COMERCIO ELECTRONICO
|
|
|
|
|
I N T R O D U C C I O N
|
¿Qué es el comercio electrónico? Es un
sistema universal de comercialización que permite a los usuarios de todo el
mundo, comprar y vender productos y servicios, empleando las redes globales
de computadoras para concretar los negocios y efectuar los pagos en tiempo
real mediante dinero digital. En el comercio-E,
no existe movimiento físico de dinero entre las partes, los pagos se efectúan
usando dinero digital o mediante transferencia electrónica de fondos. El pago
mediante tarjeta es muy usado, en cuyo caso el servidor del banco emisor de
la tarjeta, se encarga de autorizar la transferencia digital del
importe a la cuenta del acreedor. El crecimiento explosivo de Internet, ha incentivado el desarrollo
de las transacciones electrónicas, para comercializar productos y
servicios a escala mundial. Actualmente emplean Internet unos 400
millones de usuarios en todo el mundo. Unos 100 millones efectúan compras en
Internet, por un total anual de unos 20,000 millones de dólares.
Existen oportunidades para los comercios actuales, que
ahora pueden ampliar su oferta en el Ciberespacio. Existen nuevas
posibilidades de desarrollo de productos y servicios que emplean esta nueva
infraestructura comercial y las tecnologías de la computación. INFRAESTRUCTURA DEL
COMERCIO ELECTRONICO Se
enumeran los elementos que hacen posible la existencia y desarrollo del
comercio-E. g) Standards sobre formatos y operaciones para coordinar los procedimientos. ¿Qué se requiere para comprar en
Internet? Disponer o tener acceso a un PC o computador que posea
un Visor o Navegador Web, ¿Qué se requiere para vender en
Internet ? En primer lugar, tienes que crear un sitio web
en el cual instalar las páginas web, que contienen las ofertas y la
información necesaria para motivar a tus potenciales clientes.
|
SEGURIDAD EN LA COMUNICACION DE DATOS
CONFIDENCIALIDAD, VERIFICACION y AUTENTICACION
Seguridad en la transmisión de datos en las redes de computadoras
El
ciberespacio es un universo de información electrónica, en el cual
fluyen diariamente millones de mensajes, archivos de todo tipo, y datos de
transacciones digitales. La mayor parte de la información es pública y por lo
tanto no es relevante implementar mecanismos de seguridad para su manejo. La
información pública puede fluir más rápido y libremente.
Cuando los datos que
fluyen, son confidenciales y no queremos que exista la posibilidad que sean
leidos por quienes no corresponde, se recurre a las técnicas de encriptación.
En muchas gestiones en la Internet, es imprescindible poder conocer la
identidad de los participantes, a los efectos de evitar fraudes o engaños.
Existen instituciones confiables que emiten certificados de identidad digital,
a los usuarios de Internet que lo requieran.
¿ Por qué una red de
computadoras es insegura ?
Los datos en su transito en la red, tienen que pasar por varios computadores,
en cada uno de ellos existe la posibilidad de que alguien pueda interceptarlos
para copiarlos. Por ejemplo, se pueden interceptar los números de las tarjetas
de créditos, y las claves de acceso a recursos privados. Obviamente, quienes
tienen malas intenciones, pueden con estos datos cometer todo tipo de fraudes y
causar muchas molestias a los propietarios.
Por regla general ...
Las señales electrónicas en toda red digital pueden ser interceptadas!
La
encriptación es
la única forma de hacer un canal digital de datos seguro!
Encriptación de los documentos y flujos de
datos
Desde la
antigüedad el ser humano ha encriptado los mensajes, a los efectos, de poder
garantizar su privacidad. En la actualidad se han desarrollado métodos y
técnicas muy sofisticadas, acorde con la extraordinaria capacidad cáculo de
nuestros computadores, los cuales en un segundo, pueden descifrar los mensajes
encriptados por el emperador Julio Cesar y en pocos minutos pueden descifrar
los mensajes alemanes de la segunda guerra mundial, sin la ayuda de la famosa
máquina Enigma.
En los EE.UU. existen restricciones estrictas sobre los algoritmos de
encriptación, no se pueden exportar programas que los empleen, pues en materia
de seguridad, se los asimila a las armas de guerra secretas y especiales. (Esto
es poco lógico en el mundo de hoy)
Sistema de encriptación de clave
pública
El
sistema actual de encriptamiento más usado es el denominado de clave pública
RSA.
Desarrollado en 1977 por Rivest, Shamir y Adleman en el MIT.
Su teoría matemática no es muy compleja, y conceptualmente es sencillo de
entender.
1) Se usan dos claves :
Una Clave Privada (el dueño debe mantenerla en secreto, es
su responsabilidad).
Una Clave Pública, que el dueño comparte con quienes
intercambia información.
2) La función de encriptación, que transforma el documento original en un
documento
indescifrable, cumple :
El documento
encriptado con la clave privada solo puede ser descifrado con la clave pública.
El
documento encriptado con la clave pública solo puede ser descifrado con
la clave privada.
Este
esquema permite confidencialidad e inclusive verificar la identidad del EMISOR.
Si EMISOR y RECEPTOR usan este esquema para el intercambio de datos se logra
privacidad y autenticidad. Se tiene un canal seguro para la comunciación de
datos.
Integridad y verificación de los
datos transmitidos
¿Cómo sabemos que los datos transferidos no han sido
alterados por errores en la red?
¿Cómo sabemos que los datos transferidos no han sido alterados en forma
intencional?
Nos queda por resolver el tema de verificar la integridad de los datos
transmitidos. Existen muchos métodos, pero en Internet donde en lo posible, hay
que hacer economía, se usa una función de hash que genera un código
verificador muy breve, de largo fijo (siendo común 32 caracteres), en
relación al tamaño arbitrario del documento, que se verificará.
El código verificador es la huella digital del documento, y en la
práctica no existen dos documentos diferentes con igual huella digital.
Cuando se transmite un documento, se adjunta su huella digital. El
receptor computa la huella digital del documento recibido, si ésta coincide
con la huella adjunta, los datos son los originales. En el caso
contrario, hay errores en la transmisión o bien existe alteración intencional.
Se notifica al emisor y se pide la retransmisión del documento. El siguiente
esquema muestra la encriptación.
|
|
|
|
Fig. 2.1
En la
primer etapa se obtiene el código verificador (la huella digital) del mensaje
para que el destinatario pueda verificar su integridad. En la segunda etapa, se
encripta usando la clave pública del receptor, el mensaje original y la huella
digital. El emisor tiene que haber recibido la clave pública del destinatario.
El Visor Web procesa todas estas operaciones en forma automática por el
usuario, al activar la función de encriptación o de firma digital.
Certificado de identidad digital
La cédula de identidad y el pasaporte son imprescindibles
para desempeñarnos en la sociedad global de nuestro tiempo. Sin ellos no
podemos demostrar nuestra identidad.
¿Necesitamos un documento de identidad en el ciberespacio?
Sin lugar a dudas que sí. Es la única forma de saber que cada cual es quien
dice ser.
En el Ciberespacio necesitamos un Certificado de Identidad Digital,
para demostrar nuestra identidad. Además el CID, nos permite usar el sistema de
encriptación de clave pública, para enviar datos en forma confidencial y
firmar digitalmente los documentos.
Los CIDs son expedidos por una Autoridad de Certificación. Los
datos que se requieren para obtener un CID de usuario de E-mail o de servicios,
son los siguientes:
|
Nombre y apellido |
|
Dirección de E-mail |
|
País de origen |
|
Código postal |
|
Fecha de nacimiento |
|
Otros datos opcionales |
|
Clave para actualización |
Todo CID tiene la firma digital de la Autoridad de Certificación que lo
ha expedido y la fecha de vencimiento a partir de la cual deja de ser
válido. En la última etapa de la expedición de un CID, se lo graba en el
computador del usuario, quedando listo para ser usado en transmisiones seguras
de documentos, y para avalar la identidad del titular.
Los
datos principales que contiene un CID son los siguientes:
|
Nombre y apellido del usuario |
|
Dirección de correo-E |
|
CLAVE PUBLICA |
|
Fecha de vencimiento |
|
Serie y otros datos de la A.C. |
|
Firma digital de la A.C.
que lo expide |
La CLAVE PRIVADA se genera en el computador del usuario y se GRABA
en su DISCO.
Solo el usuario puede saber de su existencia, obviamente nunca se
incluye cuando se envía el CID, ya sea para identificarse o
bien recibir datos encriptados. La firma digital de la A.C permite
verificar los datos del CID y autenticarlo. El USUARIO o SERVIDOR que posee un CID
apropiado, puede demostrar su identidad e intercambiar datos privados.
¿Cómo puedo obtener un CID?
Debes
comenzar por visitar el sitio web de una A.C. (Autoridad de Certificación). Al
final de esta página tienes una lista de las principales
A.C. que expiden los CIDs de usuarios.
El trámite para obtener un CID, tiene varias etapas. En la fase inicial tienes
que llenar un formulario con tus datos personales: nombre y apellido, domicilio
y dirección de E-mail.
La A.C. verificará tus datos, en función del tipo de CID que solicites. Si
quieres un CID para E-mail, verificará la autenticidad de tu dirección de
E-mail, para lo cual te enviará un mensaje con un código y otros datos
para que puedas continuar tu registro. Si tus datos son correctos, vas a
superar las etapas de chequeo que la A.C. efectúa antes de expedir un CID. En
la fase final, se crea en tu PC tu clave privada, y luego puedes instalar tu
CID.
La Firma Digital
Sabemos
quien es el autor o el responsable de un documento escrito en papel verificando
la firma al pie del mismo. Normalmente todo documento escrito en papel está
firmado por su autor, o por las personas que son responsables y están aludidas
en dicho documento.
En forma similar un
documento electrónico necesita la firma digital del autor. Un mensaje
electrónico firmado digitalmente no le deja dudas al receptor, sobre
quien es el autor.
Un contrato en formato digital, debe tener la firma digital de cada una
de las personas que lo avalan o forman parte del acuerdo. Donde va la
firma escrita se estampa la digital.
Una vez estampada o aplicada una firma digital, el titular no la puede
desconocer.
¿Qué es una firma
digital?
Es la huella digital del documento encriptada con la clave
privada del autor.
Cuando un documento es
firmado digitalmente, se puede verificar y autenticar! La huella digital o
código verificador, permite comprobar la integridad del documento, que no haya
sido alterado. Al ser la huella encriptada con la clave privada, el
documento se puede autenticar. Porque solo el dueño conoce su clave privada, y
no puede desconocer ser el autor de todo documento firmado con ella.
Fig. 2.2
Si usted
dispone de un CID, su Visor Web le permite aplicar su firma digital a
los mensajes y documentos en forma automática o con un simple click del ratón.
DESCODIFICACIÓN DE MENSAJES
Un buen modelo para aprender todo lo concerniente a encriptación
y descodificación usando el sistema de clave pública, y sobre la firma
digital de documentos, lo ofrece el correo electrónico seguro, el cual está
a disposición de todos los usuarios de Internet.
Una vez, has instalado tu CID en tu PC, estás en condiciones de usar el correo
seguro, que te permite establecer canales de correspondencia confiables y
privados en Internet.
Todos los programas modernos de correo (Outlook, Messenger, Eudora,...) te
permiten encriptar (cifrar) y firmar digitalmente los mensajes y documentos
adjuntos que envíes.
¿Cómo se establece un canal de correo electrónico seguro entre dos usuarios?
1) Ambos deben obtener un CID para correo electrónico seguro. (CID de usuario).
2) Ambos deben intercambiar sus CIDs (equivale a intercambiar las claves
públicas).
Cuando se firma digitalmente un mensaje, al enviarlo el programa de correo,
adjunta al mensaje el CID del autor. Esto significa que se pone a
disponibilidad del destinatario (receptor) la Clave Pública del autor.
En consecuencia, el programa de correo, del receptor del mensaje, está en
condiciones de descodificarlo en forma automática.
Recordar: Solo la clave pública del dueño puede descodificar
los datos encriptados con su clave privada.
El intercambio de CIDs se puede instrumentar en forma sencilla. El usuario que
tiene la iniciativa (el emisor), le envía un mensaje firmado
digitalmente, a un destinatario (el receptor) , solicitando establecer
un canal seguro de E-mail. Para lo cual, le pide que responda con un E-mail de
aceptación firmado digitalmente. Cuando el usuario emisor recibe el
E-mail de confirmación firmado digitalmente por el receptor, ambos
usuarios saben quien es el otro, y han intercambiado sus CIDs, y por
ello sus claves públicas.
La encriptación permite enviar los mensajes a través
del canal en forma confidencial.
En efecto, el emisor encripta los mensajes con el CID (clave
pública) del receptor. Por lo cual solo el receptor puede
descodificarlos, porque solo él conoce su clave privada.
En forma similar, el receptor encripta los mensajes con el CID (clave
pública) del emisor. Por lo cual solo el emisor puede
descodificarlos, porque solo él conoce su clave privada.
Recordar: Solo la clave privada del dueño puede descodificar los
datos encriptados con su clave pública.
La firma digital permite autenticar y verificar la
integridad de los mensajes que circulan.
Al firmar digitalmente un mensaje se genera su huella digital, la cual
es encriptada con la clave privada del autor y se la adjunta al mensaje cuando
es enviado.
Fig. 2.3
La autenticación de un mensaje firmado es inmediata, porque si el
receptor descodifica la firma digital, es porque posee la clave pública del
autor. Solo el dueño puede usar su clave privada, o bien es el responsable de
su utilización.
Recordar: Solo la clave pública del dueño puede descodificar
los datos encriptados con su clave privada.
La verificación se concreta en la fase final del proceso de
descodificación. Cuando se descodifica la firma digital, se obtiene la huella
digital adjunta del mensaje original.
Se descodifica el mensaje recibido y se procede a generar su huella digital
reciente.
Si la huella adjunta y la huella reciente son iguales, el mensaje recibido es
el original, en caso contrario ha sido alterado por fallas en la red o bien en
forma intencional.
Fig. 3
Se
comienza por el descifrado (descodificación) del mensaje encriptado recibido, y
de la huella digital recibida. El paso siguiente consiste en computar la huella
digital del mensaje recibido y se obtiene la huella reciente. En la etapa final
se compara el valor de la huella reciente con el valor de la huella adjunta. Si
ambas coinciden el documento o mensaje es el original. En caso contrario, hay
error de transmisión en la red, o alteración intencional.
Tu Navegador de Internet ejecuta estas operaciones en forma automática por
ti!
Sello de fechado
digital
Todos los
CIDs tienen fecha de expiración, en promedio son válidos por unos dos
años. Una vez que un CID ha caducado no es apto para autenticar un documento.
Por lo cual, no es posible firmar un contrato con un plazo de validez de 10 o
más años. Para verificar y autenticar documentos cuyo período de validez es muy
amplio, se requiere un sello de fechado digital, expedido por una Autoridad
de fechado digital.
Un sello de fechado
digital, está formado por el documento original, la fecha y hora
en la cual es registrado, y la firma digital de la autoridad de fechado. Un
sello de fechado digital, valida una firma digital aún cuando el CID
respectivo del firmante haya caducado.
El procedimiento para
sellar un documento confidencial, puede ser el siguiente:
1) obtener una huella digital del documento usando una función de hash
segura.
2) enviar la huella digital del documento al servicio de fechado digital.
De esta forma solo el autor conoce el documento original. Una vez recibe el sello
de fechado digital, ya tiene los elementos que avalan la autoría de su
documento.
Un documento contractual
digital, debe tener su sello de fechado digital. Cada uno de los firmantes debe
tener una copia del sello, para poder demostrar la validez del contrato.
Implementación de
la seguridad en Internet
Una forma
sencilla de establecer comunicaciones de datos confidenciales y auténticas en
Internet, es mediante un CID (certificado de identidad digital), el cual es expedido
por una Autoridades de Certificación. El CID es un documento digital standard,
que permite implementar en forma transparente para el usuario, el sistema de
encriptación de clave pública. Se puede encriptar, firmar digitalmente,
descodificar y autenticar los documentos en forma automática. El CID es
fundamental para establecer una conexión segura SSL entre el PC del usuario y
un servidor en Intenet. Una conexión segura es confidencial y los datos
transmitidos en ambos sentidos, no pueden ser interceptados.
Una vez obtenido el CID,
es necesario configurar el Visor Web o Navegador de Internet, para que pueda
emplearlo en el encriptamiento y en la firma digital de documentos y en la
transmisión segura de datos usando el protocolo SSL, que veremos en el próximo
tema.
El programa de correo electrónico se encarga de efectuar las tareas de
encriptación y firmado digital en forma automática. El Communicator 4.x/6.x de
Netscape y el Explorer 4.x/6.x de Windows, tienen clientes de correo
electrónico (el Messenger y el OutLook ) con plena capacidad para el envío y
recepción de documentos encriptados y firmados.
Protocolo de
seguridad SSL
-
Nivel seguro de transmisión en Internet -
El
protocolo SSL fue desarrollado por Netscape Communications y RSA Data Security.
El objetivo del protocolo SSL (Socket Secure Layer) es lograr que la
comunicación de datos entre dos computadores en Internet, sea confidencial,
verificable y autenticable.
Para
que tu puedas usar el protocolo SSL necesitas un Visor Web que tenga incorporado
el servicio SSL y un CID (certificado de identificación digital) instalado. Los
navegadores de Internet actuales, soportan plenamente el SSL. Desde el Explorer
3.x de Windows y desde el Navigator 2.x de NetScape, en adelante, pueden
establecer conexiones seguras.
El servidor Web también tiene que disponer del SSL y de un CID, para poder
establecer comunicaciones seguras, con usuarios que emplean un navegador de
Internet seguro.
ESQUEMA de las ETAPAS del PROTOCOLO - SSL -
|
NAVEGADOR del USUARIO |
|
SERVIDOR
WEB |
|
|
|
|
|
Se inicia el acceso al sitio Web |
=======> |
Se inicia una conexión segura. |
|
|
|
El servidor envía su CID. |
|
Mediante el CID del servidor |
<======= |
Puede solicitar el CID del usuario. |
|
recibido se efectúa su autenticación. |
|
|
|
Si fue solicitado, se envía el CID. |
=======> |
Se autentica el usuario, mediante |
|
|
|
el CID de usuario (si corresponde). |
|
|
|
|
|
Aceptación del servidor |
<======> |
Aceptación del usuario |
|
|
|
|
|
Se establece una Clave de sesión |
<======> |
Clave de sesión aceptada. |
|
|
|
|
|
Transmisión segura del flujo de datos |
<======> |
Transmisión segura del flujo de datos |
Fig. 5
Entre el Servidor Web y el Navegador del usuario, se produce un diálogo mediante mensajes, con el fin de implementar las funciones requeridas por una conexión segura, confidencial y auténtica. Al iniciar la conexión, el Servidor y el usuario, intercambian sus CIDs, con el fin de poder identificarse mutuamente, y saber que cada cual es quien dice ser. Una vez, la fase de autenticación ha terminado exitosamente, se establece una clave de sesión para encriptar el flujo de datos. Tan pronto como servidor y navegador terminan de negociar la clave de sesión, se inicia la comunicación segura de datos entre ambos. Los datos se encriptan usando la clave de sesión, y la clave de sesión a su vez se encripta usando la clave pública del receptor. Solamente el receptor puede abrir el paquete de datos y descifrar su contenido!
La
clave de sesión permite encriptar el flujo de datos y su longitud
determina su grado de vulnerabilidad. Una clave de sesión de 128 bits
(16 caracteres) se considera que es imposible de vulnerar, y como consecuencia
es imposible descifrar los flujos de datos.
Una clave de sesión de 40 bits (5 caracteres) es considerada de
seguridad aceptable para las aplicaciones comunes, pero mediante un ataque
exhaustivo se la puede vulnerar, aunque se requieren buenos recursos de
computación y un gasto de unos 10,000 dólares actualmente! Por restricciones de
exportación en los EE.UU. los Visores Web americanos solo pueden aceptar una
clave de sesión de 40 bits (5 caracteres).
Cuando se necesita mantener plenamente confidencial un flujo de datos,
no se posible recomendar el uso de una clave de 5 caracteres (40 bits). Tiene
que usar una clave de 128 bits. Verifique en la sección Seguridad en
Internet de su Visor Web, si necesita saber cual es el nivel de
seguridad del protocolo SSL que está usando.
Aún en el nivel mas bajo (40 bits) es suficiente para las aplicaciones comunes,
piense que una sesión de transmisión de datos normalmente es breve, unos pocos
minutos en promedio, por lo cual no es negocio invertir 10,000 dólares en
descifrar sus datos.
¿ Qué se requiere para establecer conexiones seguras mediante el SSL ?
El servidor Web y el Visor Web del usuario deben tener el protocolo SSL y un
CID.
El usuario puede iniciar una conexión segura SSL empleando la instrucción https:
Ejemplo del
protocolo SSL
|
Conexión segura
|
https://www.computarizar.net |
|
|
|
Es habitual establecer una conexión segura, solo cuando la información
es confidencial, a los efectos de hacer más ágil la transmisión y reducir la
carga de trabajo en el servidor.
Servidor y Visor
seguros
|
Servidor
seguro : dispone
del protocolo SSL con clave de 128 bits o más. |
|
|
Empleando
SSL es posible implementar operaciones de comercio electrónico en forma
segura y confidencial. Un usuario puede con toda seguridad efectuar sus compras
en Internet, porque sus datos personales y los datos de su tarjeta de crédito,
se pueden mantener en forma confidencial. No hay peligro de que el número de su
tarjeta y sus datos personales puedan ser interceptados y luego usados en un
fraude.
El protocolo SSL es la principal herramienta para implementar transmisiones
seguras en Internet. Permite transmitir mensajes y archivos de todo tipo, en
forma confidencial.
Transacción electrónica segura
SET (Secure
Electronic Transaction)
SET es un protocolo de transmisión de datos en Internet, diseñado para
que los pagos mediante tarjeta de crédito sean seguros y confidenciales.
El 1 de Febrero de 1996 fue presentado el protocolo SET, como resultado del
acuerdo entre VISA, MasterCard, IBM, Microsoft, NetScape, Verisign y otros. El estándar
de SET especifica el formato de los mensajes que se intercambian entre el
vendedor, el comprador y los otros participantes (bancos, agencia de
autorización, etc.). La seguridad y privacidad se logra mediante el
encriptamiento de los mensajes, y mediante la autenticación de todos los
participantes.
Participantes en
las transacciones SET
El
comprador,
usuario de Internet que usa tarjeta de crédito para efectuar sus pagos.
El vendedor, que emplea un Servidor Web para comercializar sus productos
y servicios.
El emisor, es el servidor del banco o de la financiera que
expide la tarjeta del usuario.
El cobrador, es el servidor del banco del vendedor, procesa las
transferencias de fondos
El servidor de pagos, es un gestor seguro entre el sistema SET y la red
del sistema financiero de las tarjetas de crédito. Se encarga de
solicitar la autorización de los pagos, y de comunicar la aprobación o rechazo
al vendedor. Además a pedido del vendedor, obtiene del emisor de la
tarjeta del usuario, el pago autorizado en la transacción.
La autoridad de certificación, es quien certifica la identidad del
usuario, del vendedor y del servidor de pagos. De esta forma la transacción es
segura para todos ellos.
¿ Qué se
requiere para comprar o vender usando el sistema SET ?
El usuario comprador y el servidor web vendedor, necesitan cada uno de ellos,
un programa que implemente el protocolo de pagos SET, y un CID apropidado para
SET.
El usuario comprador necesita instalar un programa
llamado billetera electrónica, en inglés E-wallet, que se encarga
de manejar automáticamente el complejo conjunto de tareas de autenticación,
encriptación, firmado digital y el ensamblado de los mensajes SET. La
billetera-E es similar a su billetera tradicional, donde tiene sus tarjetas de crédito,
elementos personales y algún documento de identidad. Es el programa
billetera-E quien registra y maneja la información confidencial del
usuario: su CID y tarjetas de créditos.
El servidor Web
vendedor necesita
instalar un programa llamado "negociador-E" que implementa el
sistema SET. Es éste quien se encarga de efectuar en forma automática una gran
cantidad de tareas que exige el proceso de transacciones SET. Debe manejar los
flujos de datos con el comprador, con el servidor de pagos, y el servidor de su
banco. Es el programa negociador-E quien registra y maneja los datos
propios del servidor, sus CIDs, los datos de su servidor de pagos, y los datos
de la autoridad de certificación.
El usuario necesita un
CID otorgado por una Autoridad Certificadora que es parte o tiene el aval del
ámbito financiero, posiblemente el banco emisor de su tarjeta crédito. Una vez
el usuario elige y configura su billetera-E, está en condiciones de efecturar
transacciones electrónicas seguras con aquellos servidores con un negociador-E
que entiende el SET.
ETAPAS DE LAS TRANSACCIONES SET
|
-------USUARIO------- |
VENDEDOR |
SERVIDOR de
PAGOS |
COBRADOR |
EMISOR |
ETAPA |
|
|
|
|
|
|
|
|
Obtención del CID |
<================= |
================== |
================= |
==============> |
|
|
|
Obtención del CID |
<================= |
================= |
==============> |
CERTIFICACION |
|
|
|
Obtención del CID |
<================ |
==============> |
|
|
|
|
|
|
|
|
|
|
Ofertas de artículos |
|
|
|
|
|
Selección de artículos |
=> |
|
|
|
|
|
<= |
Factura en proceso |
|
|
|
|
|
Confirmación
==> |
Venta en espera |
|
|
|
COMPRA |
|
Datos de la taarjeta |
==========> |
Pedido de autorización |
==========> |
Control de los datos |
|
|
|
Proceso de la
venta <= |
== Aprobación |
<========== |
Verificación de fondos |
|
|
Compra terminada <= |
== Factura digital |
|
|
|
|
|
Archivado de factura |
Reclamo del pago
===> |
Solicitud del pago |
=========> |
Débito de la taarjeta |
|
|
|
|
|
Incremento de
la <== |
Transferencia del pago |
COBRANZA |
|
|
Registro del
pago <== |
= Cobro efectuado |
Cuenta del vendedor |
|
|
Fig. 6
Las etapas
de una compra en Internet, son similares a aquellas de una compra tradicional
mediante tarjeta de crédito. Las complejas operaciones del protocolo SET se
efectúan en forma automática, por lo cual, al comprador le resulta muy fácil
pagar con su tarjeta en Internet. El protocolo SET entra en acción cuando
el usuario inicia el pago, a partir de ese momento los flujos de datos se
encriptan y se firman digitalmente en forma muy cuidadosa, a los efectos de proteger
la confidencialidad de los datos de la tarjeta del usuario. Solo el servidor de
pagos tiene acceso a los datos de la tarjeta de crédito y solo el vendedor
conoce los detalles de la compra. (Cada uno encripta sus datos con su propia
clave)
Como
ejemplo, veamos la estructura del mensaje SET cuando el usuario confirma la
compra y elige la forma de pago:
Recibe
del servidor del vendedor, el CID propio y el CID del servidor de pagos, los
cuales son verificados por el programa SET del usuario ( su billetera-E).
El programa SET del usuario genera los datos de la orden de compra y del pago.
Se
obtiene la huella digital de los datos de la orden de compra.
Se obtiene la huella digital de los datos de la instrucción de
pago.
Se concatenan las
huellas digitales anteriores y se obtiene una huella digital del conjunto.
Se obtiene la doble firma digital, encriptando con la clave
privada la huella del conjunto.
El mensaje del
servidor de pagos, contiene la información de pago del usuario, que
solo el servidor de pagos puede decodificar. Está formado por:
La doble firma digital, los datos de la tarjeta y la huella de la orden
de compra.
Se encriptan los datos anteriores con una clave de transmisión generada
aleatoriamente.
El sobre del
servidor de pagos, se obtiene encriptando la clave de transmisión y el
número de la cuenta del usuario con la clave pública del servidor de pagos.
El mensaje enviado
al vendedor contiene los siguientes datos:
el mensaje del servidor de pagos y su sobre, la doble firma digital, la huella
de los datos de pago, los datos de la orden de compra y el CID del usuario.
Este mensaje como es habitual se encripta con una clave de transmisión
aleatoria, y seguidamente se genera el sobre del mensaje,
encriptando la clave de transmisión con la clave pública del servidor del
vendedor.
Es importante destacar que los datos de la tarjeta de crédito solo pueden ser
conocidos por el servidor de pagos, porque el vendedor no puede abrir el
sobre de pago, dentro del cual están tales datos. Cuando el vendedor recibe
los datos, transfiere al servidor de pagos, el sobre de pago y el mensaje de
pago, enviado por el usuario. Cuando el servidor recibe los datos, los
descodifica e inicia el pedido de autorización al banco emisor de la tarjeta y
luego sigue con las operaciones rutinarias del protocolo SET.
Lo expuesto antes, es una simplificación de las complejas
operaciones que tienen lugar cuando el protocolo SET entra en escena para
procesar en forma segura una transacción electrónica. El objetivo es dar una
idea que pueda servir para tranquilizar al usuario o bien motivarlo para que
profundice en el tema. En la sección BIBLIOGRAFIA de esta página
encontrará libros y manuales completos sobre el protocolo de transacciones
seguras SET.
SERVICIOS DE DINERO DIGITAL
El pago con tarjeta de crédito
está muy difundido en el comercio tradicional y también en Internet. Sin
embargo, existen muchos tipos de negocios para los cuales resulta poco útil el
empleo de la tarjeta como forma de pago. Existen muchos productos y servicios
cuyos costos son pequeños, del orden de un dólar y muchos de centésimos de
dólar.
El usuario que tiene que efectuar con frecuencia mini pagos, o sea pagar menos
de $2 dólares, enseguida descubre que la tarjeta de crédito tiene costos
bastante altos para este caso. El costo de operar la tarjeta (trámites) es del
orden del importe que se paga.
Los servicios de dinero electrónico o moneda digital tienen el objetivo de
hacer los pagos en Internet, más eficientes y económicos. Existe una gran variedad
de ofertas que cubren en forma eficiente las principales necesidades de dinero
digital. Los hay específicos para comprar productos intangibles, tales como:
programas, fotos, gráficos, asesoramiento y servicios. Los hay capaces de usar
tarjetas y cuentas bancarias personales. Los hay que permiten hacer compras
anónimas, mediante monedas electrónicas.
El empleo del dinero digital en las transacciones, requiere que el servidor del
vendedor y el Visor del usuario, tengan instalados los respectivos programas de
cobro y pago provistos por la empresa que brinda el servicio. El programa de
pago del usuario es común que se le llame billetera-E, y al programa del
vendedor cobrador-E (registrador de caja electrónico).
A los efectos de dar una idea concreta de los sistemas de dinero digital, te
presento dos ejemplos representativos. 1) Cyber Cash, que ofrece micro pagos,
cheques-E y SET.
2) Micro Pay de IBM, sistema especializado en micro pagos. Fáil de entender y
evaluar.
En el párrafo SITIOS SOBRE DINERO DIGITAL, tienes una lista de las direcciones
de los principales servicios de dinero digital. Te puede ser útil para ampliar
tus conocimientos.
CYBERCASH
-dinero digital-
La empresa CyberCash ofrece
desde 1995 el servicio de pago seguro en Internet, mediante tarjetas de
crédito. Actualmente su servicio incluye pagos con tarjetas, cheques
electrónicos y mini pagos (CyberCoin, de $0.25 a $10, para clientes fuera de
los EE.UU.).
Emplea los protocolos SSL y SET para garantizar seguridad en las transacciones.
El programa billetera del usuario y el programa cobrador para el
vendedor son gratuitos y se los puede obtener del sitio web de CyberCash. Esta
empresa ofrece un buen soporte a comerciantes y usuarios. En su sitio hay mucha
información de apoyo, lista de bancos afiliados, sistemas para comercio-E que
tienen soporte incorporado de CyberCash, varias páginas web explicativas de los
servicios, documentos y manuales.
El programa billetera (Wallet) tiene que ser instalado en el computador del
usuario. Es necesario indicarle los datos personales del usuario, de sus
tarjetas y de sus cuentas bancarias. El programa billetera usa una clave definida
por el usuario para encriptar sus datos, a los efectos de garantizar la
privacidad de la información.
Para obtener el programa cobrador (CashRegister) el comerciante se debe
registrar en el servidor de CyberCash. Necesita antes abrir una cuenta en un
banco adherido al sistema (el 95% de los bancos de EE.UU.). El cobrador se
instala en el sitio Web vendedor y hay que configurarlo con los datos del
comerciante, de los bancos y tarjetas con las cuales éste trabaja. El cobrador
tiene que ser integrado con la aplicación de comercio-E (Online StoreFront) del
sitio vendedor, lo cual requiere algo de programación
Si el comerciante tiene conocimiento de programación de aplicaciones para
Internet, con facilidad puede integrar el cobrador en su página Web. De no ser
así, CiberCash le ofrece varias opciones que le pueden ayudar a implementar el
servicio en una forma eficiente y confiable. Le ofrece una lista de
"Socios para el desarrollo de su comercio-E" (Merchant Development
Partner) que pueden encargarse del desarrollo técnico en computación que el
empresario necesita. Si va a iniciar su negocio-E, le ofrece una lista de desarrolladores
de programas para comercio-E (StoreBuilder Solution) que tienen soporte para el
sistema de pagos de CyberCash.
Servicio Facturador PayNow
Este servicio permite procesar
los pagos mediante cheque, tarjeta o efectivo y emitir la factura digital en
forma interactiva. La facturación en Internet y el cobro seguro tienen
importantes ventajas para el comerciante : reducción de costos y mejores
posibilidades de marketing. El usuario a su vez, recibe un servicio más privado
y eficiente. La primera vez que el usuario emplea el servicio, tiene que
registrarse en el servidor facturador del vendedor. Recibe como es habitual un
nombre de usuario y una clave de acceso.
En el siguiente esquema se muestran los componentes típicos del sistema PayNow
y las etapas del pago mediante cheque electrónico.
Esquema del Facturador de CyberCash
Pagos mediante cheques-E
|
USUARIO Pre-registrado Visor SSL compatible |
|
SERVIDOR facturador SSL, CID Registro de usuarios |
|
SERVIDOR COBRADOR CyberCash CASH REGISTER |
|
BANCO |
|
|
|
|
|
|
|
|
|
Revisión
|
<====== |
Presentación de
la Factura |
|
|
|
|
|
|
|
|
|
|
|
|
|
Aceptación
|
======> |
Detalle de la
|
======> |
Decodificación
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Proceso de la
|
<====== |
Aprobación o No
|
|
|
|
|
|
|
|
|
|
Registro en la |
|
Registro del pago |
<====== |
Conclusión
|
|
Arhivo Formateado
|
=====> |
CUENTA |
|
|
|
|
|
|
|
|
|
I N |
T
E |
R
N |
E
T |
<======> |
Red de |
clearing |
Fig. 7
El usuario se conecta al servidor del vendedor, usando su nombre de usuario y su clave de acceso. El servidor elabora la factura y se la presenta para verificación y aprobación. El usuario decide efectuar el pago y digita el importe del cheque-E con el cual va a pagar. En forma automática, los detalles de la transacción son enviados al servidor cobrador (CashRegister) de CyberCash. Éste descodifica los datos y consulta la red de clearing para averiguar si el usuario tiene fondos. La respuesta, sea afirmativa o negativa, es transmitida al servidor vendedor. Este a su vez, se lo comunica al usuario, indicándole el exito o rechazo de su pago. Si el clearing habilita el pago, el cobrador envía la orden de transferencia del importe de la cuenta del usuario a la cuenta del vendedor.
MINI PAGOS -dinero digital-
Este
servicio ha sido diseñado para el pago de pequeñas cantidades. Esta forma de
dinero digital es mucho más eficiente que la tarjeta-E y el cheque-E, porque el
costo de operar con estos últimos medios de pago es mayor que los importes que
se pagan y a su vez son muchos más lentos. El
mini pago permite pagar en un segundo,
simplemente pulsando el ratón. El costo
de cada transacción es insignificante, inferior a un centésimo de dólar.
Este servicio de dinero
digital es apropiado para empresas que venden noticias, música, videos,
software (programas), información financiera y de consumo. También para las
empresas facturadoras, que pueden actuar como cobradores, tales como: compañias
de teléfonos, de video cables, ISP (Proveedores de Servicios Internet), ASP
(Proveedor de Acceso a Internet).
Requerimientos para usar el servicio
Los programas y equipos necesarios para participar en el sistema de Micro
Pagos, dependen de la función o rol que cada cual desempeña.
El usuario necesita disponer :
a) Windows 95/98 o Windows NT
b) Visor Web Explorer o NetScape versión 3.0 o siguientes.
c) Billetera-E MicroPay (puede obtener este Plug-in del sitio de
IBM)
El vendedor necesita :
a) Páginas Web programadas con instrucciones de pago MicroPay.
El servidor
Internet del vendedor necesita :
b) Sistema operativo Unix/Aix
o Windows 95/98-NT
c) Servidor Web que pueda ejecutar
CGIs (Common Gateway Interface)
El
facturador necesita :
a) Sistema operativo Unix/Aix o Windows95/98-NT
b) Servidor Web que pueda ejecutar CGIs.
c) Servidor MicroPay de facturación. (se encarga del control y gestión
de los pagos)
Subscripción del comprador al servicio de mini pago
El
usuario tiene que comenzar por inscribirse en un IAP (Proveedor de Acceso a
Internet) que brinde el servicio de facturación MiniPay. El
IAP crea una cuenta para el usuario, en el servidor facturador con el balance
inicial convenido. A partir del momento en el cual, el usuario comprador, tiene
su cuenta en el servidor facturador MiniPay, está habilitado para hacer mini
pagos. El servidor facturador envía todos los días, a los usuarios compradores,
los certificados diarios que los habilitan para hacer compras en el día en
curso.
Al
iniciar una inscripción el servidor de MiniPay genera un identificador
(ID) único para el nuevo usuario y una clave provisoria. Le envia estos datos
al usuario comprador, usando una conexión segura SSL o un E-mail seguro. Con el
ID y la clave provisoria, el programa billetera MiniPay del usuario,
genera la clave privada y la pública, para poder así firmar sus mensajes.
Seguidamente se obtiene la huella digital de la clave pública, se la encripta
usando la clave provisoria y se obtiene así una firma digital provisoria.
El usuario envia su ID, su clave pública y la firma digital provisoria al
servidor MiniPay. En la siguiente etapa, se cierra el ciclo de subscripción, el
servidor MiniPay verifica mediante la firma digital provisoria, la
clave pública del usuario, si está bien, le envia al usuario su clave
pública de servidor facturador Mini Pay. La clave provisoria se desecha, porque
ya ambos han intercambiado sus claves públicas, y se pueden comunicar
confiablemente.
Formato de los flujos de datos
Los
mensajes entre los participantes del sistema MiniPay no se encriptan, por
lo cual los programas que forman el sistema Mini Pay, se pueden exportar de
EE.UU. sin restricción alguna. Todos los mensajes se firman digitalmente con la
clave privada correspondiente. Se emplea el algoritmo de hash MD5 para obtener
el código verificador o huella digital de los mensajes. La firma digital se
obtiene encriptando la huella digital del mensaje usando el sistema RSA
de clave pública. La firma digital permite verificar y autenticar mensajes.
La huella digital tiene 16 caracteres (128 bits), la clave privada es de 64 caracteres (512 bits) y la clave pública es de 20 caracteres (160 bits).
En síntesis, cada flujo de datos en el sistema MiniPay, está formado por el mensaje
sin encriptar y la firma digital del mismo mensaje.
He aquí, un par de ejemplos para razonar:
1) El servidor facturador, envía el certificado diario y la firma digital
del mismo.
2) La billetera envía una orden de compra y su firma digital al servidor
vendedor.
En el primer caso, el comprador puede verificar el certificado diario y saber
la identidad del servidor. En el segundo caso, el vendedor puede verificar los datos de la orden y
autenticarlos.
El Certificado de identidad del
usuario
En
MiniPay se usa un CID (certificado de identidad digital) propio, que tiene una
validez, de tan solo un día y es emitido diariamente por el servidor facturador
del usuario. La primera vez en el día, que el usuario establece conexión con el
servidor, recibe su CID diario. Los datos que incluye el certificado
son:
El ID del usuario (número único del usuario en el servidor facuturador)
La clave pública del usuario, registrada en el programa billetera.
La fecha de vencimiento, la cual es el día siguiente.
Descripción del proceso de compra
El
usuario accede a la página Web de un vendedor que acepta el dinero digital del
servicio MiniPay, cuando localiza un producto o servicio que quiere comprar,
ubica el cursor del ratón encima del ícono, figura o descripción que lo
representa y pulsa el botón del ratón, seguidamente en la pantalla se despliega
un mensaje de confirmación, si está todo bien, pulsa nuevamente y se
inicia el proceso de pago.
El detallede las
etapas es el siguiente:
a) El usuario elige un artículo representado por un enlace (figura, descripción
y ícono.)
b) El importe del artículo es descontado del dinero digital disponible en la
billetera.
c) El programa billetera MiniPay elabora una orden de compra con los datos del
usuario
y del artículo elegido. Se usa el identificador del
artículo, precio, el CID, el ID, la hora.
d) La orden de compra es enviada al servidor del vendedor, se incluye la firma
digital.
e) El servidor vendedor recibe y verifica el CID y los datos de la orden de
compra.
f) El vendedor envia al usuario el artículo y concluye la venta.
g) El servidor del vendedor registra el depósito de la venta efectuada..
ESQUEMA -MICRO PAGOS- IBM
|
IAS |
Las ordenes de |
|
En ambos
|
ISP |
|
|| |
|
|| |
|
|| |
|
Certificado diarrio
del |
|
|| |
Si se supera el tope diario |
Las órdenes de compra
se |
|
|| |
|
\\ |
===========\\ |
|| |
|
V I S O R |
Acceso al sitio Web |
|
|
SERVIDOR |
Fig. 8
Se
muestran los participantes típicos en una transacción electrónica en la cual se
paga mediante dinero digital provisto por el servicio MiniPay.
El IAP (Proveedor de Acceso a Internet) es quien le factura al usuario
comprador por el servicio MiniPay. Frecuentemente es una empresa de cable, de
teléfono,u otra institución que tenga infraestructura de cobranza.
EL ISP (Proveedor de Servicios Internet) es el facturador del vendedor,
quien procesa los cobros de las transacciones, devoluciones, etc. El IAP y el
ISP pueden coincidir, vale decir, un mismo servidor MiniPay puede atender al
usuario comprador y al vendedor, el sistema facturador MiniPay es el mismo para
ambos.
Diariamente el IAP envía al usuario, el CID y el tope de compra válido
para la fecha en curso. Mientras el importe de compras efectuadas en el día no
supere el tope diario, la autorización es automática. Si las compras del
usuario superan el tope diario establecido, el vendedor puede solicitar en
tiempo real una autorización al IAP.
Cabe destacar que las órdenes de compra se almacenan y respaldan en el IAP
e ISP.
|
||||||
|
|
BIBLIOGRAFIA
- The Eguide : Tutorial
sobre comercio-E.
Es un tutorial para el que aspira vender en Internet usando el comercio-E. - Free Marketig
Software Library
Libros sobre : Avisos promocionales, Diseño de sitios Web, Estrategías de ventas.
- IBM
Red Book of the SET Protocol.
Manual muy completo, con esquemas y diagramas explicativos del standard SET. - La organización del standard SET
Manuales del standard. Certificación del cumplimiento SET. - El
standard X12, versión EDI del ANSI
Diccionario y acrónimos. Noticias, seminarios, manuales. - Organización DISA, centro de los standards EDI.
- RFC1510
: El protocolo Kerberos de autenticación.
El documento RFC1510 contiene el algoritmo usado por el sistema Kerberos. - RFC1321
: La función de hash MD5 generador de huellas digitales.
El documento RFC1321 describe el programa MD5, generador de huellas para Firmas digitales. Es usado por el programa PGP (Pretty Good Privacy), SSL, etc. - Manual en español del
programa PGP
El PGP (Pretty Good Privacy) es usado para encriptar E-mail y teléfono vía Internet. - COMMERCE NET - Asociación de comercio-E
Recursos para comercio-E, cursos, manuales, mailings, reportes de investigación. - Sitio sobre temas de Comercio electrónico en ZDNET (E-business).
AUTORIDADES DE CERTIFICACION
- VERISIGN - es la AC tiene más usuarios.
CID de usuario gratis 2 meses, $15 anual. El CID de servidor unos $250 anual. - T H A W T E - es una AC confiable y
económica.
CID de usuario gratis. El CID de servidor unos $125 anual. - ENTRUST -
CID de usuario $.. anual. El CID de servidor unos $... anual. - GTE Cyber-Trust :
CID de usuario $.. anual. El CID de servidor unos $... anual. - Euro Sign - es una AC europea importante.
CID de usuario $.. euros anual. El CID de servidor unos $... euros anual. - Key Witness - es una AC canadiense
importante.
CID de usuario $.. anual. El CID de servidor unos $... anual.
SITIOS SOBRE DINERO DIGITAL
- CyberCash - Pagos con cheques y tarjetas.
- Mini Pay - IBM - Sistema de mini pagos
- Centi Pay - COMPAQ - Sistema de micro pagos
- Lista de los principales sistemas de dinero digital
PROGRAMAS PARA COMERCIO-E
- Sistema comercial en línea.
- Programa : Merchant (comerciante) -Microsoft-
- Programa : Live Payment (pago en línea) -Netscape-
BUENOS SITIOS DE COMERCIO-E
DIRECTORIOS DE COMERCIO-E
- Lista de Instituciones Financieras
- Lista de Servidores de Comercio electrónico
- Lista de Servicios de Dinero Digital
- ECOMMERCE ONE -Internet Shooping Directory-
- ONLINE SHOOPING MALL -Online Stores-
- ONLINE SHOOPING GURU -Online Shopping and Virtual Mall-
- SECURE ONLINE SHOOPING -Ecommerce Web Shopping-
SITIOS SOBRE SEGURIDAD EN INTERNET
- Lista de empresa que trabajan en temas de seguridad.
- SSLEAY -Rutinas SSL en lenguaje C-
- FREE CRYPTO -Organización criptográfica, Legalidad y políticas -
- W3C - World Wide Web Security
FAQ -
Se cubren los principales temas de seguridad en servidores y visores Web.
Si tienes dudas
sobre este tema, puedes enviarme un E-mail. A la brevedad te responderé
|
E-mail
: webmaster@computarizar.net |
computarizar.net® versión
2001© |
|
|
|