенниками терминал и вводит в терминал стоимость обеда. В это же время мошенник в ювелирном магазине передает кассиру для оплаты украшения свою поддельную карту, которую кассир вставляет в настоящий терминал. Далее все команды терминала, установленного в ювелирном магазине, через карту мошенника, его специальное оборудование и мошеннический терминал транслируются реальной карте пообедавшего в ресторане господина. При этом ответы реальной карты на команды реального терминала по тому же маршруту, но в обратном направлении возвращаются реальному терминалу.


При этом некоторые команды требуют преобразования содержащихся в них данных. Например, если реальная карта требует выполнения проверки ПИН, то мошенник в ювелирном магазине введет на терминале произвольную последовательность. После того, как команда VERIFY от реального терминала будет транслирована на мошеннический терминал, теперь уже этот терминал затребует ПИН у посетителя ресторана, который введет его на мошенническом терминале. Далее мошеннический терминал передаст реальной карте команду VERIFY со значением ПИН ее держателя, а ответ карты будет передан реальному терминалу в ювелирном магазине. Важно отметить, что команду VERIFY с правильным значением ПИН необходимо довести до карты, чтобы факт проверки PIN Offline был зафиксирован в объекте CVR, предназначенном для эмитента.


Очевидно, что даже онлайновая авторизация операции не помешает успешному выполнению операции по описанной выше схеме. В этом случае в ответ на команду GENERATE AC реального терминала реальная карта сгенерирует криптограмму ARQC, которая будет возвращена терминалу ювелирного магазина и далее передана на хост эмитента. Наоборот, ответ эмитента, содержащий Issuer Authentication Data, будет транслирован реальной карте, вставленной в мошеннический терминал.


В результате операция может закончиться печально для посетителя ресторана и ювелирного магазина. Банковский счет посетителя может уменьшиться на 200 000 рублей. При этом посетитель ресторана получит чек на стоимость обеда и, вероятнее всего, будет находиться в неведении о случившемся до получения справки о состоянии своего банковского счета или SMS-уведомления от эмитента о выполненной мошенником онлайновой операции. Более того, возможно сделать так, что и на чеке, выданном мошеннику в ювелирном магазине, будет красоваться часть номера его карты, так что бдительный продавец ювелирного магазина и здесь не увидит проблем с безопасностью операции.


Не станем останавливаться на том, чем закончится диспут, инициированный держателем карты по случаю его обмана. Отметим только, что если за терминалом в ресторане вообще не стоит обслуживающий банк, то формально ни ювелирный магазин вместе с его банком, ни держатель карты вместе с его эмитентом ни в чем не виноваты. Все стороны действовали в соответствии с правилами ПС. На лицо недостаток используемой технологии EMV- в данном случае не хватает аутентификации терминала картой.



Рис.1. Виртуальное клонирование карты


Очевидно, что приведенная выше схема не работает в случае применения метода PIN Online. Если проанализировать описанное выше мошенничество, то станет ясно, что оно оказалось возможным из-за отсутствия прямого взаимодействия (диалога) держателя карты и карты. Между держателем и картой стоит посредник в виде терминала, способный исказить информацию об операции таким образом, что держатель карты в процессе обработки операции этого искажения не увидит. Этот посредник, помимо прочего, может и украсть важную информацию карты, включая ПИН ее держателя.


Следует заметить, что метод офлайновой аутентификации CDA для борьбы с искажением данных терминалом не помогает, поскольку он обеспечивает целостность информации, отправленной терминалом карте, но не верифицирует эти данные. Также понятно, что криптограмма является средством доказательства факта выполнения держателем карты операции с точностью до степени доверия к терминалу- карта подписывает данные, предоставленные ей все тем же терминалом.


Таким образом, если говорить о величинах второго порядка малости, то метод PIN Online является более безопасным с точки зрения транзакционной безопасности.

Тем не менее, в заключение все-таки хочется сказать несколько слов в поддержку метода PIN Offline. Оказывается, что если для проверки ПИН методом PIN Online эмитент применяет метод Visa PVV (самый распространенный на практике случай), то вероятность угадать правильный ПИН карты у мошенника выше аналогичной вероятности при использовании метода PIN Offline.


Ниже будем рассматривать ПИН-коды длиной 4 цифры. Обозначим через N и M-соответственно мощности множеств всех возможных значений ПИН и PVV соответственно. Очевидно, N=M=10^4. Кроме того, обозначим p=1/M=10^(-4) и q=1-p.


Очевидно, что вероятность того, что значению PVV карты соответствует ровно k значений различных ПИН (очевидно, это количество ПИН является случайной величиной, которую мы обозначим через ) равна
P{=k1}=(P{=k})/(P{1})=(C_N^k p^k q^(N-k))/(1-q^N ), откуда вероятность угадать ПИН за одну попытку равна p/(1-q^N )p(1+q^N)1,36810^(-4).


При использовании метода PIN Offline вероятность с помощью m попыток угадать ПИН равна mp=m10^(-4), а при применении PIN Online эта вероятность приблизительно равна mp(1+q^N)=1,36810^(-4)m, т.е. на 0.0368% выше, чем в методе PIN Offline. Это, конечно, смешное увеличение вероятности компрометации ПИН, но тем не менее к величине второго порядка малости его вполне можно отнести.

Подробнее..

Из песочницы Как работать с платёжной системой чтобы не закрыли счет?

19.09.2020 18:15:27 | Автор: admin
Платёжные системы стали активным участником рынка личных и корпоративных счетов. Они предлагают аналогичный банковскому сервис. В некоторых случаях качество обслуживания выше, процессы идут быстрее и стоят дешевле.

Но всё равно счета иногда закрывают. Почему это происходит и как этого избежать?

В этом материале будет:

  • Несколько реальных кейсов для понимания ситуации в целом;
  • Причины закрытия счетов в платёжных системах;
  • Принцип работы с платёжными системами, который позволяет снизить риск заморозки и закрытия счета.



Как и за что закрывают счета в платёжных системах


Рассмотрим три кейса из нашей практики, которые покажут с какой лёгкостью могут закрыть счета некоторые платёжные системы. Для безопасности мы не станем писать названия этих платёжных систем, но скорее всего вы догадаетесь, о каких из них идёт речь чаще всего на слуху именно популярные платёжные системы.

Кейс 1: закрыли счет и отослали всю криптовалюту


Известная платёжная система или даже необанк. Зарегистрирована в Европе. Позволяет открывать личные и корпоративные счета, конвертировать валюту без комиссии, снимать деньги с карты, торговать криптовалютой и даже покупать акции.

Жалобы на то, что замораживают/закрывают счета приходят постоянно, почти всегда без объяснения причины. Добиться пояснений, впрочем, как и возврата денег крайне тяжело. Ожидание может затягиваться на несколько месяцев.

Свежий случай от нашего клиента: закрыли счет, без пояснений. Средства на счету были, в том числе в криптовалюте. По последним вышло хуже всего: платёжная система отправила все активы обратно на криптовалютную биржу.

Иными словами, распорядилась по своему усмотрению чужими средствами, не спрашивая мнения владельца.

Аналогично действовали латвийские банки в 2018 году, когда клиенты из России, Украины, Казахстана и иных вдруг стали неблагонадёжными. Вкладчики даже подавали заявление в суд в связи с нарушением договора и сроков уведомления.

В этом случае с платёжной системой всё ещё не ясно, как вернуть заблокированные и высланные средства, но человек уже открывает счет в новом месте.

Кейс 2: заморозка счета раз в неделю


Другая платёжная система, Литва, популярна у предпринимателей со всего мира, в том числе из России. Компания-клиент работает в ЕС, но бизнес считается рискованным.

Открыть счет оказалось действительно просто: заполнить анкеты, предоставить документы в режиме онлайн, идентификация и вперёд. Неделю или даже две всё было гладко и легко: сделки проходили, клиенты платили, зарплаты сотрудникам начислялись.

А потом счет резко заморозили. Почему? На выяснение ушёл почти весь день, поскольку поддержка реагировала медленно. Оказалось, что сработала автоматическая система, которая заподозрила нетипичную сделку и подняла так называемый красный флаг. Менеджеры платёжной системы разобрались и счет активировали вновь.

Дня на три ситуация улучшилась, а потом случился очередной сбой и заморозка. В течение нескольких недель счет постоянно блокировали вместе со всеми средствами. Подвисали сделки, тратились нервы.

Платёжная система, несмотря на активную рекламную кампанию и заверения в открытости всем, с рискованным бизнесом работала совершенно непредсказуемо.

В итоге владельцам бизнеса всё это надоело, они отправились на поиски адекватных решений. Обратились к нам и смогли открыть счет сначала в платёжной системе, которая ориентирована на работу не только с рискованными клиентами в Европе, но и с оффшорами. А спустя время подготовили документы, прошли дотошную проверку и открыли счет в банке.



Кейс 3: рост продаж, как причина для закрытия счета


Следующий пример: небольшой интернет-бизнес, продажа видеокурсов. Владелец тестировал ниши какое-то время и обороты были совсем небольшими. Подключил популярную западную платёжную систему с возможностью процессинга карт.

Полгода всё шло замечательно, скромные суммы приходили на счет платёжной системе, выводились на банковский счет без каких-либо вопросов.

На шестой месяц владелец подобрал подходящий товар, запустил серьёзную рекламную кампанию и привлёк в несколько раз больше клиентов на относительно дорого продукт. Приход на счет платёжной системы вырос примерно в 20 раз.

Через неделю счет заморозили на вывод и прислали уведомление: подозрительная деятельность. Потребовали предоставить документы, объяснить вид деятельности, показать другие счета компании. Владелец решил действовать самостоятельно, предоставил документы и пояснения по бизнесу так, как сам видел.

Он оказался неправ: платёжная система посчитала его деятельность рискованной, заморозила счет, запретила приём платежей. Единственная хорошая новость была в том, что средства обещали выслать на банковский счет в течение 120 дней, если не возникнет требований на возврат со стороны клиентов. В этом случае срок будет продлён ещё на 90 дней.

В итоге деньги вернули, но счет пришлось открывать в новом месте и уже после консультации со специалистами.

Почему закрывают счета в платёжных системах?


Мы выделяем несколько глобальных причин, почему популярные платёжные системы закрывают счета клиентам:

  1. Ориентация на широкий рынок на практике это означает, что более или менее беспроблемно могут работать только очень простые и понятные бизнесы. Причём, опять же исходя из практики, речь идёт об относительно небольших компаниях или уже о гигантах, с которыми работают отдельные менеджеры. Если же вы хотя бы немного выбиваетесь из образа идеального клиента, то счет могут закрыть в любой момент без особых пояснений. В таких платёжных системах зачастую работает принцип быстро открыл быстро закрыл.
  2. Несоответствие вида деятельности даже если вы выбрали не самую известную платёжную систему, нужно чётко понимать: а с каким типом клиентов она работает? Например, есть платёжные системы, которые с радостью принимают IT-компании и даже fintech-стартапы, готовы с ними разбираться. Есть опыт и понимание. А есть те платёжные системы, которые увидят в цели платежа какое-нибудь невинное VPN и заблокируют перевод.
  3. Уровень риска. Чем ниже риск в вашем бизнесе, тем больше выбор платёжных систем. Но и рискованные компании открывают счета. Однако здесь нужно быть очень внимательными. Как минимум потому, что некоторые банки и платёжные системы могут резко поменять отношения к тому или иному виду деятельности: сегодня криптовалюта конечно, приходите, а завтра нет или даже мы такое никогда не предлагали!
  4. Оценка постфактум. В банках компанию и её деятельность оценивают до того, как примут в ряды клиентов. В серьёзных эксклюзивных платёжных системах тоже. Это нужно именно для того, чтобы понимать, куда двинется бизнес и чего от него ждать. Иначе вдруг окажется, что у компании растёт прибыль, платёжная система этого не предвидела, а значит случилось что-то нелегальное. Решение блокировка! А бизнесу это точно не нужно ему нужна предсказуемость в долгосрочной, ну, или хотя бы среднесрочной перспективе.

Хуже всего, когда счета не просто закрывают, а когда средства замораживают на неопределённый срок, когда техподдержка не даёт ответов или вообще распоряжается средствами по своему усмотрению. Это произвол, с которым приходится смириться в конкретный момент на обычных человека или компанию в популярных массовых платёжных системах зачастую нет времени и ресурсов.

Однако не нужно мириться в целом! Давайте разберёмся, как и что нужно сделать, чтобы счет сохранили и дали спокойно работать.



Как работать с платёжной системой, чтобы счет не закрывали


Процесс можно разделить на условных два этапа: подбор подходящей платёжной системы и повседневная работа с ней.

Подбор платёжной системы


Множество проблем, с которыми сталкиваются предприниматели, открывшие счет в платёжной системе, связано в первую очередь с неверным подбором инструмента.
На что следует обращать внимание?

  • На виды деятельности, с которыми работает система и подходите ли вы под них например, вы поставляете лекарства, но такой бизнес не обслуживается;
  • Виды и условия транзакций, которые допускает система: покупка криптовалюты, перевод на банковский счет, перевод в конкретную страну, сумма перевода и так далее;
  • Предварительная проверка: лучше уж вас и вашу компанию изучат на старте, нежели потом станут мучить постоянными проверками и блокировками в процессе;
  • Комиссии: популярная платёжная система может быть очень популярной, но если она предлагает ужасный курс для конвертации валют (например, посмотрите какие курсы в PayPal), высокие сборы за вывод средств, то возможно стоит поискать альтернативы.

Где искать альтернативы? Можно использовать поисковые системы, но они покажут далеко не всех. Некоторые очень интересные платформы вообще не продвигаются стандартными маркетинговыми путями и принимают клиентов, например, только по приглашению.

К тому же, если вы найдёте интересное решение, не факт, что узнаете все нюансы. Например, сообщение о возможности работать с оффшорами практически никогда не выносится на главную страницу и сообщается только в личной беседе. Разумеется, рассылка писем с вопросом о скрытых возможностях будет долгим процессом.

Решение задачи использовать услуги профессионалов и подобрать платёжную систему вместе с ними. Во многих случаях услуга подбора бесплатная.

Как это делается? Вы отвечаете на перечень вопросов, в том числе о типе бизнеса, об основных партнёрах, стране регистрации компании и стране проживания клиентов, планируемых оборотах и так далее. Основываясь на этой информации, эксперт предложит перечень платёжных систем, которые максимально подходят именно вам.

При желании он же представит вас, поможет подготовить документы и открыть счет.

Очень приятно, что платёжные системы почти всегда открывают счета удалённо без необходимости личного визита. Хотя собеседование через мессенджеры может потребоваться.

Далее вы подготавливаете документы, отправляете на проверку, ждёте решения. При правильной подготовке и помощи профессионала шанс отказа минимален. Если он и случается, то чаще всего из-за того, что клиент скрыл какую-то информацию о себе или компании. Однако всегда стоит помнить, что окончательное решение об открытии счета всегда принимает платёжная система или банк.



Повседневная работа с платёжной системой


Когда платёжная система выбрана и счет открыт, казалось бы, жизнь упрощается. Это действительно так, если вы открыли счет в подходящей платёжной системе. Но это не отменяет необходимости в некоторой подстраховке, чтобы сохранить счет в дальнейшем.
Несколько рекомендаций, которые помогут работать долго и плодотворно:

  • Для каждой сделки у вас должны быть документы: даже если сработает система безопасности, вы быстро предоставите нужные документы и продолжите работу;
  • Предупреждайте обо всех изменениях: новый партнёр, крупный нетипичный перевод, изменения в структуре компании или новый директор это всё следует обозначить заранее;
  • Быстро реагируйте на запросы: если вы выбрали правильную платёжную систему, то с вами будут общаться, задавать вопросы. Старайтесь отвечать максимально быстро и подробно. Лучше в течение суток. Этот совет годится и для работы с банками.

И ещё один совет, который полезен любому современному бизнесу: не останавливайтесь на одном счете. К сожалению, даже идеальная платёжная система может закрыться, сменить правила, стать не такой удобной. Если вы зависите от одного счета, то любые изменения для вас потрясение или катастрофа.

Наличие второго и третьего запасного счета это диверсификация рисков.

Счета можно открывать в платёжных системах, банках, необанках, в разных странах и разных валютах. Как говорится, не храните все яйца в одной корзинке это слишком дорого.

Надеемся, материал был вам полезен. Поделитесь в комментариях, а какие у вас были самые неприятные ситуации с платёжными системами? Как закрывали, по каким причинам и как вы выходили из ситуации?

Делитесь опытом!
Подробнее..

Скрытые особенности Биткоина

05.04.2021 14:09:20 | Автор: admin

Обзор неочевидных для многих отличий Биткоина от существующих платежных систем

Ранее в статье Биткоин принципиально новая монетарная система речь шла о том, что любая денежная (монетарная) система базируется на трех основных составляющих денежной массе, денежных транзакциях и владении деньгами. В отличие от управляемой и монополизированной государством традиционной монетарной системы, основанной на фиатных (фидуциарных) деньгах, Биткоин является децентрализованной денежной системой и управляется правилами (протоколом), зашитыми в его программный код. Это в корне меняет три основных составляющих, лежащих в основе этой системы деньги эмитирует программный код, а не государство; транзакции между контрагентами осуществляются напрямую, без посредников; распоряжаться деньгами на биткоин-адресах может только владелец их приватных ключей, никто другой не может получить к ним доступ.

Но помимо этого Биткоин, как платежная система, имеет ряд других уникальных особенностей о которых либо не знают, либо не придают им значения.

1. В Биткоин-сети нет аккаунтов.

В отличие от других платежных систем, у пользователей Биткоина нет своего аккаунта, т.е. счета, который был бы каким-то образом привязан к пользователю. Клиенты банков имеют аккаунты в виде банковских счетов, идентифицируемых по паспорту и/или налоговому номеру клиента. Банковские карты платежных сетей Visa и MasterCard также связаны с аккаунтами их пользователей. Клиенты электронной платежной сети PayPal имеют аккаунты, связанные с адресом их электронной почты. Во всех других платежных системах существуют какие-то способы идентификации личности и её счетов. В Биткоине этого нет!

С одной стороны это делает пользование Биткоином псевдонимным. С другой в случае утраты приватных ключей восстановить доступ к биткоин-адресам невозможно. В Биткоине только приватный ключ дает право пользования деньгами, хранящимися на соответствующем ему биткоин-адресе. Нет ключа нет биткоинов! Или, как говорится в популярной среди биткоинеров поговорке Not your keys, not your coins (Не твои ключи, не твои биткоины).

Из этого следует, что вся ответственность за хранение денег в Биткоине лежит только на владельце приватных ключей от биткоин-адреса. Никто не сможет помочь ему восстановить доступ при утрате ключей!

Отчасти эта проблема решается сторонними сервисами верхнего уровня, которые предоставляют доступ к аккаунту клиента и через него к приватным ключам, которые хранятся на серверах этих сервисов. Это делается за счет утраты анонимности пользователь должен указать свои реквизиты для восстановления доступа к аккаунту, как правило, e-mail и/или номер телефона. А по требованиям KYC/AML и свои личные данные имя и фамилию, адрес проживания и т.п.

Например, в популярном веб-кошельке Blockchain.info приватные ключи клиентов от биткоин-адресов хранятся в зашифрованном виде на серверах сервиса, а клиенты получают к ним доступ, войдя в свой аккаунт на сайте или приложении для смартфона по паролю и используя для надежности двухфакторную авторизацию.

2. В биткоин-кошельках не хранятся биткоины.

Эта парадоксальная фраза сбивает с толку многих начинающих (и не только) пользователей Биткоина. Но в действительности это так! В Биткоин кошельках хранятся приватные ключи от биткоин-адресов, а не сами монеты. Более того, см. п.3

3. Биткоины не существуют как сущности.

Звучит, как каламбур, но это так! Ранее, в п.1, для простоты понимания я написал, что биткоины хранятся на биткоин-адресе. В действительности это не совсем так. Биткоин (монета) не является объектом, даже цифровым. Его невозможно представить в виде набора данных. И, поскольку это не объект, его невозможно хранить в том понимании, которое мы обычно вкладываем в понятие хранение. Биткоин (монета) существует только в контексте транзакции. Да и сами транзакции в Биткоин-сети отличаются от банковских записей в бухгалтерских книгах. И это следующая особенность Биткоин-сети , которая может многих окончательно запутать.

4. Биткоины не отправляются ни на адреса, ни с адресов.

В отличие от банковских транзакций, которые суть перевод денежных средств с одного банковского счета на другой, транзакция в Биткоине реализована по-другому это разблокирование неизрасходованных средств выхода осуществленной ранее транзакции (UTXO) при помощи приватного ключа биткоин-адреса отправителя и блокирование переводимой суммы при помощи публичного ключа адреса получателя. Поскольку можно использовать только всю сумму на неизрасходованном выходе, остаток (сдача) блокируется публичным ключом адреса отправителя.

После этого получатель может таким же образом разблокировать своим приватным ключом неизрасходованный выход этой новой транзакции (UTXO) и заблокировать публичным ключом нового получателя переводимую ему сумму, осуществляя новый перевод.

Ниже на картинке приведен пример простой транзакции. У отправителя (его принято называть Элис/Alice) на неизрасходованном выходе (UTXO) ранней транзакции есть 10 BTC. Элис переводит 8 BTC получателю (принято называть Бобом/Bob), а остаток (сдача) в размере 2 BTC возвращается на биткоин-адрес отправителя (Элис). При этом выход с 10 BTC становится израсходованным и создаются два новых неизрасходованных выхода (UTXO) c 8 BTC и 2 BTC. Но первый может теперь разблокировать только Боб, а второй только Элис.

Пример транзакции в Биткоине.

Из этого следует, что баланс любого биткоин-адреса это сумма всех неизрасходованных выходов транзакций (UTXO), которые заблокированы публичным ключом владельца этого адреса.

Пусть вас не пугает эта сложность, Биткоин использует криптографические алгоритмы и, с точки зрения криптографии, это достаточно простая схема. К тому же, позволяющая отследить всю цепочку транзакций вплоть до первой эмиссионной.

По сути, это выглядит как перевод с одного биткоин-адреса на другой с возвратом остатка (сдачи) на биткоин-адрес отправителя (не обязательно тот, с которого был осуществлен перевод). Но, как вы теперь понимаете, в реальности это осуществляется путем разблокирования приватным ключом отправителя и нового блокирования переводимых сумм публичными ключами получателей. Из этого следует очередная особенность:

5. Биткоины никогда не бывают в пути.

Банковские транзакции подразумевают реальное движение сумм переводов между счетами. Сначала со счета отправителя снимается переводимая сумма и он уменьшается на эту сумму. Затем средства перемещаются по банковским и межбанковским каналам, проходя через транзитные счета, пока не поступят на счет получателя, который увеличивается на переводимую сумму. Т.е. какое-то время существует ситуация при которой деньги со счета отправителя уже сняты, а на счет получателя еще не зачислены.

В Биткоине такого нет! До тех пор, пока биткоин-транзакция не будет в составе нового блока записана в блокчейн, средства остаются на биткоин-адресе отправителя. Фактически самого движения нет, есть одновременный акт передачи монет с адреса на адрес в момент записи блока с транзакцией в блокчейн.

А как же двойная трата, спросите вы? Да, действительно, если я отправляю средства на другой адрес, а они сразу с моего адреса не списываются, значит я могу снова отправить их на другой адрес. Одними и теми же монетами купить пиццу и пиво к ней!

На самом деле, большинство программных кошельков это не позволяют делать. Но никто не мешает это сделать напрямую, послав подписанное распоряжение о переводе средств в Биткоин-сеть. Что же произойдет в этом случае? Да всё просто! Одна из двух транзакций не пройдет. И не обязательно это будет вторая. Тут возможны два случая:

  1. Обе транзакции попали в один мемпул. Майнер пропустит одну и забракует по нехватке средств вторую.

  2. Транзакции попали в разные мемпулы (к разным майнерам). В блокчейн будет записан блок только с одной транзакцией. После этого вторая транзакция станет невалидной.

Так что, или пицца, или пиво! :)

P.S. Есть еще и другие особенности Биткоина, но об этом в следующей статье.

Подробнее..

Категории

Последние комментарии

  • Имя: Макс
    24.08.2022 | 11:28
    Я разраб в IT компании, работаю на арбитражную команду. Мы работаем с приламы и сайтами, при работе замечаются постоянные баны и лаги. Пацаны посоветовали сервис по анализу исходного кода,https://app Подробнее..
  • Имя: 9055410337
    20.08.2022 | 17:41
    поможем пишите в телеграм Подробнее..
  • Имя: sabbat
    17.08.2022 | 20:42
    Охренеть.. это просто шикарная статья, феноменально круто. Большое спасибо за разбор! Надеюсь как-нибудь с тобой связаться для обсуждений чего-либо) Подробнее..
  • Имя: Мария
    09.08.2022 | 14:44
    Добрый день. Если обладаете такой информацией, то подскажите, пожалуйста, где можно найти много-много материала по Yggdrasil и его уязвимостях для написания диплома? Благодарю. Подробнее..
© 2006-2024, personeltest.ru