Payment Gateway Architecture और Protocols : 3D Secure और OTP
डिजिटल व्यापार में जब कोई ग्राहक Online Payment करता है तो उसके और Merchant के बीच एक जटिल तकनीकी तंत्र काम करता है जिसे Payment Gateway कहते हैं। Payment Gateway वह Digital Infrastructure है जो एक Online Transaction को उसके आरंभ से लेकर सफल समापन तक — Authorization, Authentication, Clearing और Settlement — के सभी चरणों में संचालित करता है। इसे एक Digital Toll Booth की तरह समझा जा सकता है जो यह सुनिश्चित करता है कि सही व्यक्ति का सही पैसा सही Merchant तक सुरक्षित पहुँचे। भारत में Razorpay, PayU, CCAvenue, Instamojo और Cashfree प्रमुख Payment Gateways हैं जो प्रतिदिन करोड़ों Transactions Process करते हैं। Payment Gateway की Architecture और उसमें उपयोग होने वाले Security Protocols — विशेषतः 3D Secure और OTP — को समझना आधुनिक E-Commerce के तकनीकी आधार को समझना है।
Payment Gateway क्या है और यह क्यों आवश्यक है (Imp.)
Payment Gateway एक Technology Service है जो E-Commerce Websites और Physical POS Terminals पर Card या Digital Payments को Process करने में सक्षम बनाती है। यह एक secure intermediary system है जो merchant, bank और card network के बीच encrypted financial communication को enable करता है।
सरल शब्दों में, यह Merchant की Website और उस Financial Network के बीच Secure Bridge है जो वास्तव में पैसे Transfer करता है। Payment Gateway के बिना कोई भी Online Store Credit Card या Debit Card Payments Accept नहीं कर सकती।
Payment Gateway की आवश्यकता तीन मूलभूत कारणों से है। पहला — Security : Payment Gateway Sensitive Card Information को Encrypt करके Transmit करता है ताकि कोई Hacker Data Intercept न कर सके। दूसरा — Authorization : Gateway यह Verify करता है कि ग्राहक के Account में पर्याप्त Balance है और Card Valid है। तीसरा — Interoperability : हजारों अलग-अलग Banks और Card Networks के बीच Standardized Communication Gateway के माध्यम से ही संभव है।
Payment Gateway की Architecture (Imp.)
Payment Gateway की Architecture को समझने के लिए उसके प्रत्येक Layer और Component को क्रमशः देखना आवश्यक है।
Front-End Layer — Merchant Interface
Front-End Layer वह भाग है जिससे ग्राहक सीधे Interact करता है। इसमें Merchant की Website पर Checkout Page होता है जहाँ ग्राहक Card Details Enter करता है। यह Page दो प्रकार से Implement होता है। Hosted Payment Page में ग्राहक को Merchant की Website से Payment Gateway के अपने Secure Page पर Redirect किया जाता है — जैसे आप किसी Website पर Buy करते हैं और Payment के लिए Razorpay के Page पर चले जाते हैं। Embedded Payment Form में Payment Form Merchant की Website पर ही दिखता है लेकिन Data सीधे Payment Gateway के Server पर जाता है — Merchant के Server पर Card Data कभी नहीं आता। दोनों में SSL Certificate अनिवार्य है जो Browser में Green Lock और https:// से पहचाना जाता है।
Processing Layer — Transaction Engine
Processing Layer Payment Gateway का मस्तिष्क है। यहाँ निम्नलिखित कार्य होते हैं —
Data Encryption : ग्राहक द्वारा Enter की गई Card Details को AES-256 Encryption से Encrypt किया जाता है। यह Military-Grade Encryption है जिसे Supercomputer से भी Decrypt करने में हजारों साल लगेंगे।
Tokenization : Encrypted Card Number को एक Unique Token से Replace किया जाता है। यह Token केवल उस Gateway के System में Valid होता है। RBI के 2022 के Mandate के बाद भारत में सभी Payment Gateways ने Card-on-File Tokenization लागू की है। अब जब आप Amazon पर “Save Card” करते हैं तो Amazon के Server पर Card Number नहीं बल्कि Token Store होता है।
Fraud Detection : Transaction Details को Real-Time में AI-Based Fraud Detection Engine से गुजारा जाता है जो Velocity Check (एक Card से बहुत तेज Transactions), Geographic Anomaly (दिल्ली में Card Use, एक घंटे बाद मुंबई में), और Behavioral Analysis (ग्राहक के सामान्य खरीद Pattern से अलग Transaction) जैसे Parameters Check करता है।
Communication Layer — Banking Network
Communication Layer में Payment Gateway, Card Networks और Banks से बात करता है। ISO 8583 एक International Standard है जो Payment Messages का Format Define करता है — यही Language है जिसमें Gateway, Visa, Mastercard और Banks आपस में बात करते हैं। इस Layer में HTTPS, TLS 1.3 Protocol उपयोग होते हैं।
Settlement Layer — Money Movement
Settlement Layer वह प्रक्रिया है जिसमें वास्तविक पैसे Accounts के बीच Move होते हैं। Authorization और Capture दो अलग प्रक्रियाएँ हैं — Authorization में Bank पैसे Hold करता है लेकिन Transfer नहीं होते, Capture में वास्तविक Debit होता है। सामान्यतः E-Commerce में Authorization और Capture एक साथ होते हैं। Settlement में T+1 या T+2 Days में Merchant के Account में पैसे Credit होते हैं।
Payment Gateway Transaction का सम्पूर्ण प्रवाह (Imp.)
एक Complete Transaction में निम्न Steps होते हैं जो कुछ ही सेकंडों में पूरे होते हैं —
Step 1 : ग्राहक Merchant Website पर Card Details Enter करके Submit करता है।
Step 2 : Merchant का Payment Gateway Plugin/API यह Data Encrypted करके Payment Gateway Server को भेजता है।
Step 3 : Payment Gateway Data को Decrypt और Validate करता है, Fraud Check करता है, फिर Card Network (Visa/Mastercard/RuPay) को Authorization Request भेजता है।
Step 4 : Card Network Request को Issuing Bank (ग्राहक का Bank) को Forward करता है।
Step 5 : Issuing Bank Balance Check, Card Validity, Daily Limit Verify करता है। यदि 3D Secure Enabled है तो Authentication Challenge (OTP) भेजता है।
Step 6 : ग्राहक OTP Enter करता है। Issuing Bank Verify करके Authorization Code या Decline Message Card Network को भेजता है।
Step 7 : Card Network यह Response Payment Gateway को भेजता है।
Step 8 : Payment Gateway Merchant को और ग्राहक को Transaction का Result बताता है।
Step 9 : दिन के अंत में Batch Settlement Process में Merchant के Acquiring Bank को Funds Transfer होते हैं।
3D Secure Protocol (Imp.)
3D Secure की अवधारणा और इतिहास
3D Secure (Three-Domain Secure) एक Authentication Protocol है जो Online Card Transactions में एक अतिरिक्त Security Layer जोड़ता है। “3D” का अर्थ है — इस Protocol में तीन Domain शामिल होते हैं : Acquirer Domain (Merchant और उसका Bank), Issuer Domain (ग्राहक का Card-Issuing Bank) और Interoperability Domain (Card Network — Visa, Mastercard)। 3D Secure को पहली बार Visa ने 1999 में “Verified by Visa” के नाम से विकसित किया। Mastercard का संस्करण “SecureCode” और RuPay का “RuPay SecureCode” है। 2016 में EMVCo (Europay, Mastercard, Visa का संयुक्त निकाय) ने 3D Secure 2.0 लाया जो Mobile-First और Frictionless Authentication पर केंद्रित है।
3D Secure 1.0 बनाम 3D Secure 2.0
3D Secure 1.0 की सबसे बड़ी समस्या थी कि यह हर Transaction पर एक Separate Pop-up Window में Password माँगता था जो Mobile Browsers पर ठीक से काम नहीं करता था। इससे Cart Abandonment Rate बढ़ती थी।
3D Secure 2.0 में Risk-Based Authentication का Concept आया। इसमें Issuing Bank Transaction के 100 से अधिक Data Points — Device ID, IP Address, Transaction History, Browser Information, Time of Day — का Analysis करके Risk Score Calculate करता है। यदि Transaction Low-Risk है तो Frictionless Flow होता है — ग्राहक को कोई OTP नहीं देना पड़ता, Transaction Automatically Approved होती है। यदि High-Risk है तो Challenge Flow होता है — OTP या Biometric Authentication माँगा जाता है। भारत में RBI के Mandate के कारण अभी भी अधिकांश Transactions में OTP Challenge अनिवार्य है।
3D Secure की कार्यप्रणाली — Technical Flow
3D Secure Transaction में Access Control Server (ACS) Issuing Bank के पास होता है जो Authentication का निर्णय लेता है। Directory Server Card Network के पास होता है जो यह Verify करता है कि उस Card के लिए 3D Secure Enrolled है या नहीं। Merchant Plugin (MPI) Gateway के पास होता है जो Authentication Process Initiate करता है।
जब ग्राहक Card Details Enter करता है तो Gateway का MPI Directory Server से पूछता है — “क्या यह Card 3D Secure Enrolled है?” Directory Server Issuing Bank के ACS से Confirm करता है। यदि हाँ, तो ग्राहक को Bank के ACS Page पर Redirect किया जाता है या Inline OTP Frame दिखाया जाता है। Authentication के बाद एक Cryptographic Token (CAVV — Cardholder Authentication Verification Value) Generate होता है जो Proof होता है कि ग्राहक ने Authentication पास किया। यह CAVV Authorization Request के साथ Issuing Bank को जाता है।
3D Secure का Liability Shift (Imp.)
3D Secure का सबसे महत्वपूर्ण व्यावसायिक पहलू Liability Shift है। सामान्यतः Card Fraud होने पर Merchant को नुकसान उठाना पड़ता है। लेकिन यदि Transaction 3D Secure से Authenticated थी और Fraud हुआ, तो Liability Issuing Bank पर Shift हो जाती है। इसका अर्थ है — Merchant 3D Secure Enable करके खुद को Fraud Liability से बचाता है। यही कारण है कि सभी बड़े E-Commerce Merchants 3D Secure को Mandatory रखते हैं।
इसका मुख्य उद्देश्य online card fraud को reduce करना और transaction authentication को strengthen करना है।
OTP — One Time Password (Imp.)
OTP की मूल अवधारणा
OTP (One Time Password) एक Dynamic Authentication Mechanism है जिसमें एक Password केवल एक बार और सीमित समय (सामान्यतः 5-10 मिनट) के लिए Valid होता है। OTP का मूल सिद्धांत “Something You Have” पर आधारित है — OTP उस Mobile पर जाता है जो ग्राहक के पास होना चाहिए। यह Static Password की सबसे बड़ी कमजोरी — Reusability — को समाप्त करता है। यदि कोई Hacker आपका OTP चुरा भी ले तो वह Expire हो चुका होगा।
OTP Generation के Technical Mechanisms
OTP Generate करने के दो प्रमुख Algorithms हैं —
HOTP (HMAC-Based OTP) — RFC 4226 Standard पर आधारित। इसमें एक Counter और Secret Key से OTP Generate होता है। Counter हर OTP Generation के साथ Increment होता है। यह Event-Based है।
TOTP (Time-Based OTP) — RFC 6238 Standard। इसमें वर्तमान Unix Timestamp (30 या 60 Second Window) और Secret Key से OTP Generate होता है। Google Authenticator और Microsoft Authenticator TOTP पर आधारित हैं। Bank का SMS OTP भी TOTP के सिद्धांत पर काम करता है — Server और Bank दोनों एक ही Algorithm से एक ही Secret Key और उसी Time Window से OTP Calculate करते हैं, इसलिए Server को पता होता है कि ग्राहक ने कौन सा OTP Enter किया है।
Payment में OTP की भूमिका
Payment Transactions में OTP दो प्रकार से उपयोग होता है —
SMS OTP : भारत में सबसे प्रचलित। Bank ग्राहक के Registered Mobile Number पर 6-Digit OTP भेजता है। यह Out-of-Band Authentication है — Payment Channel (Internet) और OTP Channel (SMS/Mobile Network) अलग-अलग हैं जिससे Security बढ़ती है।
App-Based OTP : Bank का Official App जैसे SBI YONO, HDFC Mobile Banking एक Built-in OTP Generator रखता है। Internet बंद होने पर भी App Offline OTP Generate कर सकता है।
UPI में OTP का विशेष उपयोग
UPI में OTP केवल onboarding और device verification के समय उपयोग होता है, जबकि daily transactions में UPI PIN primary authentication होता है। अर्थात UPI में OTP दो चरणों में आता है — Device Binding के समय (पहली बार UPI App Setup करते समय, Bank Registered Mobile Number पर OTP भेजकर Verify करता है) और UPI PIN Reset के समय।
Daily Transactions में UPI PIN OTP का काम करता है — लेकिन यह Static नहीं, बल्कि एक Secure PIN है। BHIM Aadhaar Pay में Fingerprint Biometric OTP का विकल्प है।
OTP की सीमाएँ और SIM Swap Fraud
OTP की सबसे बड़ी कमजोरी SIM Swap Attack है। इसमें Attacker, Telecom Company को Fool करके पीड़ित का Mobile Number अपने SIM पर Transfer करवा लेता है और सारे OTPs उसे मिलने लगते हैं। भारत में SIM Swap Fraud के अनेक मामले सामने आए हैं। इसके अतिरिक्त Social Engineering में Fraudster खुद को Bank Officer बताकर OTP माँगता है। TRAI और RBI दोनों ने स्पष्ट किया है कि Bank कभी OTP नहीं माँगता। Screen Sharing Malware भी OTP चुरा सकता है।
भारतीय Context में Payment Gateway का विकास (Imp.)
भारत में Payment Gateway का विकास तीन चरणों में हुआ। 2000-2010 में CCAvenue (2001) और EBS जैसे Early Gateways आए जो केवल Credit Card Accept करते थे और Internet Banking से Connect थे। User Experience बहुत कठिन था।
2010-2016 में PayU (2011), Instamojo (2012) आए। Mobile Internet के आने से Transaction Volume बढ़ी। लेकिन Cash on Delivery अभी भी Dominant था क्योंकि Digital Payment पर Trust नहीं था।
2016 के बाद Demonetization और UPI ने Landscape पूरी तरह बदल दिया। Razorpay (2014) ने Developer-Friendly API से Revolution किया — एक Startup कुछ घंटों में Payment Integration कर सकता था। Cashfree, Paytm Payment Gateway ने Instant Settlement जैसे Features लाए। 2025 तक भारत का Payment Gateway Market 5 अरब डॉलर से अधिक का हो गया है।
PCI DSS — Payment Card Industry Data Security Standard (Imp.)
PCI DSS वह Security Standard है जिसका पालन हर Payment Gateway, Merchant और Card Processor के लिए अनिवार्य है। इसे Visa, Mastercard, American Express, Discover और JCB ने मिलकर 2004 में Define किया। यह standard, card data security और breach prevention के लिए बनाया गया है।
PCI DSS के 12 मुख्य Requirements हैं जो Network Security, Access Control, Encryption, Monitoring और Information Security Policy को Cover करते हैं। PCI DSS Compliance न होने पर Card Networks Merchant का Payment Processing बंद कर सकते हैं और भारी Penalty लगा सकते हैं। छोटे Merchants के लिए SAQ (Self-Assessment Questionnaire) और बड़े Merchants के लिए QSA (Qualified Security Assessor) द्वारा Audit अनिवार्य है।
संभावित प्रश्न
2 अंक:
- Payment Gateway की परिभाषा दीजिए।
- 3D Secure में “3D” का क्या अर्थ है?
- TOTP और HOTP में अंतर बताइए।
- PCI DSS क्या है?
- Liability Shift क्या है?
5 अंक:
- Payment Gateway की Architecture के प्रमुख Layers का वर्णन कीजिए।
- 3D Secure Protocol की कार्यप्रणाली समझाइए।
- OTP Generation के Technical Mechanisms — HOTP और TOTP — समझाइए।
- Tokenization क्या है और यह Payment Security में किस प्रकार सहायक है?
- SIM Swap Fraud क्या है और इससे कैसे बचा जा सकता है?
15 अंक:
- Payment Gateway की सम्पूर्ण Architecture का वर्णन कीजिए। Front-End Layer से Settlement Layer तक के प्रत्येक Component और एक Complete Transaction के Flow को विस्तार से समझाइए।
- 3D Secure Protocol और OTP Mechanism का विस्तृत विश्लेषण कीजिए। 3D Secure 1.0 और 2.0 की तुलना, Liability Shift का महत्व और भारतीय Payment Ecosystem में इनकी भूमिका सम्मिलित करें।