SANAL POSLAR VE GÜVENLİK POLİTİKALARI. Yunus Emre SEYHAN Web Yazılım Uzmanı

Transkript

1 SANAL POSLAR VE GÜVENLİK POLİTİKALARI Yunus Emre SEYHAN Web Yazılım Uzmanı

2 Sanal Poslar ve Güvenlik Politikaları Sanal Pos Nedir? Sanal Pos Entegrasyon Süreci SSL Nedir? Sanal Pos Ödeme Tipleri -xml pay -3d secure -oos İş yeri için Sanal Pos Güvenliği Alıcı için Sanal Pos Güvenliği

3 Sanal Pos Nedir? Kredi kartı ile alışveriş yapılan mağazalarda kasalarda bulunan POS cihazının, internet ortamında kullanılan çeşitlerine verilen isimdir. VPOS (Virtual Point Of Sale) ismi ile de bilinir. Bankaların sağlamış oldukları bu sistem ile müşteri kart bilgileri ilgili bankaya internet üzerinden ulaşır.

4 Entegrasyon Süreci *Banka Başvurusu, banka tarafından sunulan şartların(ssl,sabit ip, satış sözlesmesinin web sayfasında yer alması vs) yerine getirilmesi ve başvuru kabulü. *Kullanılacak sanal pos ödeme tiplerinin değerlendirilmesi ve seçilmesi. Bankanın arayüz ekranından api kullanıcılarının oluşturulup yazılım ekibiyle paylaşılması. *Yazılım Süreci: Kodların entegre edilmesi. Test işlemlerinin banka tarafından verilen test bilgileriyle yapılması. *Entegrasyon süreci sadece tahsilat ile sınırlı kalmayabilir. İade,İptal, Provizyon işlemleri de yapılabilir.

5 SSL(Secure Sockets Layer) Nedir? Sunucu ile istemci (yani kullanıcı) arasındaki veri akışını şifrelemeye yarar. Bir web sitesine girdiğiniz zaman adres çubuğunda https yazıyorsa siz siteye girmeye çalıştığınız andan itibaren; Öncelikle sunucu, tarayıcıya bunun bir ssl oturumu olduğunu ve gerekli sertifika bilgilerini bildirir. Tarayıcı bu sertifika bilgileri ışığında, sertifika sağlayıcısından doğrulama talebinde bulunur, sertifika sağlayıcısı adres ve tarih bilgilerini doğrulayarak tarayıcıya işlemin güvenli olduğunu bildirir ve alınmış olan sertifika çeşidine göre adres çubuğunda yeşil kilit,firma ismi, logo vs.. gözükür. Aksi taktirde. Yani adres vs.. gibi bilgiler doğrulanmadığı durumda servis sağlayıcısı tarayıcıya bu sitenin güvenli olmadığı bilgisini verir, tarayıcı da bu bilgi ışığında kendi uyarı sayfasıyla kullanıcıyı bilgilendirir.

6 Sanal Pos Ödeme Türleri XML PAY -SSL belgesi zorunludur. -Kimlik denetimi Yapılmaz. -Son Kullanıcıdan alınan kredi kartı bilgileri, direkt olarak bankaya gönderilir ve işlem sonucu alınır. -3d Secure e göre güvensiz olmasına rağmen satış odaklıdır. XML pay ile yapılan ödemelerin başarılı olma oranı 3d secure ödeme sistemine göre daha fazladır.

7 Sanal Pos Ödeme Türleri ORTAK ÖDEME SAYFASI -İşyeri siparişin toplam tutarını ve ödeme başarılı başarısız olması durumunda bankanın geri döneceği url bilgilerini bankaya gönderir. -SSL belgesi gerekmez. -En güvenli ödeme türüdür. Ödeme aksiyonu bankanın ortak ödeme sayfasında gerçekleşir. -Düşük işlem hacmi olan, küçük firmalar için uygundur. Web sitesinden çıkılıp direkt olarak başka siteye yönlendiği için Profesyonel bir görüntü sunmaz.

8 3d Secure -SSL belgesi zorunludur -Ödeme süreci: Sanal Pos Ödeme Türleri Adım 1:İş yeri tarafından son kullanıcının girdiği kart bilgileri bankaya gönderilir. Adım 2:Kredi kartı 3d uyumlu ise banka tarafından 3d key girme ekranı açılır. Girilmesi gereken key, banka tarafından kredi kartı kullanıcının mobil cihazına sms olarak gönderilir. *Son kullanıcı keyi girdiğinde tahsilat henuz yapılmış olmaz. Sadece 3d onayı alınmış olur. Banka 3d sonucunu iş yerine döndürür. *Adım 3 iş yeri 3d onaylanması durumunda xml pay de olduğu gibi tahsilat yapar. Ödemenin yetersiz bakiye vs gibi sebeblerden dolayı ödemenin başarısız olma ihtimali vardır. -Kimlik denetimi yapıldığından daha güvenlidir.

9 İşyeri için Sanal Pos Güvenliği Ödemelerin toplam tutarları daima veritabanından gelmelidir. Session Cookie gibi yapılar kullanılmamalıdır. (Özellikle hediye çeki,indirim işlemleri vs için) Transaction dikkate alınmalıdır. Banka tarafından Ödeme başarılı döndükten hemen sonra sonra son kullanıcının elektriği, interneti gidebilir veya o an serverda bir problem olabilir. Gerekli önlemler alınmalıdır. Sonucu veritabanına yazılmayan islemler windows servise yazılarak otomatik kontrol ettirilebilir.

10 İşyeri için Sanal Pos Güvenliği Kullanıcı Dostu Arayüz Tasarlamak BIN NEDİR? (Bank Identification Number) Kart numarasının ilk 6 hanesi kartın çeşidi hakkında bilgi verir. Yurt dışında IIN (issuer ID Number) olarak değiştirilmiş olmasına reğmen Türkiye de hala BIN kullanılmaktadır. -BIN(Bank Identification Number) listesinden kredi kartının ilk 6 hanesi öğrenildikten sonra kartın hangi bankaya ait olduğu öğrenilip taksit seçeneklerinin kullanıcının önüne çıkması kullanım rahatlığı sağlar. -Kart numarasının alındığı alan 16 haneli tek text yerine 4 haneli 4 er haneli textbox kullanmak hata payını azaltacaktır.

11 Kredi Kartı Verilerinin Saklanması Ülkemizde 2006 yılında çıkarılan Banka Kartları ve Kredi kartları kanunun 26. maddesine göre kullanıcının onayı olmadan kredi kartı bilgileri saklanamaz. Madde 26: Üye işyerleri, kartın kullanımı sonucunda kart ve kart hamili ile ilgili edindikleri bilgileri, kanunla yetkili kılınan kişi, kurum ve kuruluşlar hariç olmak üzere kart hamilinin yazılı rızasını almadan başkasına açıklayamaz, saklayamaz ve kopyalayamaz. Üye işyerleri, kart bilgilerini üye işyeri anlaşması yaptığı kuruluş dışındaki şahıs veya kuruluşlarla paylaşamaz, satamaz, satın alamaz ve takas edemez. Üye işyeri anlaşması yapan kuruluşlar, bu fıkranın uygulanmasını gözetmekle yükümlüdür.

12 Kullanıcının onayıyla kredi kartı bilgilerinin saklanması PCI-DSS Nedir? PCI (Ödeme Kartı Endüstrisi) ve SSC (Güvenlik Standartları Konseyi), aralarında Visa, Master Card, American Express, Diner Club ve JCB nin bulunduğu bir konsey tarafından kart ve kart sahibinin bilgilerini korumak amacıyla oluşturulmuş, teknik ve operasyonel bir sistemdir. PCI DSS, kartlı ödeme sistemlerinde yer alan kurum ve kuruluşlarda bilgi güvenliğini sağlamak için bilgi sistemlerinde bilgi iletimini, bilgi işleyişini ve bilgi depolamayı esas alan 6 temel kriter baz alınarak oluşturulmuş 12 gereksinim kategorisi ve bu kategoriler altında yer alan 200 üzerindeki kontrolden oluşmaktadır.

13 Son Kullanıcı İçin Sanal Pos Güvenliği Marka değeri olan, büyük firmalardan alışveriş tercih edilmelidir. Sayfada SSL olup olmadığı kontrol edilmelidir. Güncel antivirüs yazılımları kullanılmalıdır. Bilinçli internet kullanıcısı olunmalıdır. Mümkünse 3d secure ödeme türü tercih edilmelidir. Public yayın yapan ağlara bağlıyken alışveriş yapılmamalıdır.

14 Kaynaklar BANKA KARTLARI VE KREDİ KARTLARI KANUNU (Kanun Numarası : 5464 Yayımlandığı R.Gazete : Tarih: 1/3/2006 Sayı : ) ge

15 TEŞEKKÜRLER

16 ÖNEMLİ Bu projeler lisansüstü öğrencilerinin hazırladığı çalışmalar olup tüm sorumluluk hazırlayan öğrencilere aittir. Öğrenciler hazırladığı projeye göre not almışlardır.