Проведение платежей с использованием ЭЦП на примере WM Uzbekistan

[Rustam Nabiev]

Сообщение от Djalolatdin Rakhimov

Рустам ака, а у Вас нет возможности выложить эту статью здесь? Можно и в скане просто. Интересно.

Пока готовил, уже выложили.
Спасибо.

Сообщение от Bagrash Iminov

Вот эта статья...

[MichaelR]

Сообщение от Bagrash Iminov

Интернет Продавец не имеющий электронного кошелька...??? Тогда объясните - а что у него есть...?

да, вот такой вот продавец! у нас не так много интернет-магазинов на сайте которых есть широкий набор платежных модулей (например www.flowershop.uz). В большинстве же случаев на сайте узб.продавцов можно лишь заказать товар и оплатить его потом наличкой или с веб-кошелька...НО, опять таки, бабки с кошелька eKarmon на WM, или там Mobliss или payment+ и обратно и между собой ведь автоматом не циркулируют, яволь?

Операторы сотовой связи, кстати, упомянались тут...они принимают оплату WM? и я извиняюсь заранее если на этот вопрос Вы уже отвечали. не запомнил ответ. Повторитесь, если не трудно..

Сообщение от Bagrash Iminov

Наша деятельность - свет в конце тоннеля......

и я не сомневался даже в таком вашем ответе...просто тунель Веб-мани, получается, очень узкий и довольно скользкий, а свет в его конце может запросто оказаться мчащейся навстречу электричкой.

в целом же мне уже понятно, что универсального решения по всем обозначенным в теме вопросам на сегодняшний день нет и вряд ли будет пока будут существовать центробежные силы, пытающиеся тянуть одеяло на себя. Хотя и халяву раздавать всем тоже не хочется, понятное дело.

Я очень серьезно и на сей раз очень искренне желаю WM Uzbekistan достичь той массовости на которую они претендуют....и мне понятны многие их проблемы, поскольку мы сталкиваемся с аналогичными....с той лишь разницей, что наш бизнес регулируемый и мы соблюдаем все вытекающие отсюда нормы и требования!

[Djalolatdin Rakhimov]

Сообщение от Bagrash Iminov

Также как и Администратору домена UZ доступно, по своему желанию, внести в базу доменов любое доменное имя от имени любого владельца - вы же не делаете этого...

У вас что, спросили делаете или не делаете? У вас спросили "можете ли". разницу чувствуюете? Да, регистратору может добавить такую запись, но смысла от этого не будет, так как ни один регистратор этого подвердит, как проведенной через него. А вот вы можете реально подписать от имени владельца ЭЦП.

[MichaelR]

Сообщение от Bagrash Iminov

Можете реально представить платежи, подписанные ЭЦП МСС...? В любом виде....

легко, акам! скриншот с моей персонального счета, по понятным причинам, скопировать не могу. даю только детализацию платежа из выписок с моего кабинета (оплачиваемый номер скрыт опять таки)...как дальше идет процесс верификации ЭЦП думаю вы знаете не хуже меня, но на всякий случай, для непросвященных, вставлю ниже пояснение.

Ведомость документов
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
п/п |Номер док.| МФО | Счет клиента | Наименование клиента |Инн клиента| МФО | Счет корреспондента|Инн кор-та | Сумма документа | Назначение платежа |Состояние|
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
......
2| 2 500.00|668 Перевод средств Быстрый платеж.Ucell::99893389**** . |Проведен |
3| 5.00|667 Погашение за Опер.Касс.Обсл.-5.00 с суммы 2500.00 (1 док.) от 19.12.2009 |Проведен |
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Платежи как таковые подписываются мной при помощи закрытого ключа ЭЦП. При этом на стороне Банка за мной/моим счетом закреплен собственный сертификат открытого ключа (или 2 сертификата Бухгалтера и Директора в случае юр. лица). Другими словами никак не получится подписать платежный документ владельца счет А, используя при этом сертификат закрытого ключа владельца счета B (или любым другим закрытым ключем) !!!!!

Итак после подписания документ в электронном виде вместе с ЭЦП отправляется по защищенному каналу в Банк. При этом ЭЦП представляет из себя ХЭШ отправляемых данных, зашифрованный закрытым ключем. (распечатывать его или представлять в текстовом виде нет смысла – тупо бессмысленная последовательность букв и цифр).
Далее уже на стороне Банка в первую очередь проверяется актуальность данного моего сертификата через Удостоверяющий Центр/Центр Сертификации (в данном случае MSS). Это осуществляется путем запроса у Центра Сертификации информации о сертификате и его владельце, в том числе, что срок данного сертификата еще не истек и что данный сертификат не находится в состоянии аннулированный.
После прохождения проверки актуальности сертификата осуществляется дешифрование переданного ХЭШа документа при помощи открытого ключа, закрепленного за этим клиентом в Банке. Далее на стороне Банка осуществляется сверка двух ХЭШей (один получен от меня и подписан моим ЭЦП, второй создается из данных платежного документа). В случае абсолютной идентичности ХЭШей можно говорить о том, что была обеспечена Целостность передаваемых данных.

Исходя из всего вышесказанного следует:
-обеспечивается Авторство документа(платежный документ подписывается именно владельцем счета)
-обеспечивается Целостность данных(равенство ХЭШей)

[MichaelR]

Сообщение от Djalolatdin Rakhimov

У вас что, спросили делаете или не делаете? У вас спросили "можете ли". разницу чувствуюете? Да, регистратору может добавить такую запись, но смысла от этого не будет, так как ни один регистратор этого подвердит, как проведенной через него. А вот вы можете реально подписать от имени владельца ЭЦП.

нам, кстати, намекали на этот момент в плане нежелательности (читай недопустимости) совмещения функций ЭЦП регистратора и банка (оператора), обслуживающего он-лайн платежи. вы это имеете в виду в данном случае с WMU и их центром выдачи ЭЦП?

[Torontonian]

Сообщение от MichaelR

намекали

ЦБ намекал?

[Bagrash Iminov]

Сообщение от MichaelR

легко, акам!

Ведомость документов
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
п/п |Номер док.| МФО | Счет клиента | Наименование клиента |Инн клиента| МФО | Счет корреспондента|Инн кор-та | Сумма документа | Назначение платежа |Состояние|
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
......
2| 2 500.00|668 Перевод средств Быстрый платеж.Ucell::99893389**** . |Проведен |
3| 5.00|667 Погашение за Опер.Касс.Обсл.-5.00 с суммы 2500.00 (1 док.) от 19.12.2009 |Проведен |
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Стандартная (бумажная) ведомость - это не электронный документ....!

Я не увидел Электронной цифровой подписи и Сертификата ключа ЭЦП Продавца....а ведь именно этого вы все требовали от меня....

Вот видите, требовать всегда легче, чем предъявить....

Ждем второй, более удачной, попытки доказать, что у вас есть электронный документ....

[MichaelR]

Сообщение от Bagrash Iminov

Стандартная (бумажная) ведомость - это не электронный документ....! Я не увидел Электронной цифровой подписи и Сертификата ключа ЭЦП Продавца....а ведь именно этого вы все требовали от меня....

уапервих, это не бумажная ведомость а версия к распечатке с моего персонального кабинета/счета. с вас требовали все, (балин, поддался вашему стилю общения)....не все! и не я уж точно, проверьте в записях....признаться, я сам не совсем понимаю как это (электронный платеж с ЭЦП) можно сюда выложить?! но мне и простительно. я не технарь.... разве что линк сюда дать на тот ресурс, с которого я пользуюсь он-лайн банкингом....но это будет оффтопом и расценено как нездоровая конкуренция )))

Сообщение от Bagrash Iminov

Ждем второй, более удачной, попытки доказать, что у вас есть электронный документ....

уавтарих, я тут не попытки делаю, а обсуждаю тему, подкрепляя имеющимиси у меня знаниями..технических у меня немного. увы ...поэтому кина больше не будет!

и, наконец, вы не ответили на вопрос принимают ли ваши платежи операторы сотовой связи???....простите за настойчивость, но очень хочется знать...

p.s. а хотите я заплачу за любой указанный вами номер и в качестве подтверждения он-лайн платежа вы получите смс-подтверждение ОСС в котором не будет "оплата через Paynet"?

[Djalolatdin Rakhimov]

Сообщение от MichaelR

нам, кстати, намекали на этот момент в плане нежелательности (читай недопустимости) совмещения функций ЭЦП регистратора и банка (оператора), обслуживающего он-лайн платежи. вы это имеете в виду в данном случае с WMU и их центром выдачи ЭЦП?

Ну не совсем. Я имел ввиду, что любой центр, который сгенерировал и выдал вам закрытый ключ, техническии вполне может возмользоваться этим ключом для установки ЭЦП на документ от вашего имени. Как докажешь, кто именно воспользовался ключом? Он есть у вас и в центре.

Из этого и вытекает то ограничение, о которым вы пишите. Да, в этом случае, лучше не иметь с этим центром регистрации ключей (или организацией, которая предоставляет эти услуги) каких-либо финансовых отношений, которые могут толкнуть (соблазнить) его несанкционированно использовать ваш ключ. Вся деятельность таких центров должны строго регламентироваться и контролироваться, чтобы не было злоупотребений.

Именно поэтому Тимур Салихов предлагал принять в реестр сертификат ключа, который он сам сгенерировал. Это гарантирует, что у центра не будет дубликата.

[Djalolatdin Rakhimov]

Сообщение от Bagrash Iminov

Ждем второй, более удачной, попытки доказать, что у вас есть электронный документ....

Но вот у вас его точно нет, даже с самостоятельно сгенерированным ключом