junho 06, 2018

[Segurança] A evolução do protocolo 3D-Secure

Fala-se muito do GPDR, mas o 3D Secure 2.0 (3DS 2.0) é uma outra regulamentação de segurança que pode causar impacto positivo no mercado. O protocolo 3DS foi criado com o propósito de ajudar emissores de cartão de crédito e sites de e-commerce a reduzir o volume de fraude online, que assola a indústria constantemente. Ele é usado pela Visa (o serviço chamado de "Verified by Visa"), pela Mastercard (que batizou isso de "SecureCode") e pela American Express ("SafeKey").

O Three-Domain Secure (3DS) é um protocolo de mensagens desenvolvido pela EMVCo para permitir que os consumidores (portadores de cartões de crédito) se autentiquem com o emissor do cartão ao realizar as suas compras online, em sites de e-commerce. É um protocolo de comunicação e autenticação entre o portador do cartão de crédito e a entidade financeira que emitiu.

Essa modalidade de compras com cartões é conhecida no mercado como "cartão não presente" (CNP), pois o lojista não tem acesso físico ao cartão, e por isso, não consegue validar o cartão e a identidade do portador de formas tradicionais (por exemplo, pedindo o documento do portador). Nesse tipo de transações, é comum que os bancos forcem que toda a responsabilidade pela identificação de fraude fique com o lojista, e portanto, a loja é quem fica com o prejuízo se uma transação for fraudulenta e for contestada pelo verdadeiro dono do cartão.

O 3DS, portanto, estabelece uma camada de segurança que ajuda a validar a identidade do portador do cartão, para impedir transações fraudulentas (não autorizadas) de CNP e, assim, proteger o comerciante contra fraudes.

A primeira versão do 3DS não foi muito adotada pelo mercado em geral pois, entre outros problemas, ela tinha má usabilidade, o que afastava o cliente no momento do encerramento de sua compra. Para fazer o pagamento, o cliente deveria ter um pré-cadastro no site da emissora do cartão e isso atrapalhava a vida do cliente final.

No final de Outubro de 2016 foi lançado o 3DS 2.0, uma versão melhorada que inclui recursos de autenticação baseada em risco, usando características da transação, além de suporte a transações em ambiente mobile e métodos de autenticação out-of-band.

O vídeo abaixo, da EMVCo, explica rapidamente como o  3DS 2.0 funciona:



Para saber mais:

Nenhum comentário:

Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.