Internet promete nuevas oportunidades de negocio, pero plantea también importantes desafíos de seguridad que frenan la expansión del comercio electrónico entre empresas y consumidores. La llegada de nuevas soluciones de pago como SET pavimentan el camino hacia un comercio seguro a través de Internet.
En el panorama actual de Internet existen dos tipos de negocios: los que se sirven de la Red como de un mero escaparate virtual en donde podemos anunciar productos y servicios, y los que utilizan mecanismos web para además vender esos productos. Por supuesto, la ventaja competitiva de estas empresas es muy superior a la de las primeras: su comercio, no sólo su catálogo, está disponible las 24 horas del día, siete días a la semana, accesible a un mercado potencialmente mundial. En contrapartida, también la complejidad de gestión de pagos a la que se enfrentan es mucho mayor.
Como cualquier otro canal de distribución, la Red plantea un conjunto único de retos de seguridad que deben afrontarse racionalmente para minimizar el riesgo y ofrecer una confianza sólida a los actores de las relaciones telemáticas que no se conocen entre ellos, tanto en el business-to-business entre empresas, como en el comercio al por menor entre vendedores y compradores particulares.
El protocolo SET para pagos seguros con tarjeta de crédito a través de Internet ofrece una solución para reducir costes de operación para el vendedor, aumentar la seguridad frente a otras tecnologías más extendidas como SSL a la vez que reduce el fraude y expandir las fronteras de negocio de los comerciantes hacia nuevos mercados globales. [9]
1.12.7.1 ¿Qué es SET?.¿Por qué la necesidad de protocolos como SET? ¿No bastaría con enviar los datos de la tarjeta de crédito a través de un formulario web? Al fin y al cabo miles de compras se realizan diariamente suministrando por teléfono esta información. ¿Dónde está la diferencia? Lo cierto es que Internet presenta un obstáculo psicológico para la mayoría de los compradores, que inhibe el crecimiento de la web como escenario de comercio electrónico.
El temor al fraude con tarjetas de crédito retrae por igual a consumidores (que quieren estar seguros de comprar en una tienda real y que el comerciante no utilizará ilícitamente su tarjeta de crédito) y comerciantes (que de hecho se encuentran más desprotegidos que los clientes, ya que deben asumir los costes de transacciones ilícitas si más tarde el titular legítimo de la tarjeta rechaza el pedido), y este temor afecta tanto a los intereses económicos de los comerciantes, que ven reducidas sus ventas, como de las instituciones financieras, que ven disminuir sus comisiones por pagos con tarjeta.
El protocolo SSL, actualmente mucho más extendido en Internet que SET, no fue diseñado para interacciones entre múltiples partes, como las transacciones comerciales, que pueden llegar a involucrar hasta seis partes. SSL se limita a cifrar el número de tarjeta de crédito cuando es transmitido desde el navegador del cliente hasta el servidor del comerciante, resultando insuficiente para los requisitos de seguridad de un comercio electrónico fiable.
Esta situación no se podía mantener por más tiempo, por lo que en 1995 Visa y MasterCard, con la colaboración de otras compañías líderes en el mercado de las tecnologías de la información, como Microsoft, IBM, Netscape, RSA, o VeriSign, unieron sus fuerzas para desarrollar Secure Electronic Transaction (SET), un protocolo estandarizado y respaldado por la industria, diseñado para salvaguardar las compras pagadas con tarjeta a través de redes abiertas, incluyendo Internet.
1.12.7.2 Cómo SET protege sus transacciones. SET ofrece una serie de servicios que convierten las transacciones a través de Internet en un proceso seguro y fiable para todas la partes implicadas:
1.12.7.3 ¿Quiénes participan en SET?. El pago mediante tarjeta es un proceso complejo en el cual se ven implicadas varias entidades:
1.12.7.4 Cómo funciona SET. El proceso subyacente en una transacción SET típica funciona de forma muy parecida a una transacción convencional con tarjeta de crédito:
En este momento, el software cartera del cliente genera un firma dual, que permite juntar en un solo mensaje la información del pedido y las instrucciones de pago, de manera que el comerciante puede acceder a la información del pedido, pero no a las instrucciones de pago, mientras que el banco puede acceder a las instrucciones de pago, pero no a la información del pedido. Este mecanismo reduce el riesgo de fraude y abuso, ya que ni el comerciante llega a conocer el número de tarjeta de crédito empleado por el comprador, ni el banco se entera de los hábitos de compra de su cliente.
Entonces se envían al banco adquiriente la petición de autorización junto con las instrucciones de pago (que el comerciante no puede examinar, ya que van cifradas con la clave pública del adquiriente).
Validación del cliente y del comerciante por el banco adquiriente. El banco del comerciante descifra y verifica la petición de autorización. Si el proceso tiene éxito, obtiene a continuación las instrucciones de pago del cliente, que verifica a su vez, para asegurarse de la identidad del titular de la tarjeta y de la integridad de los datos. Se comprueban los identificadores de la transacción en curso (el enviado por el comerciante y el codificado en las instrucciones de pago) y, si todo es correcto, se formatea y envía una petición de autorización al banco emisor del cliente a través de la red de medios de pago convencional.
Autorización del pago por el banco emisor del cliente. El banco emisor verifica todos los datos de la petición y si todo está en orden y el titular de la tarjeta posee crédito, autoriza la transacción.
Envío al comerciante de un testigo de transferencia de fondos. En cuanto el banco del comerciante recibe una respuesta de autorización del banco emisor, genera y firma digitalmente un mensaje de respuesta de autorización que envía a la pasarela de pagos, convenientemente cifrada, la cual se la hace llegar al comerciante.
Envío de un recibo a la cartera del cliente. Cuando el comerciante recibe la respuesta de autorización de su banco, verifica las firmas digitales y la información para asegurarse de que todo está en orden. El software del servidor almacena la autorización y el testigo de transferencia de fondos. A continuación completa el procesamiento del pedido del titular de la tarjeta, enviando la mercancía o suministrando los servicios pagados. Además, se le entrega a la aplicación cartera del cliente un recibo de la compra para su propio control de gastos y como justificante de compra.
Entrega del testigo de transferencia de fondos para cobrar el importe de la transacción. Después de haber completado el procesamiento del pedido del titular de la tarjeta, el software del comerciante genera una petición de transferencia a su banco, confirmando la realización con éxito de la venta. Como consecuencia, se produce el abono en la cuenta del comerciante.
En su estado actual SET solamente soporta transacciones con tarjeta de crédito / débito, y no con tarjetas monedero. Se está trabajando en esta línea para extender el estándar de manera que acepte nuevas formas de pago. Al mismo tiempo se están desarrollando proyectos para incluir los certificados SET en las tarjetas inteligentes, de tal forma que el futuro cambio de tarjetas de crédito a tarjetas inteligentes pueda incorporar el estándar SET. [9]
1.12.7.5 ¿Qué se necesita para operar con SET?. Existen cuatro componentes software distintos necesarios para completar el escenario de pago seguro mediante SET:
1. El software de cartera del titular. Aplicación que permite a los compradores almacenar información acerca de sus datos personales para el envío de las mercancías compradas, así como información de pago, como número de tarjeta de crédito y banco emisor. Debe ser compatible con SET, ya que constituye el medio a través del cual se transmite la información de su certificado digital en los pagos por Internet.
Para garantizar la seguridad de sus datos, el monedero los protege mediante una contraseña. Microsoft distribuye una aplicación monedero con su navegador Internet Explorer 4.0 ó superior (Herramientas, Opciones de Internet..., Contenidos, Pagos). SafeLayer (www.safelayer.com) comercializa en España una aplicación de cartera digital, poniendo a disposición del público una versión de demostración. Para examinar un listado exhaustivo de monederos digitales actualmente disponibles, visite la matriz de compatibilidad de SETCo en www.setco.org/matrix.html. Si su banco emite certificados SET, distribuirá también software de monederos digitales. Puede consultarlo con él.
2. El software de punto de venta del comerciante. Para que el sitio web del comerciante acepte pagos con SET necesitará instalar una aplicación de Terminal de Punto de Venta (POST) compatible con SET en su servidor, que acepte los pedidos y procese los pagos con el banco. Póngase en contacto con su banco para inquirir si proveen aplicaciones POST compatibles SET. Para obtener un listado de empresas que comercializan aplicaciones POST que hayan sido certificadas visite la matriz de compatibilidad de SETCo en www.setco.org/matrix.html.
3 El software del servidor de la pasarela de pagos. Realiza el procesamiento automatizado de los pagos. La pasarela recibe peticiones de autorización/liquidación/reconciliación de pagos de los sistemas del comerciante (POST) en Internet y las encamina hacia los sistemas de pago propietarios (sistemas de autorización tradicionales).
4 El software de la autoridad de certificación. Las entidades financieras que decidan soportar el estándar SET necesitarán este software para que sus respectivos clientes (titulares de tarjetas y comerciantes que aceptan pago con tarjeta) puedan participar en el juego. Permite registrar a los usuarios y emitir certificados digitales para ellos, que aseguren la confianza entre las partes. Además, tanto los clientes como los comerciantes necesitan certificados para garantizar la identidad de los participantes. Su significado y funcionamiento se explicará a continuación.
1.12.7.6 El papel de los certificados en SET. SET proporciona los mecanismos necesarios para que tanto consumidores como comerciantes se autentifiquen mutuamente antes de que la transacción tenga lugar. De esta manera se consigue replicar en el mundo digital la situación común en la que el cliente se encuentra físicamente delante del mostrador del vendedor a la hora de pagar la compra.
SET utiliza certificados digitales para realizar este proceso de autentificación. Estos certificados sirven como documentos de identidad digitales (algo así como un DNI virtual) que permiten verificar la identidad de una persona a través de una red de telecomunicaciones, de manera similar a como una firma en las tarjetas de crédito atestigua que el signatario es el legítimo titular.
Por su parte, los certificados emitidos a comerciantes equivalen a esas etiquetas mostradas en el escaparate en las que se informa de que aceptan pagos con tarjetas de esta o aquella casa, además de dar fe de su identidad.
Los certificados son emitidos y gestionados por la misma entidad financiera o emisor de tarjetas de la que se recibió la tarjeta de pago. Se necesita un certificado distinto para cada marca diferente de tarjeta de crédito con la que se efectúen las compras (caso del consumidor) o que sea aceptada en el comercio (caso del comerciante). Los certificados SET son emitidos por autoridades de certificación (AC) dentro de la jerarquía de certificación SET (ver figura Jerarquía de certificación SET). Esta jerarquía asegura la autenticación válida de los participantes.
Garantiza además la seguridad de los datos intercambiados entre titulares, comerciantes, bancos y pasarelas de pagos. La autoridad raíz autentica y emite certificados a las casas de medios de pago, cada una de las cuales se establece a su vez como autoridad de certificación para su marca (Visa, MasterCard, AmericanExpress, etc.). Cada marca de tarjetas de crédito establece su propia pasarela de pagos como una AC.
La AC de la pasarela de pagos de cada marca emite certificados digitales para bancos adquirientes o procesadores de pago de terceras partes que actúan en representación de entidades adquirientes, de manera que estas entidades pueden aceptar transacciones por Internet y convertirlas a mensajes que las redes privadas de pago pueden entender para procesar el pago.
Las AC de marcas de tarjetas autentifican y emiten certificados a sus bancos y entidades de crédito miembros, a las que establecen como autoridades de certificación. Las entidades adquirientes se erigen en AC de comerciantes, mientras que las entidades emisoras lo hacen en AC de titulares.
Una vez erigida en AC de titular y/o comerciante, la entidad financiera puede autenticar y emitir certificados a sus clientes, sean estos particulares y/o comerciantes. [9]
1.12.7.7 Obstáculos de SET. Entonces, si todo son alabanzas, ventajas y puntos fuertes, ¿por qué SET no termina de implantarse? En primer lugar, SET no resulta fácil de implantar, por lo que su despliegue está siendo muy lento. SET exige software especial, tanto para el comprador (aplicación de cartera electrónica) como para el comerciante (aplicación POST o TPV), y los bancos (software de autoridad de certificación, pasarela de pagos, etc.).
La creación y comercialización (o distribución gratuita, según el caso), de estos productos software se está desarrollando con lentitud, no existe suficiente información al respecto y en general la situación es cuando menos confusa.
En segundo lugar, aunque los productos anteriores cumplan con el estándar SET, esto no implica necesariamente que sean compatibles. Este es un problema que exige mayores esfuerzos de coordinación y más pruebas a escala mundial para asegurar la interoperabilidad. Es difícil encontrar una aplicación cartera que pueda comprar con cualquier terminal POST, y viceversa (un TPV que acepte pagos de cualquier otra aplicación cartera). Estas barreras constituyen un obstáculo importante que seguirán retrayendo el despliegue SET en tanto no se alcance la convergencia de aplicaciones.
SET puede llegar a originar un conflicto en muchos vendedores a la hora de integrar los productos SET con sus sistemas internos de entrada de órdenes. Como la información sobre el número de la tarjeta de pago del comprador está cifrada e inaccesible al vendedor, pueden surgir problemas con sistemas internos que precisan para su propia contabilidad el número de la tarjeta del cliente. En tales casos, una posible solución sería que los propios comerciantes solicitaran los números de tarjeta de los compradores a las organizaciones de tarjetas de pago.
Un inconveniente adicional de SET reside en su incapacidad para trabajar con pagos aplazados, modalidad muy extendida en países como España. Sus puntos fuertes son también su talón de Aquiles: la autentificación de todas las partes exige rígidas jerarquías de certificación, ya que tanto clientes como comerciantes deben adquirir certificados distintos para cada tipo de tarjeta de crédito, trámites que resultan engorrosos, para la mayoría de los usuarios.
Se añade el problema de la revocación de certificados, la portabilidad de los mismos cuando el usuario trabaja en distintas máquinas y las cadenas de certificación. En definitiva, SET descansa sobre una infraestructura de clave pública (PKI) que en la actualidad dista mucho de ser perfecta. SET seguirá coexistiendo con SSL durante mucho tiempo, hasta que se alcance una masa crítica de usuarios que propicien su utilización a gran escala, o caiga en el olvido superado por otra nueva iniciativa más ágil y mejor adaptada. Las opiniones de los analistas se encuentran divididas acerca de su futuro. En lo que todos coinciden es que aún le queda un largo camino por recorrer.
1.12.7.8 La cartera Safewallet. La empresa de seguridad SAFELAYER (www.safelayer.com) ofrece en sus páginas web una demostración de cómo funciona una cartera electrónica y cómo se pueden realizar compras con ella en comercios que soporten SET.
Desde ellas se puede descargar la aplicación cartera, llamada safeWallet, que una vez instalada permitirá acceder a las páginas de varios comercios virtuales de demostración donde podrá simular el pago de sus compras mediante SET. Puede almacenar en la Cartera tarjetas de varias entidades financieras diferentes. Antes de efectuar un pago le requerirá una clave que usted habrá elegido previamente. De este modo nadie podrá utilizar las tarjetas que haya registrado en el ordenador sin su consentimiento.
La Cartera además de velar por la seguridad de su tarjeta, también le proporciona innumerable información. Por ejemplo almacena los justificantes de pago para que lleve un control de gastos. El justificante de pago electrónico es similar al recibo que se emite al realizar una transacción con tarjeta de crédito tradicional. La Cartera le guardará los justificantes con su firma digital y la del comerciante. Sin duda servirá para garantizar la evidencia de la transacción, convirtiéndose en una prueba de primer orden en caso de litigio. [8]