ZAŁĄCZNIK 2 Specyfikacja Techniczna Oprogramowania Billon 1
Spis treści 1. Elementy Oprogramowania... 3 2. Obieg Pieniądza Elektronicznego... 5 3. Główne formy wykorzystania... 6 3.1. Wystawienie Instrumentu Płatniczego... 6 3.2. Automatyczne weryfikacja Użytkownika... 7 3.3. Płatności pomiędzy Użytkownikiem i Sprzedawcą... 9 3.4. Płatność pomiędzy Użytkownikami (P2P)... 10 3.5. Generowanie Pieniądza Elektronicznego... 11 3.6. Wykup Pieniądza Elektronicznego... 12 2
1. Elementy Oprogramowania Rysunek 1: Architektura Oprogramowania 1. Aplikacja sprzedawcy Aplikacja używana do pobierania płatności od kupowania nowego Pieniądza Elektronicznego w Banku Wydawcy oraz wykupu Pieniądza Elektronicznego u Agenta Rozliczeniowego. Właścicielem Aplikacji jest sprzedawca. 2. Aplikacja Użytkownika Aplikacja wykorzystywana do dokonywania płatności, kupowania nowego Pieniądza Elektronicznego w Banku Wydawcy oraz wykupu Pieniądza Elektronicznego u Agenta Rozliczeniowego. Właścicielem Aplikacji jest Użytkownik. 3. CKK Centralny Klaster Komunikacji (CKK) jest zewnętrznym komponentem do Modułów Bankowych (Moduł IPE oraz Moduł AR). Za obsługę CKK odpowiada firma Billon. Głównym zadaniem jest komunikacja pomiędzy Użytkownikami Aplikacji, która umożliwia: dostarczanie wyemitowanej przez Moduł IPE cyfrowej gotówki Użytkownikom; Możliwość odnajdywania Aplikacji Użytkowników; Pobieranie Pieniądza Elektronicznego z Aplikacji Użytkowników i przesyłanie go do Modułu AR w celu wykupu. 3
Odgrywa dodatkowo istotne role w zakresie bezpieczeństwa: Przekazywanie Użytkownikom Instrumentu Płatniczego wydanego przez Moduł IPE w trakcie rejestracji; Dodawanie do każdego pliku Pieniądza Elektronicznego emitowanego przez Moduł IPE, dodatkowego trzeciego podpisu na niezależnych mechanizmach kryptologicznych typu forward secure na krzywych eliptycznych; Weryfikowanie poprawności każdego pliku pieniądza elektronicznego wysłanego do wykupu. 4. Moduł IPE - odpowiedzialne za wystawienie Instrumentu Płatniczego oraz emisję Pieniądza Elektronicznego. Dodatkowo Moduł IPE wykupuje od Moduł AR wyemitowany przez Moduł IPE Pieniądz Elektroniczny, który został przekazany do wykupu przez Użytkowników i Akceptantów. Moduł IPE jest instalowany w architekturze systemowej Banku. Wystawienie Instrumentu Płatniczego: Instrument Płatniczy jest wystawiany w momencie rejestracji Użytkownika; Po wystawieniu Instrumentu Płatniczego Użytkownik jest dopisywany do rejestru Użytkowników. Emisja Pieniądza Elektronicznego: Przyjmowanie płatności od Użytkowników pragnących nabyć Pieniądz Elektroniczny; Emisja Pieniądza Elektronicznego i wysyłanie go do CKK w celu dystrybucji; Podpisanie każdego pliku pieniądza elektronicznego sygnaturami HSM. Wykup Pieniądza Elektronicznego: Weryfikacja każdego pliku Pieniądza Elektronicznego otrzymanego od Modułu AR i potwierdzanie jego poprawności; Wysyłanie płatności Agentowi Rozliczeniowemu za wykupiony Pieniądz Elektroniczny. Za obsługę Modułu IPE odpowiada Bank, a firma Billon dostarcza drugą i trzecią linię wsparcia. 5. Moduł AR, który odpowiedzialny jest za wykup Pieniądza Elektronicznego od Użytkowników oraz Akceptantów. W trakcie wykupu Pieniądza Elektronicznego w Module AR wykonuje następujące funkcje: Weryfikacja limitów AML Użytkowników; Naliczanie prowizji; Pobieranie Pieniądza Elektronicznego od Użytkowników (poprzez CKK) oraz weryfikacja sygnatur Modułu IPE; Dostarczanie Pieniądza Elektronicznego do Modułu IPE; Rozliczanie wykupów z Użytkownikami; Rozliczanie prowizji z wszystkimi uczestnikami transakcji; Weryfikacja Użytkowników i ustalanie ich limitów transakcyjnych - aby zapewnić wyższe limity AML podczas wykupu pieniądza elektronicznego i odpowiednie limity transakcyjne dopasowane do potrzeb Użytkowników. Za obsługę Modułu AR odpowiada Bank, a firma Billon dostarcza drugą i trzecią linię wsparcia. 6. Konta Bankowe Standardowe konto Bankowe jest używane do otrzymywania oraz wysyłania płatności do Modułów IPE oraz AR. Konta są zintegrowane z Modułami AR i IPE za pomocą plików płaskich lub interfejsu, które umożliwiają automatyczne wysyłanie i przyjmowanie przelewów. 4
Moduły AR i IPE przyjmują następujące płatności: Od Użytkowników za zakup Pieniądza Elektronicznego przez Moduł IPE; Od innych Banków Wydawców podczas wykupu Pieniądza Elektronicznego przez Bank (Moduł AR). Moduły AR i IPE wysyłają następujące płatności: Do innych Agentów Rozliczeniowych podczas wykupu Pieniądza Elektronicznego od Banku (Moduł IPE); Do Użytkowników za wykupiony Pieniądz Elektronicznego od Banku (Moduł AR). 2. Obieg Pieniądza Elektronicznego Oprogramowanie umożliwia współpracę różnych Banków, które wzajemnie emitują i wykupują cyfrową gotówkę. Oznacza to, że istnieć mogą różnorakie połączenia pomiędzy Modułami AR oraz Modułami IPE z użyciem VPN. Rysunek 2: Obiegu Pieniądza Elektronicznego 5
3. Główne formy wykorzystania 3.1. Wystawienie Instrumentu Płatniczego Rysunek 3: Wystawienie Instrumentu Płatniczego 1. Użytkownik za pomocą Aplikacji Użytkownika rejestruje się podając login oraz hasło. Sprawdzane jest czy login jest unikatowy. W przypadku już istniejącego loginu Użytkownik proszony jest o podanie innego. 2. CKK przekazuje do Modułu IPE informacje o rejestracji Użytkownika. 3. Moduł IPE wystawia Instrument Płatniczy i za pomocą CKK dostarcza go do Aplikacji Użytkownika. Dodatkowo dopisuje Użytkownika do rejestru Użytkowników w swojej bazie danych. 4. Aplikacja kończy rejestrację Użytkownika przypisując mu Instrument Płatniczy. 6
3.2. Automatyczne weryfikacja Użytkownika Rysunek 4: Automatyczne weryfikacja Użytkownika Użytkownik musi się zweryfikować, aby móc dokonać zakupów cyfrowej gotówki na ponad 2500 EUR (domyślnie, w Module IPE, parametr jest ustawiony na 10 000 PLN). Poniżej tej kwoty weryfikacja nie jest konieczna. Procedura automatycznej weryfikacji 1. Użytkownik wypełnia formularz na weryfikacyjny. Po wysłaniu formularza tworzony jest wniosek weryfikacyjny. Formularz można wypełnić: a. Umieszczony w Aplikacji Użytkownika Dane z formularza są wysyłane za pomocą CKK do Modułu IPE; b. Umieszczony na stronie www IPE. Do zalogowania Użytkownik używa id Użytkownika oraz kodu dnia dostępnych w Aplikacji. 2. Moduł IPE sprawdza dane Użytkownika w bazie AML Banku (krok opcjonalny). Weryfikacja daje 3 możliwe wyniki. a. Weryfikacja pozytywna automatyczna weryfikacja może przebiegać dalej; b. Weryfikacja negatywna weryfikacja Użytkownika kończy się niepowodzeniem. Nie ma możliwości weryfikacji takiego Użytkownika; c. Weryfikacja niepełna konieczna jest manualna weryfikacja Użytkownika za pomocą zespołu Banku (przejście do punkty 7). 3. Użytkownik wysyła przelew, którego dane są zgodne z danymi podanymi w formularzu weryfikacyjnym. Przelew jest wykonywany na to samo konto co zakup cyfrowej gotówki. 4. Moduł IPE wczytuje automatycznie przelew oraz zwraca kwotę przelewu za pomocą cyfrowej gotówki. 5. Moduł IPE porównuje dane z formularza z danymi z przelewu. Opis algorytmu 7
porównania danych znajduje się w następnym akapicie. W przypadku skutecznego porównania następuje zmiana typu Użytkownika na Użytkownika zweryfikowanego (przejście do punktu 7) w przeciwnym wypadku wniosek weryfikacyjny wymaga przetworzenia manualnego. 6. Pracownik Banku ręcznie weryfikuje dane weryfikacyjne. W przypadku skutecznej weryfikacji następuje zmiana typu Użytkownika na Użytkownika zweryfikowanego. W przeciwnym przypadku wniosek zostaje odrzucony i Użytkownik pozostaje niezweryfikowany. 7. Moduł IPE wysyła do Aplikacji Użytkownika informacje o skutecznej weryfikacji. 8. Następuje w Aplikacji zmiana typu Użytkownika na Użytkownika zweryfikowanego. 9. Moduł IPE informuje Moduł AR o dokonanej weryfikacji. Algorytm porównywania danych 1. Dokonaj weryfikacji dla wszystkich przelewów za zakup Pieniędzy Elektronicznych dokonane przez danego Użytkownika. 2. Numery rachunków zgodne TAK idź do 3. 3. Zamień wszystkie litery na małe w zmiennych. 4. Symbole ą, ć, ę, ł, ń, ó, ś, ź, ż zamień odpowiednio na a,c,e,l,n,o,s,z,z w zmiennych. 5. Usuń symbole różne od A-Z, 0-9 ze zmiennych. 6. Wykonaj porównanie zmiennych dla: Imię musi być zgodne; Nazwisko musi być zgodne; Kod pocztowy, miasto, ulica, nr domu, nr mieszkania zgodne minimum 4 z 5. 7. Weryfikacja: negatywna (wszystkie przelewy od danego Użytkownika są niezgodne z algorytmem) rekord przekazany do operatora. Dodajemy nowy status po stronie IPE (Manualna weryfikacja). Po zakończonej pozytywnej manualnej przez operatora ustawiamy typ wniosku na Zatwierdzony i przechodzimy do kolejnego punktu; pozytywna (minimum jeden przelew jest zgodny z algorytmem) zaznaczenie danych Klienta jako zweryfikowane Po zakończonej pozytywnej automatycznej weryfikacji ustawiamy typ wniosku na Zatwierdzony i przechodzimy do kolejnego punktu. 8
3.3. Płatności pomiędzy Użytkownikiem i Sprzedawcą Rysunek 5: Płatności pomiędzy Użytkownikiem i Sprzedawcą W trakcie transakcji pomiędzy Użytkownikiem a Akceptantem nie jest zaangażowane Oprogramowanie centralne zainstalowane w Banku. Aplikacje nawiązują bezpośrednie połączenie dostępnymi kanałami komunikacji takimi jak Internet, GSM, WiFi, WiFi direct, NFC, Bluetooth, Bluetooth Low Energy. 1. Pozyskanie przez Akceptanta nazwy Użytkownika, kwoty transakcji oraz skompletowanie koszyka zakupów (jest to opcjonalne). 2. Wysłanie prośby o płatność wraz z detalami tożsamości sprzedawcy Użytkownikowi. 3. Potwierdzenie płatności i zdecydowanie o przekazaniu danych do dostawy oraz płatności (dane kontaktowe i adresowe). 4. Płatność: weryfikacja Instrumentów Płatniczych; Jeśli jest to potrzebne, wydanie Użytkownikowi reszty, (jeśli nie posiada on dokładnej kwoty); Przekazanie uzgodnionej kwoty za pomocą Pieniędzy Elektronicznych wraz z danymi do dostawy i płatności, (jeśli jest to potrzebne). 9
3.4. Płatność pomiędzy Użytkownikami (P2P) Rysunek 6: Płatność pomiędzy Użytkownikami (P2P) W trakcie transakcji pomiędzy Użytkownikami nie są zaangażowane Oprogramowanie centralne zainstalowane w Banku. Aplikacji Użytkowników nawiązują bezpośrednie połączenie dostępnymi kanałami komunikacji takimi jak Internet, GSM, WiFi, WiFi direct, NFC, Bluetooth 1. Wprowadzenie nazwy Użytkownika i kwoty transakcji (w niektórych przypadkach nazwa Użytkownika może być uzyskana innymi sposobami, np. technologią bump lub Wi-Fi Direct). 2. Potwierdzenie płatności, (jeśli obowiązek potwierdzania nie jest wyłączony w ustawieniach). 3. Płatność: Weryfikacja Instrumentów Płatniczych; Jeśli jest to potrzebne, wydanie Użytkownikowi reszty, (jeśli nie posiada on dokładnej kwoty); Przekazanie uzgodnionej kwoty za pomocą Pieniędzy Elektronicznych wraz z danymi do dostawy i płatności (jeśli jest to potrzebne). 10
3.5. Generowanie Pieniądza Elektronicznego Rysunek 7: Generowanie Pieniądza Elektronicznego 1. Przychodzący przelew (od Użytkownika). Musi on posiadać: Nazwę Użytkownika w tytule; Kwotę. 2. Przychodzące przelewy Bankowe są eksportowane z konta Bankowego w formie plików lub za pomocą interfejsów o prostej strukturze, a następnie automatycznie importowane przez Moduł IPE. 3. Weryfikacja zgodności nazwy Użytkownika z numerem konta: Weryfikacja pozytywna: generacja Pieniądza Elektronicznego z numerami seryjnymi; Weryfikacja negatywna: pieniądze są automatycznie zwracane. 4. Tworzenie Pieniądza Elektronicznego i podpisanie za pomocą HSM Banku. 5. Cyfrowe oznaczanie każdego pliku Pieniądza Elektronicznego z użyciem podpisów typu forward secure na krzywych eliptycznych 6. Dostarczanie Pieniądza Elektronicznego do Aplikacji Użytkownika. 11
3.6. Wykup Pieniądza Elektronicznego Rysunek 8: Wykup Pieniądza Elektronicznego 1. Wysłanie prośby o wykup zawierającej kwotę oraz konto Bankowe. 2. Przekazanie informacji AR (Agentowi Rozliczeniowemu). 3. Weryfikacja limitów AML i numeru konta Bankowego: W razie przekroczenie AML lub błędnego numeru konta transakcja zostaje przerwana; W razie pozytywnej weryfikacji informacji, wyliczana jest prowizja, która następnie przekazywana jest sprzedawcy/użytkownikowi za pośrednictwem CKK. 4. Sprzedawca/Użytkownik zatwierdza prowizję i przesyła Pieniądze Elektroniczne przez CKK do wykupu. 5. CKK weryfikuje sygnatury cyfrowe każdego z plików Pieniądza Elektronicznego (a zatem weryfikuje krzywe eliptyczne). W razie pozytywnej weryfikacji przesyła je do Modułu AR. 6. Otrzymanie Pieniędzy Elektronicznych, rozpoczęcie wykupu: Weryfikacja poprawności podpisów cyfrowych Modułu IPE; Weryfikacja Pieniędzy Elektronicznych w bazie Modułu AR; Wyliczenie prowizji dla każdego z uczestników transakcji. 7. Przekazanie Pieniędzy Elektronicznych. Przesłanie Pieniądza Elektronicznego do Modułu IPE (w razie wielu Modułów IPE, Pieniądze Elektroniczne wysyłane są do każdego z nich). 12
8. IPE otrzymuje cyfrową gotówkę i przeprowadza: Weryfikację sygnatur cyfrowych Modułu IPE (każdy Moduł IPE weryfikuje jedynie wyemitowane przez siebie pliki Pieniądza Elektronicznego); Sprawdzenie zgodności otrzymanych Pieniędzy Elektronicznych z bazą danych Modułu IPE (rejestrem Pieniędzy Elektronicznych). 9. Wysłanie transferu pieniężnego Agentowi Rozliczeniowemu za otrzymane pliki Pieniądza Elektronicznego (poprzez konto Bankowe wykorzystujące pliki o prostej strukturze lub interfejsy). 10. Otrzymanie transferu pieniężnego od Modułów IPE (jednej lub kilku). 11. Wysłanie przelewów Bankowych do (poprzez konto Bankowe wykorzystujące pliki o prostej strukturze lub interfejsy): Użytkownika lub sprzedawcy; Uczestników transakcji (prowizje) - różne transakcje mogą być zagregowane. 13