Бесконтактные карты payPass и payWave

Я думал, что, мб, отличались оффлайновый и онлайновый пин.

Интересно, оказывается их есть два вида? А если я сменю в банкомате своего банка пин - он сменится где?

Начали с PayWave, потому как его проще реализовать.

Извиняюсь за дотошность - в чём именно простота - я думал, что на физическом (техническом) уровне обе технологии одинаковы...

P.S. Я своих напряг, поэтому у меня сейчас мини-тендер по эквайрингу на работе в самом разгаре, вследствие интересны все нюансы Цель максимум - чтобы все кассы принимали бесконтактные карты обоих стандартов с минимумом процентной ставки за эквайринг

Я тоже позвонил в call-center Аваля и пожаловался, что они, как эквайр, не обучили сотрудников торговых точек, где установлены их бесконтактные терминалы. Потому что в Амсторе, где я уже неоднократно только бесконтактом рассчитывался, мне отказали в операции, заявив, что данная технология просто не поддерживается. К сожалению, я на месте не смог ничего сделать, потому что на терминалы перезалили новое ПО и совместили терминалы с кассой. По идее там теперь вообще достаточно нажатия одной клавиши на кассе, что на терминал передать сумму. Но я не видел толком перед собой кассового дисплея, да и не знаком я с ними.

Интересно, оказывается их есть два вида? А если я сменю в банкомате своего банка пин - он сменится где?

Да, у чип-карт их два. Один PIN хранится в БД процессора - это онлайновый PIN. Второй - на чипе карты - оффлайновый PIN. Разумеется, они должны совпадать. Настройка смены PIN по чип-картам - задача весьма нетривиальная. Именно поэтому у многих банков эта опция недоступна.

Поменять PIN в БД легко. По магниткам так и происходит: прилетел запрос с банкомата, поменялось значение в БД, готово. Такие карты - только онлайновые, то есть PIN прямо в момент операции сравнивается хостом процессора со значением, хранящимся в БД (разумеется, в БД хранится PIN не в чистом виде, а в виде PIN Block'а - это зафишрованный по алгоритму 3DES PIN; причем в зашифрованном виде PIN имеет не обязательно 4 цифры). У чип-карт же, когда прилетает запрос на смену PIN, в БД значение меняется легко, но надо ведь еще поменять тот PIN, который хранится на чипе. Для этого хост должен уметь отправлять ответный управляющий скрипт, который перезапишет значение на чипе. Вот на этом этапе и возникают сложности обычно Для чего нужен этот второй PIN? Чип-карты, если им разрешат эмитент и эквайр, умеют проводить операции в оффлайне - когда авторизации на хосте не происходит и хост вообще не видит эту операцию. Если потребуется ввести PIN, то проверить его некому, хоста нет. В этом случае введенный PIN должна проверить сама карта, сравнив его со значением, хранящимся на чипе. Если вы в оффлайне ввели новый PIN, а на чипе он старый, то операция будет отклонена. Онлайновые же операции будут происходить нормально даже с неправильным оффлайновым PIN: он там не участвует, а в БД же хранится корректное значение. Поэтому если хост не умеет отправлять ответные скрипты, то он при запросе смены PIN не будет даже в БД ничего менять, а сразу отобьет операцию.

Начали с PayWave, потому как его проще реализовать.

Извиняюсь за дотошность - в чём именно простота - я думал, что на физическом (техническом) уровне обе технологии одинаковы...

В техническом уровне - одинаковы, отличия лишь в деталях. Но на организационном - у Visa легче. Там, например, я прямо на сайте могу собрать конфигурацию чипа через удобный диалоговый интерфейс типа:

- Хотите ли Вы, чтобы карта умела то-то и то-то?
- Да/Нет

- Как должна повести себя карта в таком-то случае?
- Так-то.

В результате обезличенные значения EMV-тэгов становятся понятными и я сразу понимаю, как будет работать карта. На выходе я прямо с сайта выгружаю xml-файл с этим диалогом, оформленным в виде EMV-тэгов, и загружаю его в свою систему. У MasterCard такого нет. Надо заполнить форму, указав значения тэгов. А понять, как они будут работать, надо из огромного мануала. Плюс Visa до бесконечности бесплатно проверяла разные конфигурации карты на своем оборудовании. У нас все получилось далеко не с первого раза, и я просто приезжал в офис Visa, давал карту, и ее при мне же прогоняли через оборудование и выдавали отчет. А MasterCard карты не проверяет. Для этого ее надо напечатать или сделать ее виртуальный образ и отослать его одному из партнеров МС - во Францию или в Бельгию. Там их проверят. Это платно, долго, причем есть шанс, что придется тоже не один раз отправлять и за все разы платить. Впрочем, как у Visa, так и MasterCard, в местных офисах работают отличные ребята-технари, так что я надеюсь, что проблем не возникнет особых.

Один PIN хранится в БД процессора - это онлайновый PIN. Второй - на чипе карты - оффлайновый PIN. Разумеется, они должны совпадать.

Это почему же разумеется?

Один PIN хранится в БД процессора - это онлайновый PIN. Второй - на чипе карты - оффлайновый PIN. Разумеется, они должны совпадать.

Это почему же разумеется?

Каких-то жестких требований по этому поводу, насколько я знаю, МПС не выдвигают. Но просто с точки зрения здравого смысла два разных PIN по карте - это идиотизм. 99% картодержателей не отличат оффлайновую транзакцию от онлайновой и не будут знать, какой PIN вводить. В результате окажутся с залоченной картой. Я не знаю ни одного банка, где бы такое практиковалось. Наш Way4 при невозможности поменять PIN на чипе сразу же деклайнил и смену онлайнового PIN. А Вы такие банки знаете?

- быстро, особенно если оффлайн поддерживают и карта, и терминал.

Предлагаю обсудить, как в Украине вообще работают оффлайн-платежи с чиповых карт вообще и с PayPass & PayWave в частности. Читал мнения, что вообще никак не работают, то есть в нашей стране таких платежей нет.

Поэтому сплошные вопросы:
1) Какие банки (и/или эквайеры) поддерживают такие платежи?
2) От чего это зависит - от эквайера, эмитента, терминала или от всех вместе?
3) Как о проведённой операции узнаёт МПС и банк-эмитент карты?

2colonel

ну уж сразу идиотизм)))
что ж тут сложного-онлайн пин в банкоматах и CAT,оффлайн-в торговых посах, благо во всех мерчантах в cvm list согласно рекоменуемых профайлов МПС offline pin выше по приоритету. Да и с двумя пин залочить карту математически сложно даже перебором. Зато диверсификация рисков существенная.

2 Vorlon

оффлайн пин и оффлайн транзакции суть разные вещи

оффлайн пин и оффлайн транзакции суть разные вещи

Ясен пень, что разные! Я хочу обсудить механизм оффлайн-транзакций.

ну уж сразу идиотизм)))

Придерживаюсь того же мнения - идиотизм. Повторюсь: 99% юзеров не понимают, где оффлайновая, а где онлайновая транзакция. И какой PIN вводить - тоже не будут понимать.

А Вы так и не ответили: много банков знаете, хоть в одной из стран, где такой дуумвират PIN'ов реализован?