|
Продолжим техническую тему. Рассмотрим, из чего состоит карточка, и она как может применяться в автоматизированных системах (будь то платежные, дисконтные, расчетные или просто идентификационные технологии). Сразу надо сказать, что карточка может нести сразу несколько информационных элементов. Например, выдавленный в пластике номер и магнитную полосу, чип и штриховой код. Поэтому вышеприведенная техническая классификация карт достаточно условная. Итак, рассмотрим пластиковую карту, как техническое изделие. Начнем с размеров и материала. В международных стандартах, согласно которым работают все профессиональные производители карточек, определяются конструкция, материалы, применяемые для изготовления карт, требования к механическим, тепловым и другим свойствам карт, типоразмеры карточек. Очень важно понимать, что производитель может изготовить именно стандартные карточки. С банковскими карточками вопросов не возникает; если же карточки выпускаются собственные, то не стоит заниматься самодеятельностью, и использовать доморощенные технологии, как бы они не были бы дешевы (например, печать карточек на бумаге с последующим ламинированием в пластик). Жизнь показывает, что в конечном итоге профессионал всегда обходится дешевле. При промышленном изготовлении карточек всегда решены вопросы их совместимости с оборудованием по приему карт (поскольку оборудование использует те же самые стандарты), учитываются вопросы безопасности будущей карточной системы, ее развития и т.д. Здесь под ламинированием понимается запаивание в пластик; при печати карточек на термопринтерах ламинирование - покрытие карточки защитной пленкой. В любом случае ламинирование - тепловой процесс, связанный с плавлением пластика. Если же карточка делается целиком из пластика (на заводе), то под ламинированием понимается тепловой процесс, приводящий к спеканию слоев пластика, после чего карточка превращается в монолитное изделие.
Нелишне также сказать, что изготовители карт содержат дизайнеров, специализирующихся именно в дизайне карточек, причем их услуги обычно бесплатны (если речь, конечно, не идет о создании карточного шедевра). А грамотный (в техническом отношении) и красивый дизайн - очень важная вещь в любом карточном проекте. Следует помнить, что карточка - это своеобразная "витрина" торгово-сервисной организации. Поэтому дизайну в данном материале посвящен отдельный раздел. Размер карточек составляет 85,6 * 53,98 * 0,76 мм. Такие карточки называются ID-1, и других карт в банковских или торговых приложениях не используют. На лицевой стороне (аверсе) карты размещаются зона тиснения информации и контактная группа микросхемы . Сам чип встраивается в пластик, а если чиповая карточка - бесконтактная (т.е. работающая с устройством чтения/записи на радиочастоте), то в пластик по периметру встраивается и антенна. Аверс, кроме вышеуказанных элементов, еще содержит информацию об эмитенте (обычно это логотип и название эмитента), а также дополнительные знаки обслуживания (например, логотип платежной или дисконтной системы). Так размещать контактную группу необязательно; можно использовать и оборот карточки.
На обороте (реверсе) карточки размещается, при необходимости, магнитная полоса, полоса для подписи и штриховой код. Вообще говоря, оборот (его еще называют реверс) карточки обычно используется для технологических целей, туда помещают фотографию клиента (если надо), текст о том, что карточка принадлежит эмитенту, его адрес и номер телефона и т.п. Напечатанный номер карточки иногда помещают на ее оборот. Торговые или сервисные сети на обороте часто помещают информацию о местонахождении торговых (сервисных) точек. Иногда на реверс помещают рекламные тексты. Теперь подробнее об технических элементах карты, которые используются для информационных целей. Эмбоссинг (тиснение) и термопечать Расположение тисненых знаков на карте также определяется международным стандартом. Согласно ему на карте выделяются две зоны для нанесения информации тиснением: - Строка идентификационного номера располагается на уровне около 20 мм от нижнего края карты. Длина строки не превышает 19 символов. Количество используемых знакомест стандартом не определяется и зависит от требований прикладной задачи.
- Зона фамилии и прочих данных предназначена для нанесения фамилии и другой информации, например даты окончания срока действия карты. В зоне предусмотрено место для 4-х строк по 27 символов. Зона располагается ниже строки идентификационного номера.
Размещаемая в зонах тиснения информация предназначена для визуального чтения и оптического распознавания, а также получения отпечатков методом контактного копирования (т.е. с использованием импринтеров). Термопечать используется для нанесения информации вместо тиснения на картах. Положение печатных символов не стандартизировано. Разумеется, торговый эмитент может эмбоссировать данные где угодно, но лучше следовать стандартам, поскольку для получения оттисков обычно используются торговые чеки стандартной формы с уже размеченными полями под эмбоссированные данные. Для того, чтобы эмбоссированные данные выделялись на карте их обычно окрашивают; этот процесс называется типпинг. Магнитная полоса Для магнитной полосы на пластиковой карте международные стандарты устанавливают ее физические характеристики (включая любое защитное покрытие), метод кодирования информации, наборы кодируемых символов и состав данных. Магнитная полоса располагается примерно на 5,5 мм от верхнего края карты и может содержать от 2-х до 3-х дорожек. Ширина полосы зависит от числа дорожек и составляет примерно 6,4 мм для 2-хдорожечной полосы и 10,3 мм для 3-хдорожечной. 1-я дорожка предназначена для буквенно-цифровой информации. На дорожку помещается 79 символов, включая управляющие символы (стартовый, стоповый, разделитель поля). 2-я дорожка содержит только цифровую информацию, кодируемую двоично-десятичным кодом. Число символов, размещаемых на дорожке, не должно превышать 39, включая управляющие символы. 3-я дорожка (не обязательная) содержит цифровую информацию и кодируется аналогично первой дорожке. Максимальное число символов на дорожке - 107. Эта дорожка обычно используется для работы с банкоматами и в торговых приложениях не применяется. Первая дорожка содержит следующие данные: - Идентификационный номер - до 19 цифр
- Код страны (при определенных условиях) - 3 цифры
- Имя, фамилия, титул держателя карты - 2-26 знаков
- Дата истечения срока действия карты - 4 цифры
- Служебный код - 3 цифры
- Информация эмитента (опционально) - оставшиеся цифры
Каждая позиция в служебном коде означает: - Позиция 1: степень разрешенного обмена (международный, национальный или ограниченный) и наличие дополнительных технологий, отличающихся от магнитной полосы.
- Позиция 2: индикатор условий авторизации.
- Позиция 3: ограничения на виды операций (оплата товаров или услуг и/или получение наличных денег) и использование персонального идентификационного номера (ПИНа).
Вторая дорожка дублирует информацию из первой, за исключением поля имени держателя карты. Первая и третья дорожки используются только для чтения данных, третья дорожка - еще и для записи. Информацией третьей дорожки пользуется только банки и здесь она не описывается. Штриховой код Не существует специальных карточных стандартов на расположение штрихового кода и на состав информации, который он должен нести. Стандарты на штриховые коды определяют только то, как должен выглядеть напечатанный код (т.н. символику), его размеры, способ кодирования и т.д. Международные ассоциации UCC и EAN дополнительно определяют правила, по которым строится штриховой код, использующийся их членами. Обычно, это производители различных товаров. Например, в широко известной символике EAN-13 первые несколько цифр кодируют производителя товара, на упаковку которого нанесен данный код. Поскольку торгово-сервисные организации широко используют штриховое кодирование в торговых технологиях, то имеет смысл остановиться на данной символике. Правилами EAN определено, что коды EAN-13, начинающиеся с двойки, используются "внутри" торгово-сервисной организации, например, для кодирования весового товара. Все остальные коды идентифицируют конкретных товаропроизводителей и их продукцию. Отсюда правило: если торгово-сервисная организация использует EAN-13 для идентификации карточек, то номер карточки должен начинаться с цифры 2, и желательно (в стандартах этого нет, но такова практика) следующая цифра должна быть либо 0, либо 9 (чтобы сделать различия между весовым товаром и карточкой). Последняя из 13-ти цифр, составляющих код, согласно правилам EAN-13 - контрольная. Она рассчитывается на основании первый 12-ти цифр по известному алгоритму; как правила, производители карточек умеют ее вычислять. Наши рекомендации, однако, следующие. Штриховой код лучше всего наносить на карточку на месте магнитной полосы в символике Code 128 (по умолчанию она установлена практически на всех сканерах штриховых кодов). И в формате второй дорожки магнитной карты. Такое представление информации хорошо тем, что многие программы умеют работать с данными второй дорожки. С технической точки зрения не имеет значение, откуда получены эти данные: с магнитной полосы или из штрихового кода. Поскольку стандартов для карточек на представление штрихового кода нет, это наиболее грамотное техническое решение. Кроме того, оно не затрагивает интересов ассоциаций UCC и EAN (это мощные международные организации, членами которых являются тысячи товаропроизводителей, и которые в 2003 году должны объединиться в еще более мощную структуру), а Code 128 является некоммерческим кодом, который может использовать любой эмитент без специального разрешения. Встроенная микросхема В отношении чиповых карт надо дать более подробные сведения. Во-первых, к 2005 году ряд популярных карточных продуктов международных платежных систем (и VISA, и Europay/MasterCard) должен перейти на чиповую платформу. Хотя это, прежде всего, головная боль членов ассоциаций (т.е. банков), но торгово-сервисные организации должны быть готовы к переходу на чиповые технологии. Переход на микропроцессорные карточки связан, прежде всего, с борьбой с мошенничеством, и вообще, с безопасностью карточных систем. Поскольку часть рисков несет в платежной системе торгово-сервисная организация, этот факт нельзя рассматривать как негативный. Во-вторых, если торгово-сервисная организация сама эмитирует карточки, то чиповая платформа является более предпочтительной с точки зрения стоимости проекта. Дело в том, что, хотя чиповые карточки дороже всех карт остальных технических типов, стоимость их эксплуатации (а стало быть, и всей карточной системы в целом) практически нулевая. Рассмотрим это подробнее. В любой карточной технологии, будь то платежная или расчетная технологии, будь то дисконтная, важно подтвердить правомочность сделки с использованием карты. Например, сообщить системе приема карт, что клиент способен оплатить покупку, либо сообщить величину скидки. Такая операция называется авторизацией сделки, и при ее положительном исходе операция в торгово-сервисной организации может быть продолжена. Иначе в приеме карточки должно быть отказано; если же торгово-сервисная организация пренебрегает этим, то все риски по операции с использованием карты торгово-сервисная организация берет на себя. Поэтому авторизация является ключевым элементом любой карточной технологии. Когда речь идет о банковской карточке, то решение об ее использовании в торгово-сервисной организации принимает банк. Эта технология будет подробно рассмотрена в отдельном разделе ниже. Когда карточка выпускается самой торгово-сервисной организацией, то риски, связанные с авторизацией, переходят на торгово-сервисную организацию. Чем же чиповая карточка отличается от любой другой (магнитной, штриховой), или просто от кусочка пластика с напечатанным номером? В первом случае решение по авторизации сделки может принять сама карта (по существу, это маленький компьютер), во втором случае карточка - только средство для хранения информации; решение об авторизации сделки принимает за нее компьютер, установленный в другом месте, не обязательно - в конкретной торговой точке. На профессиональном языке это означает, что технологии, основанные на использовании чиповых карточек - это технологии офф-лайн. Для авторизации не требуется куда-то звонить и выяснять, можно ли провести операцию по данной карте. Карточка сама дает на это ответ; не зря для чиповых карт используется еще один термин - смарт-карты (т.е. "умные" карты). Остальные виды карт - просто идентификаторы их держателей. Они работают в технологии он-лайн. Эти карты не способны самостоятельно принять решение о правомочности операции. Следовательно, для этого надо содержать специальный аппарат, принимающий решения. А это означает увеличение эксплуатационных расходов на карточную систему, причем, чем больше риски принять неправильное решение об авторизации, тем стоимость эксплуатации карточной системы выше. Чиповые карточки, конечно, стоят дороже. Фактически, к стоимости пластика и печати на нем (эмбоссировании), прибавляется стоимость микросхемы. Но это - инвестиционные расходы. Они делаются один раз, при внедрении проекта. Далее выпущенная один раз чиповая карточка может использоваться сколь угодно долго. Зато не надо тратиться на поддержку авторизации (это эксплуатационные расходы, они постоянны). Кроме того, очень важно следующее обстоятельство. "Гибель" одной чиповой карточки не означает крушение всей карточной системы в целом. Фактически, чиповые карточки - это распределенная база данных. "Гибель" или какие-либо проблемы с базой данных, которая используется для авторизации операций с нечиповыми карточками, приводит к тому, что карточная система перестает существовать. Банки могут позволить себе содержать подразделения, занимающиеся поддержкой соответствующих баз данных. Торгово-сервисная организация - обычно нет, это слишком дорого. Следовательно, и риски, и эксплуатационные проблемы, надо перенести на микропроцессор. Карточки с микросхемой оказываются идеальным средством для построения дискотных или расчетных систем торгово-сервисных организаций. Какие бывают чиповые карты? Общепринятая классификация карточек с микросхемой делит их на две группы: карточки с памятью и микропроцессорные. Карточки с памятью делятся на карточки с незащищенной и с защищенной памятью. Микропроцессорные карточки обычно многофункциональные, но для платежных применений используется их особая модификация - электронный кошелек. Кроме того, бывают контактные и бесконтактные карточки. Бесконтактные карты (или БСК), которые могут использоваться в финансовых приложениях - это карточки с защищенной памятью (MIFARE?). Они обмениваются данными с картридером радиочастотным путем, т.е. не вступая с ним в непосредственный "механический" контакт. Однако некий аналог электронного кошелька здесь имеется: такие карточки выполняют команды инкрементации и декрементации значений в специально размеченных и защищенных секретными ключами областях памяти (по существу, эти области есть электронные счетчики). Фактически, команды, аналогичные командам кредитования и дебетования файлов электронных кошельков микропроцессорных карт. Картридер - устройство для чтения (а в случае смарт-карт, и записи) "карточных" данных.
БСК имеют важное эксплуатационное преимущество перед контактными картами - отсутствие механических частей у картридеров. Грубо говоря, бесконтактные смарт-картридеры практически не ломаются, и их надежность оценивается на уровне надежности обычных микросхем. Отсутствие "механики" сказывается и на быстроте операций с карточкой: ее достаточно поднести к смарт-картридеру, даже не вынимая из бумажника. Правда, защита бесконтактных карт ниже, чем у микропроцессорных карт. Поэтому бесконтактные карточки используются в основном в транспортных, идентификационных и торговых приложениях (в виде карт лояльности клиентов). Здесь следует сделать небольшое отступление. Стоимость БСК в России - около $ 3 за "белую" карточку. Стоимость картридеров обычно около $ 250. Следовательно, это наиболее дешевый вид карточек для торгово-сервисных приложений. Надежность очень высока (из-за отсутствия механических частей), а "интеллектуальность" позволяет реализовывать любые мыслимые схемы без каких-либо технических ограничений. Идеальная торговая карточка. Продолжим рассмотрение смарт-карт. В своей практике банки используют преимущественно контактные карточки, или их комбинированные (контактно-бесконтактные) модификации, где платежное приложение размещено в микросхеме, имеющей контактную группу. Итак, карточки с памятью - простейшие из рассматриваемого класса. Физически память организована обычно в виде электрически стираемого программируемого постоянного устройства (EEPROM). Эти карточки составляют до 90% все производимых в мире смарт-карт, причем 80% карточек с памятью используются в таксофонах. В платежных приложениях используются карточки с защищенной памятью, которая разбита на зоны и защищена каждая своим секретным ключом (специальным кодом, предъявление которого микросхеме дает возможность проводить или не проводить операции чтения и записи в память карты). В микропроцессорных карточках память управляется 8-разрядным процессором через специальную операционную систему (маску), записанную в постоянном запоминающем устройстве (ROM). Для вычислений используется оперативное запоминающее устройство (RAM), активизируемого в момент подачи на контакты микросхемы рабочего напряжения. Для постоянного хранения данных используется та же технология EEPROM, что и в картах с памятью. Логическая структура данных зависит от операционной системы карточки, но обычно в любой микропроцессорной карточке можно организовывать файлы и каталоги файлов, а также защищать отдельные файлы по доступу секретными ключами со счетчиками "неправильных" предъявлений ключа. Карты памяти "общаются" со смарт-картридером обычно по синхронному коммуникационному протоколу (их несколько в соответствии с принятыми промышленными стандартами). Микропроцессорные карточки без исключения используют асинхронный коммуникационный протокол; обычно это протокол T=0, хотя в последнее время используется и более совершенный протокол T=1, обеспечивающий возможность коррекции ошибок, т.е. более надежную связь между карточкой и смарт-картридером. Практически во всех микропроцессорных карточках аппаратно реализован криптоалгоритм (обычно, некоторая модификация DES или RSA), а иногда, и не один. Встроенные криптоалгоритмы используются не только для шифрования данных, но и для их сертификации, для аутентификации различных приложений, порождения цифровых подписей и т.д. Обращение к криптоалгоритму обычно реализовано с помощью отдельной команды операционной системы. В бесконтактных карточках (хотя это карточки с защищенной памятью) тоже используются средства шифрования данных. Это связано с тем, что передача данных идет, по существу, по радио и, в принципе, может быть перехвачена. Поэтому сеанс связи шифруется с помощью мощного криптоалгоритма. Электронный кошелек на микропроцессорной карточке также реализован аппаратно. Кстати, и на бесконтактных карточках имеется аналог электронного кошелька - область памяти, к которой применяются операции инкремента и декремента значения. Это специальный файл, который содержит баланс карточного счета, и над которым определены операции кредитования (пополнения счета карты) и дебетования (списание со счета карты). Операции можно проводить только в случае предъявления карточке (точнее, конкретному электронному кошельку, поскольку их в памяти карточки может быть несколько) "правильных" ключей. Соответственно, ключи называются ключами кредитования или дебетования. Обычно защита кошелька построена так, что при предъявлении "неправильных" ключей более трех раз, кошелек блокируется. Разумеется, здесь приведено поверхностное описание обеспечения безопасности. В действительности, защита информации в смарт-картах всех без исключения фирм весьма изощренная и отвечает всем необходимым критериям безопасности проведения карточных транзакций. Так, например, аутентификация карточки БСК или ее кошелька обычно построена на сравнении случайных чисел, которые генерируются микропроцессором карточки и передаются по каналам связи между карточкой и модулем безопасности смарт-картридера в зашифрованном виде. Используемые для шифрования ключи после персонализации карточки никогда не появляются в канале связи, и, стало быть, не могут быть перехвачены злоумышленником при анализе сеанса работы карточки со смарт-картридером. Что же касается стандартов для смарт-карт, то здесь дела обстоят, на наш взгляд, неплохо. О совместимости смарт-карт на "электрическом" уровне беспокоиться не стоит: эти проблемы решены. "Логический" уровень намного сложней. Для банковских карт в основном используются спецификации EMV (Europay/MasterCard/VISA). Для торговых карт соответствующие стандарты еще не разработаны. Поскольку торговые приложения чиповых карт по определению локальны, их регулирование вряд ли будет объектом внимание международных организаций. Прочие информационные атрибуты карточки Из оставшихся атрибутов карточки самым важным является логотип той системы, где карточка принимается. Приняты следующие правила. На карточке имеются логотип организации, выпустившей карту (эмитента), логотип сети, где эта карточка принимается (например, знак обслуживания платежной или дисконтной системы), логотипы прочих организаций, которые сообщают карточке дополнительные потребительские свойства. Например, логотип торговой сети "Седьмой Континент" говорит о том, что по этой карточке можно получить пятипроцентную скидку. В то же время эта карточка, за счет логотипа VISA Electron, является платежной карточкой, принимающейся во всей платежной сети VISA. Из прочих информационных атрибутов карточки являются: полоса для подписи и текст, свидетельствующий о собственнике карточки. Полоса для подписи не обязательно применяется по своему прямому назначению. Для платежных систем этот атрибут обязателен (там обязательна подпись держателя карточки, и если ее нет, карта считается недействительной). Для дисконтных систем полоса для подписи либо отсутствует, либо используется для указания на дату окончания срока действия карточки. Такая технология очень удобна: при выдачи торговой карты сотрудник торгово-сервисной организации просто вписывает срок окончания действия карточки от руки. Что же касается текста о праве собственности, то здесь важно подчеркнуть следующее. Владелец карточки (он же держатель) - не обязательно собственник карточки. Владеть чем-либо можно, не обладая правом собственности. Обычно, для того, чтобы можно было бы беспрепятственно изъять карточку, на ней прямо указывается право собственности эмитента. Для банковских карточек эта информация обязательная; что же касается эмитентов из торговли и сферы услуг, то такие данные обычно опускаются. Мы же рекомендуем делать это всегда: ничего плохого здесь не случится, а карточку (на законных правах) можно всегда изъять у предъявителя. |
