Banken in Nederland hebben meer dan 10 miljoen elektronische portemonnees in omloop gebracht en Internet is het snelst groeiende medium ter wereld. De infrastructuur voor elektronisch betalen bestaat hiermee. En de standaard voor betalen via Internet (SET, Secure Electronic Transaction) mag zich verheugen in een groeiende ondersteuning. Veilig betalen is echter gebaat bij de acceptatie van een internationale standaard voor het gebruik van smartcards, meent een consultant van Bull Benelux.
Elektronisch zakendoen wint de komende jaren aan belang. Het omvat het inkopen, verkopen en distribueren van producten door verspreid opererende partijen die hun activiteiten elektronisch afwikkelen. Nationale regelingen zijn hierbij niet adequaat: een Nederlandse koopman verkoopt via Internet in principe net zo gemakkelijk in Spanje als in Zweden. Partijen kennen elkaar niet. Maar iedere partij wil wel zekerheid: Is Jan Jansen wel wie hij zegt te zijn, ben ik als verkoper zeker van mijn geld, ben ik er als koper zeker van dat ik de door mij betaalde artikelen ontvang, of loop ik het risico dat het geld in verkeerde handen is gekomen? Kunnen anderen mijn bankrekening plunderen wanneer ik eenmaal over Net heb betaald?
De betalingen via Internet vallen in de segmenten ‘business to business’ en ‘business-to-consumer’.
Het eerste segment betreft de zakelijke partijen die hun goederen en diensten onderling te verrekenen hebben, zoals leveranciers, inkopers, logistieke diensten en de retailers op Internet.
Het tweede segment betreft de consumenten die via Internet producten bestellen binnen een stad, regio, land, continent of over de gehele wereld. Dit hangt af van het type product. De pizza-bakker verkoopt zijn producten lokaal, de software-leverancier soms nationaal, maar vaak ook wereldwijd.
In de ‘business to business’-omgeving beschikken de partijen over een infrastructuur die geschikt is voor Internet. Betalingen in deze omgeving kunnen worden afgewikkeld via het door Mastercard en Visa ontwikkelde SET-protocol (‘secure electronic transactions’). Er zijn uiteraard al producten of diensten in gebruik die niet volgens deze standaard zijn gebouwd, zoals Cybercash en I-pay. De kern van SET is dat de gegevens van de creditcard via het toetsenbord van de PC worden ingegeven, en via versleuteling door een vooraf aangevraagd certificaat worden verzonden over Internet. SET beschrijft de procedures die de partijen moeten volgen die bij het betaalproces betrokken zijn. Het zijn achtereenvolgens de consument met een PC en Internet-aansluiting, de elektronische handelaar met zijn server of gehuurde website, de betrokken banken, de exploitant van het betaalnetwerk (de ‘issuer’), vaak een creditcard-maatschappij, en de ’trusted third party’ die alle aangesloten partijen het certificaat verschaft waarmee betalingsopdrachten worden versleuteld wanneer ze over Internet of een ander net gaan.
Kaarthouder
Het proces verloopt globaal als volgt.
De kaarthouder maakt gebruik van een Internet-browser om een aankoop te doen. Om de aankoop te betalen heeft hij van Internet ook een betaalprogramma geladen op zijn PC (een elektronische ‘portefeuille’) dat de kaarthouder kan gebruiken nadat hij een ‘certificaat’ heeft opgehaald. Zowel de ‘portefeuille’ als het certificaat worden verstrekt door een bancaire instelling. De winkelier die zijn artikelen aanbiedt via Internet, beschikt over betalingssoftware die ook werkt volgens de SET-standaard. Deze schaft hij aan bij een leverancier, en ook deze software functioneert alleen met een door de bank verstrekt certificaat. Het is de taak van de winkelsoftware om na een betalingsverzoek van de consument verbinding te maken met de software van een zogenaamde ‘payment gateway’, waarmee de computersystemen van de bank worden bereikt. Dit SET-proces start zodra de kaarthouder de aankoop heeft bevestigd door middel van een betalingswachtwoord; de kaarthouder toetst zijn kaartnummer in. De winkelier ontvangt de orderbevestiging, en de SET-programmatuur maakt een vercijferd autorisatiebericht, dat via de ‘payment gateway’ al of niet door de bancaire instelling wordt goedgekeurd. Het antwoord gaat terug naar de winkelier en de kaarthouder, waarna de transactie wordt afgesloten.
Bij SET is dus software betrokken die verstrekt wordt door een exploitant, en die in gebruik wordt genomen nadat de genoemde geheime sleutels zijn geïnstalleerd.
De voordelen zijn evident: gestandaardiseerde software voor een rechtstreekse en veilige betaling, sterke versleutelingsmethoden en dekking bij bestaande creditcardmaatschappijen.
De nadelen zijn voor het grootste deel gebaseerd op de exclusieve rol van de PC.
Omdat de betaling is gekoppeld aan de PC, zijn ongeldige kaarthouders en ongeldige winkeliers niet geheel uit te sluiten. Dit komt ook doordat hackers de PC met alle eigenschappen kennen als hun broekzak. Het wachtwoord waarmee SET start, wordt via het toetsenbord ingebracht, en kan in onjuiste handen (systemen) komen. Bovendien is de PC gevoelig voor ‘Trojaanse paarden’ en non-wysiwig-virussen.
C-SET
Uit de procedurebeschrijving is duidelijk dat SET veel stappen vereist voor de afwikkeling op Internet. In het door SET beschreven proces wordt het kaartnummer en de vervaldatum gecontroleerd, maar niet meer dan dat. Het proces start zonder dat de identiteit gecontroleerd wordt van de persoon die de betaling in gang zet. Dat houdt in dat naast de veiligheids- en efficiency-argumenten ook nog enige rechtstreeks zakelijke risico’s aanwezig zijn. In het betalingsverkeer tussen bedrijven zullen deze risico’s veelal te beheersen zijn door aanvullende maatregelen.
Voor de chipkaart lijkt een prominentere rol weggelegd in de ‘business to consumer’-omgeving voor het eenvoudig, veilig en kosteneffectief afwikkelen van betalingen. De particuliere PC-omgeving is minder onder controle en de gemiddelde transactie-bedragen zijn lager. Franse banken hebben dan ook gestimuleerd dat eenvoudigere procedures worden toegepast door de benutting van de capaciteiten van de smartcards. Vanwege de invoering van de euro zijn deze inmiddels in de verschillende landen van West-Europa in behoorlijke aantallen aanwezig. Voor maximale effectiviteit is de architectuur van en operabiliteit met SET gehandhaafd. De aldus door de Europese commissie (DG3) ondersteunde standaard wordt aangeduid als C-SET. Ook hier zijn reeds andere systemen in ontwikkeling of al dan niet experimenteel in gebruik, zoals Rabocah en Cyberchipper.
In het geval van C-SET gebruikt de consument een veilig kaartleesapparaatje, vergelijkbaar met de Pinpad van de betaalautomaten in de winkel. Dit apparaatje wordt gekoppeld aan de PC van de kaarthouder. Het apparaatje heeft een numeriek toetsenbord, en een klein display. De consument plaatst er zijn smartcard (in Nederland de Chipknip) in. Via de PC is het geheel wel met Internet verbonden, maar een deel van het betaalproces wordt afgewikkeld buiten de PC en Internet: de authenticatie van de kaarthouder en het versleutelen van de proces-boodschappen op basis van persoonsgebonden gegevens in plaats van computergebonden sleutels. De leverancier van de Chipknip in Nederland, Bull, levert in Frankrijk de eerste C-SET kaartlezer. Dit apparaatje (Safepad) is zo gebouwd dat het de geheime sleutels onmiddellijk vernietigt wanneer het apparaat wordt beschadigd of opengemaakt.
Het C-SET-proces verloopt als volgt.
De consument laadt in de PC de C-SET-software, die wordt gestart wanneer hij met de Internetbrowser in het koopproces is aanbeland bij de betaling. De consument plaatst zijn smartcard in de veilige kaartlezer en werkt een procedure af, zoals hij die kent van de winkel. Hij toetst zijn pincode in op het numerieke toetsenbord van de veilige kaartlezer, en keurt het in de display aangegeven bedrag goed. Met de chip van de smartcard wordt een gecodeerde boodschap gemaakt, die wordt doorgezonden naar de winkelier. De winkelier kan de boodschap niet decoderen, en slaat deze op in een ‘black box’, vergelijkbaar met de betaalautomaat zoals de winkelier die heeft wanneer hij de Chipknip accepteert. De verdere afwikkeling is afhankelijk van het type kaart dat gebruikt wordt.
In Europa wordt op dit moment met twee varianten van C-SET gewerkt: de elektronische portemonnee, vergelijkbaar met de Chipknip in Nederland, en de smart debitcard, vergelijkbaar met de opvolger van de bekende pinpas met magneetstrip, ook wel bekend als smart EMV-card.
Wanneer de gebruikte smartcard een elektronische portemonnee is (variant 1), dan verzamelt de winkelier de gecodeerde boodschappen en wordt de betaling onmiddellijk geaccepteerd. De winkelier zendt bijvoorbeeld dagelijks de verzamelde betalingen door naar de ‘Internet Remote Payment Controller’ (Irpc) die de overmaking van het totale bedrag naar de winkelier regelt. Wordt een ‘smart debitcard’ gebruikt (alternatief 2), dan wordt iedere afzonderlijke transactie doorgezonden aan Irpc, en volgt goedkeuring van de transactie na goedkeuring door het systeem van de bank.
De consument blijft op zijn kaartleesapparaatje het bedrag zien tot de hele procedure is afgewikkeld. De transactie sluit voor de consument af met het bekende bericht op het scherm ‘u heeft betaald’, waarna de PC-browser het werk weer overneemt.
Voordelen
Er lopen op dit moment proeven met twee soorten smartcards. In Frankrijk test men de ‘smart debitcard’. Deze kaart is gebaseerd op wat beschouwd wordt als de nieuwe industriestandaard voor dit type betalingen: de EMV-standaard. Deze zal een rol spelen in de nieuwe generatie bankkaarten die de komende jaren worden uitgegeven. De proef wordt gedaan door Europay France. Vanaf september 1997 zijn 10.000 kaarten en veilige kaartlezers uitgezet. Bull is leverancier van kaarten en van de aan PC’s te koppelen terminals. Op Internet (http://www.Europayfrance.fr) zijn enkele tientallen cyberwinkels open. De test loopt tot in 1998 door.
In België loopt een proef met het zustersysteem van de Nederlandse Chipknip, Proton. De smartcard is hier een elektronische portemonnee, die aan de winkelier ‘anoniem geld’ levert. De elektronische portemonnee leidt tot vereenvoudiging van de verwerking, en dus tot aanzienlijk lagere kosten. De proef wordt uitgevoerd door Banksys, vergelijkbaar met Interpay in Nederland. De pilot loopt sinds mei ’97. Er zijn eind 1997 2000 kaartlezers uitgezet. De proef wordt ondersteund door Microsoft, Eunet en Ad Valvas. De kaart is door Bull geleverd, maar in België worden deels andere typen gebruikt dan in Nederland.
C-SET biedt een aantal voordelen:
- Bestaande smartcards zijn te gebruiken voor veilige betalingen via Internet. In Europa is het gebruik van chipkaarten een realiteit.
- De PC behandelt geen klare tekst van de kaarthouder waardoor de hacker minder kansen heeft.
- Doordat een deel van het proces buiten de PC plaatsvindt, neemt de weerstand tegen virussen aanzienlijk toe.
- Over het Net wordt de identiteit van de kaarthouders niet prijsgegeven. Om de integriteit en de privacy te beschermen is minder cryptografie nodig, waardoor de beperkingen die de verschillende nationale wetten stellen, minder nadelig uitwerken.
- De onherroepelijkheid tegenover alle partijen is beter gegarandeerd jegens de elektronische koopman.
- Omdat SET de basis blijft vormen, is de volledige koppeling eenvoudig te realiseren tussen regionale kaartschema’s, ook tussen die welke zelf geen SET gebruiken.
- C-SET, gebaseerd op de elektronische portemonnee, is technisch geschikt om ook de kleine betalingen af te wikkelen voor software, informatie, muziek, spelletjes, plaatjes, krantenartikelen en dergelijke.
In enkele landen wordt de bestaande SET-standaard geschikt gemaakt voor de smartcards: C-SET, architectuur en protocol. C-SET wordt bij diverse Europese standaardisatie-instituten gecertificeerd.
Belemmeringen
Elektronische handel is een internationale aangelegenheid. Daarom moet bij de beoordeling van het belang van C-SET de verspreiding van smartcards voor de elektronische portemonnees in West-Europa in de afweging worden betrokken, zie kader.
Buiten Europa zijn in de volgende landen kaartschema’s voor elektronische portemonnees (in afnemende omvang, van ruim 1 miljoen tot enkele tienduizenden): China, Australië, Verenigde Staten, Japan, Singapore, Zuid-Afrika, Brazilië, Argentinië, Mexico, Turkije, Thailand, Israël, Nigeria, Maleisië, Tsjechië.
Met betrekking tot de ‘smart debitcards’ is van belang dat alleen Frankrijk een aanzienlijk smartcard-bestand heeft (in 1986 reeds 15 miljoen smartcards). Dit bestand wordt waarschijnlijk binnenkort opgewaardeerd. De Franse banken lijken C-SET hierin te willen opnemen. Kleine smartcard-bestanden zijn aanwezig in Duitsland, Zwitserland, China, Taiwan, Japan en Maleisië.
Op dit moment is elektronische handel nog gebaseerd op het gebruik van de PC. Dit vormt een belemmering voor de doorbraak van elektronisch winkelen naar het grote publiek. Het overgrote deel van de consumenten beschikt niet over een PC die geschikt is (te maken) voor gekwalificeerd Internetgebruik. Dat betekent dat nu alleen specifieke doelgroepen te bewerken zijn die over de juiste voorzieningen beschikken: de professionals en de hobbyisten. De meer dan gemiddelde belegger zal over een goede PC beschikken, maar het merendeel van de klanten van bijvoorbeeld een postorderbedrijf doet nog niet mee. Voor de verspreiding naar de massamarkt is het belangrijk welke infrastructuur met welke technologie wordt beheerst. PTT doet alles om het telefoonnet aantrekkelijk te maken (Isdn), mede door actief te zijn met laagdrempelige diensten, zoals ‘Het net’. Daarnaast zijn er de Europese overnames in de kabelwereld en de pilots met interactiviteit op de kabel. Hier draait het om een uitgebreider gebruik van de TV met behulp van uiteenlopende decoderingskastjes. Verwacht mag worden dat de infrastructuur voor betalingen door de consument thuis een krachtige impuls krijgt, wanneer een combinatie gevonden wordt tussen betalingen en TV-programma’s. De consument betaalt voor het zien van afzonderlijke programma’s en kan, al dan niet gestimuleerd door TV-programma’s, op Internet aankopen doen vanaf de nieuwe generatie TV’s. E-handel zal zich voorlopig nog wel via niches in de markt ontwikkelen, op basis van PC-technologie.
Hoe het verloop ook zal zijn, alle partijen hebben er belang bij dat er een internationale standaard komt voor het gebruik van de smartcards in verband met veilig betalen via Internet.
Over enkele jaren is in Europa de wisselkoers de wereld uit door de komst van de euro. Het kan toch niet zo zijn dat chipkaartbetalingen voor een elektronische aankoop dan met veel conversieslagen (en bijbehorende kosten) verlopen?
Drs. Theo van Sprundel, executive consultant van het Smart Competence Center, Bull Benelux te Amsterdam
Kaartsystemen in West-Europa
Internationale schema’s:
Proton (Nederland, België, Zweden, Zwitserland)
Visa Cash (Duitsland, Spanje, Italië)
Europay (Italië, Oostenrijk)
Mastercard (Groot-Brittannië)
Nationale/regionale schema’s
Nederland (Chipper), Duitsland (o.a. Geldkarte), Portugal (PMM), Finland (Avant).