Маска банковской карты что это такое
Маскирование ИЛИ усечение номера PAN: в чем разница?
Я, конечно, не получаю пачками вопросы по безопасности платежных карт, однако, время от времени кто-нибудь да и задаст мне такой вопрос, который заслуживает отдельной публикации в блоге. Буквально на днях одна читательница, Мишель, задала мне такой вопрос, который, в целом отражает часто встречающееся непонимание в сфере безопасности платежных карт:
Вчера я перечитывала PCI DSS 2.0, требование 3.4, и была немало удивлена тем, что для защиты хранимых номеров PAN не предлагается такая мера как «маскирование». Правильно ли я понимаю, что эти номера подлежат шифрованию перед помещением их на хранение, а при извлечении, они подлежат расшифрованию и маскированию? И потом, если мы получаем номер PAN уже в маскированном виде, а затем храним его, то попадает ли такое хранение под действие стандарта PCI DSS? С технической точки зрения, как я думаю, не попадает, т.к. PAN уже маскирован при получении, а значит нет возможности найти номер PAN в незашифрованном виде.
Вот в этом как раз и кроется основная суть непонимания сути маскирования. Многие люди либо вообще не знают о существовании усечения и полагают, что если они не могут видеть полный номер карты, то это маскирование, либо считают, что усечение и маскирование — это одно и то же. Несомненно это разные вещи, поэтому я позволю себе процитировать определения маскирования и усечения прямо из Глоссария PCI SSC:
Маскирование (Masking)
Метод сокрытия сегмента данных при отображении или печати. Маскирование используется, когда нет служебной необходимости в просмотре всего номера PAN.
Усечение (truncation)
Метод приведения номера PAN к нечитаемому виду посредством удаления сегмента данных PAN.
Представьте себе данные о держателе карты (далее – ДДК) в виде цифр на листке бумаги. При маскировании мы словно берем коррекционную ленту и наносим ее на большую часть цифр таким образом, чтобы человеку, которому передается этот листок, было видно только последние 4 цифры. Очевидно, что при этой операции данные по прежнему существуют под коррекционной лентой, хотя она их и скрывает. Разумеется, с этого листка бумаги, приложив некоторые усилия, можно счистить коррекционную ленту, а значит этот лист бумаги по прежнему нуждается в защите, при которой никакие злоумышленники не могли бы восстановить и использовать данные о держателе карты.
В свою очередь, если бы мы хотели выполнить усечение на этом листке бумаги, то мы бы либо вообще изначально не писали эти цифры, либо стерли их настолько надежно, что их никогда нельзя было бы воссоздать. Такие данные никогда не были бы написаны на листе бумаги, а значит никак не могли бы быть использованы для мошенничества с платежными картами. В таком сценарии, этот лист бумаги не имеет никакой ценности для злоумышленника, а значит нет необходимости его защищать, по крайней мере в той же степени, в которой следует защищать маскированные данные. Конечно, к этим усеченным данным могут быть привязаны какие-то дополнительные данные или значения, но сами по себе усеченные данные ценности не имеют.
Если на экране отображаются данные, из которых видна только малая часть, то нельзя знать наверняка, какие именно представлены данные — усеченные или маскированные. Для того, чтобы это узнать, необходимо глубже понимать процессы их обработки. Только понимая процессы, можно сказать, можно ли каким-либо воссоздать эти данные или же в базе данных хранятся те же данные, которые видны на экране. Находясь в обычном магазине, можно увидеть на чеках последние 4 цифры номера карты. Если платежное приложение написано корректно, то должность персонала – будь то руководитель торгового зала или продавец — не должна иметь значения: в любом случае никто не должен видеть ничего кроме последних 4 цифр номера. Дело в том, что в таком приложении данные не сохраняются, а значит ни у кого из сотрудников магазина нет возможности извлечь данные из системы — данные усечены и их в системе больше нет.
Совсем иная ситуация в бэк-офисе, в бухгалтерии и в службе, отвечающей за предотвращение ущерба. По умолчанию, сотрудники этих отделов и служб должны видеть только 4 последних цифры номера платежной карты. Однако при возникновении претензионных платежей или подозрений на вероятное мошенничество, сотрудники компании в рамках расследования должны иметь возможность отменить маскирование полного номера карты. Эти номера по-прежнему существуют на сервере, однако, они там в основном хранятся в маскированном (скрытом) виде, и отображаются только должным образом уполномоченному персоналу. Поскольку имеется возможность извлечения этих данных на серверах, они полностью входят в область оценки на соответствие стандарту PCI DSS и подлежат соответствующей защите.
Таким образом, отвечая на вопрос читательницы, я скажу, что хранимые данные не могут быть «маскированы». Они маскируются только при извлечении и считаются маскированными, если отображены частично. Именно поэтому, в требовании 3.4 отсутствует маскирование. Если же ТСП получает ДДК, в которых имеется только сегмент номера PAN (например, сегмент из первых 6 или последних 4 цифр), то такие данные являются усеченными. В таком случае полный номер PAN отсутствует, воссоздание его невозможно, а значит нет необходимости его защищать так же, как и ДДК. Я не говорю, конечно, о том, что данные, привязанные к этому номеру не имеют ценности и не подлежат защите, просто усеченные данные не входят в область применения требований стандарта.
Если же ТСП получает полный номер PAN, но сотрудникам он отображается в маскированном виде, то, даже если никто в ТСП не имеет доступа к ДДК, оно все равно отвечает за их защиту согласно требованиям стандарта. Если в этих данных нет необходимости, есть смысл просить о предоставлении усеченных данных, тем самым, сэкономив кучу сил и нервов на общении с аудиторами, выполнении требований стандарта, да и вообще на процессе приведения среды в соответствие со стандартом PCI DSS. Например, я приятный в общении человек, но даже самые большие мои поклонники среди клиентов подтвердят, что я становлюсь противным и невыносимым, как минимум, раз в год, когда прихожу к ним для проведения аудита.
Скрилл: регистрация в Skrill, обзор, ответы на вопросы
Все про Скрилл: как зарегистрироваться в Skrill, обзор системы, тарифы, ввод-вывод денег из Скрилл, ответы на вопросы, решение проблем с кошельком.
МАСКИ СЧЕТА, маска счета это.
маска счета это
МАСКИ СЧЕТА
В системе «Finist-Retail» существует возможность задавать маску, по которой будет формироваться номер лицевого счета при его открытии.
Под маской счета понимаем набор символов, которые в 20-тизначном номере лицевого счета могут располагаться с десятой позиции включительно, т.е. после ключа номера счета.
Назначенная маска действует при открытии лицевых счетов, связанных со счетом в балансе банка, который в свою очередь не связан с одним лицевым счетом. Например, открытие лицевых счетов по депозитам (423, 47411 и т.д.).
Способы определения маски счета:
В объекте «Балансовый счет» (доступ по пути Справочники/Счета/Балансовые счета/) доступен реквизит БалансовыйСчет.Маска, который обеспечивает определение маски счета для счетов в разрезе конкретного балансового счета. (данный реквизит имеет тип Text и длину 11 символов). При автоматической генерации нового номера лицевого счета (например, при открытии договора) используется маска счета из соответствующего балансового счета. Данный реквизит позволяет вводить символы. Напр., «ABVDV______».
Значение символов в маске счета для балансовых счетов:
При добавлении лицевых счетов осуществляется проверка соответствия номера счета маске балансового счета.
— Символ V определяет числовой код вида договора. Для некоторых банков у каждого вида вклада может быть свой уникальный код, который должен отражаться в номере счета. На форме редактирования вида договора этот реквизит располагается под кодом вида вклада и называется «Цифровой код» (допускает ввод двух символов (только цифры), напр., 03, 34 и т.д.). Если в маске балансового счета есть символы ‘V’, то при открытии соответствующего счета договора они заменяются на цифровой код вида вклада.
Задание маски по отделениям:
В объекте «Отделение» (доступ по пути Справочники / Отделения /) доступен реквизит «МаскаСчета», который обеспечивает определение маски всех открываемых лицевых счетов для конкретного отделения. Поле «Маска счета» позволяет вводить только цифры (либо обязательные 4 цифры, либо поле должно быть пустым):
Задание маски по умолчанию для всего банка:
Системный параметр «Маска счета по умолчанию» определяет маску счета, если в балансовом счете маска не определена. В данный системный параметр нельзя вводить символы «V»!
Приоритет настроек, по которым определяется маска при открытии счета (в порядке убывания):
— Если значение = 1, то по умолчанию используется маска «ABCD_______»,
— Если значение = 0 (или параметр не определен), то по умолчанию используется маска «0000_______».
Заключение: МАСКИ СЧЕТА В системе «Finist-Retail» существует возможность задавать маску, по которой будет формироваться номер лицевого счета при его открытии. Под маской счета понимаем набор символов,
Банковская карта
Какие бывают банковские карты и что надо сделать, чтобы их получить
Банковская карта — это пластиковая карта, с которой вы можете распоряжаться своим счетом в банке. Получить карту можно в любом банке, который работает с физическими лицами.
Карты бывают трех видов:
Все банковские карты похожи друг на друга: они одного размера, с защитной магнитной полосой или чипом. На лицевой стороне есть номер из 16 цифр, срок действия, имя и фамилия владельца. На обратной стороне — место для подписи владельца и код безопасности.
Виды банковских карт
В России выпускают три вида карт: «Визу», «Mастеркард» и «Мир». У всех них есть своя защищенная платежная система.
Карты «Виза» и «Maстеркард» принадлежат международным платежным системам. Отличаются друг от друга тем, что для «Визы» основная расчетная валюта — доллар, а у «Мaстеркарда» может быть и доллар и евро. В России обе карты поддерживают рубли.
Например, если у вас на карте рубли, а вам нужно что-то купить за доллары, то «Виза» сконвертирует рубль в доллары один раз, а «Мастеркард» сначала переведет в евро, а потом в доллар.
Карта «Мир» принадлежит национальной платежной системе. Ее запустили в России как альтернативу «Визе» и «Мастеркарду». «Миром» можно рассчитываться в любых странах, но выпускают такие карты только в российских банках.
Как сделать перевод со счета карты?
У всех карт есть банковский счет. Ваша карта — это удобный доступ к счету. Вы можете пополнять счет и снимать с него деньги, оплачивать покупки в магазине и интернете, снимать деньги в банкомате.
Если нужно отдать 250 рублей коллеге за обед, то удобно перевести деньги с карты на карту. Чтобы отправить деньги, нужно знать только номер карты. Деньги коллега получит моментально.
Чтобы не платить хозяину съемной квартиры каждый месяц наличными, можно переводить деньги по реквизитам счета. Перевод хозяин получит в тот же день, или в течении недели — зависит от банка.
Если вы отправляете родителям деньги переводом по почте в другой город, то удобнее сделать дополнительную карту к вашему счету. Счет у основной и дополнительной карты будет один, но вы можете поставить лимит расходов.
Как оформить банковскую карту?
Прежде чем оформить карту, определитесь, какая вам нужна: дебетовая или кредитная. Посмотрите предложения на сайтах банков, узнайте сколько стоит обслуживание, какие есть условия. На агрегаторах «Банки.ру» и «Сравни.ру» удобно сравнить карты разных банков.
У многих банков можно заказать карту прямо на сайте. Заполните заявку и дождитесь звонка. Когда карта будет готова, курьер ее вам привезет.
Удобства и недостатки использования
У банковских карт есть как удобства, так и недостатки.
К недостаткам можно отнести лимиты на выдачу наличных, сложности с чаевыми и безопасностью покупок в интернете.
Лимит выдачи наличных — максимальная сумма, которую вы можете снять с карты в установленный период. Обычно в договоре прописано какой это лимит: дневной или разовый.
В некоторых странах принято оставлять чаевые наличными. Если в кафе или ресторане нет оплаты по карте или не предусмотрен отдельный чек или строка в чеке на чаевые, придется запастись наличными.
При покупках в интернете будьте осторожны: лучше заведите дополнительную карту для операций в сети. Установите на нее лимит и храните маленькие суммы только для оплаты покупок.
Удобство карт в универсальности использования. Вы можете носить с собой любые суммы; у вас не будет проблем на таможне, как бывает, когда везете много наличных; можно оплачивать товары и услуги во всем мире; пополнять карту и снимать наличные в банкоматах и банковскими переводами.
Если вы отправляетесь в путешествие по Европе или США, откройте счет в евро или долларах к карте или отдельную валютную карту. Так вы будете оплачивать покупки и услуги в валюте страны и не терять на конвертации.
Если вам нужно перевезти крупную сумму из страны в страну, лучше держать деньги на карте. Законодательства многих стран ограничивают или контролируют ввоз и вывоз крупных сумм, а банковские карты на таможне не проверяют.
Если вы откроете карту международных платежных систем «Мастеркард» или «Виза», сможете оплачивать покупки, пополнять карту и снимать наличные в большинстве стран мира.
Как получить кредит на банковскую карту?
Если вы будете искать в интернете, как получить кредит, то скорее всего увидите ссылки на микрозаймы и микрокредиты. Эти деньги получить легко, но небезопасно, потому что выдает их не банк, а микрокредитная организация. У вас могут быть большие проценты за просроченные платежи, скрытые комиссии и злые коллекторы. Не ведитесь на легкие деньги.
Чтобы получить кредитку, подайте заявку онлайн или в отделении банка. Банк изучит вашу кредитную историю, посмотрит сколько вы зарабатываете, как выплачиваете ипотеку или кредит на машину. На основе этих данных предложит столько денег, сколько будет удобно платить каждый месяц, или откажут в кредите.
А чем овердрафт отличается от кредита?
Овердрафт — это краткосрочный кредит на дебетовой карте. Вы можете потратить больше, чем есть, если одолжите деньги у банка. Деньги в овердрафте можно брать сколько угодно раз, если не превышать лимит.
Овердрафт бывает разрешенный и технический.
Технический овердрафт — это когда вы потратили все деньги на карте и ушли в минус. Такое бывает, если на счете пусто, а банк списал деньги за обслуживание карты или если задержалась обработка платежа. Когда вы уходите в минус, любые деньги, поступившие на счет, идут на погашение овердрафта.
Разрешенный овердрафт вы подключаете себе, согласившись с условиями банка, включая возможные штрафы и последствия за нарушения этих условий. Овердрафт на карту можно заказать самому, или банк может предложить эту услугу.
Если овердрафт подключат, остаток на счете изменится: к нему прибавится одобренная сумма. Вы можете пользоваться деньгами в счет овердрафта сразу после того, как закончатся собственные. Можно снимать их в банкомате или оплачивать покупки картой.
Как пополнить карту?
Пополнить карту можно четырьмя способами:
Если у вас небольшая сумма денег, пополняйте в банкомате, с карты на карту или в точках пополнения. Банковский перевод удобен, когда нужно перевести большую сумму денег.
Виды мошенничества с банковскими картами?
Чаще всего мошенники крадут реквизиты карты или полностью делают ее копию.
Чтобы украсть деньги, мошеннику нужны номер карты, срок действия, код безопасности и код из смс. Для покупки в некоторых интернет-магазинах достаточно знать номер карты и срок действия. Если на телефон придет смс-код с подтверждением покупки, которую вы не делали, значит ваши данные есть у мошенников.
Данные карты могут украсть в банкомате, если мошенники оборудовали его считывающими устройствами. В банкомате может быть накладная клавиатура, скрытая камера и самодельный считыватель магнитной ленты карты. Если вы воспользуетесь таким банкоматом, то через некоторое время с вашего счета могут снимать деньги картой-подделкой.
Чтобы обезопасить свой счет от мошенников, не давайте карту в руки незнакомым людям, а еще лучше — закажите в банке дополнительную карту. На обеих картах можно поставить лимиты на траты в месяц: платить в кафе и магазинах с дополнительной, а основную держать для крупных покупок.
Анатомия банковской карты. Часть 1
Белорусские банки вслед за мировой тенденцией планируют избавить нас от наличных и переместить в онлайн. Мы уже привыкли везде платить карточкой и время от времени возмущаемся, почему таксисты не только завышают цены, но и не могут купить терминал для безналичного расчета. Карточка всегда в кошельке. Возьмите ее прямо сейчас и внимательно посмотрите. Мы расскажем, что здесь зашифровано.
Читаем лицевую сторону
Эмбоссирование – процесс механического выдавливания на пластиковой карточке букв и цифр. Он является уникальным для каждой карты.
Если цифры не совпадают с номером карты или отсутствуют, то карта может быть поддельной. Это своего рода защита карты от подделки.
Visa vs MasterCard. С помощью обеих карт можно расплачиваться по всему миру, где есть логотип платежной системы. Легко платить в интернете, обе карты можно использовать как расчетные или кредитные. Важно другое: для платежной системы Visa основной валютой является американский доллар. Это значит, что операции, связанные с конверсией валют, будут проходить через доллар. Для платежной системы MasterCard основной валютой может являться как американский доллар, так и евро. То есть операции могут проходить либо через евро, либо через доллар. Это важно учитывать, расплачиваясь за границей.
Банк-эмитент занимается выпуском и обслуживанием карточек.
Дизайн: кто во что горазд
На лицевой стороне карты может быть изображено все, что угодно. Это опознавательный знак банка, который отличает одни карты от других. Волю фантазии тут дают маркетологи: подбираю варианты дизайна, проводят опросы и выпускают новый продукт. Физически это просто пластик разного дизайна, который, как и цвет, зависит еще и от платежной системы, с которой банк выпускает эту карту. В Беларуси это Visa, MasterCard или родная БЕЛКАРТ.
Дизайн белорусских карточек тяготеет к классике и консерватизму. За рубежом – в силу большей конкуренции на рынке – случаются выдающиеся случаи. В Азербайджане выпустили пластиковые карты с запахами кофе и лимона. В Украине есть пластик с запахом шоколада и апельсина.
В 80-х прошлого века ходили слухи об особой «черной карте», которая якобы была доступна только чиновникам и знаменитостям. По легенде она давала неограниченные возможности и доступ в высококлассные магазины. В 1999 American Express повернул молву в свою пользу и выпустил карту Centurion. Выдал ее vip-клиентам. За карту American Express Centurion нужно было платить 1 000 долларов в год!
Падки на пафос и в Казахстане. Местный банк выпустил карту с золотым напылением и бриллиантом. В России кредитную карту, инкрустированную бриллиантами, первым выпустил Промсвязьбанк. Разработкой дизайна занималась Британская Высшая Школа Дизайна, а каждая карта – это ручная работа. На лицевой стороне сверкали три бриллианта – от 0,018 до 0,02 карат, а золотая мембрана покрывала 25% карты. Себестоимость карты банк раскрыть отказался.
Можно ли выпустить карту с обнаженной девушкой?
Заказать карточку с индивидуальным дизайном можно в некоторых белорусских банках. Они предложат свой вариант, а вы можете предложить свой. Будьте внимательны: здесь кроется опасность нарушить авторские права. Если помните историю фотографа и блогера Антона Мотолько, который подал иск на БТ за нарушение авторских прав и проиграл суд, то с вами, вероятнее всего, все будет наоборот. Возьмете фотографию своего авторства и купите на фото-стоке, но не скачивайте картинки в Google по поиску «котенок» или «привлекательная девушка». Это будет нарушение авторских прав.
Можно ли выпустить карточку с обнаженной девушкой? Увы и ах: есть перечень изображений, которые нельзя использовать для индивидуального дизайна карточки. Список вполне предсказуем: политические и религиозные лозунги, фото известных людей, картинки сексуального характера, рекламные материалы. Подробно ограничения описаны здесь.
Мы прочитали лицевую сторону карты. О том, что зашифровано на обороте, подробно расскажем в следующем выпуске.
Читайте нас в Telegram и Яндекс.Дзен первыми узнавайте о новых статьях!
Создаём королевскую форму для приёма банковских карт
В этой статье я дам рекомендации по созданию платёжных форм, которые будут выгодно отличаться от форм ваших конкурентов. Каждый пункт рекомендаций будет сопровождаться примером кода. Полный пример кода, включающий адаптивную вёрстку, реализацию валидационных тултипов, и прочих мелочей опущенных для краткости в самой статье вы можете посмотреть здесь.
В рамках этой статьи мы не рассматриваем привязку формы к какому-то конкретному мерчант, мы лишь делаем её более отзывчивой.
Для создания формы мы будем использовать следующие инструменты:
Tippy — инструмент для создания тултипов: https://atomiks.github.io/tippyjs/
Определение логотипа банка
Вы наверное замечали, что существуют такие формы для приёма банковских карт, в которых, по мере ввода номера карты, появляется логотип банка, которому принадлежит банковская карта?
Такое поведение помогает реализовать JS плагин BinKing:
Определение цветов банка
Для красоты картины предлагаю вам также перекрашивать саму форму в цвета банка. Разумеется важно также не забыть и перекрасить цвет текста. Здесь нам опять же поможет BinKing.
Определение логотипа платёжной системы
Традиционно формы оплаты отображают логотип платёжной системы выпустившей карту. Для этого опять же используем функционал BinKing. BinKing, в отличие от других плагинов для определения платёжной системы, предоставляет и сами логотипы.
Определение банка привязанных карт
При вводе данных новой карты, записывайте себе в базу данных кроме токена карты ещё и alias банка в системе BinKing. Тогда при выводе привязанных карт вы сможете вывести кроме последних 4 цифр и логотипа платёжной системы ещё и логотип банка, что сильно упростит жизнь пользователю. Причём BinKing выдаёт как полноразмерные логотипы банков, так и эмблемы банков отдельно.
Автоматический фокус первого поля
Удобно, когда курсор уже установлен в первое поле, то есть в поле для ввода банковской карты. Это легко, достаточно пары строк кода:
Автоматически перевод курсора
Пользователю удобно, когда курсор автоматически перемещается между полями по мере ввода данных. Самая большая хитрость состоит в том, чтобы своевременно перевести курсор из поля для ввода карты. Беда в том, что не все номера карт состоят из 16 цифр. Переводить курсор следует тогда и только тогда, когда введено символов не меньше минимальной длины карты, и когда в номере карты нету ошибок согласно алгоритму Луна (алгоритм позволяющий определить содержатся ли в номере карты опечатки).
Валидация полей формы
Для валидация полей формы мы используем метод validate от BinKing. Валидатор позаботится о том, чтобы в номере карты не было опечаток, чтобы дата срока истечения карты была в будущем, а не в прошлом, проверит заполненность полей и прочее: https://github.com/union-1/binking#%D0%B2%D0%B0%D0%BB%D0%B8%D0%B4%D0%B0%D1%86%D0%B8%D1%8F
Маски полей формы
Давайте сделаем так, чтобы в наши поля можно было вводить только цифры, номер карты аккуратно разделялся пробелами, а в поле месяца нельзя было ввести число большее 12.
Показ телефона банка в случае отклонения платежа
Если платёж отклоняется банком, то есть ошибка перевода не наш вашей стороне, то с целью снижения нагрузки на ваш отдел поддержки, покажите пользователю понятно сообщение, указав название банка и номер телефона банка. Всё это опять же можно сделать благодаря BinKing.
Логотипы вызывающие доверие
Принято размещать рядом с формой логотипы вызывающие доверия. Чтобы вам самостоятельно не пришлось их искать, вот вам эти логотипы в формате svg.
Правильная раскладка клавиатуры
На мобильных телефонах возможно указать то, какой будет отображаемая клавиатура при фокусе на том или ином поле. Давайте сделаем так, чтобы выпадала клавиатура для ввода чисел. Для этого необходимо указать атрибуты inputmode=»numeric» pattern=»8*»
Распознавание полей для ввода карты
У некоторых пользователей сохранены данные платёжных карт в браузере. Чтобы в вашей форме работало автоматическое распознавание полей необходимо указать правильные атрибуты name и autocomplete
Пользуясь случаем, хочу обратиться к читателям:
Я ищу партнёра для развития сервиса BinKing, готов взять в долю. Сейчас планирую перевести весь сервис на английский язык, добавить прочие страны и запуститься за рубежом. От партнёра ожидаю помощи в работе с зарубежными клиентами, попомщи в переводе сайта на английский язык, попомщи в наполнении базы банков других странах. Если интересно сотрудничество, пишите.
Я занимаюсь разработкой многопользовательских веб-сервисов и мобильных приложений на заказ. Веду разработку от проектирования до выхода на рынок. Если кто-то задумал создать свой стартап и сейчас ищет того, кто будет заниматься разработкой — буду рад долгосрочному сотрудничеству.