ISO 9564 - Википедия - ISO 9564

Эта статья слишком полагается на Рекомендации к основные источники. Пожалуйста, улучшите это, добавив вторичные или третичные источники. (Октябрь 2016) (Узнайте, как и когда удалить этот шаблон сообщения)

ISO 9564 является Международный стандарт за персональный идентификационный номер (PIN) управление и безопасность в финансовые услуги.

PIN-код используется для проверки личности клиента (пользователя банковская карта ) в пределах электронный перевод денежных средств системе и (как правило) для авторизации перевода или снятия средств. Поэтому важно защитить PIN-коды от несанкционированного раскрытия или неправильного использования. Современные банковские системы требуют взаимодействия между различными Устройства ввода PIN-кода, смарт-карты, картридеры, эмитенты карт, банки-эквайеры и розничные торговцы - включая передачу PIN-кодов между этими объектами - поэтому требуется общий набор правил для обработки и защиты PIN-кодов, как для обеспечения технической совместимости, так и для взаимно согласованного уровня безопасности. ISO 9564 предоставляет принципы и методы для удовлетворения этих требований.

ISO 9564 состоит из трех частей:^{[Примечание 1]} под общим названием Финансовые услуги - управление персональным идентификационным номером (PIN) и безопасность.

Часть 1: Основные принципы и требования к PIN-кодам в карточных системах

ISO 9564-1: 2011^[1] определяет основные принципы и методы безопасного управления PIN-кодами. Он включает как общие принципы, так и конкретные требования.

Основные принципы

Основные принципы управления PIN-кодом включают:

• Функции управления PIN-кодом должны быть реализованы в программном и аппаратном обеспечении таким образом, чтобы функциональность не могла быть изменена. без обнаружения, и что данные нельзя получить или использовать неправильно.
• Шифрование одного и того же PIN-кода тем же ключом, но для другого банковский счет не должен предсказуемо давать одинаковый зашифрованный текст.
• Безопасность шифрования PIN-кода зависит от секретности ключа, а не от секретность алгоритма.
• PIN-код должен всегда храниться зашифрованный или физически защищен.
• Только клиент (то есть пользователь карты) и / или уполномоченный персонал эмитента карты должны участвовать в выборе или выдаче PIN-кода. Если задействован персонал эмитента карты, должны использоваться соответствующие строго соблюдаемые процедуры.
• Сохраненный зашифрованный PIN-код должен быть защищен от подмены.
• PIN-код должен быть отозван, если он скомпрометирован или предположительно.
• Эмитент карты несет ответственность за проверку PIN-кода.
• Клиент должен быть проинформирован о важности сохранения ПИН-кода в секрете.

Устройства ввода PIN-кода

Стандарт определяет некоторые требуемые или рекомендуемые характеристики Устройства ввода PIN-кода (также известен как Контактные площадки ), то есть устройство, в которое клиент вводит PIN-код, в том числе:

• Все устройства ввода PIN-кода должны позволять вводить цифры от нуля до девяти. На цифровых клавишах также могут быть напечатаны буквы, например согласно E.161. Эти письма предназначены только для удобства клиентов; внутри устройство ввода PIN-кода обрабатывает только цифры. (Например, стандарт не поддерживает мульти-касание или аналогичный.) Стандарт также рекомендует предупредить клиентов о том, что не все устройства могут иметь буквы.
• Устройство для ввода ПИН-кода должно быть физически защищенный так что невозможно изменить его работу или извлечь PIN-коды или ключи шифрования от него.
• Устройство ввода PIN-кода должно быть спроектировано или установлено таким образом, чтобы другие люди не могли наблюдение за PIN-кодом при его вводе.
• Раскладка клавиатуры должна быть стандартизированной, с последовательными и однозначными обозначениями для функциональных клавиш, такими как «ввод», «очистить» (эта запись) и «отменить» (транзакция). Стандарт также рекомендует определенные цвета для функциональных клавиш: зеленый для ввода, желтый для очистки, красный для отмены.

Считыватели смарт-карт

PIN-код может храниться в безопасном интеллектуальная карточка, и проверено не в сети по этой карте. Устройство ввода PIN-кода и читатель Используемая для карты, которая будет проверять ПИН-код, может быть интегрирована в единое физически защищенное устройство, но это не обязательно.

Дополнительные требования, предъявляемые к устройствам чтения смарт-карт, включают:

• В картридер должен быть сконструирован таким образом, чтобы никто не мог контролировать обмен данными с картой, вставляя устройство мониторинга в слот для карты.
• Если устройство ввода PIN-кода и считыватель карт не являются одновременно частью интегрированного защищенного блока, тогда PIN-код должен быть зашифрован, пока он передается от устройства ввода PIN-кода на считыватель карт.

Другие особые требования к контролю PIN

Другие особые требования включают:

• Все аппаратное и программное обеспечение, используемое для обработки PIN-кодов, должно быть реализовано таким образом, чтобы:
  • Их правильное функционирование может быть гарантировано.
  • Их нельзя изменить или получить к ним доступ без обнаружения.
  • Данные не могут быть подвергнуты несанкционированному доступу, изменению или неправильному использованию.
  • PIN-код не может быть определен перебор.
• ПИН-код не передается устно. В частности, банковский персонал никогда не должен просить клиента раскрыть ПИН-код или рекомендовать его значение.
• Ключи шифрования PIN-кода не должны использоваться для каких-либо других целей.

Длина ПИН

Стандарт определяет, что PIN-коды должны быть длиной от четырех до двенадцати цифр, при этом отмечается, что более длинные PIN-коды более безопасны, но их сложнее использовать. Это также предполагает, что эмитент не должен назначать ПИН-коды длиной более шести цифр.

Выбор PIN-кода

Есть три приемлемых метода выбора или создания ПИН-кода:

назначенный производный PIN

Эмитент карты генерирует PIN-код, применяя некоторую криптографическую функцию к номеру счета или другому значению, связанному с клиентом.

присвоенный случайный PIN-код

Эмитент карты генерирует значение ПИН-кода, используя генератор случайных чисел.

PIN-код, выбранный клиентом

Покупатель выбирает значение ПИН-кода.

Выдача и доставка PIN-кода

Стандарт включает требования к хранению PIN-кода в секрете при его передаче после генерации от эмитента к клиенту. К ним относятся:

• Персонал, выдающий карты, никогда не может получить PIN-код.
• PIN-код может быть отображен или распечатан для клиента только соответствующим образом безопасным способом. Один метод - это Почтовая программа с PIN-кодом, конверт, сконструированный так, что его можно печатать без отображения PIN-кода (даже во время печати), пока конверт не будет открыт. Почтовая рассылка с PIN-кодом также должна быть сконструирована таким образом, чтобы любое предыдущее открытие было очевидно для клиента, который затем узнает, что PIN-код мог быть раскрыт.
• PIN-код никогда не должен отображаться там, где он может быть связан с учетной записью клиента. Например, почтовая рассылка с PIN-кодом не должна включать номер счета, а должна содержать только информацию, достаточную для ее физической доставки (например, имя и адрес). ПИН-код и связанная с ним карта не должны отправляться по почте вместе или одновременно.

Шифрование PIN

Чтобы защитить PIN-код во время передачи от устройства ввода PIN-кода к верификатору, стандарт требует, чтобы PIN-код был зашифрован, и определяет несколько форматов, которые могут использоваться. В каждом случае PIN-код кодируется в Блокировка PIN, который затем шифруется «утвержденным алгоритмом», согласно часть 2 стандарта).

Форматы ПИН-блока:

Формат 0

Блок PIN построен XOR -ing два 64-битных поля: текстовое поле PIN и поле номера счета, оба из которых содержат 16 четырехбитных грызет.

Текстовое поле PIN-кода:

• один полубайт со значением 0, который идентифицирует его как блок формата 0
• один полубайт, кодирующий длину N PIN-кода
• N полубайты, каждый кодирует одну цифру ПИН
• 14−N кусочки, каждый держит "наполнять "значение 15 (т. е. 1111₂)

Поле номера счета:

• четыре полубайта с нулевым значением
• 12 полубайтов, содержащих самые правые 12 цифр номер основного счета (PAN), за исключением контрольная цифра

Формат 1

Этот формат следует использовать при отсутствии PAN. Блок ПИН-кода создается путем объединения ПИН-кода с номером транзакции, таким образом:

• один полубайт со значением 1, который идентифицирует его как блок формата 1
• один полубайт, кодирующий длину N PIN-кода
• N полубайты, каждый кодирует одну цифру ПИН
• 14−N полубайты, кодирующие уникальное значение, которое может быть порядковым номером транзакции, отметкой времени или случайным числом

Формат 2

Формат 2 предназначен для локального использования только с автономными системами, например смарт-карты. Блок ПИН-кода создается путем объединения ПИН-кода со значением-заполнителем, таким образом:

• один полубайт со значением 2, который идентифицирует его как блок формата 2
• один полубайт, кодирующий длину N PIN-кода
• N полубайты, каждый кодирует одну цифру ПИН
• 14−N полубайтов, каждый из которых содержит значение заполнения 15 (т. е. 1111₂)

(За исключением значения формата в первом полубайте, это идентично текстовому полю ПИН-кода формата 0.)

Формат 3

Формат 3 такой же, как формат 0, за исключением того, что «заполняющие» цифры представляют собой случайные значения от 10 до 15, а первый полубайт (который определяет формат блока) имеет значение 3.

Расширенные ПИН-блоки

Форматы от 0 до 3 подходят для использования с Алгоритм тройного шифрования данных, поскольку они соответствуют его 64-битной размер блока. Однако стандарт допускает другие алгоритмы шифрования с большими размерами блоков, например то Расширенный стандарт шифрования имеет размер блока 128 бит. В таких случаях PIN-код должен быть закодирован в расширенный блок PIN, формат которого определен в поправке 2015 г. к ISO 9564-1.^[2]

Часть 2: Утвержденные алгоритмы шифрования PIN-кода

ISO 9564-2: 2014^[3] указывает, какие алгоритмы шифрования могут использоваться для шифрования PIN-кодов. Утвержденные алгоритмы:

• Алгоритм тройного шифрования данных
• ЮАР;
• Расширенный стандарт шифрования

Часть 3 (снята)

ISO 9564-3 Часть 3: Требования к автономной обработке ПИН-кода в системах банкоматов и кассовых терминалов,^[4] последнее издание было опубликовано в 2003 г., оно было отозвано в 2011 г. часть 1.

Часть 4: Требования к обработке PIN-кода в электронной коммерции для платежных транзакций

Эта секция нуждается в расширении. Вы можете помочь добавляя к этому. (Октябрь 2016)

ISO 9564-4: 2016^[5] определяет минимальные требования безопасности и методы использования ПИН-кодов и устройств ввода ПИН-кодов в электронная коммерция.

Примечания

Рекомендации

внешняя ссылка

• Полный список PIN-блоков, с примерами