EMV — это метод оплаты, основанный на техническом стандарте для смарт -карт оплаты и для платежных терминалов и банкоматов , которые могут их принимать. EMV означает « Europay , Mastercard и Visa » — три компании, создавшие стандарт. [1]
Карты EMV — это смарт-карты , также называемые чип-картами, картами с интегральными схемами или картами с интегральными схемами, которые хранят свои данные на чипах с интегральными схемами , в дополнение к магнитным полосам для обратной совместимости . К ним относятся карты, которые должны быть физически вставлены или «погружены» в считыватель, а также бесконтактные карты , которые могут быть считаны на небольшом расстоянии с помощью технологии связи ближнего поля . Платежные карты, которые соответствуют стандарту EMV, часто называются картами с чипом и ПИН-кодом или чипом и подписью , в зависимости от методов аутентификации, используемых эмитентом карты, таких как персональный идентификационный номер (ПИН-код) или электронная подпись . Существуют стандарты, основанные на ISO/IEC 7816 , для контактных карт и основанные на ISO/IEC 14443 для бесконтактных карт ( Mastercard Contactless , Visa PayWave , American Express ExpressPay ). [2] [ требуется лучший источник ]
До введения чипа и PIN-кода все очные транзакции по кредитным или дебетовым картам включали использование магнитной полосы или механического отпечатка для считывания и записи данных счета, а также подписи для целей проверки личности. Клиент передает свою карту кассиру в точке продажи , который затем проводит карту через магнитный считыватель или делает отпечаток с рельефного текста карты. В первом случае система проверяет данные счета и печатает квитанцию для подписи клиента. В случае механического отпечатка заполняются данные транзакции, сверяется список украденных номеров, и клиент подписывает отпечатанную квитанцию. В обоих случаях кассир должен проверить, что подпись клиента совпадает с подписью на обратной стороне карты, чтобы подтвердить подлинность транзакции.
Использование подписи на карте в качестве метода проверки имеет ряд недостатков безопасности, наиболее очевидным из которых является относительная легкость, с которой карты могут пропасть до того, как их законные владельцы смогут их подписать. Другой касается стирания и замены законной подписи, а еще один касается подделки правильной подписи.
Изобретение кремниевой интегральной схемы в 1959 году привело к идее ее встраивания в пластиковую смарт-карту в конце 1960-х годов двумя немецкими инженерами, Хельмутом Греттрупом и Юргеном Детлоффом . [3] Самые первые смарт-карты были представлены как телефонные карты в 1970-х годах, а затем были адаптированы для использования в качестве платежных карт . [4] [5] С тех пор смарт-карты используют микросхемы МОП-интегральных схем , а также технологии памяти МОП, такие как флэш-память и EEPROM (электрически стираемое программируемое постоянное запоминающее устройство ). [6]
Первым стандартом для смарт-карт был Carte Bancaire B0M4 от Bull-CP8, развернутый во Франции в 1986 году, за которым последовал B4B0' (совместимый с M4), развернутый в 1989 году. Geldkarte в Германии также предшествовал EMV. EMV был разработан, чтобы обеспечить обратную совместимость карт и терминалов с этими стандартами. С тех пор Франция перевела всю свою инфраструктуру карт и терминалов на EMV.
EMV означает Europay, Mastercard и Visa — три компании, создавшие стандарт. В настоящее время стандартом управляет EMVCo , консорциум, в котором контроль разделен поровну между Visa, Mastercard, JCB , American Express , China UnionPay и Discover. [7] EMVCo принимает публичные комментарии по своим проектам стандартов и процессов, но также позволяет другим организациям становиться «партнерами» и «подписчиками» для более глубокого сотрудничества. [8] JCB присоединилась к консорциуму в феврале 2009 года, China UnionPay — в мае 2013 года, [9] а Discover — в сентябре 2013 года. [10]
Ведущими поставщиками карт и чипов EMV являются: ABnote (American Bank Corp), CPI Card Group, IDEMIA (образованная в результате слияния Oberthur Technologies и Safran Identity & Security (Morpho) в 2017 году), Gemalto (приобретена Thales Group в 2019 году) , Giesecke & Devrient и Versatile Card Technology. [11]
Переход на кредитные карты на основе смарт-карт имеет два основных преимущества: улучшенная безопасность (со связанным с этим снижением мошенничества) и возможность более точного контроля за одобрением транзакций по кредитным картам «офлайн». Одной из первоначальных целей EMV было обеспечение нескольких приложений на карте: для приложения кредитной и дебетовой карты или электронного кошелька. Начиная с 2013 года, новые дебетовые карты в США содержат два приложения — приложение ассоциации карт (Visa, Mastercard и т. д.) и общее дебетовое приложение. [12]
Транзакции с использованием чиповых карт EMV повышают уровень защиты от мошенничества по сравнению с транзакциями с использованием магнитных карт, которые полагаются на подпись держателя и визуальный осмотр карты для проверки таких особенностей, как голограмма . Использование PIN-кода и криптографических алгоритмов, таких как Triple DES , RSA и SHA, обеспечивает аутентификацию карты для терминала обработки и хост-системы эмитента карты. Время обработки сопоставимо с онлайн-транзакциями, в которых задержка связи составляет большую часть времени, в то время как криптографические операции на терминале занимают сравнительно мало времени. Предполагаемое повышение защиты от мошенничества позволило банкам и эмитентам кредитных карт установить «сдвиг ответственности», так что торговцы несут ответственность (с 1 января 2005 года в регионе ЕС и с 1 октября 2015 года в США) за любое мошенничество, возникающее в результате транзакций в системах, которые не поддерживают EMV. [1] [13] [14] Большинство реализаций карт и терминалов EMV подтверждают личность держателя карты, требуя ввода персонального идентификационного номера (ПИН-кода) вместо подписания бумажного чека. Будет ли иметь место аутентификация по ПИН-коду, зависит от возможностей терминала и программирования карты.
Когда впервые появились кредитные карты, торговцы использовали механические, а не магнитные портативные импринтеры карт, которым для отпечатка требовалась копировальная бумага . Они не общались в электронном виде с эмитентом карты, и карта никогда не покидала поле зрения покупателя. Торговец должен был подтвердить транзакции, превышающие определенный лимит валюты, позвонив эмитенту карты. В 1970-х годах в Соединенных Штатах многие торговцы подписывались на регулярно обновляемый список украденных или иным образом недействительных номеров кредитных карт. Этот список обычно печатался в виде брошюры на газетной бумаге, в числовом порядке, как тонкая телефонная книга, но без каких-либо данных, кроме списка недействительных номеров. Кассиры на кассе должны были пролистывать эту брошюру каждый раз, когда кредитная карта предъявлялась для оплаты любой суммы, перед одобрением транзакции, что вызывало небольшую задержку. [15]
Позже [ когда? ] терминальное оборудование у продавца в электронном виде связывалось с эмитентом карты, используя информацию с магнитной полосы для проверки карты и авторизации транзакции. Это было намного быстрее, но требовало, чтобы транзакция происходила в фиксированном месте. Следовательно, если транзакция не происходила рядом с терминалом (например, в ресторане), клерк или официант должен был забрать карту у клиента и отнести ее к карточному аппарату. Нечестный сотрудник мог легко тайно провести карту через дешевый аппарат, который мгновенно записывал информацию на карте и полосе; фактически, даже у терминала вор мог наклониться перед клиентом и провести карту по скрытому считывателю. Это сделало незаконное клонирование карт относительно простым и более распространенным явлением, чем раньше. [ необходима цитата ]
С момента введения чипа и ПИН-кода платежной карты клонирование чипа стало невозможным; можно скопировать только магнитную полосу, а скопированную карту нельзя использовать отдельно на терминале, требующем ПИН-код. Введение чипа и ПИН-кода совпало с тем, что беспроводная технология передачи данных стала недорогой и широко распространенной. В дополнение к магнитным считывателям на базе мобильных телефонов, персонал торговых точек теперь может приносить клиенту беспроводные ПИН-пады, так что карта никогда не будет вне поля зрения держателя карты. Таким образом, как чип и ПИН-код, так и беспроводные технологии могут использоваться для снижения рисков несанкционированного считывания и клонирования карты. [16]
Чип и PIN-код — один из двух методов проверки, которые могут использовать карты с поддержкой EMV. [15] Вместо того, чтобы физически подписывать чек для целей идентификации, пользователь вводит персональный идентификационный номер (PIN-код), обычно длиной от четырех до шести цифр. Этот номер должен соответствовать информации, хранящейся на чипе или PIN-коде на хосте. Технология чипа и PIN-кода значительно усложняет мошенникам использование найденной карты, поскольку, если кто-то украдет карту, он не сможет совершить мошеннические покупки, если не знает PIN-код.
С другой стороны, чип и подпись отличаются от чипа и ПИН-кода тем, что проверяют личность потребителя с помощью подписи. [17]
По состоянию на 2015 год карты с чипом и подписью более распространены в США, Мексике, некоторых частях Южной Америки (например, Аргентине и Перу) и некоторых азиатских странах (например, Тайване, Гонконге, Таиланде, Южной Корее, Сингапуре и Индонезии), тогда как карты с чипом и PIN-кодом более распространены в большинстве европейских стран (например, Великобритании, Ирландии, Франции, Португалии, Финляндии и Нидерландах), а также в Пакистане, Иране, Бразилии, Колумбии, Венесуэле, Индии, Шри-Ланке, Канаде, Австралии и Новой Зеландии. [18] [19]
В то время как технология EMV помогла снизить уровень преступности в точках продаж, мошеннические транзакции переместились в более уязвимые телефонные , интернет- и почтовые транзакции, известные в отрасли как транзакции без предъявления карты или CNP. [20] Транзакции CNP составили не менее 50% от всего мошенничества с кредитными картами. [21] Из-за физического расстояния продавец не может предоставить клавиатуру покупателю в этих случаях, поэтому были разработаны альтернативы, включая
Что касается того, что быстрее, The New York Times пояснила, что это вопрос восприятия: в то время как метод с чипом требует, чтобы чип оставался в устройстве до завершения транзакции и процесса авторизации, метод считывания телефона выполняет авторизацию в фоновом режиме; чек начинает выдаваться сразу же. [23]
ISO/IEC 7816 -3 определяет протокол передачи данных между чип-картами и считывателями. С помощью этого протокола данные обмениваются в единицах данных протокола приложения (APDU). Это включает отправку команды на карту, ее обработку картой и отправку ответа. EMV использует следующие команды:
Команды, за которыми следует «7816-4», определены в стандарте ISO/IEC 7816-4 и являются межотраслевыми командами, используемыми для многих приложений с чип-картами, таких как SIM- карты GSM .
Транзакция EMV состоит из следующих шагов: [24] [ необходим сторонний источник ]
ISO/IEC 7816 определяет процесс выбора приложения. Целью выбора приложения было позволить картам содержать совершенно разные приложения, например GSM и EMV. Однако разработчики EMV реализовали выбор приложения как способ идентификации типа продукта, так что все эмитенты продуктов (Visa, Mastercard и т. д.) должны иметь свое собственное приложение. Способ выбора приложения, предписанный в EMV, является частым источником проблем взаимодействия между картами и терминалами. Книга 1 [25] стандарта EMV посвящает 15 страниц описанию процесса выбора приложения.
Идентификатор приложения (AID) используется для обращения к приложению на карте или Host Card Emulation (HCE), если оно поставляется без карты. AID состоит из зарегистрированного идентификатора поставщика приложения (RID) из пяти байт, который выдается регистрационным органом ISO/IEC 7816-5. За ним следует фирменное расширение идентификатора приложения (PIX), которое позволяет поставщику приложения различать различные предлагаемые приложения. AID печатается на всех квитанциях держателя карты EMV. Эмитенты карт могут изменить имя приложения из имени сети карт.
Список приложений:
Терминал отправляет на карту команду get processing options . При отправке этой команды терминал предоставляет карте любые элементы данных, запрошенные картой в списке объектов данных параметров обработки (PDOL). PDOL (список тегов и длин элементов данных) опционально предоставляется картой терминалу во время выбора приложения. Карта отвечает профилем обмена приложениями (AIP), списком функций для выполнения при обработке транзакции. Карта также предоставляет локатор файлов приложения (AFL), список файлов и записей, которые терминалу необходимо считать с карты. [ необходима цитата ]
Смарт-карты хранят данные в файлах. AFL содержит файлы, содержащие данные EMV. Все они должны быть прочитаны с помощью команды read record. EMV не указывает, в каких файлах хранятся данные, поэтому все файлы должны быть прочитаны. Данные в этих файлах хранятся в формате BER TLV . EMV определяет значения тегов для всех данных, используемых при обработке карт. [28]
Целью ограничений обработки является определение того, следует ли использовать карту. Проверяются три элемента данных, считанных на предыдущем этапе: номер версии приложения, контроль использования приложения (показывает, предназначена ли карта только для внутреннего использования и т. д.), проверка сроков действия/действия приложения. [ необходима цитата ]
Если какая-либо из этих проверок не проходит, карта не обязательно отклоняется. Терминал устанавливает соответствующий бит в результатах проверки терминала (TVR), компоненты которого формируют основу для принятия/отклонения решения позже в потоке транзакций. Эта функция позволяет, например, эмитентам карт разрешать держателям карт продолжать использовать просроченные карты после истечения срока их действия, но для всех транзакций с просроченной картой, которые будут выполняться в режиме онлайн. [ необходима цитата ]
Оффлайн-аутентификация данных — это криптографическая проверка для проверки карты с использованием криптографии с открытым ключом . Существует три различных процесса, которые могут быть выполнены в зависимости от карты: [ необходима цитата ]
Для проверки подлинности платежных карт используются сертификаты EMV. Центр сертификации EMV [29] выдает цифровые сертификаты эмитентам платежных карт. По запросу чип платежной карты предоставляет терминалу сертификат открытого ключа эмитента карты и SSAD. Терминал извлекает открытый ключ CA из локального хранилища и использует его для подтверждения доверия к CA и, если он доверен, для проверки того, что открытый ключ эмитента карты был подписан CA. Если открытый ключ эмитента карты действителен, терминал использует открытый ключ эмитента карты для проверки того, что SSAD карты был подписан эмитентом карты. [30]
Проверка держателя карты используется для оценки того, является ли лицо, предъявившее карту, законным держателем карты. Существует множество методов проверки держателя карты (CVM), поддерживаемых в EMV. Они [ необходима цитата ]
Терминал использует список CVM, считываемый с карты, для определения типа проверки, которую необходимо выполнить. Список CVM устанавливает приоритет использования CVM относительно возможностей терминала. Различные терминалы поддерживают разные CVM. Банкоматы, как правило, поддерживают онлайн-PIN. POS-терминалы различаются по поддержке CVM в зависимости от типа и страны. [ необходима цитата ]
Для методов офлайн-шифрования PIN-кода терминал шифрует открытый текстовый PIN-блок открытым ключом карты перед отправкой его на карту с помощью команды Verify. Для метода онлайн-PIN-кода открытый текстовый PIN-блок шифруется терминалом с помощью его ключа шифрования точка-точка перед отправкой его процессору-эквайеру в сообщении запроса на авторизацию.
Все офлайн-методы уязвимы для атак типа «человек посередине». В 2017 году EMVCo добавила поддержку методов биометрической верификации в версии 4.3 спецификаций EMV. [31]
Управление рисками терминала выполняется только в устройствах, где необходимо принять решение о том, должна ли транзакция быть авторизована в режиме онлайн или офлайн. Если транзакции всегда выполняются в режиме онлайн (например, банкоматы) или всегда офлайн, этот шаг можно пропустить. Управление рисками терминала проверяет сумму транзакции на соответствие максимальному лимиту офлайн (выше которого транзакции должны обрабатываться в режиме онлайн). Также возможно иметь 1 в онлайн-счетчике и проверку по списку горячих карт (который необходим только для офлайн-транзакций). Если результат любого из этих тестов положительный, терминал устанавливает соответствующий бит в результатах проверки терминала (TVR). [32]
Результаты предыдущих этапов обработки используются для определения того, следует ли одобрить транзакцию в автономном режиме, отправить онлайн для авторизации или отклонить в автономном режиме. Это делается с помощью комбинации объектов данных , известных как коды действий терминала (TAC), хранящихся в терминале, и коды действий эмитента (IAC), считываемых с карты. TAC логически ИЛИ с IAC, чтобы предоставить приобретателю транзакции уровень контроля над результатом транзакции. Оба типа кода действия принимают значения Отказ, Онлайн и По умолчанию. Каждый код действия содержит ряд бит, которые соответствуют битам в результатах проверки терминала (TVR) и используются при принятии терминалом решения о том, принять, отклонить или перейти в режим онлайн для платежной транзакции. TAC устанавливается приобретателем карты; на практике карты рекомендуют настройки TAC, которые следует использовать для определенного типа терминала в зависимости от его возможностей. IAC устанавливается эмитентом карты; некоторые эмитенты карт могут решить, что просроченные карты должны быть отклонены, установив соответствующий бит в IAC Отказ. Другие эмитенты могут захотеть, чтобы транзакция проводилась в режиме онлайн, чтобы в некоторых случаях они могли разрешить проведение этих транзакций. [33] [ необходим лучший источник ]
Когда устройство, работающее только в режиме онлайн, выполняет обработку IAC-Online и TAC-Online, единственным соответствующим битом TVR является «Стоимость транзакции превышает нижний предел». Поскольку нижний предел установлен на ноль, транзакция всегда должна переходить в режим онлайн, а все остальные значения в TAC-Online или IAC-Online не имеют значения. Устройствам, работающим только в режиме онлайн, не нужно выполнять обработку IAC по умолчанию. Устройство, работающее только в режиме онлайн, такое как банкомат, всегда пытается выйти в режим онлайн с запросом на авторизацию, если только оно не отклонено в режиме офлайн из-за настроек IAC-Denial. Во время обработки IAC-Denial и TAC-Denial для устройства, работающего только в режиме онлайн, единственным соответствующим битом результатов проверки терминала является «Сервис не разрешен». [34]
Одним из объектов данных, считываемых с карты на этапе Read application data, является CDOL1 (Card Data object List). Этот объект представляет собой список тегов, которые карта хочет отправить себе для принятия решения об одобрении или отклонении транзакции (включая сумму транзакции, а также множество других объектов данных). Терминал отправляет эти данные и запрашивает криптограмму с помощью команды generate application cryptogram. В зависимости от решения терминала (офлайн, онлайн, отклонить), терминал запрашивает одну из следующих криптограмм с карты: [ необходима цитата ]
Этот шаг дает карте возможность принять анализ действий терминала или отклонить транзакцию или принудительно провести транзакцию в режиме онлайн. Карта не может вернуть TC, когда запрошен ARQC, но может вернуть ARQC, когда запрошен TC. [34]
Транзакции переходят в режим онлайн, когда запрашивается ARQC. ARQC отправляется в сообщении авторизации. Карта генерирует ARQC. Его формат зависит от приложения карты. EMV не определяет содержимое ARQC. ARQC, созданный приложением карты, представляет собой цифровую подпись деталей транзакции, которую эмитент карты может проверить в режиме реального времени. Это обеспечивает надежную криптографическую проверку подлинности карты. Эмитент отвечает на запрос авторизации кодом ответа (принимая или отклоняя транзакцию), криптограммой ответа авторизации (ARPC) и, опционально, скриптом эмитента (строкой команд, которые должны быть отправлены на карту). [34]
Обработка ARPC не выполняется в контактных транзакциях, обрабатываемых с помощью Visa Quick Chip [35] для EMV и Mastercard M/Chip Fast, [36] а также в бесконтактных транзакциях между схемами, поскольку карта извлекается из считывателя после генерации ARQC.
CDOL2 (список объектов данных карты) содержит список тегов, которые карта хотела отправить после авторизации онлайн-транзакции (код ответа, ARPC и т. д.). Даже если по какой-либо причине терминал не смог выйти в сеть (например, сбой связи), терминал должен снова отправить эти данные на карту с помощью команды генерации криптограммы авторизации. Это позволяет карте узнать ответ эмитента. Затем приложение карты может сбросить лимиты использования в автономном режиме.
Если эмитент карты хочет обновить карту после выпуска, он может отправлять команды на карту, используя обработку скрипта эмитента. Скрипты эмитента не имеют смысла для терминала и могут быть зашифрованы между картой и эмитентом для обеспечения дополнительной безопасности. Скрипт эмитента может использоваться для блокировки карт или изменения параметров карты. [37]
Обработка скрипта эмитента недоступна в контактных транзакциях, обрабатываемых с помощью Visa Quick Chip [35] для EMV и Mastercard M/Chip Fast, [36] а также для бесконтактных транзакций между схемами.
Первая версия стандарта EMV была опубликована в 1995 году. Сейчас стандарт определяется и управляется частной корпорацией EMVCo LLC. Текущими членами EMVCo [38] являются American Express , Discover Financial , JCB International , Mastercard , China UnionPay и Visa Inc. Каждая из этих организаций владеет равной долей EMVCo и имеет представителей в организации EMVCo и рабочих группах EMVCo.
Признание соответствия стандарту EMV (т. е. сертификация устройства) выдается EMVCo после предоставления результатов испытаний, проведенных аккредитованной испытательной организацией. [ необходима ссылка ]
Тестирование на соответствие EMV имеет два уровня: EMV уровня 1, который охватывает интерфейсы физического, электрического и транспортного уровня, и EMV уровня 2, который охватывает выбор платежного приложения и обработку кредитных финансовых транзакций. [ необходима ссылка ]
После прохождения общих тестов EMVCo программное обеспечение должно быть сертифицировано платежными брендами на соответствие фирменным реализациям EMV, таким как Visa VSDC, American Express AEIPS, Mastercard MChip, JCB JSmart, или EMV-совместимым реализациям не-членов EMVCo, таким как LINK в Великобритании или Interac в Канаде. [ необходима ссылка ]
Начиная с версии 4.0 2011 года официальные документы по стандарту EMV, определяющие все компоненты платежной системы EMV, публикуются в виде четырех «книг» и некоторых дополнительных документов:
Первый стандарт EMV появился в 1995 году как EMV 2.0. Он был обновлен до EMV 3.0 в 1996 году (иногда называемый EMV '96) с последующими поправками к EMV 3.1.1 в 1998 году. Он был дополнительно изменен до версии 4.0 в декабре 2000 года (иногда называемой EMV 2000). Версия 4.0 вступила в силу в июне 2004 года. Версия 4.1 вступила в силу в июне 2007 года. Версия 4.2 действует с июня 2008 года. Версия 4.3 действует с ноября 2011 года. [44]
В дополнение к данным дорожки-2 на магнитной полосе, карты EMV обычно имеют идентичные данные, закодированные на чипе, которые считываются как часть обычного процесса транзакции EMV. Если считыватель EMV скомпрометирован до такой степени, что перехватывается разговор между картой и терминалом, то злоумышленник может восстановить как данные дорожки-2, так и PIN-код, что позволяет создать карту с магнитной полосой, которая, хотя и не может использоваться в терминале с чипом и PIN-кодом, может использоваться, например, в терминальных устройствах, которые допускают откат к обработке магнитной полосы для иностранных клиентов без чиповых карт и дефектных карт. Эта атака возможна только в том случае, если (a) автономный PIN-код представлен в открытом виде устройством ввода PIN-кода на карту, где (b) откат к магнитной полосе разрешен эмитентом карты и (c) где географическая и поведенческая проверка не может быть проведена эмитентом карты. [ необходима цитата ]
APACS , представляющая платежную индустрию Великобритании, заявила, что изменения, указанные в протоколе (где значения проверки карты различаются между магнитной полосой и чипом – iCVV), сделали эту атаку неэффективной и что такие меры будут применяться с января 2008 года. [45] Тесты на картах в феврале 2008 года показали, что это могло быть отложено. [46]
Перехват разговоров — это форма атаки, которая, как сообщалось, имела место против терминалов Shell в мае 2006 года, когда они были вынуждены отключить всю аутентификацию EMV на своих автозаправочных станциях после того, как у клиентов было украдено более 1 миллиона фунтов стерлингов. [47]
В октябре 2008 года сообщалось, что сотни считывателей карт EMV, предназначенных для использования в Великобритании, Ирландии, Нидерландах, Дании и Бельгии, были взломаны в Китае во время или вскоре после производства. В течение девяти месяцев данные и PIN-коды кредитных и дебетовых карт отправлялись по сетям мобильной связи преступникам в Лахоре , Пакистан. Руководитель Национальной контрразведки США Джоэл Бреннер сказал: «Раньше только разведывательное агентство государства было способно провернуть такую операцию. Это страшно». Украденные данные обычно использовались через пару месяцев после транзакций по карте, чтобы следователям было сложнее определить уязвимость. После того, как мошенничество было обнаружено, было обнаружено, что взломанные терминалы можно было идентифицировать, поскольку дополнительная схема увеличивала их вес примерно на 100 граммов. Считается, что были украдены десятки миллионов фунтов. [48] Эта уязвимость подтолкнула усилия по внедрению лучшего контроля над POS-устройствами на протяжении всего их жизненного цикла, практика, одобренная стандартами безопасности электронных платежей, такими как те, которые разрабатываются Secure POS Vendor Alliance (SPVA). [49]
В программе BBC Newsnight в феврале 2008 года исследователи из Кембриджского университета Стивен Мердок и Саар Драймер продемонстрировали один пример атаки, чтобы проиллюстрировать, что чип и ПИН-код недостаточно безопасны, чтобы оправдать передачу ответственности за доказательство мошенничества от банков к клиентам. [50] [51] Эксплойт Кембриджского университета позволил экспериментаторам получить как данные карты для создания магнитной полосы, так и ПИН-код.
APACS , британская платежная ассоциация, не согласилась с большинством доклада, заявив, что «Типы атак на устройства ввода PIN-кода, описанные в этом докладе, трудноосуществимы и в настоящее время экономически невыгодны для мошенников». [52] Они также заявили, что изменения в протоколе (указание различных значений проверки карты между чипом и магнитной полосой — iCVV) сделают эту атаку неэффективной с января 2008 года.
В августе 2016 года исследователи безопасности корпорации NCR показали, как воры кредитных карт могут переписать код магнитной полосы, чтобы она выглядела как карта без чипа, что позволяет производить подделки. [ необходима цитата ]
11 февраля 2010 года команда Мердока и Драймера в Кембриджском университете объявила, что обнаружила «недостаток в чипе и PIN-коде, настолько серьезный, что, по их мнению, он показывает, что вся система нуждается в переписывании», который был «настолько прост, что это их шокировало». Украденная карта подключается к электронной схеме и к поддельной карте, которая вставляется в терминал (« атака «человек посередине »). Можно ввести любые четыре цифры, и они будут приняты в качестве действительного PIN-кода. [53] [54]
Команда из программы Newsnight BBC посетила кафетерий Кембриджского университета (с разрешения) с системой и смогла заплатить, используя свои собственные карты (вор использовал бы украденные карты), подключенные к схеме, вставив поддельную карту и набрав «0000» в качестве PIN-кода. Транзакции были зарегистрированы как обычные и не были обнаружены системами безопасности банков. Член исследовательской группы сказал: «Даже у небольших преступных систем есть лучшее оборудование, чем у нас. Уровень технической сложности, необходимый для проведения этой атаки, на самом деле довольно низок». В объявлении об уязвимости говорилось: «Требуемая экспертиза не высока (уровень бакалавриата по электронике). Мы оспариваем утверждение банковской отрасли о том, что преступники недостаточно искушены, поскольку они уже продемонстрировали гораздо более высокий уровень мастерства, чем необходимо для этой атаки, в своих миниатюрных скиммерах для ввода PIN-кода». Неизвестно, была ли эта уязвимость использована, но она может объяснить нераскрытые случаи заявленного мошенничества. [54]
EMVCo не согласилась и опубликовала ответ, в котором говорилось, что, хотя такая атака теоретически возможна, ее было бы чрезвычайно сложно и дорого осуществить успешно, что текущие компенсирующие меры контроля, скорее всего, обнаружат или ограничат мошенничество, и что возможная финансовая выгода от атаки минимальна, в то время как риск отклонения транзакции или разоблачения мошенника значителен. [55] Команда Кембриджа не согласна: они осуществили это так, что банки не заметили, с помощью стандартного оборудования с некоторыми простыми дополнениями. Менее громоздкие версии можно было бы легко сделать. Те, кто производит такое оборудование для атаки, не должны подвергать себя риску, но могут продать его кому угодно через Интернет. [54]
Когда к нам обратились за комментариями, несколько банков (Co-operative Bank, Barclays и HSBC) заявили, что это проблема всей отрасли, и направили команду Newsnight в банковскую торговую ассоциацию для дальнейших комментариев. [56] По словам Фила Джонса из Ассоциации потребителей , Chip and PIN помогли сократить случаи преступления с использованием карт, но многие случаи остаются необъясненными. «Что мы знаем, так это то, что у нас есть случаи, которые были возбуждены отдельными лицами, и которые кажутся весьма убедительными». [ необходима цитата ]
Атака использует тот факт, что выбор метода аутентификации не аутентифицирован, что позволяет человеку посередине. Терминал запрашивает PIN-код, получает его и получает подтверждение транзакции картой, которая думает, что выполняет транзакцию с картой и подписью, которая действительно может быть успешной в автономном режиме. Это также работает в режиме онлайн, возможно, из-за недостаточной проверки. [57]
Первоначально клиенты банков должны были доказать, что они не проявили небрежности со своим PIN-кодом, прежде чем получить возмещение, но британские правила, вступившие в силу с 1 ноября 2009 года, возложили бремя доказывания того, что клиент проявил небрежность в любом споре, на банки, при этом клиенту дается 13 месяцев, чтобы подать иск. [58] Мердок сказал, что «[банки] должны проанализировать предыдущие транзакции, в которых клиент утверждал, что его PIN-код не использовался, а банковская запись показывала, что это было сделано, и рассмотреть возможность возврата средств этим клиентам, поскольку они могли стать жертвами такого рода мошенничества». [54]
На конференции CanSecWest в марте 2011 года Андреа Барисани и Даниэле Бьянко представили исследование, раскрывающее уязвимость в EMV, которая позволяет произвольно собирать PIN-коды, несмотря на конфигурацию проверки держателя карты, даже если поддерживаемые данные CVM подписаны. [59]
Сбор PIN-кодов может быть выполнен с помощью чип-скиммера. По сути, список CVM, который был изменен для понижения CVM до офлайнового PIN-кода, по-прежнему принимается POS-терминалами, несмотря на то, что его подпись недействительна. [60]
В 2020 году исследователи Дэвид Басин, Ральф Сасс и Хорхе Торо из ETH Zurich сообщили [61] [62] о проблеме безопасности, влияющей на бесконтактные карты Visa : отсутствие криптографической защиты критически важных данных, отправляемых картой на терминал во время транзакции EMV. Рассматриваемые данные определяют метод проверки держателя карты (например, проверку PIN-кода), который будет использоваться для транзакции. Команда продемонстрировала, что можно изменить эти данные, чтобы заставить терминал поверить, что PIN-код не требуется, поскольку держатель карты был проверен с помощью своего устройства (например, смартфона). Исследователи разработали приложение для Android , которое эффективно превращает физическую карту Visa в мобильное платежное приложение (например, Apple Pay , Google Pay ) для совершения покупок на большие суммы без PIN-кода. Атака осуществляется с использованием двух смартфонов с поддержкой NFC , один из которых находится рядом с физической картой, а второй — рядом с платежным терминалом. Атака может затронуть карты Discover и китайской UnionPay , но на практике это не было продемонстрировано, в отличие от карт Visa.
В начале 2021 года та же команда раскрыла, что карты Mastercard также уязвимы для атаки обхода PIN-кода. Они показали, что преступники могут обмануть терминал, заставив его провести транзакцию с бесконтактной картой Mastercard, полагая, что это карта Visa. Эта путаница с брендом карты имеет критические последствия, поскольку ее можно использовать в сочетании с обходом PIN-кода для Visa, чтобы также обойти PIN-код для карт Mastercard. [62]
_(49924994081).jpg/1280px-Debit_Card_Chip_Package_(Back)_(49924994081).jpg)
.png/1280px-Debit_Card_Chip_(Whitebalanced).png)
EMV означает « Europay , Mastercard и Visa », три компании, которые создали стандарт. Стандарт в настоящее время управляется EMVCo , консорциумом финансовых компаний. [1] Дополнительные широко известные чипы стандарта EMV:
Visa и Mastercard также разработали стандарты для использования карт EMV в устройствах для поддержки транзакций без предъявления карты (CNP) по телефону и через Интернет. Mastercard имеет программу аутентификации чипа (CAP) для безопасной электронной коммерции. Ее реализация известна как EMV-CAP и поддерживает ряд режимов. Visa имеет схему аутентификации с помощью динамического пароля (DPA), которая является их реализацией CAP с использованием различных значений по умолчанию.
Во многих странах мира сети оплаты дебетовыми и/или кредитными картами внедрили смену ответственности. [ требуется цитата ] Обычно ответственность за мошеннические транзакции несет эмитент карты. Однако после внедрения смены ответственности, если банкомат или терминал точки продажи продавца не поддерживает EMV, владелец банкомата или продавец несет ответственность за мошенническую транзакцию.
Системы чипа и ПИН-кода могут вызывать проблемы у путешественников из стран, которые не выпускают карты с чипом и ПИН-кодом, поскольку некоторые розничные торговцы могут отказаться принимать их карты без чипа. [63] Хотя большинство терминалов по-прежнему принимают карты с магнитной полосой, а основные бренды кредитных карт требуют, чтобы продавцы принимали их, [64] некоторые сотрудники могут отказаться принимать карты, полагая, что они несут ответственность за любое мошенничество, если карта не может проверить ПИН-код. Карты без чипа и ПИН-кода также могут не работать в некоторых необслуживаемых торговых автоматах, например, на вокзалах или в кассах самообслуживания в супермаркетах. [65]
Система Chip and PIN была опробована в Нортгемптоне , Англия , с мая 2003 года [73] и в результате была развернута по всей стране в Соединенном Королевстве 14 февраля 2006 года [74] с рекламой в прессе и на национальном телевидении, расхваливающей слоган «Безопасность в цифрах». На первых этапах развертывания, если считалось, что произошла мошенническая транзакция с магнитной картой, банк-эмитент возмещал розничному продавцу деньги, как это было до введения Chip and PIN. 1 января 2005 года ответственность за такие транзакции была переложена на розничного продавца; это послужило стимулом для розничных продавцов обновить свои системы точек продаж (PoS), и большинство крупных сетей на центральных улицах вовремя обновили свое оборудование к крайнему сроку EMV. Многие мелкие предприятия изначально не хотели обновлять свое оборудование, так как это требовало совершенно новой системы PoS — значительных инвестиций.
Новые карты с магнитными полосами и чипами теперь выпускаются всеми крупными банками. Замена карт с предчипами и PIN-кодами стала серьезной проблемой, поскольку банки просто заявили, что потребители получат свои новые карты «когда истечет срок действия их старых карт» — несмотря на то, что у многих людей были карты с истекающим сроком действия еще в 2007 году. Эмитент карт Switch потерял крупный контракт с HBOS в пользу Visa , поскольку они не были готовы выпустить новые карты так рано, как того хотел банк.
Реализацию Chip and PIN критиковали как направленную на снижение ответственности банков в случаях предполагаемого мошенничества с картами, требуя от клиента доказать, что он действовал «с разумной осторожностью» для защиты своего PIN-кода и карты, вместо того, чтобы банк должен был доказать, что подпись совпадала. До появления Chip and PIN, если подпись клиента была подделана, банки несли юридическую ответственность и должны были возместить клиенту ущерб. До 1 ноября 2009 года не было такого закона, защищающего потребителей от мошеннического использования их транзакций с использованием Chip and PIN, только добровольный Банковский кодекс . Было много сообщений о том, что банки отказывались возмещать ущерб жертвам мошеннического использования карт, утверждая, что их системы не могли выйти из строя при указанных обстоятельствах, несмотря на несколько задокументированных успешных крупномасштабных атак. [ необходима цитата ]
Положения о платежных услугах 2009 года вступили в силу 1 ноября 2009 года [75] и переложили бремя доказывания, а не предположения, на банки, что держатель карты виновен. [58] Управление по финансовым услугам (FSA) заявило: «Банк, строительное общество или компания, выдавшая кредитную карту, должны доказать, что транзакция была совершена вами, и не было никаких сбоев в процедурах или технических трудностей», прежде чем отказаться от ответственности.
После широкомасштабной кражи персональных данных из-за слабой безопасности в терминалах точек продаж в Target , Home Depot и других крупных розничных сетях Visa, Mastercard и Discover [80] в марте 2012 года, а также American Express [81] в июне 2012 года, объявили о своих планах перехода на EMV в Соединенных Штатах. [82] После этого объявления несколько банков и эмитентов карт объявили о выпуске карт с технологией чипа и подписи EMV, включая American Express, Bank of America, Citibank, Wells Fargo [83] , JPMorgan Chase, US Bank и несколько кредитных союзов.
В 2010 году ряд компаний начали выпускать предоплаченные дебетовые карты, которые включают чип и PIN-код и позволяют американцам пополнять счет наличными в виде евро или фунтов стерлингов . [84] [1] Федеральный кредитный союз Организации Объединенных Наций был первым эмитентом в США, предложившим кредитные карты с чипом и PIN-кодом. [85] В мае 2010 года в пресс-релизе Gemalto (мировой производитель карт EMV) указывалось, что Федеральный кредитный союз Организации Объединенных Наций в Нью-Йорке станет первым эмитентом карт EMV в США, предлагая своим клиентам кредитную карту EMV Visa. [86] JPMorgan был первым крупным банком, представившим карту с технологией EMV, а именно свою карту Palladium , в середине 2012 года. [87]
По состоянию на апрель 2016 года 70% потребителей в США имели карты EMV, а по состоянию на декабрь 2016 года примерно 50% продавцов соответствовали стандарту EMV. [88] [89] Однако внедрение было медленным и непоследовательным у разных поставщиков. Даже продавцы с оборудованием EMV могут не иметь возможности обрабатывать транзакции с чипами из-за недостатков программного обеспечения или соответствия. [90] Bloomberg также упомянул проблемы с развертыванием программного обеспечения, включая изменения в звуковых подсказках для машин Verifone , выпуск и развертывание программного обеспечения которых может занять несколько месяцев. Однако отраслевые эксперты ожидают большей стандартизации в Соединенных Штатах в отношении развертывания программного обеспечения и стандартов. Visa и Mastercard внедрили стандарты для ускорения транзакций с чипами с целью сокращения времени для них до менее трех секунд. Эти системы обозначены как Visa Quick Chip и Mastercard M/Chip Fast. [91]
{{citation}}: Проверить |url=значение ( помощь )Для нас и банкиров неудивительно, что эта атака работает офлайн [...] настоящий шок в том, что она работает и онлайн
{{cite journal}}: CS1 maint: несколько имен: список авторов ( ссылка )