EMV - EMV

Эта статья нужны дополнительные цитаты для проверка. Пожалуйста помоги улучшить эту статью к добавление цитат в надежные источники. Материал, не полученный от источника, может быть оспорен и удален. Найдите источники: "EMV"  – Новости  · газеты  · книги  · ученый  · JSTOR (Март 2020 г.) (Узнайте, как и когда удалить этот шаблон сообщения)

EMV это метод оплаты, основанный на техническом стандарте для умная платежные карты и для платежные терминалы и банкоматы который может их принять. Первоначально EMV означало "Eуропай, Mзвездочка, и Vэто ", три компании, которые создали стандарт.

Карты EMV смарт-карты, также называемые чип-картами, интегральными схемами или IC-картами, которые хранят свои данные на Интегральная схема чипсы, в дополнение к магнитные полосы за Обратная совместимость. К ним относятся карты, которые необходимо физически вставить или «погрузить» в считыватель, а также бесконтактные карты которые можно прочитать с небольшого расстояния, используя связь ближнего поля технологии. Платежные карты, соответствующие стандарту EMV, часто называют Чип и PIN-код или же Чип и подпись карты, в зависимости от методов аутентификации, используемых эмитентом карты, например персональный идентификационный номер (PIN) или цифровой подписи.

Есть стандарты, основанные на ISO / IEC 7816 для контактных карт и стандартов на основе ISO / IEC 14443 для бесконтактных карт (Бесконтактная карта Mastercard, Visa PayWave, American Express ExpressPay ).

В феврале 2010 года компьютерные ученые из Кембриджского университета продемонстрировали, что реализация Ввод PIN-кода EMV уязвим для атаки типа "злоумышленник посередине". но уязвимы были только реализации, в которых ПИН-код проверялся офлайн.

История

До появления чипа и PIN-кода все лицом к лицу кредит или же дебетовая карточка транзакции включали использование магнитной полосы или механического отпечатка для чтения и записи данных учетной записи, а также подписи в целях проверки личности. Клиент передает свою карту кассиру в кассе торговая точка который затем пропускает карту через магнитный считыватель или делает оттиск с выпуклого текста карты. В первом случае система проверяет реквизиты счета и распечатывает квитанцию ​​для подписи клиентом. В случае механического отпечатка заполняются детали транзакции, просматривается список украденных номеров, и покупатель подписывает отпечатанный бланк. В обоих случаях кассир должен убедиться, что подпись клиента совпадает с подписью на обратной стороне карты, чтобы подтвердить транзакцию.

Использование подписи на карте в качестве метода проверки имеет ряд недостатков безопасности, наиболее очевидным из которых является относительная легкость, с которой карты могут исчезнуть до того, как их законные владельцы смогут их подписать. Другой включает стирание и замену законной подписи, а третий - подделка правильной подписи на карте.^[1]

Изобретение кремний Интегральная схема микросхема в 1959 году привела к идее встроить ее в пластиковый интеллектуальная карточка в конце 1960-х годов двумя немецкими инженерами, Хельмут Грёттруп и Юрген Детлофф.^[2] Первые смарт-карты были представлены как телефонные карты в 1970-х годах, а затем были адаптированы для использования в качестве платежные карты.^[3][4] Смарт-карты с тех пор использовали MOS интегральная схема чипсы вместе с MOS память такие технологии как флэш-память и EEPROM (электрически стираемая программируемая постоянная память ).^[5]

Первым стандартом смарт-платежных карт был Carte Bancaire M4 из Bull-CP8, развернутый во Франции в 1986 году, за ним следует B4B0 '(совместимый с M4), развернутый в 1989 году. Гельдкарте в Германии также предшествует EMV. EMV был разработан для обеспечения обратной совместимости карт и терминалов с этими стандартами. С тех пор Франция перевела всю свою карточную и терминальную инфраструктуру на EMV.

EMV изначально означало Eуропай, Mзвездочка, и Vэто, три компании, создавшие стандарт. Стандарт теперь управляется EMVCo, консорциум с поровну контролем между Visa, Mastercard, JCB, American Express, China UnionPay, и Обнаружить.^[6]

JCB присоединилась к консорциуму в феврале 2009 г. China UnionPay в мае 2013 г.,^[7] и Обнаружить в сентябре 2013 г.^[8]

Отличия и преимущества

Есть два основных преимущества перехода к платежным системам с использованием смарт-карт: повышенная безопасность (с соответствующим сокращением случаев мошенничества) и возможность более точного контроля за утверждением транзакций по кредитным картам в автономном режиме. Одна из первоначальных целей EMV заключалась в том, чтобы предоставить несколько приложений на карту: для кредита и дебетовая карточка приложение или электронный кошелек. Дебетовые карты нового выпуска в США^{[когда? ]} содержат два приложения - приложение для ассоциации карт (Visa, Mastercard и т. д.) и обычное дебетовое приложение. Идентификатор общего дебетового приложения в некоторой степени неверен, поскольку каждое "обычное" дебетовое приложение фактически использует приложение привязки карты резидента.^[9]

Операции с чип-картой EMV повышают безопасность от мошенничества по сравнению с операциями с картой с магнитной полосой, которые полагаются на подпись держателя и визуальный осмотр карты для проверки наличия таких функций, как голограмма. Использование ПИН-кода и криптографических алгоритмов, таких как Тройной DES, ЮАР и SHA обеспечить аутентификацию карты для процессингового терминала и хост-системы эмитента карты. Время обработки сопоставимо с онлайн-транзакциями, в которых задержка связи составляет большую часть времени, в то время как криптографические операции на терминале занимают сравнительно мало времени. Предполагаемая повышенная защита от мошенничества позволила банкам и эмитентам кредитных карт провести «сдвиг ответственности», так что теперь торговцы несут ответственность (с 1 января 2005 года в регионе ЕС и с 1 октября 2015 года в США) за любое мошенничество, которое является результатом транзакций в системах, не поддерживающих EMV.^{[10][рекламный источник? ][11][рекламный источник? ]}

Большинство реализаций карт и терминалов EMV подтверждают личность держателя карты, требуя ввода персональный идентификационный номер (PIN-код), а не подписывать бумажную квитанцию. Произойдет ли аутентификация по PIN-коду, зависит от возможностей терминала и программирования карты.^{[нужна цитата ]}

Когда кредитные карты были впервые представлены, продавцы использовали механические, а не магнитные портативные импринтеры карт, которые требовали копировальная бумага сделать отпечаток. Они не общались в электронном виде с эмитентом карты, и карта никогда не уходила из поля зрения клиента. Торговец должен был подтвердить транзакции, превышающие определенный валютный лимит, позвонив эмитенту карты. В течение 1970-х годов в Соединенных Штатах многие торговцы подписывались на регулярно обновляемый список украденных или иным образом недействительных номеров кредитных карт. Этот список обычно печатался в виде буклета на газетной бумаге в порядке номеров, как в тонкой телефонной книге, но без каких-либо данных, кроме списка недействительных номеров. Предполагалось, что кассиры будут листать эту брошюру каждый раз при предъявлении кредитной карты для оплаты любой суммы до утверждения транзакции, что влечет за собой небольшую задержку.^{[нужна цитата ]}

Потом, оборудование связался с эмитентом карты в электронном виде, используя информацию с магнитной полосы для проверки карты и авторизации транзакции. Это было намного быстрее, чем раньше, но требовало, чтобы транзакция происходила в фиксированном месте. Следовательно, если транзакция не проводилась рядом с терминалом (например, в ресторане), служащий или официант должен был забрать карту у клиента и передать ее в банкомат. Для недобросовестного сотрудника было легко в любой момент тайно провести карту через дешевый аппарат, который мгновенно записал информацию на карту и полосу; Фактически, даже у терминала вор мог наклониться перед клиентом и провести картой по скрытому считывателю. Это сделало незаконное клонирование карт относительно простым и более частым явлением, чем раньше.^{[нужна цитата ]}

После введения Чипа платежной карты и ПИН-кода клонирование чипа невозможно; можно скопировать только магнитную полосу, а скопированную карту нельзя использовать отдельно на терминале, требующем PIN-кода. Введение чипа и PIN-кода совпало с беспроводной передача данных технология становится недорогой и широко распространенной. В дополнение к магнитным считывающим устройствам на мобильных телефонах, торговый персонал теперь может приносить покупателям беспроводные PIN-планшеты, так что карта никогда не пропадает из поля зрения держателя карты. Таким образом, для снижения рисков несанкционированного считывания и клонирования карт можно использовать как чип-и-PIN, так и беспроводные технологии.^[12]

Чип и ПИН-код вместо чипа и подписи

Чип и PIN-код - это один из двух методов проверки, которые могут использовать карты с поддержкой EMV. Вместо того, чтобы физически подписывать квитанцию ​​в целях идентификации, пользователь просто вводит личный идентификационный номер (PIN), обычно состоящий из 4-6 цифр. Этот номер должен соответствовать информации, хранящейся на чипе. Технология чипов и PIN-кода значительно усложняет мошенникам использование найденной карты, поэтому, если кто-то украдет карту, они не смогут совершать мошеннические покупки, если не знают PIN-код.

Чип и подпись, с другой стороны, отличаются от чипа и ПИН-кода, подтверждая личность потребителя с помощью подписи.

По состоянию на 2015 год чипы и карты для подписи более распространены в США, Мексике, некоторых частях Южной Америки (таких как Аргентина, Колумбия, Перу) и некоторых странах Азии (таких как Тайвань, Гонконг, Таиланд, Южная Корея, Сингапур и Индонезия), тогда как карты с чипом и PIN-кодом более распространены в большинстве европейских стран (например, в Великобритании, Ирландии, Франции, Португалии, Финляндии и Нидерландах), а также в Иране, Бразилии, Венесуэле, Индии, Шри-Ланке, Канаде, Австралии. и Новая Зеландия.^[13][14]

Операции онлайн, по телефону и по почте

В то время как технология EMV помогла снизить уровень преступности в торговых точках, мошеннические транзакции стали более уязвимыми. телефон, Интернет, и заказ по почте транзакции - известные в отрасли как карта-нет или транзакции CNP.^[15] Транзакции CNP составили не менее 50% всех случаев мошенничества с кредитными картами.^[16] В этих случаях из-за физического расстояния продавец не может предоставить покупателю клавиатуру, поэтому были разработаны альтернативы, в том числе

• Программные подходы к онлайн-транзакциям, которые предполагают взаимодействие с банком-эмитентом карты или веб-сайтом сети, такие как Verified by Visa и Mastercard SecureCode (реализации Visa's 3-D Secure протокол).
• Создание одноразовой виртуальной карты, привязанной к физической карте с заданной максимальной суммой.
• Дополнительное оборудование с клавиатурой и экраном, которое может производить одноразовый пароль, такой как Программа аутентификации чипа.
• Клавиатура и экран интегрированы в карту для создания одноразовый пароль. С 2008 года Visa запускает пилотные проекты с использованием карты Emue, где сгенерированный номер заменяет код, напечатанный на обратной стороне стандартных карт.^[17]

Команды

ISO / IEC 7816 -3 определяет протокол передачи между чип-картами и считывателями. По этому протоколу происходит обмен данными в единицы данных протокола приложения (APDU). Это включает отправку команды на карту, ее обработку и отправку ответа. EMV использует следующие команды:

• блок приложения
• разблокировать приложение
• блок карты
• внешняя аутентификация (7816-4)
• генерировать криптограмму приложения
• получить данные (7816-4)
• получить варианты обработки
• внутренняя аутентификация (7816-4)
• Изменение / разблокировка PIN-кода
• прочитать запись (7816-4)
• выберите (7816-4)
• проверить (7816-4).

Команды, за которыми следует "7816-4", определены в ISO / IEC 7816-4 и являются межотраслевыми командами, используемыми для многих приложений с чип-картами, таких как GSM SIM открытки.

Поток транзакции

Транзакция EMV состоит из следующих этапов:^{[18][требуется сторонний источник ]}

• Выбор приложения
• Начать обработку заявки
• Прочитать данные приложения
• Ограничения обработки
• Автономная аутентификация данных
• Сертификаты
• Проверка держателя карты
• Управление терминальными рисками
• Анализ действия терминала
• Анализ действия первой карты
• Авторизация онлайн-транзакции (выполняется только в том случае, если этого требует результат предыдущих шагов; обязательно в банкоматах)
• Анализ действия второй карты
• Обработка скрипта эмитента.

Выбор приложения

ISO / IEC 7816 определяет процесс выбора приложения. Цель выбора приложения заключалась в том, чтобы позволить карточкам содержать совершенно разные приложения, например GSM и EMV. Однако разработчики EMV реализовали выбор приложений как способ определения типа продукта, так что все эмитенты продукта (Visa, Mastercard и т. Д.) Должны иметь собственное приложение. То, как в EMV предписывается выбор приложений, часто является источником проблем совместимости между картами и терминалами. Книга 1^[19] стандарта EMV отводит 15 страниц описанию процесса выбора приложения.

An Идентификатор приложения (AID) используется для адресации приложения на карте или эмуляции хост-карты (HCE), если она поставляется без карты. AID состоит из зарегистрированный идентификатор поставщика приложения (RID) из пяти байтов, который выдается органом регистрации ISO / IEC 7816-5. Далее следует расширение идентификатора проприетарного приложения (PIX), что позволяет поставщику приложений различать различные предлагаемые приложения. AID печатается на всех квитанциях держателей карт EMV.

Список приложений:

Начать обработку заявки

Терминал отправляет получить варианты обработки команду на карту. При выдаче этой команды терминал снабжает карту любыми элементами данных, запрошенными картой в список объектов данных опций обработки (PDOL). PDOL (список тегов и длин элементов данных) дополнительно предоставляется картой в терминал во время выбор приложения. Карта отвечает профиль обмена приложениями (AIP) - список функций, выполняемых при обработке транзакции. Карта также предоставляет локатор файлов приложения (AFL) - список файлов и записей, которые терминал должен прочитать с карты.^{[нужна цитата ]}

Прочитать данные приложения

Смарт-карты хранить данные в файлах. AFL содержит файлы, содержащие данные EMV. Все они должны быть прочитаны с помощью команды чтения записи. EMV не указывает, в каких файлах хранятся данные, поэтому все файлы должны быть прочитаны. Данные в этих файлах хранятся в BER TLV формат. EMV определяет значения тегов для всех данных, используемых при обработке карт.^[21]

Ограничения обработки

Цель ограничения обработки чтобы увидеть, следует ли использовать карту. Проверяются три элемента данных, считанных на предыдущем шаге: номер версии приложения, контроль использования приложения (показывает, предназначена ли карта только для домашнего использования и т. Д.), Проверка даты действия / истечения срока действия приложения.^{[нужна цитата ]}

Если какая-либо из этих проверок не удалась, карта не обязательно отклоняется. Терминал устанавливает соответствующий бит в результаты проверки терминала (TVR), компоненты которого формируют основу для принятия / отклонения решения позже в потоке транзакции. Эта функция позволяет, например, эмитентам карт разрешать держателям карт продолжать использовать карты с истекшим сроком действия после даты истечения срока их действия, но все транзакции с картой с истекшим сроком действия должны выполняться в режиме онлайн.^{[нужна цитата ]}

Автономная аутентификация данных (ODA)

Автономная аутентификация данных - это криптографическая проверка для проверки карты с помощью криптография с открытым ключом. В зависимости от карты можно выполнить три различных процесса:^{[нужна цитата ]}

• Статическая аутентификация данных (SDA) гарантирует, что данные, считанные с карты, были подписаны эмитентом карты. Это предотвращает изменение данных, но не предотвращает клонирование.
• Динамическая аутентификация данных (DDA) обеспечивает защиту от изменения данных и клонирования.
• Комбинированный DDA / генерация криптограммы приложения (CDA) объединяет DDA с генерацией карты криптограмма приложения для обеспечения действительности карты. Может потребоваться поддержка CDA в устройствах, поскольку этот процесс реализован на определенных рынках. Этот процесс не является обязательным для терминалов и может выполняться только там, где его поддерживают и карта, и терминал.^{[нужна цитата ]}

Сертификаты EMV

Для проверки подлинности платежных карт используются сертификаты EMV. Центр сертификации EMV^[22] выдает цифровые сертификаты эмитентам платежных карт. По запросу чип платежной карты предоставляет терминалу сертификат открытого ключа эмитента карты и SSAD. Терминал извлекает открытый ключ CA из локального хранилища и использует его для подтверждения доверия к CA и, если он доверяет, для проверки того, что открытый ключ эмитента карты был подписан CA. Если открытый ключ эмитента карты действителен, терминал использует открытый ключ эмитента карты для проверки того, что SSAD карты был подписан эмитентом карты.^[23]

Проверка держателя карты

Проверка держателя карты используется для оценки того, является ли лицо, предъявившее карту, законным держателем карты. EMV поддерживает множество методов проверки держателя карты (CVM). Они есть^{[нужна цитата ]}

• Подпись
• Автономный открытый текст PIN
• Зашифрованный PIN-код офлайн
• Автономный текстовый PIN-код и подпись
• Автономный зашифрованный PIN-код и подпись
• ПИН-код онлайн
• CVM не требуется
• Ошибка обработки CVM

Терминал использует список CVM, считанный с карты, для определения типа проверки, которую необходимо выполнить. Список CVM устанавливает приоритет используемых CVM относительно возможностей терминала. Разные терминалы поддерживают разные CVM. Банкоматы обычно поддерживают онлайн-PIN. POS-терминалы различаются по поддержке CVM в зависимости от типа и страны.^{[нужна цитата ]}

Для автономных методов зашифрованного ПИН-кода терминал шифрует блок ПИН-кода в открытом виде с помощью открытого ключа карты перед отправкой его на карту с Проверять команда. Для метода онлайн-ПИН блок ПИН-кода в открытом виде зашифровывается терминалом с использованием его ключа двухточечного шифрования перед его отправкой процессору эквайера в сообщении с запросом на авторизацию.

В 2017 году EMVCo добавила поддержку методов биометрической верификации в версии 4.3 спецификаций EMV.^[24]

Управление терминальными рисками

Управление терминальными рисками выполняется только на устройствах, на которых необходимо принять решение о том, должна ли транзакция авторизоваться онлайн или офлайн. Если транзакции всегда выполняются в режиме онлайн (например, банкоматы) или всегда в автономном режиме, этот шаг можно пропустить. Управление терминальным риском проверяет сумму транзакции на соответствие пределу автономного потолка (выше которого транзакции должны обрабатываться в интерактивном режиме). Также возможно иметь 1 в онлайн-счетчике и проверку по списку горячих карт (что необходимо только для автономных транзакций). Если результат любого из этих тестов положительный, терминал устанавливает соответствующий бит в результаты проверки терминала (TVR).^[25]

Анализ действия терминала

Результаты предыдущих шагов обработки используются для определения того, должна ли транзакция быть одобрена в автономном режиме, отправлена ​​в оперативный режим для авторизации или отклонена в автономном режиме. Это делается с помощью комбинации объекты данных известный как коды действия терминала (TAC) хранятся в терминале и коды действий эмитента (IACs) читать с карты. TAC - это логически ИЛИ с IAC, чтобы предоставить покупателю транзакции уровень контроля над результатом транзакции.^{[нужна цитата ]}

Оба типа кода действия принимают значения Denial, Online и Default. Каждый код действия содержит серию битов, которые соответствуют битам в Результаты проверки терминала (TVR), и используются при принятии терминалом решения о принятии, отклонении платежной транзакции или подключении к ней. ТАС устанавливается эквайером карты; на практике схемы карт рекомендуют настройки TAC, которые следует использовать для конкретного типа терминала в зависимости от его возможностей. IAC устанавливается эмитентом карты; Некоторые эмитенты карт могут решить, что карты с истекшим сроком действия должны быть отклонены, установив соответствующий бит в Denial IAC. Другие эмитенты могут захотеть, чтобы транзакция продолжалась в интерактивном режиме, чтобы в некоторых случаях они могли разрешить выполнение этих транзакций.^{[нужна цитата ]}

Устройство, предназначенное только для работы в режиме онлайн, например банкомат, всегда пытается выйти в сеть с запросом авторизации, если только он не отклонен в автономном режиме из-за кодов действий эмитента - настройки отказа. Во время обработки IAC - Denial и TAC - Denial для устройства только в сети Результаты проверки терминала бит - «Служба не разрешена».^{[нужна цитата ]}

Когда устройство, работающее только в режиме онлайн, выполняет обработку IAC — Online и TAC — Online, единственным релевантным битом TVR является «Значение транзакции превышает минимальный предел». Поскольку нижний предел установлен на ноль, транзакция всегда должна переходить в оперативный режим, а все другие значения в TAC — Online или IAC — Online не имеют значения. Устройствам, работающим только в режиме онлайн, не требуется выполнять обработку IAC по умолчанию.^{[нужна цитата ]}

Анализ действия первой карты

Один из объектов данных, считанных с карты в Прочитать данные приложения этап - CDOL1 (Список объектов данных карты). Этот объект представляет собой список тегов, которые карта хочет отправить ей, чтобы принять решение о том, одобрить или отклонить транзакцию (включая сумму транзакции, но и многие другие объекты данных). Терминал отправляет эти данные и запрашивает криптограмму с помощью команды создания криптограммы приложения. В зависимости от решения терминала (офлайн, онлайн, отказ) терминал запрашивает с карты одну из следующих криптограмм:^{[нужна цитата ]}

• Сертификат транзакции (TC) - офлайн-утверждение
• Криптограмма запроса авторизации (ARQC) - онлайн-авторизация
• Криптограмма проверки подлинности приложения (AAC) - отказ в автономном режиме.

Этот шаг дает карте возможность принять анализ действий терминала, отклонить транзакцию или принудительно выполнить транзакцию в режиме онлайн. Карта не может вернуть TC, когда был запрошен ARQC, но может вернуть ARQC, когда был запрошен TC.^{[нужна цитата ]}

Авторизация онлайн-транзакции

Транзакции переходят в режим онлайн, когда запрашивается ARQC. ARQC отправляется в сообщении авторизации. Карта генерирует ARQC.Его формат зависит от приложения карты. EMV не определяет содержимое ARQC. ARQC, созданный приложением карты, является цифровой подписи деталей транзакции, которые эмитент карты может проверить в режиме реального времени. Это обеспечивает надежную криптографическую проверку подлинности карты. Эмитент отвечает на запрос авторизации кодом ответа (принятие или отклонение транзакции), криптограммой ответа авторизации (ARPC) и, необязательно, скриптом эмитента (строкой команд, которые должны быть отправлены на карту).^{[нужна цитата ]}

Обработка ARPC не выполняется в контактных транзакциях, обрабатываемых с помощью Visa Quick Chip^[26] для EMV и Mastercard M / Chip Fast,^[27] И в бесконтактные транзакции между схемами, потому что карта удаляется из считывающего устройства после создания ARQC.

Анализ действия второй карты

CDOL2 (список объектов данных карты) содержит список тегов, которые карта хотела бы отправить после авторизации транзакции онлайн (код ответа, ARPC и т. Д.). Даже если по какой-либо причине терминал не может выйти в онлайн (например, сбой связи), терминал должен снова отправить эти данные на карту с помощью команды генерации криптограммы авторизации. Это позволяет карте узнать ответ эмитента. После этого приложение карты может сбросить ограничения на использование в автономном режиме.

Обработка скрипта эмитента

Если эмитент карты хочет обновить почтовый выпуск карты, он может отправлять команды на карту, используя обработку сценария эмитента. Скрипты эмитента не имеют смысла для терминала и могут быть зашифрованы между картой и эмитентом для обеспечения дополнительной безопасности. Скрипт эмитента можно использовать для блокировки карт или изменения параметров карты. ^[28]

Обработка скрипта эмитента недоступна в транзакциях с контактами, обрабатываемых с помощью Visa Quick Chip^[29] для EMV и Mastercard M / Chip Fast,^[30] и для бесконтактные транзакции по схемам.

Контроль стандарта EMV

Контактная площадка для электрического интерфейса на лицевой стороне кредитной карты

Первая версия стандарта EMV была опубликована в 1995 году. Теперь стандарт определяется и управляется частной корпорацией EMVCo LLC. Действующие члены EMVCo^[31] находятся American Express, Откройте для себя финансовые, JCB International, Mastercard, China UnionPay, и Visa Inc. Каждая из этих организаций владеет равной долей в EMVCo и имеет представителей в организации EMVCo и рабочих группах EMVCo.

Признание соответствия стандарту EMV (т. Е. Сертификация устройства) выдается EMVCo после представления результатов испытаний, проведенных аккредитованной испытательной лабораторией.^{[нужна цитата ]}

Тестирование на соответствие EMV имеет два уровня: EMV Level 1, который охватывает интерфейсы физического, электрического и транспортного уровня, и EMV Level 2, который охватывает выбор платежных приложений и обработку кредитных финансовых транзакций.^{[нужна цитата ]}

После прохождения общих тестов EMVCo программное обеспечение должно быть сертифицировано платежными брендами на предмет соответствия проприетарным реализациям EMV, таким как Visa VSDC, American Express AEIPS, Mastercard MChip, JCB JSmart, или EMV-совместимым реализациям сторонних участников EMVCo, таких как LINK в Великобритания или Interac в Канаде.^{[нужна цитата ]}

Список документов и стандартов EMV

Этот раздел должен быть обновлено. Обновите эту статью, чтобы отразить недавние события или новую доступную информацию. (Март 2020 г.)

По состоянию на 2011 год, начиная с версии 4.0, официальные стандартные документы EMV, которые определяют все компоненты платежной системы EMV, публикуются в виде четырех «книг» и некоторых дополнительных документов:

• Книга 1: Требования к интерфейсу ICC и терминала, не зависящие от приложения^[19]
• Книга 2: Безопасность и управление ключами^[32]
• Книга 3: Спецификация приложения^[33]
• Книга 4: Требования к интерфейсу держателя карты, оператора и эквайера^[34]
• Общая спецификация платежного приложения^[35]
• Спецификация персонализации карты EMV^[36]

Версии

Первый стандарт EMV появился в 1995 году как EMV 2.0. Он был обновлен до EMV 3.0 в 1996 году (иногда называемый EMV '96) с более поздними поправками к EMV 3.1.1 в 1998 году. Это было дополнительно исправлено до версии 4.0 в декабре 2000 года (иногда называемой EMV 2000). Версия 4.0 вступила в силу в июне 2004 года. Версия 4.1 вступила в силу в июне 2007 года. Версия 4.2 действует с июня 2008 года. Версия 4.3 действует с ноября 2011 года.^[37]

Уязвимости

Возможности сбора PIN-кодов и клонирования магнитных полос

Помимо данных второй дорожки на магнитной полосе, карты EMV обычно содержат идентичные данные, закодированные на чипе, которые считываются как часть обычного процесса транзакции EMV. Если устройство чтения EMV скомпрометировано до такой степени, что перехватывается разговор между картой и терминалом, то злоумышленник может восстановить как данные дорожки-два, так и PIN-код, что позволит создать карту с магнитной полосой, которая, в то время как не может использоваться в терминале с микросхемой и PIN-кодом, может использоваться, например, в оконечных устройствах, которые позволяют откатиться к обработке магнитной полосы для иностранных клиентов без чиповых карт и неисправных карт. Эта атака возможна только в том случае, если (а) автономный ПИН-код представлен в открытом виде устройством ввода ПИН-кода на карту, (б) запасной вариант магнитной полосы разрешен эмитентом карты и (в) если географическая и поведенческая проверка не может выполняться эмитентом карты.^{[нужна цитата ]}

APACS, представляющий платежную индустрию Великобритании, заявил, что изменения, внесенные в протокол (где значения верификации карты различаются между магнитной полосой и чипом - iCVV), сделали эту атаку неэффективной и что такие меры будут приняты с января 2008 года.^[38] Тесты карт в феврале 2008 г. показали, что это могло быть отложено.^[39]

Успешные атаки

Захват разговора - это форма атаки, которая, как сообщается, имела место против Ракушка терминалов в мае 2006 г., когда они были вынуждены отключить всю аутентификацию EMV в своих заправочные станции после того, как у клиентов было украдено более 1 миллиона фунтов стерлингов.^[40]

В октябре 2008 года сообщалось, что сотни устройств чтения карт EMV для использования в Великобритании, Ирландии, Нидерландах, Дании и Бельгии были искусно взломаны в Китае во время или вскоре после производства. За 9 месяцев были отправлены реквизиты и PIN-коды кредитных и дебетовых карт. мобильный телефон сети для преступников в Лахор, Пакистан. Исполнительный директор Национальной контрразведки США Джоэл Бреннер сказал: "Ранее только состояние нации с спецслужба были бы в состоянии осуществить этот тип операции. Это страшно ». Данные обычно использовались через пару месяцев после транзакции по карте, чтобы следователям было труднее выявить уязвимость. После обнаружения мошенничества было обнаружено, что взломанные терминалы могут быть идентифицированы, поскольку дополнительная схема увеличивает их вес примерно на 100 г. Считается, что были украдены десятки миллионов фунтов стерлингов.^[41] Эта уязвимость подтолкнула к усилиям по внедрению лучшего контроля над электронными POS-устройствами на протяжении всего их жизненного цикла, практика, одобренная стандартами безопасности электронных платежей, например, разработанными Secure POS Vendor Alliance (SPVA).^[42]

Сбор PIN-кода и клонирование полосы

В феврале 2008 года BBC Newsnight программа исследователей Кембриджского университета Стивен Мердок и Саар Дример продемонстрировал один пример атаки, чтобы проиллюстрировать, что чип и PIN-код недостаточно безопасны, чтобы оправдать передачу ответственности за доказательство мошенничества с банков на клиентов.^[43][44] Эксплуатация Кембриджского университета позволила экспериментаторам получить данные карты для создания магнитной полосы и ПИН-кода.

APACS Платежная ассоциация Великобритании не согласилась с большей частью отчета, заявив, что «типы атак на устройства для ввода PIN-кодов, описанные в этом отчете, сложно предпринять, и в настоящее время мошенники экономически нецелесообразны».^[45] Они также заявили, что изменения в протоколе (указание различных значений верификации карты между чипом и магнитной полосой - iCVV) сделают эту атаку неэффективной с января 2008 года. В октябре 2008 года было сообщено о мошенничестве, которое действовало в течение 9 месяцев (см. Выше). вероятно, в то время находился в эксплуатации, но не был обнаружен в течение многих месяцев.

В августе 2016 года исследователи компьютерной безопасности NCR (компания платежных технологий) показали, как похитители кредитных карт могут переписать код магнитной полосы, чтобы она выглядела как карта без чипа, что позволяет подделку.^{[нужна цитата ]}

2010: Скрытое оборудование отключает проверку PIN-кода на украденной карте

11 февраля 2010 года команда Мердока и Драймера из Кембриджского университета объявила, что они обнаружили «недостаток в микросхеме и ПИН-коде, настолько серьезный, что они думают, что он показывает, что вся система нуждается в переписывании», который был «настолько прост, что их шокировал».^[46][47] Украденная карта подключена к электронной схеме и к поддельной карте, которая вставляется в терминал ("атака "человек посередине" "). Любые четыре цифры вводятся и принимаются как действительный PIN-код.^{[нужна цитата ]}

Команда BBC's Newsnight Программа посетила кафетерий Кембриджского университета (с разрешения) с системой и смогла оплатить с помощью своих собственных карт (вор использовал украденные карты), подключенных к сети, вставив поддельную карту и набрав «0000» в качестве ПИН-кода. Транзакции регистрировались в обычном режиме и не фиксировались системами безопасности банков. Один из членов исследовательской группы сказал: «Даже мелкие криминальные системы имеют лучшее оборудование, чем у нас. Уровень технической сложности, необходимой для проведения этой атаки, действительно довольно низок». В объявлении об уязвимости говорилось: «Требуемый опыт невысокий (электроника на уровне бакалавриата) ... Мы оспариваем утверждение банковского сектора о том, что преступники недостаточно искушены, потому что они уже продемонстрировали гораздо более высокий уровень навыков. чем это необходимо для этой атаки, в их миниатюрных скиммерах для ввода ПИН-кода ". Неизвестно, использовалась ли эта уязвимость.^{[нужна цитата ]}

EMVCo не согласился и опубликовал ответ, в котором говорилось, что, хотя такая атака может быть теоретически возможной, ее будет чрезвычайно сложно и дорого провести успешно, что текущие компенсирующие меры, вероятно, обнаружат или ограничат мошенничество, и что возможная финансовая выгода от атака минимальна, в то время как риск отклонения транзакции или разоблачения мошенника высок.^[48]

Когда к нам обратились за комментариями, несколько банков (Кооперативный банк, Barclays и HSBC) сказали, что это проблема всей отрасли, и сослались на Newsnight команде банковской торговой ассоциации для дальнейших комментариев.^[49] По словам Фила Джонса из Ассоциация потребителей, Чип и PIN-код помогли снизить количество карточных преступлений, но многие случаи остаются необъясненными. «Что мы действительно знаем, так это то, что у нас есть дела, выдвинутые отдельными лицами, которые кажутся весьма убедительными».^{[нужна цитата ]}

Поскольку отправка ПИН-кода подавлена, это точный эквивалент выполнения продавцом транзакции обхода ПИН-кода. Такие транзакции не могут быть успешными в автономном режиме, поскольку карта никогда не генерирует автономную авторизацию без успешного ввода ПИН-кода. В результате этого транзакция ARQC должна быть отправлена ​​онлайн эмитенту, который знает, что ARQC был сгенерирован без успешной отправки PIN-кода (поскольку эта информация включена в зашифрованный ARQC) и, следовательно, может отклонить транзакцию, если это было связано с высоким значением, несоответствием характеру или иным образом выходящим за рамки типичных параметров управления рисками, установленных эмитентом.^{[нужна цитата ]}

Первоначально клиенты банка должны были доказать, что они не проявили халатность со своим PIN-кодом, прежде чем получить компенсацию, но правила Великобритании, действующие с 1 ноября 2009 года, жестко возлагали бремя на банки, чтобы доказать, что клиент проявил халатность в любом споре, с Заказчику дано 13 месяцев на предъявление претензии.^[50] Мердок сказал, что «[банкам] следует оглянуться на предыдущие транзакции, в которых клиент сказал, что его PIN-код не использовался, а банковская запись показала, что это было так, и рассмотреть вопрос о возмещении этим клиентам, поскольку они могли быть жертвами такого типа мошенничества. "^{[нужна цитата ]}

2011: переход на более раннюю версию CVM позволяет произвольно извлекать PIN-код

На конференции CanSecWest в марте 2011 года Андреа Барисани и Даниэле Бьянко представили исследование, раскрывающее уязвимость в EMV, которая допускает произвольный сбор PIN-кода, несмотря на конфигурацию карты проверки держателя карты, даже если данные поддерживаемых CVM подписаны.^[51]

Сбор ПИН-кода может выполняться с помощью флотатора. По сути, список CVM, который был изменен для понижения CVM до автономного ПИН-кода, по-прежнему соблюдается POS-терминалами, несмотря на то, что его подпись недействительна.^[52]

Выполнение

Первоначально EMV означало "Europay, Mastercard, и Visa ", три компании, создавшие стандарт. В настоящее время стандартом управляет EMVCo, консорциум финансовых компаний.^{[нужна цитата ]} Наиболее известные микросхемы стандарта EMV:^{[когда? ]}

• VIS: Visa
• Чип Mastercard: Mastercard
• AEIPS: American Express
• UICS: China Union Pay
• J Smart: JCB
• D-PAS: Discover / Diners Club International
• Рупай: NPCI
• Verve

Visa и Mastercard также разработали стандарты использования карт EMV в устройствах для поддержки карта не представлена ​​транзакции (CNP) по телефону и через Интернет. Mastercard имеет Программа аутентификации чипа (CAP) для безопасной электронной коммерции. Его реализация известна как EMV-CAP и поддерживает несколько режимов. Visa имеет схему динамической аутентификации с использованием пароля (DPA), которая является их реализацией CAP с использованием различных значений по умолчанию.

Во многих странах мира платежные системы дебетовыми и / или кредитными картами ввели сдвиг ответственности.^{[нужна цитата ]} Обычно за мошеннические транзакции несет ответственность эмитент карты. Однако после внедрения сдвига ответственности, если банкомат или торговый терминал продавца не поддерживает EMV, владелец банкомата или продавец несет ответственность за мошенническую транзакцию.

Системы с чипом и PIN-кодом могут создавать проблемы для путешественников из стран, которые не выпускают карты с чипом и PIN-кодом, поскольку некоторые розничные продавцы могут отказать в приеме их бескиповых карт.^[53] Хотя большинство терминалов по-прежнему принимают карты с магнитной полосой, а основные бренды кредитных карт требуют, чтобы продавцы принимали их,^[54] некоторые сотрудники могут отказать в приеме карты, полагая, что они несут ответственность за любое мошенничество, если карта не может подтвердить PIN-код. Карты без чипа и PIN-кода могут также не работать в некоторых автоматических торговых автоматах, например, на вокзалах или в кассах самообслуживания в супермаркетах.^[55]

Африка

• Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2006 года.^[56] К 1 октября 2010 г. произошло изменение обязательств по всем операциям в точках продаж.^[57]
• Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.^[58]

Южная Африка

• Смена ответственности Mastercard произошла 1 января 2005 года.^[56]

Страны Азиатско-Тихоокеанского региона

• Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2006 года.^[56] К 1 октября 2010 года произошло изменение обязательств по всем операциям в точках продаж, за исключением внутренних операций в Китае и Японии.^[57]
• Сдвиг ответственности Visa для точек продаж состоялся 1 октября 2010 года.^[58] Для банкоматов дата сдвига ответственности произошла 1 октября 2015 года, за исключением Китая, Индии, Японии и Таиланда, где сдвиг ответственности произошел 1 октября 2017 года.^[59] Внутренние банкоматы в Китае в настоящее время не подлежат переносу ответственности.

Австралия

• Mastercard требует, чтобы все терминалы в торговых точках были совместимы с EMV к апрелю 2013 года. Сдвиг ответственности для банкоматов произошел в апреле 2012 года. К концу 2015 года банкоматы должны быть совместимы с EMV.^[60]
• Изменение ответственности Visa за банкоматы произошло 1 апреля 2013 года.^[58]

Малайзия

• Малайзия - первая страна в мире, полностью перешедшая на смарт-карты, совместимые с EMV, через два года после их внедрения в 2005 году.^[61][62]

Новая Зеландия

• Mastercard требует, чтобы все терминалы в торговых точках были совместимы с EMV к 1 июля 2011 года. Для банкоматов смещение ответственности произошло в апреле 2012 года. Банкоматы должны быть совместимы с EMV к концу 2015 года.^[60]
• Сдвиг ответственности Visa для банкоматов произошел 1 апреля 2013 года.^[58]

Европа

• Смена ответственности Mastercard произошла 1 января 2005 года.^[56]
• Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.^[58]
• Франция сократила количество случаев мошенничества с картами более чем на 80% с момента его введения в 1992 г. (см. Carte Bleue ).

объединенное Королевство

Чип и PIN-код Великобритании логотип

Чип и ПИН-код были опробованы в Нортгемптон, Англия с мая 2003 г.,^[63] и в результате был развернут по всей стране в объединенное Королевство 14 февраля 2006 г.^[64] с рекламой в прессе и на национальном телевидении, рекламирующей лозунг «Безопасность в цифрах». На первых этапах развертывания, если считалось, что произошла мошенническая транзакция с магнитной картой, банк-эмитент возвращал продавцу деньги, как это было до введения чипа и PIN-кода. 1 января 2005 г. ответственность по таким операциям перешла к розничному продавцу; это послужило стимулом для розничных продавцов обновлять свои торговая точка (PoS) системы и большинство крупных уличных сетей обновлены вовремя к крайнему сроку EMV. Многие малые предприятия изначально не хотели обновлять свое оборудование, поскольку для этого требовалась совершенно новая система PoS - значительные вложения.

Новые карты с магнитными полосами и чипами теперь выпускаются всеми крупными банками. Замена карт с предварительным чипом и PIN-кодом была серьезной проблемой, поскольку банки просто заявили, что потребители получат свои новые карты «по истечении срока действия их старой карты» - несмотря на то, что многие люди имели карты со сроком действия еще в 2007 году. Выключатель потерял крупный контракт с HBOS к Visa, так как они не были готовы к выпуску новых карт так рано, как того требовал банк.

Внедрение чипа и PIN-кода подверглось критике как предназначенное для снижения ответственности банков в случаях заявленного мошенничества с картами, требуя от клиента доказать, что он действовал «с разумной осторожностью» для защиты своего PIN-кода и карты, а не о том, что банк должен доказать совпадение подписи. До появления чипа и PIN-кода, если подпись клиента была подделана, банки юридически ответственный и пришлось возместить заказчику. До 1 ноября 2009 г. не существовало такого закона, защищающего потребителей от мошеннического использования их чипов и PIN-кодов, только добровольные Банковский кодекс. Было много сообщений о том, что банки отказывались возмещать жертвам мошенничества с использованием карт, утверждая, что их системы не могут выйти из строя в указанных обстоятельствах, несмотря на несколько задокументированных успешных крупномасштабных атак.^{[нужна цитата ]}

В Положение о платежных услугах 2009 г. вступил в силу 1 ноября 2009 г.^[65] и переложил бремя на банки, чтобы доказать, а не предполагать, что владелец карты виноват.^[50] В Управление финансовых услуг (FSA) заявило, что "банк, строительный кооператив или компания, выпускающая кредитные карты, должны доказать, что транзакция была совершена вами, и не было никаких сбоев в процедурах или технических трудностей", прежде чем отказаться от ответственности.

Латинская Америка и Карибский бассейн

• Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2005 года.^[56]
• Сдвиг ответственности Visa для точек продаж состоялся 1 октября 2012 года для всех стран в этом регионе, которые еще не внедрили изменение ответственности. Для банкоматов сдвиг ответственности произошел 1 октября 2014 года для всех стран в этом регионе, которые еще не внедрили сдвиг ответственности.^[58]

Бразилия

• Изменение ответственности Mastercard произошло 1 марта 2008 года.^[56]
• Сдвиг ответственности Visa для точек продаж произошел 1 апреля 2011 года. Сдвиг ответственности в отношении банкоматов произошел 1 октября 2012 года.^[58]

Колумбия

• Смена ответственности Mastercard произошла 1 октября 2008 года.^[56]

Мексика

• 1 октября 2015 года Discover внедрила сдвиг ответственности. Что касается оплаты за насос на заправочных станциях, то сдвиг ответственности произошел 1 октября 2017 года.^[66]
• Сдвиг ответственности Visa для точек продаж произошел 1 апреля 2011 года. Сдвиг ответственности в отношении банкоматов произошел 1 октября 2012 года.^[58]

Венесуэла

• Смена ответственности Mastercard произошла 1 июля 2009 года.^[56]

Средний Восток

• Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2006 года.^[56] К 1 октября 2010 г. произошло изменение обязательств по всем операциям в точках продаж.^[57]
• Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.^[58]

Северная Америка

Канада

• 31 октября 2012 года компания American Express осуществила сдвиг ответственности.^{[67][рекламный источник? ]}
• 1 октября 2015 года Discover внедрила сдвиг ответственности для всех транзакций, за исключением операций с оплатой по факту на АЗС; эти операции были перенесены 1 октября 2017 года.^{[66][требуется сторонний источник ]}
• Interac (Канадская сеть дебетовых карт) прекратила обработку не-EMV-транзакций в банкоматах 31 декабря 2012 года и ввела обязательные транзакции EMV в торговых точках 30 сентября 2016 года, а 31 декабря 2015 года произошел сдвиг в ответственности.^{[68][неудачная проверка ][требуется сторонний источник ]}
• 31 марта 2011 года Mastercard внедрила сдвиг обязательств по внутренним операциям, а 15 апреля 2011 года - сдвиг по международным обязательствам. Для оплаты на заправочных станциях сдвиг ответственности был введен 31 декабря 2012 года.^[67]
• 31 марта 2011 года Visa осуществила сдвиг обязательств по внутренним операциям, а 31 октября 2010 года - сдвиг по международным обязательствам. Для оплаты на заправочных станциях сдвиг ответственности был осуществлен 31 декабря 2012 года.^[67]
• За 5-летний период после перехода на EMV количество мошеннических транзакций с использованием внутренних карт-карт в Канаде значительно сократилось. В соответствии с Helcim Согласно отчетам, мошенничество с использованием внутренних дебетовых карт с предъявлением карты сократилось на 89,49%, а мошенничество с кредитными картами - на 68,37%.^{[69][рекламный источник? ]}

Соединенные Штаты

После повсеместного кража личных данных из-за слабой безопасности в торговых точках Цель, Home Depot, и другие крупные розничные продавцы, Visa, Mastercard и Discover^[70] в марте 2012 года - и American Express^[71] в июне 2012 г. - объявили о своих планах перехода на EMV в США.^[72] С момента объявления несколько банков и эмитентов карт анонсировали карты с технологией чипа и подписи EMV, включая American Express, Bank of America, Citibank, Уэлс Фарго,^[73] JPMorgan Chase, Банк США и несколько кредитных союзов.

В 2010 году ряд компаний начали выпускать предоплаченные дебетовые карты с чипом и PIN-кодом, позволяющие американцам загружать наличные по мере необходимости. евро или же фунт стерлингов.^{[74][рекламный источник? ]} Федеральный кредитный союз ООН был первым эмитентом в США, который предложил кредитные карты с чипом и PIN-кодом.^[75] В мае 2010 г. вышел пресс-релиз от Gemalto (мировой производитель карт EMV) указал, что Федеральный кредитный союз ООН в Нью-Йорке станет первым эмитентом карт EMV в Соединенных Штатах, предлагающим своим клиентам кредитную карту EMV Visa.^[76] JPMorgan стал первым крупным банком, который в середине 2012 года представил карту с технологией EMV, а именно карту Palladium.^[77]

По состоянию на апрель 2016 года 70% потребителей в США имеют карты EMV, а по состоянию на декабрь 2016 года примерно 50% продавцов соответствуют требованиям EMV.^[78][79] Однако развертывание у разных поставщиков было медленным и непоследовательным. Даже продавцы с оборудованием EMV могут быть не в состоянии обрабатывать транзакции с чипами из-за недостатков программного обеспечения или нормативных требований.^[80] Bloomberg также указал на проблемы с развертыванием программного обеспечения, включая изменения звуковых подсказок для Verifone машины, на выпуск и развертывание программного обеспечения которых может уйти несколько месяцев. Однако отраслевые эксперты ожидают в США большей стандартизации развертывания программного обеспечения и стандартов. Visa и Mastercard оба внедрили стандарты для ускорения транзакций с чипами, чтобы сократить время, необходимое для их выполнения, до менее трех секунд. Эти системы обозначены как Visa Quick Chip и Mastercard M / Chip Fast.^[81]

• 1 октября 2015 года American Express ввела сдвиг ответственности в отношении терминалов продаж.^{[82][рекламный источник? ]} Для оплаты на заправочной станции на заправочных станциях смещение ответственности наступает 16 апреля 2021 года. Оно было продлено с 1 октября 2020 года из-за осложнений, связанных с коронавирусом.^[83]

• Откройте для себя введенную смену ответственности 1 октября 2015 года. Для оплаты на заправочной станции на заправочных станциях смена ответственности наступает 1 октября 2020 года.^[66]
• 19 апреля 2013 года Maestro ввела сдвиг ответственности для международных карт, используемых в США.^[84]
• 1 октября 2015 года Mastercard внедрила смену ответственности для торговых терминалов.^[82] Для оплаты на заправочной станции на заправочных станциях смена ответственности формально наступает 1 октября 2020 года.^[85] Для банкоматов дата смены ответственности приходилась на 1 октября 2016 года.^[86][87]
• Visa ввела сдвиг ответственности для терминалов в торговых точках 1 октября 2015 года. Для оплаты на заправке на заправочных станциях сдвиг ответственности формально наступает 1 октября 2020 года.^[85][88] Для банкоматов дата смены ответственности приходилась на 1 октября 2017 года.^[59]

Смотрите также

• Бесконтактная оплата
• Атака на цепочку поставок
• Двухфакторная аутентификация
• Код MM

Рекомендации

внешняя ссылка

• Официальный веб-сайт
• Почему EMV чип Используется в дебетовой / кредитной карте.