
Как банки берут друг у друга в долг. Плавающие ставки, процентные свопы. Ликбез для гика, ч. 4

Отправляем деньги через Сеть
Всем привет! Недавно мы в Яндекс.Кассе совместно с платежными системами Visa и Mastercard запустили новую технологию токенизации платежей для E-commerce, или, по-другому, онлайн-коммерции. Кто-то может подумать: что тут такого — с токенизацией карт разобрались уже с выходом Apple Pay, Google Pay и других *Pay. Но нет, тут что-то новенькое, а мы еще и первыми эту технологию запустили в России этой весной для магазинов-партнеров, так что почему бы не поделиться.
В США и Европе эта технология появилась несколько раньше, и пользователи таких сервисов, как Netflix и Amazon, уже платят E-commerce токенами, хотя, возможно, даже не знают об этом. А я сейчас расскажу, как это устроено не только снаружи (для партнеров и держателей карт), но и изнутри, с точки зрения разработчика и тимлида этого проекта. Если интересно — велкам под кат.
С появлением на рынке микропроцессорных платежных карт наряду с хорошо и давно знакомым к этому времени методом для верификации держателя карты PIN Online, когда значение ПИН проверяется эмитентом карты на его хосте, начал повсеместно применяться метод PIN Offline.
Суть метода PIN Offline состоит в том, что эмитент карты делегирует проверку ПИН своей карте. Сама карта проверяет значение ПИН, введенного пользователем на терминальном устройстве, сравнивая его с референсным значением, защищенным образом хранимым в платежном приложении карты.
Несмотря на то, что оба метода верификации параллельно используются вот уже 15 лет, до сих пор иногда приходится слышать вопросы: какой метод обеспечивает более высокую безопасность при обработке операции- PIN Online или PIN Offline? И вообще- можно ли эмитенту (банку, выпустившему карту) обойтись только одним из указанных методов проверки ПИН? Например, методом PIN Online. Очевидно, с точки зрения эмитента этот метод проще метода PIN Offline при реализации процедур персонализации карты, изменения ПИН держателем карты, контроля лимита на число попыток ввода неверных значений ПИН, поскольку в этом случае перечисленные процедуры выполняются только на хосте эмитента и не требуют применения дополнительных действий на стороне платежного приложения карты.
Мы возвращаемся на Хабр с новостями для наших подписчиков и людей, заинтересованных в финтех индустрии.
Привет, Хабр! Меня зовут Игорь Тулинов. Я руковожу центром архитектуры ИТ в Национальной системе платежных карт (АО НСПК) и хочу рассказать о том, как наша компания пришла к решению внедрить процессы управления Enterprise-архитектурой, выделить штат архитекторов предприятия и реализовать архитектурный контроль на ключевых стадиях создания ИТ-ценности.
В ИТ отрасли термин «Архитектура предприятия» (Enterprise Architecture) появился более тридцати лет назад. Со временем возник широкий ряд определений этого понятия, моделей, фреймворков и стандартов его описания. Во множестве ИТ и финтех компаний в том или ином виде реализованы процессы управления корпоративной архитектурой.
Но в какой именно момент в компании появляется Архитектура предприятия? Когда и на основе чего организация приходит к пониманию, что настало время внедрять процессы управления корпоративной архитектурой?
Начинаем серию статей о безопасности в платежных технологиях. Тема большая, эта статья будет первой, вводной. О безопасности мы решили поговорить с Игорем Голдовским, главным архитектором и директором департамента, человеком, знающим все о платежных системах и их защите.
intent-filter
вида ACTION_VIEW
и ACTION_DIAL
со схемой “tel”. intent-а “tel:XXXXX”
Платежный шлюз — это сервис, который авторизует и обрабатывает платежи по дебетовым/кредитным картам для онлайн-мерчантов и традиционных розничных, оффлайн торговцев. Платежный шлюз способствует бесперебойному прохождению таких транзакций, шифруя конфиденциальные данные и передавая их между платежным порталом (веб-сайт или мобильное устройство) и банком/процессором платежей.
В общем и целом, платежные шлюзы облегчают связь между вашим веб-сайтом или специализированным магазином, обработчиком платежей и банком, выпустившим кредитную карту, используемую для совершения покупки. Безопасность является основным компонентом всех платежных шлюзов, поэтому каждая транзакция, которая происходит между мерчантом и банком-эмитентом, шифруется для защиты конфиденциальной финансовой информации.
Хотя процесс транзакции занимает всего несколько секунд, в течение этого короткого промежутка времени выполняется несколько шагов. Как только клиент получает запрос на защищенную страницу оплаты и размещает заказ, данные по транзакции (номер кредитной карты, дата, CVV код) шифруются и отправляются вашему процессору платежей через шлюз. Процессор платежей связывается с банком-эмитентом кредитной карты и получает обратную связь в форме подтверждения или отклонения транзакции. Затем ответ передается на платежный шлюз, который передает его на ваш сайт. Наконец, информация интерпретируется и генерируется соответствующий ответ. Если сделка была одобрена, продавец выполняет заказ.
Кстати, к сожалению, не удалось встроить отчет в публикацию на Хабре ни через iframe, ни через тег oembed.
Привет!
Если вы читали наши предыдущие посты (читали же?), то точно помните, что мы в RBK.money очень сильно за опенсорс. Настолько, что выложили в открытый доступ наш антифрод в виде открытых исходников под лицензией Apache 2.0.
Как вы понимаете, нам понравилось. Одного антифрода нам показалось мало, поэтому мы взяли и выложили в опенсорс всю нашу платежную платформу. Вообще всю. От самого первого микросервиса до навороченных систем аналитики, маршрутизации платежей, системы обработки и хранения карточных данных и десятков других микросервисов и пользовательских интерфейсов. Это именно тот код, на котором сейчас, в этот момент работает наш процессинг.
Зачем мы это сделали? Как это работает внутри? Как теперь жить дальше? Читайте под катом. Я гарантирую, что такого вы еще не встречали — еще никто в мире не опенсорсил платежную систему такого уровня.
История меняется прямо сейчас на ваших глазах!