Сервіси Інтернету для забезпечення комерції - туристична бібліотека InfoTour.in.ua

Розділ 2. Інтернет-комерція

2.2. Сервіси Інтернету для забезпечення комерції

Інтернет являє собою структуру, що об'єднує глобальні обчислювальні мережі (ГВП).

У кожній ГВП використовується обмежена номенклатура технічних засобів, зазвичай - ЕОМ одного типу (однорідні мережі). Для того щоб з'єднати дві ГВП, побудовані на різних типах ЕОМ (різнорідні ГВП), необхідні спеціальні технічні і програмні засоби, реалізовані у вигляді «шлюзів» (або «маршрутизатор»). В неоднорідних мережах формати використовуваної в них інформації та системи команд різні. У шлюзах здійснюється перекодування інформації з кодів, діючих в одній мережі, в коди, які діють в інший (наприклад, з КОІ-7 у ДКОИ або в ASCII, і назад), і перетворюються інші дані відповідно до правил, прийнятими в кожній ГВП.

При великій кількості різнорідних глобальних обчислювальних мереж для зв'язку один з одним ці ГВП повинні мати велику кількість «шлюзів», що пов'язано з великими матеріальними витратами. Значно ефективнішим є розробка загальних для всіх правил обміну інформацією та способів її подання.

2.2.1. Технологія «клієнт - сервер»

Об'єднання ГВП в Інтернеті реалізовано з орієнтацією на технологію «клієнт - сервер».

Сам термін «клієнт - сервер» початково застосовувався до архітектури програмного забезпечення, яке описувало розподіл процесу виконання за принципом взаємодії двох програмних процесів, один з яких у цій моделі називався «клієнтом», а інший - «сервером».

Основний принцип технології «клієнт - сервер» стосовно до технології баз даних полягає в поділі функцій стандартного інтерактивного додатки на п'ять груп, які мають різну природу:

- функції введення і відображення даних (Presentation Logic);
- прикладні функції, що визначають основні алгоритми вирішення завдань програми (Business Logic);
- функції обробки даних усередині програми (Database Logic);
- функції управління інформаційними ресурсами (Database Manager System);
- службові функції.

Існують типи серверів - файлові, баз даних, додатків, - відмінності між якими визначаються ступенем розподілу функцій обробки даних між сервером і клієнтом таким чином, щоб забезпечити максимальну продуктивність системи.

В Інтернеті самим критичним показником продуктивності є швидкість передачі даних по телефонних мереж, через які організується доступ клієнтських комп'ютерів серверами глобальної мережі. До початку 1990-х рр. доступ організовувався через телефонні модеми користувачів - Модулятори-Демодулятори аналогових сигналів у цифрові, і навпаки.

У 1989 р. вперше з'явилася ідея використовувати аналого-цифрове перетворення на абонентському кінці лінії, що дозволило б удосконалити технологію передачі даних по витій парі мідних телефонних проводів. Технологія отримала назву DSL (Digital Subscriber Line).

На базі цієї технології була розроблена технологія ADSL (Asymmetric Digital Subscriber Line - Асиметрична цифрова абонентська лінія), яка входить до число технологій високошвидкісної передачі даних, що мають загальне позначення xDSL. До інших технологій DSL відносяться HDSL (High data rate Digital Subscriber Line - Високошвидкісна цифрова абонентська лінія), VDSL (Very-high data rate Digital Subscriber Line - Швидкісна цифрова абонентська лінія) і ін.

ADSL є асиметричною технологією - швидкість «низхідного» потоку даних (тобто тих даних, які передаються у бік кінцевого користувача) вище, ніж швидкість «висхідного» потоку даних (в свою чергу передається від користувача у бік мережі).

Для стиснення великого обсягу інформації, що передається по витій парі телефонних проводів, технології ADSL використовується цифрова обробка сигналу і спеціально створені алгоритми, вдосконалені аналогові фільтри та аналого-цифрові перетворювачі

Технологія ADSL використовує метод поділу смуги пропускання мідного телефонного лінії на кілька частотних смуг (також званих несучими). Це дозволяє одночасно передавати кілька сигналів по одній лінії. Цей процес відомий як частотне ущільнення лінії зв'язку (Frequency Division Multiplexing - FDM).

Переваги ADSL:

- перш за все, швидкість передачі даних;
- більше не потрібно набирати телефонний номер, щоб підключитися до мережі Інтернет або до ЛОМ. ADSL створює широкосмуговий канал передачі даних, використовуючи вже існуючу телефонну лінію. Після встановлення модемів ADSL ви отримуєте постійно встановлене з'єднання. Високошвидкісний канал передачі даних завжди готовий до роботи в будь - який момент, коли вам це буде потрібно;
- смуга пропускання лінії належить користувачу цілком;
- технологія ADSL дозволяє повністю використовувати ресурси лінії;
- багатофункціональність даної системи. Так як для роботи різних функцій виділено різні частотні канали смуги пропускання абонентської лінії, ADSL дозволяє одночасно передавати дані і говорити по телефону;
- ADSL відкриває абсолютно нові можливості в тих областях, в яких в режимі реального часу необхідно передавати якісний відеосигнал. До них належить, наприклад, організація відеоконференцій, навчання на відстані і відео за запитом;
- технологія ADSL дозволяє провайдерам надавати своїм користувачам послуги, швидкість передачі даних яких більш ніж в 100 разів перевищує швидкість найшвидшого на даний момент аналогового модему (56 кбит/с) і більш ніж у 70 раз - швидкість передачі даних до ISDN (128 кбіт/с);
- технологія ADSL дозволяє телекомунікаційним компаніям надавати приватний захищений канал для забезпечення обміну інформацією між користувачем і провайдером;
- технологія ADSL ефективною з економічної точки зору хоча б тому, що не вимагає прокладки спеціальних кабелів, а використовує вже існуючі двопровідні мідні телефонні лінії;
- для того щоб лінія ADSL працювала, необхідно не так вже багато обладнання.

2.2.2. Провайдери інтернет-послуг

В Інтернеті нині налічуються десятки мільйонів host-комп'ютерів, належать різним організаційним структурам, особливе місце серед яких займають провайдери (provider) - організації, що спеціалізуються на надання інтернет-послуг (сервісів).

Вважається, що у Інтернету немає господаря. Координацію роботи Мережі веде Співтовариство Інтернет (ISOC), що працює на громадських засадах (знаходиться в Рестоні, штат Вайомінг, США Безпосередню дослідницьку та технічну роботу ведуть координаційні та робочі групи, створювані LAB.

Для того щоб стати провайдером інтернет-послуг, необхідно отримати адресу для власного host-комп'ютера. Децентралізація мережі має межу, пов'язаний з присвоєнням адреси хост-комп'ютерів.

При створенні Інтернету розроблена стандартна система адресації ресурсів (URL - Uniform Resource Locator) і правила обміну інформацією - протоколи TCP (Transmission Control Protocol) і IP (Internet Protocol), що використовуються зазвичай спільно й відомі під ім'ям TCP/IP. Дані протоколи були розглянуті вище у главі 1.

Хост-машина є домен, тобто адміністративною одиницею, що володіє правом надання адрес підлеглим об'єктів, які утворюють «дерево» хоста.

Синтаксис IP-адреси визначає, що повне ім'я комп'ютера містить в якості крайнього правого елемента ім'я домену першого рівня. Підлеглі домени перераховуються лівіше домену першого рівня і відокремлюються один від одного крапкою. Наприклад, rmat.ru - це повне ім'я хост-комп'ютера Доменна система адресації гарантує, що в Інтернеті немає двох ЕОМ з однаковими адресами.

Міжнародна організація Internic (http://www.internic.net/), де NIC означає Network Information Centre (мережевий інформаційний центр), виробляє реєстрацію host-комп'ютерів (тобто контролює домени двох верхніх рівнів) і стежить за унікальністю реєстрованих адрес. При реєстрації в Internic визначається кореневий домен, до якого належить реєстрований host-комп'ютер, і надсилається заявка на реєстрацію в цьому домені його імені. Ім'я повинно бути унікальним (відсутнім в Internic), легко запам'ятовуватися і вводитися з клавіатури. За реєстрацію свого імені в домені сплачується внесок. Окрема плата раз у два роки вноситься за супровід цього імені (тобто за зберігання цього імені в базі даних Internic).

У цій роботі Internic допомагають інші організації. Так, до 2005 року Російський НДІ розвитку суспільних мереж (Ріс-НИИРОС) реєстрував імена доменів другого рівня в домені «гі». З 1 січня 2005 р. Росніїрос перестав виконувати функції реєстратора доменів другого рівня в домені RU і займається лише технічним супроводом системи реєстрації та DNS-серверів зони RU, а також реєстрацією і підтримкою доменів третього рівня в доменах загального користування org.ru, net.ru, pp.ru, com.ru.

Після припинення дії договору «Про реєстрації та технічної підтримки доменів другого рівня в зоні .RU» стане неможливим продовження на наступний термін реєстрації доменів, зареєстрованих в Росніїрос. Для подальшого обслуговування та прийому оплати за продовження реєстрації доменів підтримка доменів передана іншому чинному реєстратору. Представником Росніїрос в питаннях реєстрації доменів є компанія АНО «Регіональний мережевий інформаційний центр» (RU-CENTER) - акредитований реєстратор доменних імен в зонах RU, SU, NET, COM, ORG, BIZ, INFO, утворена Росніїрос у 2000 р. спеціально для надання послуг, пов'язаних з розподілом адресного простору Інтернету.

В даний час в цій роботі беруть участь і інші організації, наприклад NETCO. На сайті компанії можна зареєструвати домени другого рівня в домені RU, COM, NET, ORG, BIZ, INFO і в доменах третього рівня COM.RU, NET.RU, ORG.RU, SPB.RU, MSK.RU, SPB.SU, MSK.SU. Тут же можна перевірити унікальність вибраного доменного імені.

Прийнято розрізняти три види провайдерів Інтернету:

- ISP (Internet Service Provider) - підключений до Інтернету постійно і має постійна IP-адреса (IP-адреса є частиною URL). Інші користувачі (клієнти) підключаються до ISP на час роботи. ISP, як правило, надає своїм клієнтам віддалений доступ по комутованих каналах телефонного зв'язку (це називається «dual-up service»). Для цього ISP орендує у місцевої телефонної компанії телефонні лінії, за яким з ним можна зв'язатися;
- IPP (Internet Presence Provider) - це постачальник, забезпечує своїм клієнтам присутність в Інтернеті. Він так само підключений до Інтернету постійно і має статичну IP адресу. На відміну від ISP IPP не надає послуг dual-up service. Він може тільки розміщувати на своїх серверах публікації інших осіб, рекламу, web-сайти і т.д.;
- РСР (Private Content Publisher) - видавець власних матеріалів, є учасником міжмережевого обміну, який готує інформацію для розміщення у Інтернеті.

Отримавши своє доменне ім'я, ви можете стати ISP або IPP і надавати різні види інтернет-послуг (сервісів) всім бажаючим.

Основною послугою ISP-провайдера є надання хостингу - оренди дискового простору сервера для розміщення сайтів організацій. Не кожна організація може дозволити собі утримання власного сервера, в першу чергу, з причини необхідності забезпечення належного рівня безпеки, включаючи не тільки захист, але й захист від фізичного сервера знищення.

Хостинг в Інтернеті може бути платним, умовно безкоштовним і безкоштовним.

Умовно-безкоштовний хостинг передбачає в якості компенсації послуг провайдера розміщення на вашому ресурсі реклами сторонніх організацій. Після публікації ресурсу на сервері провайдера на всіх ваших сторінках розміщуються банери зовнішньої реклами - малюнки, що містять гіперпосилання на сайти рекламодавців.

Сервер надає користувачам можливість мати особистий поштову скриньку.

Сервер надає користувачам можливість мати www-сторінку. Сумарний обсяг файлів користувача на диску сервера може досягати 10 Мб. При цьому користувач може зберігати 10 Мб пошти.

В цілях підтримки високого рівня безкоштовних послуг можливе здійснення рекламних розсилок, спонсорованих третіми особами і містять особливі пільгові пропозиції. Тижнева кількість таких розсилок суворо обмежена двома.

Опублікована на головній сторінці інформація може підпадати під дію закону про ЗМІ. Автори сервера не несуть відповідальності за опубліковану приватними користувачами інформацію і не контролюють її, здійснюючи тільки підтримку технічної можливості публікації інформації для замкнутого вузького кола осіб або для мережевого співтовариства.

Сервер створений не для використання в якості особистого файлового архіву і не для зберігання піратських копій. Подібне використання сервера може спричинити за собою втручання з боку адміністрації (обмеження дискового простору, ліквідація можливості тримати www-сторінку, знищення акаунта).

Всі користувачі сервера Chat.ru зобов'язані дотримуватися загальноприйнятих мережеві правила і норми користування Мережею, викладені в документі OFISP-005. Недотримання цих правил і норм може призвести до видалення облікового запису користувача з системи.

Обліковий запис користувача, який порушує правила роботи з сервером, є вічним. Аккаунт не підлягає знищенню при відсутності активності користувача.

Повністю безкоштовним є хостинг для Windows NTWebMatrixHosting: http://europe.webmatrixhosting.net/russia/default.aspx. Цей хостинг експериментальним, призначений для просування продукції Microsoft в Інтернеті і, на відміну від платних, не містить жодних гарантій, угод про рівень обслуговування.

Основною перевагою хостингу є можливість розміщення СУБД і підтримка динамічних web-сторінок формату aspx.

2.2.3. Безпека трансакцій

В основі існування e-commerce в Інтернеті лежать методи забезпечення інформаційної безпеки трансакцій в Мережі.

Поняття «інформаційна безпека» можна визначити як стан стійкості інформаційної системи до випадковим або навмисним впливів, виключає неприпустимі ризики знищення, перекручення та розкриття інформації, які призводять до матеріальних збитків власника або користувача інформації. Оскільки Мережа є повністю відкритою для зовнішнього доступу, то роль цих методів дуже велика.

Згідно проведеним дослідженням, однією з основних причин повільного зростання електронної комерції є заклопотаність покупців надійністю засобів, застосовуються при виконанні платежів в Інтернеті з використанням кредитних карток, яка виражається наступним:

- недостатня гарантованість конфіденційності - хто-небудь може перехопити передані дані і спробувати отримати цінну інформацію, наприклад дані про кредитні картки;
- недостатній рівень перевірки (аутентифікації) учасників операції - покупець, відвідуючи електронний магазин, не впевнений, що представлена в ньому компанія саме та, за кого вона себе видає, а у продавця немає можливості перевірити, що покупець, який зробив замовлення, є законним власником кредитної карти;
- недостатня гарантованість цілісності даних - навіть якщо відправник даних ідентифікований, третя сторона може змінити дані під час їх передачі.

Для забезпечення допустимого рівня ризику трансакцій у Інтернеті застосовуються методи шифрування, цифрового підпису та сертифікації.

Шифрування. Здійснюючи операції в Мережі, в першу чергу необхідно переконатися, що важлива інформація надійно прихована від сторонніх осіб. Цьому служить технологія шифрування, перетворююча простий текст у форму, яку неможливо прочитати, не володіючи спеціальним шифрувальним ключем. Завдяки цій технології можна організувати безпечну зв'язок із загальнодоступних незахищеним каналам, таким, як Інтернет.

Будь-яка система шифрування працює за певною методологією. Вона складається з одного або більше алгоритмів шифрування (математичних формул), ключів, використовуються цими алгоритмами шифрування, а також системи управління ключами. Згідно методології шифрування спочатку до тексту застосовуються алгоритм шифрування і ключ для отримання з нього шифрованого тексту. Потім шифрований текст передається до місця призначення, де той же самий алгоритм використовується для його розшифровки, щоб отримати початковий текст. В методологію шифрування також входять процедури створення ключів і їх розповсюдження.

Найбільш поширеними алгоритмами шифрування є алгоритми, об'єднують ключ з текстом. Безпека систем шифрування такого типу залежить від конфіденційності ключа, який використовується в алгоритмі шифрування, а не від конфіденційність самого алгоритму. Багато алгоритми шифрування загальнодоступними і завдяки цьому добре перевірені. Але основна проблема, пов'язана з цими методами, полягає у безпеці процедури генерації і передачі ключів учасникам взаємодії.

В даний час існують два основних типи криптографічних алгоритмів, регламентируемыми стандартами:

- класичні, або симетричні алгоритми, засновані на використанні закритих, секретних ключів, коли і шифрування і дешифрування виробляються з допомогою одного і того ж ключа;
- алгоритми з відкритим ключем, в яких використовуються один відкритий і один закритий ключ. Ці алгоритми називаються також асиметричними.

Для вирішення проблеми поширення ключів у симетричних методах шифрування основі результатів, отриманих класичної та сучасної алгеброю, були запропоновані системи з відкритим ключем, або асиметричні криптосистеми. Суть їх полягає в тому, що кожним адресатом генеруються два ключа, пов'язаних між собою за певним правилом. Хоча кожен з пари ключів підходить як для шифрування, і для дешифрування, дані, зашифровані одним ключем, можуть бути розшифровані тільки іншим ключем. Один ключ оголошується відкритим, а інший - закритим. Відкритий ключ публікується і доступний кожному, хто бажає послати повідомлення адресату. Секретний ключ зберігається в таємниці. Вихідний текст шифрується відкритим ключем адресата і передається йому. Зашифрований текст не може бути розшифровано тим же відкритим ключем. Дешифрування повідомлення можливо тільки з використанням закритого ключа, відомого тільки самому адресату.

Криптографічні системи з відкритим ключем використовують так звані незворотні, або односторонні функції.

Алгоритми шифрування з відкритим ключем отримали широке поширення в сучасних інформаційних системах. Відомо кілька криптосистем з відкритим ключем. Найбільш розроблена на сьогодні система RSA, запропонована ще в 1978 р. Алгоритм RSA названий за першими літерами прізвищ авторів: Р.Л. Райвеста (R.L. Rivest), А. Шаміра (A. Shamir) і Л. Адлема-на (L. Adleman). Цей алгоритм став де-факто світовим стандартом для відкритих систем і рекомендований МККТТ (Міжнародним консультативним комітетом з телефонії і телеграфії).

Цифровий підпис. Шифрування переданих через Інтернет даних дозволяє захистити їх від сторонніх осіб. Однак для повної безпеки повинна бути впевненість в тому, що другий учасник трансакції є тією особою, за яку він себе видає. В бізнесі найбільш важливим ідентифікатором особи замовника є його підпис. В електронній комерції застосовується електронний еквівалент традиційної підпису - цифровий підпис. З її допомогою можна довести не тільки що трансакція була ініційована певним джерелом, але і що інформація не була зіпсована в час передачі. Як і в шифруванні, технологія електронного підпису використовує або секретний (в цьому випадку обидва учасники угоди застосовують один і той же ключ), або відкритий ключ (при цьому потрібно пара ключів - відкритий і особистий). І в даному випадку більш прості у використанні методи з відкритим ключем (такі, як RSA) більш популярні.

При аутентифікації особистості відправника відкритий та особистий ключі грають ролі, протилежні тим, що вони виконували при шифруванні. Так, в технології шифрування відкритий ключ використовується для зашифровки, а особистий - для розшифровки. При аутентифікації за допомогою підпису все навпаки. Крім того, підпис гарантує цілісність та справжність повідомлення, але не захист його від сторонніх очей. Для цього призначені алгоритми шифрування. Наприклад, стандартна технологія перевірки автентичності електронних документів DSS (Digital Signature Standard) застосовується в США компаніями, що працюють з державними установами. Однак у технології RSA більш широкі можливості в силу того, що вона служить як для генерації підпису, так і для шифрування самого повідомлення. Цифровий підпис дозволяє перевірити справжність особистості відправника: вона заснована на використанні особистого ключа автора повідомлення і забезпечує високий рівень збереження інформації.

Сертифікати. Як було сказано вище, основною проблемою криптографічних систем є поширення ключів. У випадку симетричних методів шифрування ця проблема стоїть найбільш гостро, тому при шифруванні даних для передачі ключів через Інтернет найчастіше використовуються асиметричні методи шифрування.

Асиметричні методи більш пристосовані для відкритої архітектури Інтернету, однак і тут використання відкритих ключів вимагає їх додаткового захисту і ідентифікації для визначення зв'язку з секретним ключем. Без такої додаткової захисту зловмисник може видати себе за відправника підписаних даних або за одержувача зашифрованих даних, замінивши значення відкритого ключа або порушивши його ідентифікацію. У цьому випадку кожен може видати себе за іншу особу. Всі це призводить до необхідності верифікації відкритого ключа. Для цих цілей використовуються електронні сертифікати.

Електронний сертифікат являє собою цифровий документ, який пов'язує відкритий ключ з певним користувачем або програмою. Для засвідчення електронного сертифіката використовується електронний цифровий підпис довіреної центру - Центру сертифікації (ЦС). Виходячи з функцій, які виконує ЦС, він є основним компонентом всієї інфраструктури відкритих ключів (ВОЦ, або PKI - Public Key Infrastructure). Використовуючи відкритий ключ CA, кожен користувач може перевірити достовірність електронного сертифіката, випущеного ЦС, і скористатися його вмістом. Для того щоб сертифікатами можна було довіряти, незалежна організація, що виконує функції ЦС і є джерелом сертифікатів, повинна бути досить авторитетною. В даний час найбільш відомим джерелом сертифікатів є компанії Thawte (www.thawte.com) і VeriSign (www.verisign.com), однак існують і інші системи сертифікації, такі, як World Registry (IBM),

Cyber Trust (GTE) і Entrust (Nortel). У Росії дистриб'ютором SSL-сертифікатів компанії Thawte сьогодні є Росбізнесконсалтинг (www.rbc.ru).

Технологія цифрових сертифікатів працює наступним чином. Щоб скористатися сертифікатом, потенційний покупець повинен, насамперед, отримати його у надійного джерела сертифікатів. Для цього йому необхідно якимось чином довести справжність своєї особистості, можливо, з'явившись в цю організацію і пред'явивши відповідний документ, а також передати джерела сертифікатів копію свого відкритого ключа. Коли після цього він захоче що-небудь купити через Інтернет, йому буде досить додати до замовлення свою електронну підпис і копію сертифіката. Відділ обслуговування покупців фірми, в якій він здійснив покупку, перевіряє сертифікат, щоб переконатися, що до замовлення програми справжній відкритий ключ, а також з'ясовує, чи не був сертифікат.

Слід зазначити, що технологія цифрових сертифікатів є двонаправленою. Це означає, що не тільки фірма може перевірити справжність замовлення покупця, але і сам покупець має можливість переконатися, що він має справу саме з тієї фірмою, за яку вона себе видає. Здійснивши взаємну перевірку, обидві сторони спокійно укладають угоду, так як володіють справжніми відкритими ключами один друга і, відповідно, можуть шифрувати дані передаються і забезпечувати їх цифровим підписом. Такий механізм забезпечує надійність угоди, бо в цьому разі жодна із сторін не зможе відмовитися від своїх зобов'язань.

2.2.4. Протоколи і стандарти безпеки віртуальних платежів

До найбільш поширених механізмів, які покликані забезпечити безпеку проведення електронних платежів через Інтернет відносяться:

- протокол SSL (Secure Socket Layer), що забезпечує шифрування переданих через Інтернет даних;
- стандарт SET (Secure Electronic Transactions), розроблений компаніями Visa і MasterCard і забезпечує безпеку і конфіденційність здійснення угод за допомогою пластикових карт.

Протокол SSL (Secure Socket Layer) - один з існуючих протоколів обміну даними, що забезпечує шифрування переданої інформації. SSL - стандарт, заснований на криптографії з відкритими ключами. Протокол забезпечує захист даних у мережах TCP/IP за протоколами додатків за рахунок шифрування і аутентифікації серверів і клієнтів. Це означає, що шифрується вся інформація, що передається і одержується web-браузером, включаючи URL-адреси, всі надіслані відомості (такі, як номери кредитних карт), дані для доступу до закритим web-сайтів (ім'я користувача і пароль), а також всі відомості, вступники з web-серверів.

Конфіденційність повідомлень у SSL забезпечується застосуванням комбінованої схеми з використанням криптографії з відкритими і симетричними ключами. Весь потік повідомлень між клієнтом та сервером здійснюється у зашифрованому вигляді за допомогою сеансового ключа, який виробляється на початковій стадії взаємодії сторін по протоколу SSL, званої handshake. Шифрування потоку даних дозволяє приховати вміст повідомлень навіть при перехоплення переданої інформації.

Достовірність та цілісність повідомлень забезпечується електронним підписом.

Взаємна аутентифікація дозволяє клієнту переконатися в достовірності з'єднання з необхідним сервером, а серверу, при необхідності, переконатися в достовірності клієнта.

Описаний вище протокол SSL дозволяє вирішити частину названих проблем безпеки, однак його роль в основному обмежується забезпеченням шифрування переданих даних. Тому для комплексного вирішення перерахованих вище проблем була розроблена специфікація і створений набір протоколів, відомий як стандарт SET (Secure Electronic Transaction - Безпечні електронні трансакції).

Офіційною датою народження стандарту SET є 1 лютого 1996 р. В цей день Visa International і MasterCard International спільно з рядом технологічних компаній оголосили про розробку єдиного відкритого стандарту захищених розрахунків через Інтернет з використанням пластикових карт.

Завдяки використанню цифрових сертифікатів і технологій шифрування SET дозволяє як продавцям, так і покупцям проводити аутентифікацію всіх учасників угоди. Крім того, SET забезпечує надійний захист номерів кредитних карток та іншої конфіденційної інформації, що пересилається через Інтернет, а відкритість стандарту дозволяє розробникам створювати рішення, які можуть взаємодіяти між собою.

Іншим важливим чинником, що забезпечує просування SET, є його опора на існуючі карткові системи, що давно стали звичним фінансовим інструментом з налагодженою технологією і правовим механізмом.

В основі системи безпеки, яка використовується SET, лежать стандартні криптографічні алгоритми DES і RSA. Інфраструктура SET побудована в згідно з інфраструктурою відкритого ключа (PKI) на базі сертифікатів, відповідають стандарту Х.509 організації по стандартизації (ISO). Головна особливість SET - регламентація використання системи безпеки, яка встановлюється міжнародними платіжними системами. Вимоги Visa і Europay до процесингового центру на основі SET включають, по-перше, традиційні вимоги до процесингу пластикових карт (захист приміщень, контроль доступу, резервне енергопостачання, апаратна криптографія тощо) і, по-друге, специфічні доповнення - міжмережеві екрани (firewalls) для захисту каналів Інтернету.

Такий підхід дозволяє використовувати єдині методики оцінки ризиків при проведенні електронних платежів незалежно від способу аутентифікації клієнта (традиційна карта з магнітною смугою, смарт-карта або цифровий сертифікат). Це дозволяє учасникам платіжної системи вирішувати спірні ситуації відпрацьованим механізмів і сконцентруватись на розвитку свого електронного бізнесу.

Повсюдне поширення мобільних засобів зв'язку, на використанні яких базуються практично всі програми стратегічного розвитку інформаційних технологій у XXI ст., а також необхідність враховувати розповсюдження конкуруючих рішень визначають сучасні напрямки розвитку електронної комерції та віртуальних платежів на базі стандарту SET.

SET забезпечує наступні вимоги захисту операцій електронної комерції:

- таємність даних оплати та конфіденційність інформації замовлення, переданої разом із даними про оплату;
- збереження цілісності даних платежів, яка забезпечується за допомогою цифрового підпису;
- спеціальну криптографію з відкритим ключем для проведення аутентифікації;
- аутентифікацію власника кредитної картки, яка забезпечується застосуванням цифрового підпису та сертифікатів держателя картки;
- аутентифікацію продавця і його можливості приймати платежі за пластиковими карт з застосуванням цифрового підпису та сертифікатів продавця;
- підтвердження того, що банк продавця є діючою організацією, яка може приймати платежі за пластиковими картками через зв'язок з обробної системою; це підтвердження забезпечується з допомогою цифровий підписи та сертифікатів банку продавця;
- готовність оплати трансакцій в результаті аутентифікації сертифіката з відкритим ключем для всіх сторін;
- безпека передачі даних за допомогою використання криптографії.

Розглянемо більш детально процес взаємодії учасників платіжної операції в згідно зі специфікацією SET.

Учасниками представленої схеми взаємодії є: власник карти - покупець, який робить замовлення; банк покупця - фінансова структура, яка випустила кредитну карту для покупця; продавець - електронний магазин, пропонує товари і послуги; банк продавця - фінансова структура, що займається обслуговуванням операцій продавця; платіжний шлюз - система, зазвичай контрольована банком продавця, яка обробляє запити від продавця і взаємодіє з банком покупця; сертифицирующая організація - довірча структура, видає та перевіряє сертифікати.

Взаємовідносини учасників операції показані на малюнку безперервними (взаємодії, описані стандартом SET) і пунктирними лініями (деякі можливі операції).

Динаміка взаємин та інформаційних потоків у відповідності зі специфікації стандарту SET включає наступні дії:

- учасники запитують і отримують сертифікати від сертифікує організації;
- власник пластикової карти переглядає електронний каталог, вибирає товари і посилає замовлення продавцю;
- продавець пред'являє свій сертифікат власнику картки в якості посвідчення;
- власник картки пред'являє свій сертифікат продавцю;
- продавець запитує платіжного шлюзу виконання операції перевірки; шлюз звіряє надану інформацію з інформацією банку, що випустив електронну карту;
- після перевірки платіжний шлюз повертає результати продавцю;
- через деякий час продавець вимагає платіжного шлюзу виконати одну або більше фінансових операцій; шлюз посилає запит на переказ визначеної суми з банку покупця банку продавця.

Надійність SET-платформи для організації захищених, платежів є загальновизнаною. Для отримання актуальної інформації про поширення SET, включаючи інформацію про банки, що мають сертифікати Visa і Europay/MasterCard, і торгові/сервісних компаніях, які приймають SET-платежі, можна звернутися на сайт set-sites.com або сайти міжнародних платіжних систем.