[心得] 再續信用卡網路認證

[ariesvtvtvt (meatball)]

在此提供多年來從事網路金流之經驗給大家參考:

其實在網路刷卡，除非填卡號頁就是在銀行端網頁，否則多少都有可能有商家會自行保留消費者卡號，
而金流廠商專責做商家與收單行間之付款匝道，必然也需要儲存卡號，方能與收單行進行訂單驗證等動作，
並據此產生相關檔案(請/退款檔)以向銀行進行請/退款。
另一需要金流廠商之原因為一般商家資本額不足(幾百萬)，無法成為銀行特約商店，
故須由金流廠商協助向銀行申請成為次特約商店

另外VBV,SecureCode,JSecureCode，之驗證密碼，需要由消費者於特定網址進行註冊，
故只有持卡人本人知道密碼，而網路購物時之驗證動作也在該發卡行網站進行驗證，
一般而言，除非你是寫在紙上或不經意向他人洩漏密碼，否則不太可能由其他人知道。

至於偽冒風險，商家若有加入3D驗證機制，則若有持卡人否認(已進行過3D驗證)，
通常來講是由收單行與發卡行承擔風險，但有時也有特殊狀況須由商家自行承擔，
但若消費者本身未使用3D驗證機制，則偽冒之風險將由持卡人本人自行負擔。


大致交易流程:

角色說明:
消費者:買物品者
商家:提供物品者
發卡行:A.提供驗證系統:負責信用卡3D驗證行為(VBV，SecureCode，JSecureCode)
       B.提供授權系統:接收信用卡，驗證後提供授權碼
收單行:A.為網路上之窗口銀行，負責接收各商家交易卡號資訊，再轉至各發卡銀行進行授權
       B.協助阻擋3D驗證失敗之交易再進行授權


正常流程A:(填卡號網址為商家端網址)

1.消費者於商家網站購物，並於商家網頁填入信用卡資訊
2.商家接收後先判斷走3D流程，轉導至發卡行之3D驗證系統進行3D驗證，
3.發卡行將驗證完之結果回傳給商家(驗證失敗則直接回覆交易失敗)，
4.商家再將驗證結果與信用卡資訊傳送給收單行(金流廠商介入)，
5.收單行將相關資訊轉送給發卡行授權系統，由發卡行提供授權碼再回傳給收單行，
6.收單行再將收到之資訊回傳給商家，
7.當商家收到核准之授權碼即代表該筆交易可正常出貨，同時也於網頁上顯示刷卡成功之訊息給消費者


正常流程B:(填卡號網址為金流廠商提供之刷卡網頁)

1.消費者於商家網站購物，並由商家轉導網頁至金流廠商刷卡頁(金流廠商介入)，
2.金流廠商接收後先判斷走3D流程，轉導至發卡行之3D驗證系統進行3D驗證，
3.發卡行將驗證完之結果回傳給金流廠商(驗證失敗則直接回覆交易失敗)，
4.金流廠商再將驗證結果與信用卡資訊傳送給收單行，
5.收單行將相關資訊轉送給發卡行授權系統，由發卡行提供授權碼再回傳給收單行，
6.收單行再將收到之資訊回傳給金流廠商，金流廠商再回覆給商家，
7.當商家收到核准之授權碼即代表該筆交易可正常出貨，同時也於網頁上顯示刷卡成功之訊息給消費者


正常流程C:(填卡號網址為收單行網址)

1.消費者於商家網站購物，導至收單行系統網頁，
3.消費者於收單行網頁填入信用卡資訊
3.收單行先判斷走3D流程，轉導至發卡行之3D驗證系統進行3D驗證，
3.發卡行將驗證完之結果回傳給收單行(驗證失敗則直接回覆失敗)，
4.收單行再將驗證結果與信用卡資訊傳送給發卡行授權系統，由發卡行提供授權碼再回傳給收單行
5.收單行再將收到之資訊回傳給商家，
6.當商家收到核准之授權碼即代表該筆交易可正常出貨，同時也於網頁上顯示刷卡成功之訊息給消費者
OA

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 219.85.47.241
推 Saramende:推專業文！  \(^▽^)/
推 Reyes567:再敘 再續 國字真的很好玩
推 lbt:關於這點，個人補充一個以前教資安的老師的不同看法…
→ lbt:「交易的不可否認性是由兩者同時存在才能達成：1.法律上2.技術
→ lbt:上。法律上自然是要法律承認的東西，這種東西就是要政府認可的
→ lbt:憑證管理中心…技術上的話，就不用多談了，數位簽章是代表
→ lbt:依照當時授課老師的意思是：今天只要是沒透過憑證去線上購買東
→ lbt:西，你在事後都可以完全否認掉。（所以現在的線上購物機制是
→ lbt:非常脆弱的，只是太過安全的東西就麻煩，變沒人要用）告上法院
→ lbt:的話消費者會勝訴
推 isaacc:lbt講的是技術面，也是PKI的基本概念
→ isaacc:但問題是商業運作講的是合約。密碼掉了銀行是不負責的
→ isaacc:使用者也不太可能都告銀行然後教法官資訊安全技術...
推 lbt:其實我是滿懷疑老師的這種說法，不過他算是每年政府固定開資
→ lbt:安會議會邀請的專家…僅提出另種說法（法官一定不會是全能的，
→ lbt:這方面實務上不懂的東西會不會請教專家則不得而知）
推 tcytc:若消費者本身未使用3D驗證機制，則偽冒之風險將由持卡人....
→ tcytc:原PO這一段話是不是剛好說反了啊？？
→ tcytc:另外有了3D驗證碼，網路刷卡就如同提款卡盜領，具不可否認性
推 WaterDragonI:看到那我也是一頭霧水，寫顛倒了？
推 isaacc:老師講的沒錯阿，但他講的是技術面。講不可否認性的技術面
→ isaacc:但基本上法律沒有規定【交易系統需強制具備不可否認性】
→ isaacc:因此，這就是學理跟實際層面的差別...
→ isaacc:另外檢察官跟法官都會傳專家證人，我就當過很多次
→ isaacc:但是說到效果，嗯，我不覺得有多大的幫助啦，唉。。。
推 lbt:這東西最好有能作為判決依據的判例出現後，畫出清楚的界線，對
→ lbt:銀行還有持卡人來講都是好事