SET (Secure Electronic Transaction): ইতিহাস, আর্কিটেকচার এবং কেন এটি ব্যর্থ হয়েছে
SET (Secure Electronic Transaction) ১৯৯৬ সালে ভিসা এবং মাস্টারকার্ড দ্বারা विकশিত একটি ওপেন প্রোটোকল ছিল, যা ক্রেডিট কার্ড ট্রানজ্যাকশনকে ইন্টারনেটে সুরক্ষিত করার জন্য ডিজাইন করা হয়েছিল। এটি ডুয়াল সিগনেচার, ডিজিটাল সার্টিফিকেট (X.509v3), এবং প্রতিটি পক্ষের জন্য আলাদা এনক্রিপশন কী (Cardholder, Merchant, Acquirer, Payment Gateway, Certificate Authority) ব্যবহার করত। তবে বাজারে ব্যর্থ হয়ে ২০০০-এর দশকে TLS/SSL (HTTPS) + 3-D Secure (3DS/EMVCo) এর কাছে হার মানল।
SET আর্কিটেকচার ও 주요 উপাদান
| উপাদান | ভূমিকা | সিকিউরিটি ফাংশন |
|---|
| Cardholder (Consumer) | ক্রেডিট কার্ড ধারক | Wallet Software (Digital Certificate + Private Key), Dual Signature Generation |
| Merchant | বিক্রেতা | Merchant Certificate, Payment Gateway Certificate Verify, Order + Payment Instruction Receive |
| Acquirer / Payment Gateway | ব্যাংক/প্রসেসর (Merchant Bank) | Authorization Request, Settlement, Certificate Management |
| Issuer (Cardholder Bank) | কার্ড ইস্যুকারী ব্যাংক | Cardholder Certificate Verify, Authorization Response |
| Certificate Authority (CA) | Root CA (Visa/Mastercard) → Brand CA → Geopolitical CA → Entity CA | X.509v3 Certificates Issue/Revoke (Cardholder, Merchant, Gateway, CA) |
SET-র কোর সিকিউরিটি মেকানিজমস
- Dual Signature (দ্বৈত স্বাক্ষর): অর্ডার ইনফো (OI) এবং পেমেন্ট ইনফো (PI) আলাদা হ্যাশ করে (SHA-1), তারপর কোম্বাইন করে প্রাইভেট কী দিয়ে সাইন করা। মার্চেন্ট OI দেখে (PI না), গেটওয়ে PI দেখে (OI না) — প্রাইভেসি রক্ষা।
- Digital Envelope (হাইব্রিড এনক্রিপশন): Симেট্রিক কী (DES/3DES) দিয়ে ডেটা এনক্রিপ্ট, তারপর সিমেট্রিক কীটি রিসিভারের পাবলিক কী (RSA) দিয়ে এনক্রিপ্ট।
- Certificate Hierarchy & Trust Chain: Root CA (Visa/Mastercard) স্বাক্ষরিত হায়ারার্কিক্যাল সার্টিফিকেট চেইন। প্রতিটি পক্ষ অন্যের সার্টিফিকেট ভেরিফাই করে।
- Key Management: প্রতিটি ট্রানজ্যাকশনের জন্য নতুন সেশন কী (Ephemeral Keys)।
কেন SET ব্যর্থ হয়েছিল (Failure Analysis)
- জটিলতা: ক্লায়েন্ট-সাইড Wallet Software ইনস্টলেশন প্রয়োজন (ActiveX/Plugin), সার্টিফিকেট ম্যানেজমেন্ট জটিল (Key Generation, Backup, Recovery, Revocation)।
- কস্ট ও ইনফ্রাস্ট্রাকচার: মার্চেন্ট/গেটওয়ে-এ HSM (Hardware Security Module), ডেডিকেটেড সার্ভার, কস্টলি সার্টিফিকেট রিনিউয়াল।
- ইন্টারঅপারেবিলিটি অভাব: ভেন্ডর-স্পেসিফিক ইমপ্লিমেন্টেশন, ব্রাউজার সাপোর্ট সীমিত।
- TLS/SSL (HTTPS) এর জয়: Netscape SSL (1994) → TLS 1.0 (1999) ব্রাউজারে বিল্ট-ইন, কোনো এক্সট্রা সফটওয়্যার লাগত না। 3-D Secure (1999, Visa 3-D Secure 1.0) এর চিন्हিত মডেল (Redirect to Issuer ACS) ব্যবহারকারীর জন্য সহজ।
- কনসিউমার আডপশন কম: ব্যবহারকারী Wallet Software ইনস্টল করতে চাইত না। Merchant সেটআপ কস্ট বহন করতে চাইত না।
SET-এর উত্তরাধিকারী: আধুনিক পেমেন্ট সিকিউরিটি
| প্রোটোকল/স্ট্যান্ডার্ড | বিবরণ | SET-এর সাথে সম্পর্ক |
|---|
| TLS 1.2 / 1.3 (HTTPS) | ট্রান্সপোর্ট লেয়ার এনক্রিপশন, সার্ভার অথেনটিকেশন (Client Cert Optional) | SET-এর এনক্রিপশন/অথেনটিকেশন লেয়ার রিপ্লেস করেছে। ইউবিকিউইটাস। |
| 3-D Secure (3DS 2.x / EMVCo) | Cardholder Authentication (Risk-Based, Frictionless, Challenge Flow), SDK/App-based | SET-এর "Cardholder Auth" কনসেপ্টই 3DS-এ বাস্তবায়ন, কিন্তু ব্রাউজার-রিডাইরেক্ট/অ্যাপ-ভিত্তিক। |
| EMV Chip (Contact/Contactless) | Dynamic Cryptogram (ARQC/ARPC), Offline/Online PIN, CDCVM | ফিজিক্যাল কার্ড প্রেজেন্ট ট্রানজ্যাকশন সিকিউর করে (SET ছিল Card-Not-Present/CNP)। |
| Tokenization (Network Token / Apple Pay / Google Pay) | PAN sostituited by Token (DPAN/MPAN), Domain Restricted, Cryptogram | SET-এর "Cardholder Certificate" কনসেপ্ট টোকেন/ডিভাইস আइডেন্টিটিতে রূপান্তরিত। |
| PCI DSS / PCI P2PE / PCI 3DS | কম্প্লায়েন্স ফ্রেমওয়ার্ক, পয়েন্ট-টু-পয়েন্ট এনক্রিপশন, সিকিউর সফটওয়্যার (SAQ) | SET-এর লক্ষ্যগুলো (Confidentiality, Integrity, Authenticity) কম্প্লায়েন্স ম্যান্ডেট করে। |
| SRC (Secure Remote Commerce) / Click to Pay | EMVCo SRC Spec — Unified Checkout, Tokenization, 3DS Integration | SET-এর "Universal Wallet" ভিশন আধুনিক রূপে। |
SET-এর শিক্ষা: আধুনিক নেটওয়ার্ক সিকিউরিটির জন্য
- Usability > Perfect Security: ব্যবহারকারী যদি জটিল סטেপস ফেস করে, তবে সিকিউরিটি বাইপাস করবে (Shadow IT, Password Reuse)।
- Leverage Existing Infrastructure: TLS/HTTPS, Browser/OS Crypto APIs, Platform Authenticators (TPM, Secure Enclave, FIDO2) — নতুন ইমপ্লিমেন্টেশন এড়িয়ে চলুন।
- Certificate Lifecycle Management is Hard: PKI ডিপ্লয় করা সহজ নয় (Issuance, Renewal, Revocation, OCSP/CRL, Key Escrow)। ACME/EST/SCEP অটোমেশন বাধ্যতামূলক।
- Privacy by Design: Dual Signature কনসেপ্ট (Merchant sees Order, not Payment; Gateway sees Payment, not Order) — Data Minimization Principle।
- Standardization Wins: Proprietary Protocols (SET) vs Open Standards (TLS, 3DS, EMV, FIDO, OAuth/OIDC) — Open Standards জয় করে।
বর্তমান প্রাসঙ্গিকতা (Legacy / Niche)
- SET প্রায় অপ্রচলিত। কিছু লিগ্যাসি ব্যাংকিং সিস্টেম বা নির্দিষ্ট সরকারি প্রোজেক্টে (যেমন: কিছু দেশের ন্যাশনাল পেমেন্ট গেটওয়ে) এখনও SET-সদৃশ আর্কিটেকচার দেখতে পাওয়া যায়।
- অكাডেমিক রিসার্চে SET প্রোটোকল ফরমাল ভেরিফিকেশন (BAN Logic, ProVerif, Tamarin) এর কেস স্টাডি হিসেবে ব্যবহৃত হয়।
- ব্লকচেইন/ক্রিপ্টো-পেমেন্ট প্রোটোকলে (Bitcoin Lightning, Ethereum ERC-20, Stablecoins) SET-এর কিছু কনসেপ্ট (Dual Signature ≈ Hash Time-Locked Contracts, Certificate ≈ Identity/Attestation) রিফ্লেক্ট হয়।
