What is 3D secure 2.0?

Online payments have revolutionized how we shop and do business.

But they have also opened the door to a new kind of crime. Annual worldwide eCommerce fraud is estimated to be at 48 Billion dollars this year.

One of the best defenses against it is 3D Secure 2.0.

Let's take a look at what it is, what its predecessor (and contemporary) 3D Secure is, and more. We also explain how it relates to Strong Customer Authentication.

What is 3D Secure?

3D Secure (3DS) is an authentication protocol used for online payments and mobile payments.

The earliest version of it appeared in 1999. It provided an advanced extra layer of security for cardholders and merchants.

'3D' refers to the 'three domains' involved in the authentication process. These three domains are the card issuer, the merchant, and the 3D Secure infrastructure:

1. The card issuer is the financial institution that issues a debit or credit card to the customer, i.e., the ca`rdholder's bank
2. The merchant is the business that will receive the payment
3. The 3D Secure infrastructure is the layer of added security between customers and merchants through the card issuer.

3D Secure is implemented to prevent and reduce fraud. It does this primarily by placing additional authentication factors into the transaction process.

Is implementing 3D Secure mandatory?

The Financial Conduct Authority's Strong Customer Authentication (SCA) regulation requires the use of 3D Secure for all online transactions in the European Economic Area (EEA).

In other international regions, it is optional but highly encouraged.

How does the 3D Secure process appear to the customer?

When a cardholder enters their card details to confirm a payment, they might be redirected to an authentication page or portal.

This is where the issuing bank will ask the customer for additional verification with a static password.

Authentication pages are typically co-branded by the given card network. These are usually familiar and trusted brand names from the major card schemes, such as Visa Secure, American Express' SafeKey, and Mastercard's Identity Check.

After completing authentication, the customer will be redirected to the checkout page. The customer and merchant will see the authentication result.

What is 3D Secure 2.0?

3D Secure 2.0 is a security protocol for online transactions that provides higher level identity verification information than standard 3D Secure.

It is designed by some of the major card networks to address some of the shortcomings of the original version released in 2016.

It has a less disruptive authentication process, better user experience and a higher level of security than the original version for reduced risk.

Its mass adoption has taken place alongside the consumer shift to using mobile devices and online shopping.

How does 3D Secure 2.0's authentication protocol work?

1. Initial assessment

It performs high-risk based authentication on an access control server (ACS) - an advanced type of server that that can validate credentials and control access to resources.

Using 3D Secure 2.0, a cardholder's issuing bank can quickly assess a transaction's risk levels. It looks at a wealth of rich data, including merchant's contextual data, the cardholder's previous transactions, etc.

2. 1. Immediate authorization of authentication

If each authentication standard is met, the initial transaction process can be completed with no additional cardholder input.

2. 2. Additional customer authentication

If the protocol raises a red flag indicating a high risk rather than a normal transaction risk, an advanced layer of security is requested from the person trying to make the transaction.

At checkout they will be sent through a 'challenge flow'. This will be an iframe (an element within a html page) which uses the entire existing browser window or just part of it. Here, the customer is asked to provide additional information for authentication.

What are the differences between 3D Secure and 3D Secure 2.0?

1. Customer experience

バージョン2.0の目的の一つは、オリジナルの3Dセキュアよりも手間のかからないチェックアウト・プロセスを 提供することである。

これは、チャレンジフローをブラウザやモバイルチェックアウトフローに直接埋め込むことで、ページのリダイレクトを必要としない。一方、3Dセキュアで支払いを認証するには、リダイレクトが必要です。

2.摩擦のない認証

3Dセキュア2.0決済は、3Dセキュアよりも摩擦の少ない認証体験を提供する。

決済における「フリクションレス」とは、簡単、迅速、便利な決済プロセスを指す。

この場合、認証要求は、取引を複雑化し、遅くするため、摩擦とみなすことができる。このため、POS でのオンライン・カード決済を利用者が放棄してしまう危険性がある。

3D セキュアは、静的パスワードやポップアップ・ウィンドウなどの二要素認証手段を必要とする。一方、3D セキュア 2.0 は、同じデジタル・ロケーションで、より少ないカード会員入力でトランザクショ ンを認証する（後述の「認証方法」を参照）。

この違いは売上に影響を与える。Visaによると、3Dセキュア2.0プロトコルを使用することで、カード放棄が70％、チェックアウト時間が85％減少するという。

3.モバイル統合

3Dセキュア2.0には、モバイルSDK（ソフトウェア開発キット）コンポーネントが追加されている。これにより、加盟店はアプリ内認証フローを構築し、ブラウザのリダイレクトを回避することができます。

この機能により、モバイルチェックアウトはより迅速でシームレスなものになる。

4.不払い認証

3Dセキュアと異なり、3Dセキュア2.0は、オンライン購入や取引の検証以外にも使用できる。その非決済認証機能により、発行銀行は、カード所有者がオンラインで購入しなくても、カード所有者を確認することができる。

これは例えば、デビットカードやクレジットカードをモバイルウォレットに追加するために使用できる。発行銀行は、不正行為を防止するため、フリクションレス・フローを通じてカード所有者とデバイスの情報を確認する。

5.認証方法

3D セキュア認証は、パスワードまたは PIN コードの手動入力に依存して、顧客の ID を確認する。

3Dセキュア2.0は、生体認証（指紋または顔認証）、ワンタイムパスワード、PINなど、顧客認証にさまざまな方法を提供する。

より少ないサポート、より低いコスト

人はしばしばパスワードを忘れる。グーグルが2019年に行った調査によると、回答者の75％がパスワードを管理することに不満を感じていると回答している。

その弊害のひとつは、24％が「パスワード」、「abc123」、「111111」などの一般的で覚えやすいパスワードを選んでいることだ。これは明らかに、詐欺防止に有効なレベルではない。

もう一つの悪影響は、正当な顧客のパスワードを回復またはリセットするために必要なカスタマーサポートやシステムである。

3Dセキュアと3Dセキュア2.0は併用可能

多くの決済サービスプロバイダーは、3Dセキュアの両バージョンを顧客のオプションとして提供している。

両者は連携して、より安全で柔軟な認証プロセスを提供することができる。

これは、取引のリスク・レベルと顧客の発行銀行の能力に依存する。

たとえば、認証プロセスを 3D セキュア 2.0 で開始し、標準的なパスワードまたは PIN の入力による追加認証のために 3D セキュアにリダイレクトすることができる。

Nuveiの3Dセキュア2.0ソリューション

Nuveiを使用すれば、高性能の不正検出と防止によってビジネスが保護されます。

私たちのソフトウェアは、あなたのeコマースビジネスのための強力な顧客認証（SCA）、セキュリティ、およびコンバージョンのバランスをとることができます。

免除、ルール、個々のリスク評価に基づき、最先端の認証プロセスを通じて、あらゆる支払いフローを自動的に指示することができます。

市場法の規制やPSD2 SCA規制で求められる3Dセキュア2.0の複雑性を管理するために、アクワイアリングバンクにとらわれないソリューションを提供します。

概要

3Dセキュアは 、オンライン決済の認証に使用されるセキュリティプロトコルである。1999年以来、認証要素を追加することで、決済詐欺を防止・削減している。

この認証プロセスでは、認証ページまたはポータルにリダイレクトされ、そこで発行銀行が登録パスワードの入力などの追加認証を求める。

3Dセキュア2.0は、プロトコルの次の反復である。オリジナルバージョンの欠点のいくつかに対処し、より破壊的でない認証プロセス、より優れたユーザーエクスペリエンス、より高いレベルのセキュリティを備えています。

3Dセキュアと3Dセキュア2.0の主な違いは、顧客体験の向上、摩擦のない認証、モバイル機器との統合、非決済認証、認証方法、コストの削減などである。

どちらもカード会員にメリットがあり、シームレスに連携することもできる。