INTERNET: Организация открытой электронной коммерции

436 Pages·10.664 MB·Russian

by  Мельников Д.А.

Д.А. МЕЛЬНИКОВ

I N T E R N E T :
ОРГАНИЗАЦИЯ
ОТКРЫТОЙ ЭЛЕКТРОННОЙ
КОММЕРЦИИ

МОСКВА
……………..
2002
2
Мельников Д.А.
INTERNET: организация открытой электронной коммерции. — М.: ….., 2002.
- … с., ил. –

ISBN …

Автор книги, КТН, СНС, доцент факультета “Информационная безопасность”
МИФИ (технического университета).
Эта книга посвящена международному стандарту в области открытой электронной
INTERNET-торговли — протоколу IOTP (Internet Open Trading Protocol, v1.0) и приклад-
ному платежному интерфейсу PAPI (Payment Application Programmers Interface). В ней
подробно раскрываются цели и задачи электронной коммерции, даны общие харак-
теристики протокола и интерфейса, рассматриваются их логические и процедурные ха-
рактеристики и особое место отведено вопросам обеспечения безопасности при осуществ-
лении электронной коммерции. Данная книга предназначена для студентов, аспирантов и
преподавателей финансово-экономических ВУЗов, специалистов в области электронного
бизнеса, разработчиков специального программного обеспечения для виртуальных мага-
зинов и электронных платежных систем, а также широкого круга читателей, желающих
познать основы современной электронной коммерции. Книга будет полезна для сотрудни-
ков Министерства связи и информатизации Российской Федерации, Федерального агент-
ства правительственной связи и информации при Президенте Российской Федерации, Рос-
сийского агентства по системам управления и других ведомств и организаций, участвую-
щих в реализации Федеральной целевой программы “Развитие электронной торговли в
России на 2002-2006 годы”.
3

Моим родителям
посвящается…

ПРЕДИСЛОВИЕ

“Сколь многое ещё вчера было для нас нерушимы-
ми догмами, а сегодня воспринимается нами как
басни! Тщеславие и любопытство — вот два бича
нашей души. Последнее побуждает нас всюду со-
вать свой нос, первое запрещает оставлять что-
либо неопределенным и нерешенным.”
Мишель Монтень (“Опыты”)

Уважаемый читатель, рубеж третьего тысячелетия преодолен. Огляды-
ваясь назад, среди множества новых и порой не всегда понятных терминов,
преподнесенных нам 90-ми годами XX-го века, очень часто можно слышать
слова “электронный бизнес” и “электронная коммерция (торговля)”. Эти по-
нятия являются следствием глобальной информатизации нашей планеты (при
этом речь идет уже об “информационной революции”).
Создание и развитие широкомасштабной информационно-вычисли-
тельной сети (ИВС) INTERNET и ее повсеместная доступность позволили
говорить о новой социально-экономической среде, иногда называемой “ки-
берпространством”. Это киберпространство по своей сути является отраже-
нием реального мира, но со своими “виртуальными особенностями”. Естест-
венно, что оно затронуло и сферу экономики и финансов, сделав себя конку-
рентоспособной и весьма эффективной (прибыльной) сферой бизнеса. Имен-
но слияние традиционных форм коммерческой деятельности с глобальной
информационно-телекоммуникационной инфраструктурой стало причиной
появления “виртуального (электронного) бизнеса” и “виртуальной (элек-
тронной) коммерции”. Определение “виртуальный” вполне закономерно, так
как оно характеризует новые свойства электронного бизнеса:
• электронные (виртуальные) деньги. Понятие бумажных (металличе-
ских) денег в электронной коммерции исчезает (мы их просто не ви-
дим). Их заменяют платежные средства (специализированные про-
граммно-аппаратные комплексы), которые представляют собой, как
правило, пластиковые кредитные (или иные платежные) карты (КК) с
определенными физическими свойствами;
• виртуальные товары. Теперь не надо ходить в магазин и выбирать не-
обходимые товары. Достаточно иметь компьютер и точку доступа в
4
INTERNET и перед Вами предстанет весь широчайший спектр любых
товаров. Кроме этого, если в реальных условиях нет возможности оце-
нить или проверить некоторые свойства товаров, то в виртуальном ми-
ре это вполне возможно. Например, при покупке автомобиля в реаль-
ном автосалоне Вам вряд ли продемонстрируют работу двигателя из-
нутри. А в виртуальном магазине это вполне возможно с помощью
специального программного обеспечения. Более того, именно вирту-
альная реклама способна более “тщательно” и “изощренно” продемон-
стрировать преимущества того или иного товара;
• виртуальные магазины. Виртуальный магазин — это, по крайней мере,
всего лишь специализированный компьютер со своим программным
обеспечением, который имеет доступ в INTERNET и реализует боль-
шинство функций реального магазина:
демонстрирует товары (виртуальные);
(cid:126)
делает коммерческие предложения;
(cid:126)
“выписывает” покупателю электронную квитанцию (бланк-заказ) на
(cid:126)
оплату;
принимает платежи (электронные деньги);
(cid:126)
выдает электронную платежную квитанцию (если таковая затребо-
(cid:126)
вана покупателем);
решает вопросы с доставкой товаров покупателю.
(cid:126)
В месте с тем, виртуальный магазин может обслуживаться всего лишь
одним человеком. INTERNET позволяет создавать и сети виртуальных
магазинов, которым для обслуживания нужно минимальное количество
персонала (единицы человек);
• “киберуязвимость” электронного бизнеса. Электронный экономиче-
ский шпионаж, борьба за владение наиболее выгодными экономи-
ческими зонами киберпространства, кража электронных денег, прямой
ущерб электронной коммерческой деятельности организаций (фирм,
компаний), кибервредительство, киберкриминал и тому подобное —
все это новые виды преступной деятельности, способные нанести не-
поправимый урон бизнесу (вплоть до его полного “разрушения”). Но-
вейшая история коммерческой деятельности со всей очевидность пока-
зывает, что надежная защита электронного бизнеса — важнейшее и не-
обходимое условие его конкурентоспособности и экономической эф-
фективности.
Электронный бизнес основывается (помимо всего прочего) на элек-
тронных платежных системах, которых в настоящее время чрезвычайно мно-
го. Такое положение требует принятия специальных мер для интеграции раз-
личных платежных схем (систем) в едином киберпространстве.
5
Одним из важнейших направлений развития INTERNET является соз-
дание эффективных и безопасных условий для ведения электронного биз-
неса. С этой целью в IETF INTERNET создана рабочая группа по развитию
электронной коммерции — Trade Working Group (TWG). Главное предназна-
чение деятельности TWG разработка и внедрение международных стандар-
тов в области открытой электронной INTERNET-торговли. Первым осново-
полагающим документом для этого вида деятельности является “Протокол
открытой∗ торговли в INTERNET” (“Internet Open Trading Protocol” v1.0 —
IOTP, RFC 2801), а также “Прикладной программный интерфейс для системы
электронных платежей” (“Payment Application Programmer Interface” v1.0 —
PAPI).
IOTP и PAPI (IOTP/PAPI) предоставляют условия для формирования
объединенной системы электронного бизнеса в INTERNET. Они позволяют
создать единую INTERNET-систему электронных платежей (СЭЛП), которая
интегрирует другие широко известные системы (SET, Mondex, CyberCash,
DigiCash, GeldKarte и других). IOTP/PAPI обеспечивают возможность регу-
лирования электронных торговых операций, в которых участвуют, с одной
стороны, продавец (который подразумевает определенный состав участников
торговой сделки: виртуальный магазин, СЭЛП, поставщик товаров и услуг)
и, с другой стороны, представитель покупателя (являющийся также участни-
ком торговой сделки), путем проведения одной или нескольких торговых сес-
сий.
Эта книга посвящена протоколу и платежному интерфейсу для прове-
дения различных процедур электронного бизнеса. В ней подробно раскрыва-
ются цели, задачи и участники электронной коммерции, даны общие харак-
теристики IOTP/PAPI, рассматриваются их логические и процедурные харак-
теристики. В книге представлено несколько приложений, которые более под-
робно раскрывают механизмы функционирования протокола и платежного
интерфейса, способы кодирования сообщений. Последнее приложение пол-
ностью посвящено СЭЛП компании “CyberCash”.
Данная книга предназначена для студентов, аспирантов и преподавате-
лей финансово-экономических ВУЗов, для специалистов в области электрон-
ного бизнеса и его безопасности, разработчиков специального программного
обеспечения для виртуальных магазинов и электронных платежных систем, а
также широкого круга читателей, желающих познать основы современной
электронной коммерции. Книга будет полезна для сотрудников Министерст-
ва связи и информатизации Российской Федерации, Федерального агентства
правительственной связи и информации при Президенте Российской Федера-

∗ Под термином “открытая” понимается то, что сам факт торговой сделки (покупки или продажи товара) не
является конфиденциальной информацией.
6
ции, Российского агентства по системам управления и других ведомств и ор-
ганизаций, участвующих в реализации Федеральной целевой программы
“Развитие электронной торговли в России на 2002-2006 годы”.
Автор книги выражает благодарность своим друзьям и коллегам —
Баушеву С.В., Гаврилову В.Л., Иванову В.Н., Кириллову А.Б., Петрову В.А.,
Плотникову А.М., Толочкову С.В. за постоянную поддержку и внимание при
написании рукописи.
Автор благодарен своим ученикам — студентам факультета “Инфор-
мационная безопасность” МИФИ за их молодой задор, темперамент и “фон-
танирующий” оптимизм, что весьма положительно отразилось на темпах на-
писания книги (без снижения качества).
Введение, разделы 1…7, написаны Мельниковым Д.А.; вступительная
статья — совместно Жирновым О.А., Мельниковым Д.А. и Четвертных Е.Н.,
заключительная статья — Мельниковым Д.А., Мещеряковым К.С., Саркися-
ном В.Ю., Станимировой К.В., Приложение XII — Алексеевым П.К., Мель-
никовым Д.А., Пучковым Д.В. и Школьниковым А.Ю.
ЭЛЕКТРОННЫЙ БИЗНЕС И
КОММЕРЧЕСКИЕ РИСКИ
(вместо вступления)
“Вещи сами по себе не являются ни трудными, ни
мучительными, и только наше малодушие или сла-
бость делают их такими. Чтобы правильно судить о
вещах возвышенных и великих, надо иметь такую же
душу; в противном случае мы припишем им наши
собственные изъяны. Весло погруженное в воду, ка-
жется нам надломленным. Таким образом, важно не
только то, что мы видим, но и как мы его видим.”
Мишель Монтень (“Опыты”)

Э
лектронная коммерция (ЭК) является весьма общим и специфиче-
ским термином, который определяет автоматизированные ком-
мерческие операции, включающие, например,:
• покупку карандашей с помощью электронной почты (ЭП) для попол-
нения запасов канцелярских товаров в офисе компании;
• “путешествие” по виртуальным магазинам во всемирной информаци-
онно-вычислительной сети INTERNET (служба World Wide Web —
W3), также используя ЭП;
• электронную регистрацию налоговых платежей, поступающих в госу-
дарственные финансовые институты, а также другой государственный
электронный документооборот (ЭДО);
• электронные процедуры по управлению крупными инвестициями в ин-
дустриальный сектор экономики.
ЭК представляет собой широчайший спектр используемых в ней тех-
нологий, процессов и видов практической деятельности, которые автомати-
зируют коммерческие операции на основе безбумажных методов бизнеса. ЭК
обычно представляет собой ЭДО с использованием ЭП или W3. ЭК включает
электронные коммерческие операции в рамках и между частным и общест-
венным секторами бизнеса, а также использует внутригосударственную (на-
циональную) инфраструктуру и международные коммуникации.
ЭК играет очень важную роль в современном обществе и экономиче-
ском развитии, и очевидно, что бурный рост этой сферы бизнеса неминуем.
Компания “eMarketer”, специализирующаяся на сборе и анализе данных элек-
тронного рынка, опубликовала отчет под названием “Прогнозы и реальность
— обзор итоговых показателей электронной коммерции за 2001 год в свете
прогнозов ведущих аналитических компаний”, в котором указано, что оборот
глобального рынка ЭК в 2001 году оценивается в $449 млрд. (на $226 млрд.
больше чем в 2000 году). На 2002, 2003 и 2004 годы прогнозируется рост в
$841 млрд., $1,5 трлн. и $2,7 трлн. соответственно. ЭК становиться стратеги-
ческим направлением совершенствования частного и общественного секто-
8
ров бизнеса. Она нашла всеобщее признание, так как обеспечивает снижение
затрат, конкурентоспособность и позволяет решать проблемы увеличения
скорости и объемов платежей и обмена коммерческой информацией. Это
главный лейтмотив нашего бурно развивающегося информационного сооб-
щества. Это и средство для достижения и результат технологического пере-
вооружения коммерческой деятельности, которое обеспечивает ей надежную
дорогу в XXI век.
Вместе с тем, ЭК является результатом конвергенции самых передовых
технологий на поворотном этапе нашей экономической и общественной ис-
тории. Она обеспечивает повсеместную интеграцию персональных компью-
теров, сетей передачи данных, уникального программного обеспечения (ПО)
и глобальной политико-экономической сферы, и все это в условиях посто-
янно снижающихся финансовых затрат на ее реализацию. Очевидно, что ме-
ханизмы ЭК становятся более доступными по причине их небольшой стои-
мости, они уже являются частью глобальной социальной среды, что также
обеспечивает их дальнейшее широкое использование.

Риски в ЭК
ЭК может быть чрезвычайно выгодным бизнесом в следствие неболь-
ших финансовых затрат на его проведение и наличия большого количества
преимуществ для вновь создаваемых и существующих систем обслуживания
покупателей по сравнению с традиционными формами коммерческой дея-
тельности. Однако, существует и “обратная сторона медали”. Электронные
системы (информационно-телекоммуникационная инфраструктура), которые
являются основой электронного бизнеса, весьма чувствительны к разного ро-
да технологическим “злоупотреблениям”, техническим ошибкам и сбоям. А
это в свою очередь может нанести колоссальный ущерб участникам элек-
тронной торговой сделки, а именно продавцам, финансовым организациям
(включая банки), поставщикам услуг и покупателям.
Угрозы электронному бизнесу (и их источники) могут быть следую-
щими:
• прямой финансовый урон в следствии обмана (мошенничества). Нéкто
— внешний нарушитель или мошенник из сотрудников организации
(компании) — может, например, преступным образом перевести опре-
деленную сумму валюты с одного счета на другой или уничтожить
электронные финансовые документы;
• кража важной конфиденциальной информации (данных). Многие
организации хранят и обмениваются очень важной информацией, ко-
торая является конфиденциальной и может содержать сведения, со-
ставляющие коммерческую (или иную) тайну. Это может быть техно-
9
логическая или деловая информация, секретные данные о коммерче-
ских интересах клиентов или покупателей. При этом несанкциониро-
ванное раскрытие этой тайны может привести к краху или банкротству
той или иной компании;
• потеря благоприятных условий бизнеса в следствии разрушения служ-
бы. Службы, базирующиеся на информационно-телекоммуника-
ционных инфраструктурах, могут быть выведены из строя на длитель-
ный или недопустимый период времени в результате умышленных атак
(следствие злонамеренных действий либо внешних нарушителей, либо
“обиженных” сотрудников службы) или природных катаклизмов. Воз-
можные потери могут быть катастрофическими;
• несанкционированное использование ресурсов. Внешние нарушители
могут получить несанкционированный доступ к информации (данным)
и использовать ее в своих целях или против ее владельцев. Телеком-
муникационный службы — один из таких примеров. Наиболее часто
встречающийся способ нарушений со стороны хакеров — проникнове-
ние в компьютерные системы и сети и использование последних в ка-
честве “исходных позиций” для атак на другие системы и сети;
• потеря доверия или внимания со стороны покупателя. Любой электрон-
ный бизнес может понести значительные потери в следствие либо при-
чиненных покупателям неудобств или имевших место несанкциониро-
ванных вторжений или банкротств и их публичной огласки, либо в ре-
зультате ретроспективного анализа ранее имевших место атак наруши-
телей или отказов в работе. Имидж электронного бизнеса также может
быть подорван в результате незаконных или сомнительных действий
нарушителя, которой выдавал себя (маскировался) за одного из дейст-
вительных участников коммерческой деятельности;
• дополнительные затраты в следствие ненадежности. Прерывания в пе-
риод проведения коммерческих операций в следствие внешних втор-
жений, обмана, неправильных коммерческих действий, ошибок опера-
торов или сбоев в электронной системе неминуемо приведут к парал-
лелизму и возникновению сомнительных состояний в течении элек-
тронной торговой сессии. Например, могут быть не приняты ответные
квитанции или подтверждения в период проведения коммерческой
операции, или результаты последней могут быть оспорены другими
участниками электронной сделки. В таких ситуациях возможны урон
бизнесу, потеря доверия и дискредитация имиджа фирмы, а также
большие затраты на разрешение конфликтной ситуации.
Несмотря на законы и постановления предназначенные для защиты ин-
тересов покупателей, последние, тем не менее, также уязвимы. Покупателю,
10
который доверил свои деньги электронной системе, может быть нанесен
ущерб (потеря денег) в следствие атаки или по причине сбоя в ней. В конеч-
ном счете, все рассмотренные коммерческие риски в той или иной степени
касаются и покупателей либо в форме прямых финансовых потерь, либо в
форме скрытых потерь в следствии “гибели” бизнеса, либо потерь из-за не-
благоприятных коммерческих факторов (снижение конкурентоспособности).
В средствах массовой информации очень часто публикуется информа-
ция об атаках на системы ЭК и электронных платежей. Вот наиболее впечат-
ляющие примеры:
1988 год (ноябрь) — студент Корнельского университета (США) Robert
(cid:126)
Morris Jr. через INTERNET “заразил” и таким образом вывел из строя
более 1000 компьютеров;
1994 год — в следствие атак на системы паролирования в INTERNET
(cid:126)
было скомпрометировано сотни тысяч (может быть миллионы) паролей
пользователей;
1995 год — американский банк CITIBANK (Нью-Йорк) потерял 10 мил-
(cid:126)
лионов долларов в следствие атак нарушителей на его систему управ-
ления электронными платежами;
1997 год — 37-летний хакер Carlos Salgado Jr. (Daly City, США) похи-
(cid:126)
тил через INTERNET около 100 тыс. номеров КК, которые пытался
продать на черном рынке за 260 тыс. $US (возможный финансовый
ущерб был оценен в сотни миллионов долларов США);
2000 год (февраль) — 19-летний хакер Raphael Gray похитил через
(cid:126)
INTERNET более 3 млн. фунтов стерлингов путем взлома девяти Web-
сайтов, включая “Salesgate.com”, “VisionComputers.com” и “Albion-
sMO.com”;
2001 год — в программном обеспечении Microsoft обнаружен “троян-
(cid:126)
ский конь”, который был замаскирован под “заплатку” для возможных
уязвимых мест в операционной системе;
2001 год (июль) — корпорация “Cisco Systems” официально признала,
(cid:126)
что все ее маршрутизаторы (IOS v.11.2 и выше) уязвимы для хакерских
атак.
Вполне естественен вопрос: “А какова вероятность очередной атаки
нарушителя?”, или “А какова вероятность того, что атаки нанесут опреде-
ленный ущерб?”. Ответы на эти вопросы дать практически невозможно, так
как чрезвычайно трудно накопить реальную статистику о таких событиях.
Организация (компания), подвергшаяся атаке нарушителя на собствен-
ную систему безопасности, должна либо весьма осторожно отразить этот ин-
цидент в открытой печати, либо вообще отказаться от его огласки. Открытая
публикация случившегося может подорвать доверие к ней покупателей или