Emv crypto на чеке что это

О банковских картах стандарта EMV

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Уже давно безвозвратно ушли те времена, когда все получали зарплату наличными, а потом прятали полученные деньги под матрасом или в шкафу с вещами. Сейчас в нашу жизнь вошли пластиковые карты: на их счета мы получаем оплату своего труда, с их помощью можно снимать деньги и проводить безналичные расчеты.

«Новое слово»: стандарт EMV

Владельцы самых первых банковских карт помнят, что на их оборотной полосе была только магнитная полоса, которая «хранила» в себе сведения о владельце карты, а также всю необходимую информацию для аутентификации клиента. С 2010 года был внедрен новый стандарт EMV, согласно которому все банковские карты, выпущенные с момента его принятия, должны иметь специальный микрочип. Микропроцессорные карты теперь используют практически во всех уголках мира: они дают клиентам банков максимальную защиту от посягательств на их деньги.

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Что дает нам EMV?

Новый стандарт EMV – это не только появление на карте микропроцессорного чипа. Технология использования чипового микропроцессора – это:

В общем, оплата банковской картой с чипом EMV или снятие денег в банкомате теперь защищены по полной программе!

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Совместное использование с магнитной полосой

Вы наверняка уже заметили, что на оборотной стороне вашей карты есть не только EMV-чип, внешне напоминающий СИМ-карту. Да, на ней есть и та самая устаревшая магнитная полоса. Зачем? Все просто. Стандарт EMV разрешает совместное использование полосы и чипа.

Магнитная полоса пригодится вам в том случае, когда поблизости не окажется банкоматов или мест, принимающих чиповые карты. Она также дает возможность оплачивать различные услуги в терминалах, кассах и других местах.

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Сегодня EMV – главный мировой стандарт. Карты с микропроцессорным чипом – самые популярные пластиковые карты среди жителей всего земного шара. Технологии не стоят на месте, и, вполне возможно, скоро мы получим еще большую степень защиты денежных средств. А пока все пользуются карточками с чипами – простыми и надежными средствами управления финансами.

Источник

EMV 3-D Secure, или кто украл SMS с одноразовым паролем. Часть 1

Введение

Обеспечение безопасности при проведении платежей было и остается одной из главнейших задач любой платежной системы. Инженеры и криптографы работают над созданием новых алгоритмов и систем защиты, а злоумышленники пытаются найти в этой защите уязвимые места. Значительный рост безопасности платежных карт пришелся на период с 2000 по 2010 годы, когда внедрение стандарта EMV для физических карт и 3-D Secure для платежей в интернете сильно ограничили возможности мошенников в подделке карт и эксплуатации украденных реквизитов.

В итоге технически платежные карты оказались защищены настолько хорошо, что самым слабым звеном при совершении платежей оказался человек, и внимание злоумышленников во всем мире начиная с 2010-х годов все сильнее акцентируется именно на нем.

В то же время реальный опыт показал, что внедрение дополнительных ступеней защиты не только снижает удобство для конечного пользователя, но и уменьшает долю успешно завершающихся платежей, так называемую конверсию.
Потеря конверсии обозначает, что магазин недополучит прибыль, а держатель карты не совершит желанную покупку. Таким образом, проигравшими оказываются все.

Меня зовут Алексей Касякин, я технический владелец платформы 3-D Secure в НСПК. Вместе с Сергеем Лысенко (в НСПК руководит развитием EMV 3DS 2.0) и Алексеем Крутиковым (лидер команды разработки платформы) мы хотим рассказать про технологию 3-D Secure, ее историю, основные проблемы и перспективы развития. А также о том, почему не надо бояться, если перестал приходить одноразовый пароль.

Краткая история 3-D Secure 1.0

В конце 1990-х годов наблюдалось стремительное проникновение интернета в повседневную жизнь человека. Появившийся канал продаж через интернет открыл новую страницу в истории торговли и вызвал взрывной рост дистанционных платежей по банковским картам. Одновременно стремительно растет доля мошенничества с картами в интернете, т.к. для совершения платежа достаточно было иметь только номер карты и срок действия.

Платежные системы реагируют на новую угрозу вводом нового защитного параметра, который печатается на обратной стороне карты. Он призван гарантировать, что платеж совершает именно владелец карты. Однако из-за малой длины кода (3 символа) существует возможность подсмотреть его при оплате товаров на кассе или заполучить его путем кражи физической карты.

Тогда острая необходимость защитить дистанционные платежи и привела к появлению первого стандарта безопасности 3-D Secure. Он позволяет банку в момент оплаты запросить у держателя карты дополнительное подтверждение, без которого оплата не проводится. С тех пор уже более 20 лет технология 3-D Secure обеспечивает безопасность платежей, совершаемых в интернете.

Схема работы 3-D Secure 1.0.2

Протокол описывает взаимодействие трех сторон, называемых доменами (domain), что отражено в названии «3D». Принятие решения о возможности совершения операции с привлечением трех независимых доменов стало основной идеей технологии.
Выделим эти домены и зоны их ответственности:

Домен Эквайрера – включает интернет-магазин и банк, обслуживающий его счет и операции (Эквайрер). Этот домен отвечает за выстраивание коммерческих отношений с покупателем, а также за проведение финансовой составляющей операции через платежную систему. Именно из домена Эквайрера инициируется проведение платежной операции. Основной 3DS-компонент в домене Эквайрера называется MPI (Merchant Plugin Interface).

Домен взаимодействия – это платежная система (ПС). Платежная система обеспечивает взаимодействие между доменом Эквайрера и доменом Эмитента, устанавливает правила этого взаимодействия, определяет требования к безопасности, а также предоставляет возможность совершения финансовой части операции. Основной 3DS-компонент в домене ПС называется DS (Directory Server).

Теперь, когда мы определились со всеми действующими лицами, давайте немного углубимся в техническую реализацию. Протокол 3-D Secure построен поверх HTTPS протокола с использованием сообщений в формате XML для передачи данных между доменами.
Упрощенная схема работы представлена на рисунке ниже.

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Выполнение платежа состоит из следующих шагов:

Держатель карты оформляет заказ в интернет-магазине с оплатой онлайн, на платежной странице вводит реквизиты карты и нажимает кнопку «Оплатить»

Данные с платежной страницы передаются в MPI

MPI отправляет в DS сообщение VEReq (1) с номером карты и данными об интернет-магазине

DS проверяет VEReq-сообщение, определяет банк-эмитент карты и отправляет сообщение VEReq (2) в ACS

ACS проверяет VEReq-сообщение и определяет возможность проведения аутентификации покупателя по 3-D Secure, после чего формирует сообщение VERes (3). Если проведение аутентификации возможно, в VERes передается URL страницы ACS, на которую должен быть перенаправлен пользователь. Сообщение VERes передается в DS

DS проверяет сообщение VERes и возвращает его обратно в MPI (4)

MPI формирует сообщение PAReq (5) с информацией об операции и техническими данными от ACS. Сообщение передается через браузер на URL-адрес ACS, полученный в VERes

ACS в ответ на запрос браузера PAReq (6) возвращает форму аутентификации держателя карты. Держатель видит поле ввода одноразового пароля

Держатель вводит полученный по sms/push код и нажимает кнопку «Подтвердить», код отправляется в ACS

ACS проверяет код и формирует сообщение PARes с результатом аутентификации и данными для выполнения финансовой составляющей операции. Сообщение PARes (7) передается через браузер на адрес MPI

MPI получает от браузера PARes (8), проверяет сообщение, включая подпись, и, в случае успеха, инициирует проведение финансовой части операции (авторизации)

MPI получает результат проведения авторизации и перенаправляет браузер обратно в интернет-магазин, держатель видит результат проведения платежа

Как видим, в процессе 3DS-аутентификации происходит обмен технической информацией между несколькими вовлеченными сторонами, при этом для пользователя процесс выглядит довольно просто.

Этапы развития 3-D Secure в России

Технология 3DS стала совершенно новым явлением в платежном пространства страны, поэтому её вхождение на российский рынок было непростым. Как следствие, внедрение 3DS поначалу сильно подорвало транзакционный поток, ту самую конверсию. Давайте вспомним, какие методы использовали банки для проверки клиента:

Статичный пароль. Наиболее простой способ, внедрялся одним из самых ранних. При первом платеже из интернет-магазина клиент переадресовывался на ACS, где должен был придумать пароль, заполнив регистрационную форму. Созданный пароль привязывался к карте. При последующих платежах появлялась страница аутентификации, где нужно было вводить этот пароль. Преимуществами этого способа была относительная простота и возможность быстро поменять пароль при необходимости. Какое-то время данный способ аутентификации считался безопасным и удобным. Но вскоре безопасность статичных паролей стала падать: их крали у клиентов, находя через браузеры «дыры» в безопасности; в колл-центрах банков могли быть «свои» люди, которые узнавали пароли; бывали даже случаи, когда пароль находили записанным на клочке бумаги в украденном кошельке, как это бывало и с ПИН-кодами. Спустя несколько лет после запуска статичные пароли перестали считаться безопасными и платежные системы настоятельно не рекомендуют их использовать для 3DS-аутентификации.

Скретч-карта. Это карта, на которой информация находится под стираемым слоем. Все мы хоть раз играли в моментальную лотерею или получали в магазинах подобные карты, с которых потом монеткой стирали слой, чтобы добраться до сокровенного. Для 3-D Secure выпускались подобные карты, на каждой находилось некоторое количество одноразовых паролей. Клиенты получали эти карты в отделениях банков. При очередном платеже на странице ACS требовалось ввести один из паролей со скретч-карты. Такой подход обеспечивал более высокий уровень безопасности, но возникали другие проблемы: одноразовые коды на карте заканчивались либо карта терялась, приходилось идти в отделение банка за новой. Клиенты забывали про это и сталкивались с проблемой уже при проведении платежа. Дальше начинались попытки вводить уже использованные коды и звонки в колл-центры банков с просьбами разрешить платеж со старым кодом, что было технически невозможно. В итоге падала и конверсия, и удовлетворенность клиента.

Коды на чеке. Этот подход схож с предыдущим вариантом, но тут одноразовые коды печатались на чеке при совершении операции в банкомате, где получать их было удобнее, чем в отделениях. Но чеки тоже можно было украсть. Причем в банкоматах появился еще один способ: имея дубликат карты, так называемый белый пластик, злоумышленник мог снять деньги, получить коды и расплатиться в интернете.

CAP-ридер (Chip Authentication Program). Это устройство, похожее на современные мобильные терминалы, при получении карты выдавалось клиенту. В него вставлялась карта, вводился код доступа, и на экране генерировался одноразовый пароль. Такой подход обеспечивал высокую криптографическую защиту, но не получил массового распространения ввиду большой цены CAP-ридера и неудобства использования.

Display Card – Банковская карта с генератором случайных паролей. Чуть больше можно прочитать здесь. Такие карты были и удобны, и безопасны, т.к. генератор паролей всегда был под рукой и имел устойчивую криптографическую защиту. Но были и серьезные минусы, не позволившие подобным картам распространиться массово. В первую очередь это цена, которая не рассчитана на массового клиента. Кроме того, в карте присутствовал автономный источник питания, который мог разрядиться раньше истечения срока действия карты, и в целом подобные карты были более уязвимы к механическим воздействиям.

С 2008-2009 года мобильные операторы в РФ начали постепенно снижать тарифы на отправку SMS. Благодаря этому стало возможным применение Dynamic OTP (One Time Password), который оказалось очень удобно отправлять в SMS-сообщении на телефонный номер клиента, привязанный к карте. После переадресации клиента на ACS (сообщение PAReq) ему отправлялся пароль в SMS, после ввода которого личность держателя карты считалась подтвержденной. Так как SMS-сообщения могут быть получены любым телефоном, именно они на тот момент имели наибольший потенциал как дешевый и надежный механизм подтверждения. В последнее время есть тренд перехода на Push сообщения в качестве более дешевого для банков способа. Кроме того, их нельзя перехватить на стороне мобильного оператора. В случае с SMS именно мобильный оператор становится дополнительным звеном в цепи «доверия», а в случае с роумингом – их несколько.

На сегодняшний день многими банками используется гибридная система из PUSH- и SMS-сообщений. Такой подход оправдан, т.к. приложение банка может быть не установлено, работать некорректно или не иметь доступ к интернету. В этом случае используется SMS. Тем не менее способ аутентификации с помощью OTP перестает удовлетворять современным требованиям удобства при совершении платежей, а мошенники находят все новые пути и возможности в получении OTP у клиентов. Большинство других описанных выше способов подтверждения со временем были заменены как небезопасные, слишком дорогие или неудобные для клиента.

Что потребовало улучшений в 3DS 1.0

Более двадцати лет первая версия протокола 3DS решает поставленную перед ней задачу обеспечения безопасности дистанционных платежей. Однако, любая технология устаревает, и с течением времени проявились некоторые особенности 3DS 1.0, которые потребовали следующих улучшений:

Повышение конверсии. Какой бы способ аутентификации ни использовался, любое дополнительное подтверждение платежа клиентом создает дополнительный барьер для завершения оплаты, от чего страдает и сам клиент, и магазин. Причины, по которым платеж не завершается, могут быть самыми разными:

Недоверие клиентов к всплывающим окнам и вводу в них кодов, страх быть обманутым.

Непонимание что именно требуется сделать для подтверждения оплаты.

Ошибки при вводе, ввод другого значения, например, ПИН; ввод не того кода со скретч-карты и т.д.

Плохое интернет-соединение, проблемы переадресации на ACS или обратно из ACS в магазин.

Отсутствие доступа к телефону, привязанному к карте.

Неуверенный прием, проблемы с отправкой SMS на стороне банка, либо с доставкой SMS на телефон клиента.

Адаптация к мобильным устройствам. Платежные системы при сертификации Эмитентов по технологии 3-D Secure 1.0 накладывали определенные требования по размеру и содержанию страницы аутентификации. Данные требования сильно ограничивают веб-разработчика в верстке этих страниц. В результате может получиться, что при попытке оплаты в красивом, современном интернет-магазине, нас переадресовывает на маленькую страницу где-то в углу экрана. При этом форма ввода кода в некоторых случаях может быть даже не видна. В случае использования мобильного устройства (доля оплат с которых растет каждый год), пользователь сталкивается с похожей проблемой: HTML-форма, предъявляемая Эмитентом, выглядит инородно в GUI мобильного приложения, ее масштаб и положение могут быть неудобны для пользователя.

Улучшение пользовательского опыта. За прошедшие 20 лет банки приучили клиентов, что ввод OTP – это нормально. Но в действительности менее 0,05 % всех операций являются мошенническими. То есть почти по всем операциям с вводом OTP на самом деле он не требуется, т.к. ее проводит легитимный владелец карты.

Для решения этих задач и была разработана следующая версия протокола – EMV 3DS 2.0. О его зарождении, возможностях и преимуществах, а также о его запуске в ПС «Мир» мы расскажем в следующей статье

Источник

Emv crypto на чеке что это

EMV — стандарт для пластиковых карт, совместно разработанный платежными системами Europay, Mastercard и Visa; название EMV составлено из первых букв названий этих компаний.

Повышенный уровень безопасности карт стандарта EMV обусловлен наличием встроенного чипа, который называется Secure Element. Чип может запускать приложения и обмениваться командами с кассовыми терминалами. Информация на чипе защищена, и считать ее технически гораздо сложнее, чем с магнитной полосы.

Типы карт стандарта EMV

Карты стандарта EMV бывают двух типов:

Разница между ними заключается в способе аутентификации транзакций: в первом случае для валидации транзакции пользователь должен ввести ПИН-код; во втором достаточно подписи. Карты с чипом и ПИН-кодом считаются более безопасными, так как подпись легко подделать. Карта может поддерживать и оба способа аутентификации — на выбор пользователя.

Безопасность и совместимость карт стандарта EMV

Большинство дебетовых и кредитных карт, выпущенных за последние годы, используют стандарт EMV. Поскольку полный переход на EMV требует значительных затрат времени со стороны как банков, так и магазинов, большинство карт стандарта EMV также имеют и магнитную полосу для совместимости со старым оборудованием, все еще используемым во многих странах.

Несмотря на то что карты стандарта EMV значительно более безопасны по сравнению с картами только с магнитной полосой, их все же можно клонировать из-за недостаточно жестких требований стандарта к аутентификации, некорректных реализаций стандарта EMV и возможности чипа загружать и выполнять произвольные программы. Поскольку основная масса карт стандарта EMV также оснащена и магнитной полосой, информация о карте может быть скопирована с помощью скиммеров — специальных устройств, используемых киберпреступниками для кражи данных банковских карт.

Некоторые карты стандарта EMV также поддерживают бесконтактные платежи с использованием технологии NFC. В таких картах вместе с чипом EMV установлены также чип NFC и RFID-антенна.

Публикации на схожие темы

Почему не стоит искать в Интернете «Мстители: Финал»

Как жулики используют цифрового двойника, чтобы расплатиться вашей картой

Facebook – между вами и банком

Киберугрозы для финансовых организаций в 2022 году

Развитие информационных угроз в третьем квартале 2021 года

Развитие информационных угроз в третьем квартале 2021 года. Мобильная статистика

Источник

Близкие контакты. Разбираемся, как работают системы безопасности кредитных карт

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

Содержание статьи

Номер карты

Оп­лата по номеру кар­ты исто­ричес­ки — самая стар­шая. Рань­ше на кар­тах не было ничего, кро­ме это­го номера. Номер был «эмбосси­рован» — выдав­лен на кар­те. При опла­те кар­та «про­каты­валась» на спе­циаль­ном устрой­стве, что поз­воляло про­дав­цу быс­тро внес­ти номер в древ­нюю замену базы дан­ных, то есть отпе­чатать на лис­те бумаги.

В кон­це рабоче­го дня или недели эти дан­ные собира­лись и переда­вались в банк‑эквай­ер. Далее банк отправ­лял зап­росы на спи­сание этих денег у вла­дель­цев карт через бан­ки‑эми­тен­ты. Это было так дав­но, что нем­ного людей зна­ют, отку­да появил­ся трех­знач­ный код верифи­кации пла­тежей, записан­ный на обратной сто­роне кар­ты, так называ­емый CVV2/CVC2. До нас дош­ла информа­ция, что этот код исполь­зовал­ся ско­рее как кон­троль­ная сум­ма, нуж­ная, что­бы вла­делец кар­ты не ошиб­ся и кор­рек­тно ввел всю информа­цию при опла­те. Похоже на прав­ду, если учесть, нас­коль­ко корот­кий этот код.

Сей­час физичес­кая кар­та может и вов­се не учас­тво­вать в опла­те. Это называ­ется card not present и чаще все­го исполь­зует­ся при опла­те в интерне­те. Если номер кар­ты вво­дит­ся при опла­те в пла­теж­ном тер­минале, а это харак­терно для оте­лей, биз­несов, ведущих дела по телефо­ну, а так­же для боль­шинс­тва тер­миналов в США, такой под­тип пла­тежей называ­ется PAN Key Entry.

Мно­гие до сих пор счи­тают, что поле Cardholder name с лицевой сто­роны кар­ты нуж­но вво­дить кор­рек­тно и что оно про­веря­ется. Это не так — ни один банк не про­веря­ет это поле.

Магнитная полоса

Опе­рации с маг­нитной полосой — один из самых прос­тых методов. Он ассо­циирует­ся у людей с опре­делен­ными типами мошен­ничес­тва. Ским­минг в бан­коматах, двой­ные сня­тия в рес­торанах — все это воз­можно бла­года­ря недос­таткам маг­нитной полосы. Маг­нитную полосу лег­ко ско­пиро­вать — для это­го необ­ходим толь­ко спе­циаль­ный ридер/энко­дер маг­нитной полосы. Даль­ше кло­ниро­ван­ной маг­нитной полосы дос­таточ­но для того, что­бы рас­пла­чивать­ся в боль­шинс­тве супер­марке­тов мира. Для верифи­кации вла­дель­ца кар­ты пред­полага­лось исполь­зовать под­пись на чеке, которую кас­сир дол­жен све­рить с под­писью на обратной сто­роне кар­ты.

Emv crypto на чеке что это. Смотреть фото Emv crypto на чеке что это. Смотреть картинку Emv crypto на чеке что это. Картинка про Emv crypto на чеке что это. Фото Emv crypto на чеке что это

На кар­тинке выше ты видишь при­мер записан­ной на кар­ту информа­ции. Чер­ные полос­ки — это еди­ницы, белые — нули. Сущес­тву­ют open source решения для декоди­рова­ния этих дан­ных — к при­меру, magstripe.

На самом деле по изоб­ражению вид­но, что на кар­те не одна, а целых две маг­нитные полосы раз­ной плот­ности (Track1 и Track2). Какие дан­ные содер­жатся на маг­нитной полосе?

Чип/EMV

На сме­ну маг­нитной полосе в девянос­тых приш­ли смарт‑кар­ты, для популя­риза­ции которых соз­дали кон­сорци­ум EMV (Europay, MasterCard, Visa). Прод­вига­емая кон­сорци­умом идея была прос­та: исполь­зуя осо­бен­ности смарт‑карт, сим­метрич­ную крип­тогра­фию и крип­тогра­фию с откры­тым клю­чом, решить все проб­лемы, свя­зан­ные с маг­нитной полосой. Опе­рации со смарт‑кар­той обес­печива­ют три сте­пени защиты:

Да­вай прой­дем­ся по исполь­зуемым методам.

Аутентификация карты

Для аутен­тифика­ции кар­ты исполь­зует­ся крип­тогра­фия с откры­тым клю­чом по про­токо­лу RSA. Текущие минималь­ные тре­бова­ния по дли­не клю­ча — 1024 бита. Огра­ничен­ное чис­ло цен­тров сер­тифика­ции выпус­кают клю­чи для бан­ков, а бан­ки их уже при­вязы­вают к самим кар­там. При­ват­ный ключ хра­нит­ся на самой смарт‑кар­те в области, недос­тупной для чте­ния. Кор­невые сер­тифика­ты уста­нав­лива­ются на тер­минал при его нас­трой­ке. Во вре­мя тран­закции кар­та пре­дос­тавля­ет пуб­личные клю­чи пла­теж­ному тер­миналу вмес­те с информа­цией, зашиф­рован­ной при­ват­ным клю­чом в режиме циф­ровой под­писи. Если пуб­личный ключ доверен­ный и информа­ция, передан­ная кар­той, успешно рас­шифро­выва­ется этим клю­чом, то тер­минал счи­тает кар­ту аутен­тичной, выпущен­ной имен­но тем бан­ком, который под­писал при­ват­ный ключ, выдан­ный цен­тром сер­тифика­ции.

Все­го сущес­тву­ет три режима аутен­тифика­ции кар­ты:

В пер­вом методе исполь­зовалось толь­ко одно ста­тичес­кое поле, хра­няще­еся на кар­те. Оно под­писыва­лось при­ват­ным клю­чом и про­веря­лось тер­миналом. Это было EMV-поле AIP (application interchange profile). Но кон­сорци­ум EMV быс­тро понял, что для популяр­ных в то вре­мя офлай­новых тер­миналов (они не выходи­ли в онлайн для свер­ки крип­тограм­мы) это­го было явно недос­таточ­но — любой мог кло­ниро­вать пуб­личный ключ и под­писан­ную ста­тичес­кую стро­ку, что­бы соз­дать под­делку.

Од­нако в 2009 году иссле­дова­тели из Кем­бридж­ско­го уни­вер­ситета пред­ста­вили работу, опи­сыва­ющую так называ­емую ата­ку PIN OK (PDF). Спе­циаль­ное устрой­ство, рас­полага­ющееся меж­ду кар­той и тер­миналом, совер­шало ата­ку «человек посере­дине» и под­меняло одно из полей, которые отправ­ляла кар­та. Эту под­мену нель­зя было обна­ружить на тер­минале с помощью опи­сан­ных выше методов. Для защиты от таких атак кон­сорци­ум EMV еще до наход­ки иссле­дова­телей пре­дус­мотрел новый механизм защиты — схе­му CDA. Во вре­мя нее тер­минал может про­верить целос­тность боль­шинс­тва полей, которые переда­ет кар­та и которые учас­тву­ют в фазе под наз­вани­ем «риск‑менед­жмент».

Оф­лай­новая аутен­тифика­ция соз­давалась в пер­вую оче­редь для защиты офлай­новых пла­тежей, ког­да тер­минал не под­клю­чен к интерне­ту пос­тоян­но. Имен­но поэто­му, если резуль­тат работы режимов DDA или CDA не закан­чива­ется успе­хом, в сов­ремен­ных тер­миналах, под­клю­чен­ных к интерне­ту, это не при­ведет к отка­зу тран­закции в 99% слу­чаев, так как банк‑эми­тент авто­ризу­ет ее с помощью крип­тограм­мы, как опи­сано ниже. Одна­ко некото­рые пла­теж­ные сис­темы рекомен­дуют обра­щать вни­мание на пос­тоян­ные неус­пешные аутен­тифика­ции, осо­бен­но если они про­исхо­дят в раз­ных тер­миналах.

Верификация плательщика

Есть два основных спо­соба верифи­кация пла­тель­щика: ПИН‑код и под­пись. На самом деле их нем­ного боль­ше — ПИН‑код может про­верять­ся в офлай­не (на самой кар­те) и онлайн. Он может быть зашиф­рован (с помощью сим­метрич­ного клю­ча 3DES) или переда­вать­ся в откры­том виде.

Еще воз­можен спо­соб верифи­кации NoCVM — то есть отсутс­твие верифи­кации. Хороший при­мер таких опе­раций — те, которые не пре­выша­ют лимиты 3000 руб­лей и не тре­буют вво­да ПИН‑кода. Их иног­да называ­ют Tap & Go.

Дру­гой спо­соб, который в зависи­мос­ти от пла­теж­ной сис­темы называ­ется CDCVM или On-Device CVM, дела­ет воз­можной верифи­кацию на мобиль­ном телефо­не вла­дель­ца кар­ты. Как ты уже догадал­ся, он исполь­зует­ся в Google Pay и Apple Pay.

Авторизация транзакции

Для авто­риза­ции тран­закции смарт‑кар­ты соз­дают пла­теж­ную крип­тограм­му. Кар­та отправ­ляет тер­миналу спи­сок полей — их набор зависит от вер­сии крип­тограм­мы и нас­тро­ек кар­ты. Как пра­вило, это сум­ма опе­рации, валюта, дата и дру­гие важ­ные для эта­па риск‑менед­жмен­та нас­трой­ки тер­минала. Далее кар­та допол­няет эти поля сво­ими внут­ренни­ми полями: счет­чик опе­раций, вер­сия крип­тограм­мы.

По­лучен­ная стро­ка шиф­рует­ся с помощью записан­ного на кар­те сек­ретно­го клю­ча 3DES в режиме циф­ровой под­писи и переда­ется бан­ку вмес­те со всей под­писан­ной информа­цией. Банк‑эми­тент исполь­зует аппа­рат­ный модуль безопас­ности (hardware security module, HSM), на котором в защищен­ной от чте­ния области памяти содер­жится копия сим­метрич­ного клю­ча кар­ты.

HSM так­же соз­дает циф­ровую под­пись по дан­ным от пла­теж­ного тер­минала. Если он получит такую же крип­тограм­му, то тран­закция будет счи­тать­ся авто­ризо­ван­ной. Это зна­чит, что ник­то не под­менил дан­ные опе­рации во вре­мя их переда­чи от кар­ты до бан­ка эми­тен­та. На этом же эта­пе рас­шифро­выва­ется и све­ряет­ся ПИН‑код кар­ты, в слу­чае если исполь­зует­ся онлайн‑свер­ка ПИН.

Об­рати вни­мание, что все эти три фун­кции работа­ют хорошо толь­ко вмес­те. Что­бы кор­рек­тно работа­ла верифи­кация, она дол­жна кон­тро­лиро­вать­ся с помощью аутен­тифика­ции. Если нет авто­риза­ции — вся тран­закция ста­новит­ся высоко­рис­ковой, и так далее.

Бесконтактные платежи

Бес­контак­тные пла­тежи ста­ли набирать популяр­ность с середи­ны 2010-х годов. Бан­ки и пла­теж­ные сис­темы прод­вига­ют их как быс­трый и удоб­ный спо­соб опла­ты. Оно и понят­но — чем боль­ше народ пла­тит кар­тами, тем боль­ше мож­но зарабо­тать на комис­сиях! С раз­вити­ем тех­нологий нуж­но раз­вивать и безопас­ность, но это далеко не всег­да так. И бес­контак­тные пла­тежи как раз при­мер из неудач­ных.

Ког­да соз­давались бес­контак­тные пла­тежи, кар­ты с чипом в США еще не были осо­бен­но рас­простра­нены, поэто­му Visa и MasterCard пре­дус­мотре­ли про­межу­точ­ный шаг, ког­да новыми бес­контак­тны­ми кар­тами мож­но пла­тить на ста­рых несов­ремен­ных пла­теж­ных тер­миналах, которые не под­держи­вают сов­ремен­ную крип­тогра­фию. Этот шаг называ­ется Legacy modes — режимы, сте­пень безопас­ности которых зна­читель­но ниже, чем у пла­тежей EMV и сов­ремен­ных форм бес­контак­тных пла­тежей.

Legacy modes по сте­пени защиты боль­ше напоми­нают опе­рации с маг­нитной полосой, толь­ко про­водят­ся через NFC. Нес­мотря на то что эти режимы пред­полага­лось исполь­зовать лишь в нес­коль­ких стра­нах, а через какое‑то вре­мя и вов­се отме­нить, мы в 2020 году встре­чаем их пов­семес­тно — в том чис­ле в Рос­сии, где даже маг­нитная полоса зап­рещена.

От­дель­ная проб­лема — это то, как пла­теж­ные сис­темы подош­ли к реали­зации бес­контак­тных пла­тежей. Вмес­то того что­бы при­думать что‑то новое, в ком­пани­ях Visa и MasterCard решили и здесь исполь­зовать EMV, но каж­дая сде­лала это по‑сво­ему, так что де‑юре они перес­тали быть частью стан­дарта EMV.

Что из это­го сле­дует:

В ком­пании Visa были недоволь­ны слиш­ком дол­гим вре­менем про­веде­ния пла­тежа. Ког­да для это­го исполь­зовал­ся чип, проб­лем не было — кар­та встав­лялась в тер­минал. Одна­ко в Visa пос­читали, что дер­жать кар­ту у тер­минала, ожи­дая, пока прой­дут все шаги EMV, — это не очень‑то удоб­но. Этап, который вызывал основную задер­жку, — это офлай­новая аутен­тифика­ция кар­ты.

Од­новре­мен­но с этим в MasterCard при­няли диамет­раль­но про­тиво­полож­ное решение — приз­нали, что офлай­новая аутен­тифика­ция важ­на и для тех карт, которые под­держи­вают наибо­лее безопас­ную схе­му аутен­тифика­ции CDA, и сде­лали ее обя­затель­ной. В спе­цифи­кации EMV, если вза­имо­дей­ствие по схе­ме CDA не закан­чива­ется успешно, тер­минал все еще может отпра­вить крип­тограм­му для онлай­новой авто­риза­ции. Тог­да как для бес­контак­тных пла­тежей MasterCard неудач­ная аутен­тифика­ция CDA всег­да ведет к отме­не пла­тежа. Раз­ница во вре­мени опе­раций нез­начитель­ная, одна­ко это оста­ется реша­ющим фак­тором для Visa.

Выводы

Те­перь, ког­да ты зна­ешь, как работа­ют элек­трон­ные и в том чис­ле бес­контак­тные пла­тежи, ты готов к раз­говору об уяз­вимос­тях в этих схе­мах. Это мы обсу­дим в сле­дующих стать­ях, а заод­но раз­берем самые гром­кие кей­сы мошен­ничес­тва.

Источник

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *