что такое pos транзакция по карте
Что такое pos транзакция по карте
Войти
Авторизуясь в LiveJournal с помощью стороннего сервиса вы принимаете условия Пользовательского соглашения LiveJournal
Анатомия транзакции
Сегодня мы будем разбираться с тем, что же происходит тогда, когда мы пытаемся оплатить картой товар или услугу, а также когда снимаем наличные.
Процесс этот не настолько простой, как нам кажется, поэтому для удобства, нам потребуется определиться в используемых терминах.
2. Клиринг мы иногда применяем сами собой, порой не ведая, как это называется. Например, Вася взял у Пети в долг 500 рублей, Петя брал ранее у Маши 300 рублей. Маша не стала скромничать, и тоже взяла взаймы у Васи 200 рублей.
А теперь представьте, что за день эти трое ребят много раз друг другу будут деньги передавать. Что, потом они будут также в обратном порядке перемещать их? Они тогда будут весь следующий день этими расчетами заниматься…
Что получилось? Маша должна получить обратно 300-200=100 рублей, Петя 500-300=200 рублей, а Вася должен отдать 500-200=300 рублей. В итоге, плательщиком является только Вася, который 100 рублей отдает Маше и 200 рублей – Пете. Всё, все в расчете!
То же происходит на стадии клиринга.
Обычно не позднее следующего рабочего дня, банк-эквайер направляет в платежную систему информацию о произведенной операции оплаты. Клиринговая система платежной системы направляет информацию о совершенной операции в банк-эмитент, который готовит данные для отражения в выписке клиента. Также клиринговая система производит взаимоучет требований и представляет данные расчета этим банкам.
На этой стадии также производится только обмен информацией, которая требуется для последней третьей стадии транзакции.
3. Пожалуй, самая простая стадия – это окончательный расчет. И выполняется, как правило, в течение двух рабочих дней после операции.
Банк-эмитент отправляет перевод в платежную систему, которая переводит их на корреспондентский счет банка-эквайера. Банк-эквайер переводит денежные средства торговцу.
Путешествия банковской транзакции
Некоторое время назад на Хабре уже мелькали посты о работе банкоматов: один и два, но оба они описывали принципы работы банкоматов и вообще карточного процессинга весьма поверхностно.
Для интересующихся под катом много подробностей работы карточного процессинга банка (много букв).
Как выглядит упрощённая схема работы работы процессингового центра банка:
Процессинг
FrontEnd — отвечает за online сообщения: общение с банкоматами и POS-терминалами, передача авторизаций карт в VISA.
BackEnd — отвечает за offline: закрытие операционного дня, обмен финсообщениями с VISA.
HSM (Hardware Security Module) — модуль работы с ключами безопасности (подробнее описано ниже).
Все шифрование производится с помощью алгоритма 3DES.
Подключение к VISA
Online-подключение
Транспортный уровень
Подключение к VISA осуществляется через вполне конкретного провайдера, в 2006 году это был Equant и его партнёр в России — Golden Telecom, как обстоят дела сейчас — я не в курсе.
Получается, что VISA доступна в локальной сети одного провайдера. Это обязательное требование VISA. Для подключения провайдер прокладывает в банк собственный оптоволоконный кабель для основного канала связи и для резервного. Устанавливает конечные маршрутизаторы и выделяет по одному порту на каждом (основной и резервный). Управление маршрутизаторами осуществляется только провайдером.
Итак, связь транспортного уровня с VISA установлена, далее прикладной уровень.
Прикладной уровень
Связь прикладного уровня осуществляется по специальному протоколу, разработанному в VISA в незапамятные времена.
Кроме всего этого все сообщения должны передаваться зашифрованными. Для этого специальные люди — офицеры безопасности — генерируют ключевые последовательности заданной длины на HSM и результаты отправляются в VISA.
Оффлайн-подключение
Оффлайн-подключение — это не что иное, как обмен файлами с информацией обо всех транзакциях, совершённых за операционный день. То есть, если в банкоматах банка «А» были обслужены карты не банка «А». Подробнее об этом чуть ниже в сценарии «Чужой клиент в нашем АТМ».
Стоит немного рассказать про HSM.
HSM — это классический чёрный ящик. При инициализации он генерирует закрытую и открытую компоненту мастер-ключа банка. Закрытую компоненту никто никогда не видит, она всегда остаётся в памяти HSM.
Сам модуль имеет многочисленные уровни защиты от взломов: программного и физического. При малейшем намёке на компрометацию ключа память модуля самоуничтожается без возможности восстановления.
Три части открытой компоненты мастер-ключа записываются на 3 магнитные карты и выдаются офицерам безопасности банка.
Итак, связь с VISA установлена, и всё работает. Теперь нам надо выпускать карты.
При вступлении в VISA банку выдаются так называемые БИНы (Bank Identification Number): то есть подмножества номеров карт доступных для выпуска. Для VISA они всегда начинаются на 4.
БИНы распределены по карточным продуктам, например:
Формат номера выглядит так: допустим, у нас есть карта с номером: 4408 0412 3456 7890
Номер карты состоит из:
Для интересующихся вот здесь описано, как происходит валидация номера карты.
Для каждого БИНа генерируется пара ключей: IWK (issuer working key) и AWK (acquirer working key). Процедура генерации и передачи результата в VISA аналогична описанной выше.
После этого всё это добро прописывается в FrontEnd и BackEnd процессинга. В BackEnd для выпуска карт и их эмбоссирования, вo FrontEnd для обслуживания авторизаций.
Теперь у нас есть связь с VISA и есть выпущенные карты; другими словами, мы осуществили эмиссию карт. Нам осталось сделать эквайеринг.
Банкоматы
Не буду повторяться и описывать, что находится внутри банкомата, это уже описали здесь. Скажу только, что протокол NDC+ (NCR Direct Connect) разработан чёрт знает сколько лет назад корпорацией NCR — одним из ведущих производителей банкоматов на сегодняшний день.
Широко известны три производителя:
Да, и Siemens и IBM когда-то давно производили банкоматы, но впоследствии продали этот бизнес Wincor Nixdorf и Diebold соответственно.
Ваш покорный слуга является сертифицированным инженером как раз таки Wincor Nixdorf. Однако, у нас был один стародавний IBM, который был выпущен ещё до продажи бизнеса и который работал.
Не скажу, что работал он как часы, ибо его всё время приходилось подкручивать и подлаживать, чтобы он хоть как-то дышал, но для него можно было купить запчасти. Правда, стоили они в три раза дороже чем аналогичные для Wincor Nixdorf.
Итак, мы выяснили что есть два протокола по которому работают банкоматы. Мне довелось работать лишь с NDC+, про DDC я только слышал, но никогда не видел.
Поскольку я близко знаком только с Wincor Nixdorf, предположим, что наш банк купил именно их.
Когда на банкомат поставлен софт, который управляет всеми его многочисленными устройствами — надо подготовить банкомат к работе.
Готовим банкомат
Обучение
Банкомат надо обучить выдавать купюры. Для этого есть специальная процедура: банкомат отсчитывает по 10 листов из каждой кассеты и предлагает оператору ввести реальное количество отсчитанных листов. Если реальное количество отличается — банкомат откорректирует оптопары в тракте выдачи и предложит повторить процедуру.
Из опыта у меня всего пару раз банкомат ошибался, то есть, как правило, они с завода уже неплохо откалиброваны.
Ключи шифрования
В банкомат загружают 2 ключа шифрования:
мастер-ключ (MASTER KEY) — используется для шифрования ПИН-блока введённого клиентом.
коммуникационный ключ (COMM KEY) — для шифрования пакета к FrontEnd процессинга.
На HSM генерируются открытая и закрытая компонента каждого ключа, после чего открытая компонента прописывается во FrontEnd, а закрытая загружается в банкомат.
Оба ключа загружаются в ПИН-клавиатуру (EPP Encrypted Pin Pad) и хранятся только там. По сути EPP — это такой маленький HSM, который не умеет генерировать ключи, но умеет очень хорошо их хранить. Когда я плотно работал с банкоматами — EPP имели 7 ступеней защиты от физического проникновения.
После этого прописываем адрес процессинга, настраиваем VPN или что там придумают бойцы телекоммуникаций, и можно загружать сценарий работы банкомата.
Сценарий
Про сценарий уже было сказано в статье, на которую я ссылался, хочу лишь немного добавить.
Весь сценарий банкомата основан на так называемых ФИТах (Financial Institution Table).
FIT — не что иное, как БИН банка выданный VISA.
Например: для нашего родного банка мы позволим делать переводы с карты на карту, возможность просмотреть детали по вкладу и внести наличные на карточный счёт в дополнение к обычным возможностям (баланс, выдача наличных), а для всех остальных только баланс и выдача.
Таким образом, мы должны загрузить неколько ФИТов в банкомат:
Сценарий проверяет номер карты клиента и работает по первому совпадению в ФИТ-таблице.
Итак, мы полностью подготовили весь комплекс к работе, осталось самое главное: совершить транзакцию.
Транзакция
Самый простой сценарий: наш клиент в нашем АТМ:
Стоит отметить, что всё шифрование на стороне хоста осуществляется при помощи HSM.
То есть шаги 8 и 9 в деталях выглядят так:
Клиент получает свои 100 рублей и уходит довольный, однако это только половина дела.
В этот момент FrontEnd установил клиенту hold — заморозил на его лимите авторизации (доступная к снятию сумма) 100 рублей, но его текущий счёт никак не изменился.
Здесь стоит немного пояснить: в процессинге нет счетов клиентов — движение денег происходит по так называемым «лимитам авторизации». Фактически, лимит авторизации — не что иное, как карточный счёт клиента, но он никак не фигурирует в плане счетов и бухгалтерском балансе.
Другими словами, лимит авторизации есть техническая сущность, которая отражает состояние реального текущего счёта клиента в процессинге. Отличие лимита авторизации в том, что:
Вечером текущего дня или утром следующего дня (но, как правило, это делается ночью) закрывается операционный день. Все авторизации карт и суммы холдов выгружаются из FrontEnd и загружаются в BackEnd, где и происходит движение денег по текущим счетам клиентов. После этого финальные отчёты выгружаются в Автоматизированную Банковскую Систему, где хранятся текущие счета клиентов. На основании этих отчётов происходит реальное движение денег, а также во FrontEnd — новые лимиты авторизации (наш клиент из примера выше получает новый лимит авторизации, который меньше на 100 рублей).
Теперь сложнее: Чужой клиент в нашем АТМ:
Это была только авторизация, то есть реальных денег никто никому не перечислил. Теперь нам надо получить финсообщение об этой транзакции и получить возмещение от другого банка: 200 рублей наших денег, которые мы выдали его клиенту.
Само собой, все такие расчёты осуществляются в долларах, и тут играет роль курсовая разница, но это уже совсем другая история…
UPD: В комментариях, товарищ Spewow привёл ссылку на статью о HSM и криптографии
Что такое POS-терминал. Объясняем простыми словами
Проще говоря, POS-терминал позволяет расплатиться за покупки банковской картой или смартфоном с NFC (это называется эквайринг). Речь идёт как о полноценных кассовых системах в крупных супермаркетах, так и о маленьких ридерах для смартфонов, а также некоторых моделях онлайн-касс.
Такие терминалы часто используются в гипермаркетах, небольших продуктовых магазинах, а также в ресторанах или кафе. В отличие от традиционной кассы, они способны отслеживать количество продаж и накапливать дополнительные данные для анализа. Применение POS-терминала значительно ускоряет работу кассиров, а также избавляет их от очередей на кассах и недовольных клиентов.
Современные модели POS-терминалов поддерживают работу с разными платёжными картами (чиповыми, с магнитной полосой, с бесконтактной технологией PayPass) и иными современными средствами оплаты с функцией NFC (смартфон, часы, кольцо, карта-стикер и пр.).
Помимо терминала, для проведения оплаты продавцу требуется передать данные об операции в ФНС, это действие называется фискализацией. Для этого терминалы интегрируются с кассовыми системами, которые и передают сведения по каждой операции налоговикам.
Пример употребления на «Секрете»
«Мне нравится американская компания Poynt, это платёжный терминал. Они стартовали месяц назад, теперь должны разместить 500 000 POS-терминалов в Америке. Если американский рынок их примет, то в этом будущее».
Нюансы
Как работает POS-терминал
Установка терминала осуществляется не всегда по желанию предпринимателей — есть категория хозяйствующих субъектов, которые российское законодательство обязало принимать карты, а значит, приобрести POS-терминал. К этой категории относится весь крупный бизнес с годовым оборотом валовой выручки от 20 млн рублей.
Виды POS-терминалов
Обычный терминал для эквайринга не заменяет онлайн-кассу: он не выдаёт фискальные чеки и не отправляет информацию в налоговую.
Путешествие финансовой транзакции
Современные финансовые технологии развиваются не по спирали, они скорее ложатся пластами друг на друга. Сегодняшний пласт — это кроссплатформенные платежи, когда транзакция вынуждена даже не пройти, а пробежать длинный путь за короткий срок. Нынешний этап эволюции финансовой транзакции сформировал бизнес-нишу, в которой работает наш платежный провайдер Fondy, позволяющий принимать платежи по картам любых стран мира без ограничений.
Мы подошли к тому уровню развития финансовых технологий, когда традиционные представления о качестве платежных сервисов складываются из двух составляющих: скорости прохождения транзакции и одобрения платежа. И что же здесь нового, спросите вы? Так было всегда. Но в этом только часть правды.
Результат всегда один. А вот транзакционная цепочка менялась от десятилетия к десятилетию. Менялось количество участников в процессе инициации и одобрения платежа. Тут стоит упомянуть слово «процессинг» не просто как обработку данных, а как процесс между инициацией транзакции и ее финалом (одобрение/отказ).
Вернемся в прошлое, к бумажным чекам. Когда покупатель выписывал чек за услуги, а продавец шел в банк представлять подписанный чек.
На этом этапе все совсем просто, и мы видим четырех участников:
Полный финансовый цикл обращения чека выглядел так:
Виток развития, и в 40-х — 50-х годах ХХ века платежные карты постепенно вытеснили и заместили чеки (дольше всех сопротивлялись дорожные (трэвел) чеки Томаса Кука, еще встречавшиеся в 90-х в России и других странах).
Подробно и с датами об истории развития карточного бизнеса пишет Ассоциация карточного бизнеса Великобритании.
На русском об истории развития банковских карт можно прочитать здесь.
Что поменялось в процессе?
Инструментом проведения платежа при помощи карты сначала служил импринтер (imprinter) — машинка для прокатывания карты и получения оттиска данных карты на слипе. В импринтер вставлено клише — прямоугольная пластинка, на которой эмбоссированы (или выдавлены) идентификационные данные точки приема. Пластиковую карту вставляют в импринтер и вкладывают слип. На слипе оттискиваются идентификационные данные точки приема (перенесенные с клише) и идентификационные данные карты (перенесенные с карты).
Слип при расчетах через импринтер имеет три копии: покупателю, продавцу и банку. На каждом экземпляре слипа должны быть четко отпечатаны реквизиты карты и клише импринтера организации. В слипе указывают имя держателя карты, номер карты, дату совершения покупки, израсходованную сумму, тип платежной системы (Visa, Mastercard и др.), адрес продавца и т.д.
Пока все еще очень похоже на чеки.
Так как авторизация транзакции проводилась голосом по телефону, она получила название «голосовой». До появления POS-терминалов она служила типичным методом подтверждения расчетов. По инструкции МПС она сопровождалась телефонным звонком в Службу авторизации Банка (обычно размещенной в процессинге банка).
Для авторизации карты кассир связывался с банком по телефону. Банк, с которым заключен договор эквайринга, в свою очередь связывался с банком — эмитентом карты и получал его разрешение. Как и теперь, осуществлялась эта связь через процессинговые центры, которые обеспечивают непрерывный обмен информацией между банками.
С появлением электронных терминалов голосовая авторизация сохранилась как способ дополнительной проверки при крупных операциях. При проведении покупок, превышающих лимиты по MCC-коду, банк вправе запросить и запустить дополнительную процедуру проверки клиента и провести голосовую авторизацию. Впрочем, сейчас это будет смотреться скорее дико.
На этом довольно длинном этапе произошел бурный рост финансовой системы, как затем и ее стагнация, но это не является нашей сегодняшней темой. И вот уже импринтеры сменились электронными терминалами оплаты (POS-терминалами).
Количество банков и банковских клерков росло пропорционально, а то и не всегда, количеству клиентов в банке, а в процессинговых центрах загруженность систем и сотрудников измерялась количеством эмитированных карт и обработанных транзакций. Разработчики электроники и софта рекламировали свой продукт, исходя из количества авторизаций в минуту, возможностей матчинга/сверки авторизации и финансового сообщения, постинга и клиринга транзакций.
Карточный бизнес перешел под контроль интересантов — платежных систем (Visa, Mastercard). Они формировали операционные и технологические стандарты, проводили обучение сотрудников банков, они же разрабатывали формы отчетности. Банки поквартально отчитывались о количестве эмитированных простых и более дорогих карт, количестве обработанных транзакций и средней сумме авторизации в разрезе MCC-кода (типа предоставляемых услуг).
Вот одна из традиционных обучающих схем, известная каждому сотруднику процессинга, отдела расчетов, многих других отделов. Эта картинка как из букваря карточника.
Пластиковая карта стала любима. Она проста и удобна. Сначала в нее интегрирована магнитная полоса, и авторизация проходила то голосом, то ее не проводили вообще ради экономии телефонных издержек для подлимитных транзакций.
Очень скоро с улучшением качества телефонии и каналов связи большинство авторизаций проходили электронно. И вот уже появились мандатные 45 секунд для успешно проведенной транзакции из точки А в точку Б. VISA и Mastercard регулярно обновляли операционные требования и указывали в них, в том числе, временные параметры авторизации. Выглядело это обычно так:
*Это современные требования платежной системы. Там, где сейчас на авторизацию ритейл-операции отводилось 30 секунд, сейчас уходит 5. Для банкоматных транзакций сроки ужались с 15 секунд тоже до 5.
За процесс разработки и внедрения отвечали поставщики финансовых решений: платежная система как идеолог, разработчики (вендоры) процессинговых систем, терминалов и банкоматов, банки-эмитенты и банки-эквайеры.
Виток в развитии конца XX — начала XXI века ознаменовался сменой магнитной полосы на чип. Сначала полоса и чип соседствовали на карте.
Международные платёжные системы Mastercard, Visa и Europay в 1993 году подписали соглашение о совместной работе, чтобы развить технические характеристики для использования смарт-карт при оплате счетов кредитными и дебетовыми картами. Первая версия систем стандарта EMV (Europay, Mastercard, Visa) была выпущена в 1994 году. В 1998 году стала доступна следующая версия технических характеристик.
Формат чипа, разработанный Eurocard, Mastercard, Visa получил название EMV — по первым буквам этих компаний. Более подробно о стандарте чиповых карт можно почитать здесь и здесь: EMVCo.
Предполагалось, что очень скоро все банки справятся с простой задачей перевыпуска карт и перейдут на чиповые карты. И тут случилось неожиданное. Представители МПС (международных платежных систем) часто встречали отпор со стороны как банков-эмитентов, так и банков-эквайеров. Для первых дорогой затеей оказалась замена пластика (первые чипы были очень дорогими), для вторых необходимо было поменять приемники карт, как в банкоматах, так и в терминалах. Наверное, это был золотой старт для компаний-производителей чипов Gemalto, Oberthur и многих других. Именно они стояли у истоков последующего взрывного роста технологических решений и дальнейшего перехода с чипов на бесконтактные платежи. На данный момент, по словам Майкла Финни, платежная система VISA заявила, что выпущено 300 млн чиповых карт, которые могут быть представлены к оплате в 1.25 млн торговых точек, оснащенных терминалами EMV.
Все смарт-карты можно разделить по способу обмена со считывающим устройством на:
Второе десятилетие XXI века, и вот уже доставать кату из бумажника больше не нужно! Новый виток. Мы готовы расплатиться, используя другие устройства: телефоны, браслеты, брелоки. ApplePay, SamsungPay, AndroidPay, кто следующий?
В отличие от устройств других производителей, использующих только технологию NFC, Samsung Pay работает не только с терминалами, поддерживающими бесконтактную оплату. Секрет в том, что кроме NFC, Samsung задействует собственную технологию — MST (от англ. Magnetic Secure Transmission — магнитная безопасная передача), что дает возможность оплачивать покупки с помощью смартфона на практически любом терминале, принимающем банковские карты. Смартфоны Samsung, которые совместимы с сервисом Samsung Pay и поддерживают технологию MST, могут создавать магнитное поле, схожее с сигналом магнитной полосы банковской карты. Обычно даже сами продавцы не знают, что такое возможно в их магазинах, но это реально работает.
Нужны простые и интуитивно понятные решения, надежные, как никогда. Защита должна быть выстроена как на уровне харда, так и на уровне софта. Как в устройстве, так и у поставщика платежного решения. И скоро мы не захотим куда-либо ходить, чтобы платить. Можно все в онлайне? Можно и нужно уже давно. Коротко, в один клик. Если не получается в один, то хотя бы в три: скачать приложение, добавить в него карту, и все готово к оплате!
Транзакция по карте: просто о сложном
Транзакция по банковской карте: определение и виды
Транзакция по банковской карте: определение и видыИнтересно, что до сих пор так точно и не установлено правильное написание этого слова. Два варианта (транзакция и трансакция) совершенно равноправны и присутствуют в официальных документах различных финансовых учреждений.
Слово имеет латинские корни («transactio» означает договор или совершение). Если обобщать, то транзакцией является любая операция, повлекшая за собой изменение состояния счета клиента.
Так, вполне законно транзакцией называются пополнение карты, снятие наличных в банкомате, осуществление переводов и т.п. Но чаще всего это определение встречается при совершении оплаты платежной картой в торговой точке.
Транзакция в магазине: разбор по кусочкам
Прокатывая банковскую карту через терминал, кассир вряд ли понимает, какие процессы при этом происходят. А вот клиенту знание процедуры не помешает (все-таки речь идет о его деньгах и их безопасности).
Что же представляет собой типичная транзакция в магазине? Это несколько связанных друг с другом этапов.
Описанная транзакция называется также «онлайн-транзакцией», что показывает осуществление ее в реальном времени. Как вы понимаете, бывает и транзакция оффлайн. Она может осуществляться с помощью импринтера (устройство, которое делает оттиск лицевой стороны карты). При этом заполняется слип, который позже передается в банк-эмитент для оплаты. Примерно такая же схема может быть в случае оплаты гостиничных услуг или аренды автомобиля.
Популярным вопросом является возможность отмены транзакции. Вообще, следует заметить, что банк может отменить очень многие операции (при желании, конечно). Какие усилия для этого нужно приложить, разбирать не будем (просто знайте, что возможность отмены и исправления ошибки есть).
Конечно же, транзакцию отменить можно. Правда, сейчас мы говорим об операции в ТСП (торгово-сервисном предприятии). В случае снятия наличных в банкомате, к примеру, когда купюры на руках, какая уж тут отмена?
Легче всего аннулировать транзакцию в тот же день, что и производилась оплата. На каждом терминале есть специальная функция. Если же терминал уже отгружен (данные передались в банк), то следует обращаться в финансовое учреждение, которое выпустило «пластик».
Вот как все непросто оказалось с таким простым словом «транзакция».