Безопасность электронных пластиковых карт

 

Банковская пластиковая карта – это персонифицированный платежный инструмент, предоставляющий пользующемуся этой картой лицу возможность безналичной оплаты товаров и услуг, а также получения наличных средств в банковских автоматах и отделениях банков.

Большинство банковских пластиковых карт – это так называемые дебетные карты, которые используются для оплаты товаров и услуг, получения наличных денег в банкоматах. Такая карта позволяет распоряжаться средствами лишь в пределах доступного остатка на депозитном счете, к которому она привязана. Как правило, по дебетным картам невозможно кредитование деньгами банка. Однако в ряде случаев возможен несанкционированный (технический) овердрафт[‡‡].

Пластиковая карта изготавливается из специальной пластмассы, устойчивой к механическим и термическим воздействиям, которая по стандарту ISO 9001 имеет размеры 85,6×53,9×0,76 мм.

Для идентификации владельца на пластиковую карту обязательно наносятся:

– логотип банка-эмитента;

– логотип платежной системы, обслуживающей эту карту;

– имя владельца карты;

– номер счета владельца карты;

– срок действия карты и т.п.

Алфавитно-цифровые данные (имя, номер счета и др.) могут быть эмбоссированы, т.е. нанесены рельефным шрифтом. Это дает возможность при ручной обработке принимаемых к оплате карт быстро перенести данные на чек с помощью специального устройства – импринтера, осуществляющего «прокатывание» карты. Дополнительным средством защиты карт являются голограммы.

По принципу действия различают пассивные и активные пластиковые карты. Пассивные пластиковые карты лишь хранят информацию (например пластиковые карты с магнитной полосой). При осуществлении платежа требуется on-line авторизация и наличие разветвленных, высококачественных средств коммуникации.

Отличительная особенность активной пластиковой карты – наличие встроенной в нее электронной микросхемы. Они подразделяются на карты с контактным считыванием и карты с бесконтактным (индукционным) считыванием. В таких картах может быть организована защищенная область памяти. Идентификационная область допускает лишь однократную запись при персонализации и далее доступна только для считывания. Доступ к прикладным областям регламентируется и осуществляется только при выполнении определенных операций, в частности при вводе
секретного PIN-кода.

Карты с микропроцессором называют также интеллектуальными картами, или смарт-картами. Примерный набор основных аппаратных компонентов таких карт следующий:

– микропроцессор с тактовой частотой 5 МГц;

– оперативное ЗУ емкостью до 256 байтов;

– постоянное ЗУ емкостью до 10 кбайтов;

– энергонезависимое ЗУ емкостью до 8 кбайтов.

Таким образом, смарт-карта представляет собой миникомпьютер, который может быть использован помимо ключа к банковскому счету для шифрования, авторизации и аутентификации пользователей при доступе к охраняемым объектам и для множества других функций. Смарт-карты могут поддерживать режим «самоблокировки» при попытке несанкционированного доступа. Все это делает их наиболее перспективным видом пластиковых карт. Основным неудобством использования смарт-карт является отсутствие единой унифицированной системы обслуживания карт данного типа в РБ. Другим немаловажным недостатком является высокая себестоимость производства чипов для карт.

Карты с магнитной полосой (рисунок 8.1) являются наиболее распространенными в мире.

 

1 – номер карты; 2 – имя и фамилия держателя карты; 3 – срок окончания действия карты; 4 – логотип платежной системы; 5 – бумажная полоса для подписи владельца; 6 – магнитаная полоса; 7 – CVV2 или CVC2 – код проверки подлинности

Рисунок 8.1 – Карта с магнитной полосой

 

Магнитная полоса располагается на оборотной стороне карты и в соответствии со стандартом ISO 7811 состоит из трех дорожек, предназначенных для хранения идентификационных данных (номер карты, срок ее действия, зашифрованные значения (проверочное число карты CVV или CVC (для проверки подлинности карты при транзакциях по магнитной полосе, через терминалы)), проверочное значение PIN-кода PVV, индекс PIN-кода PVK и некоторая другая информация, записываемая на первую и вторую дорожки; на третью дорожку можно записывать информацию (например текущее значение лимита дебетовой карты). Однако из-за малой надежности многократно повторяемого процесса записи/считывания перезапись на магнитную полосу обычно не практикуется. На первую дорожку могут быть записаны как символы, так и цифры. На вторую и третью дорожки – только цифры. Объем дорожек: первая дорожка – 76 символов, вторая дорожка – 37 символов, третья дорожка – 104 символа. Информация на дорожках может дублироваться, в этом случае используются разные способы ее кодировании.

В РБ используются банковские пластиковые карты международных (Visa и MasterCard) и внутренних систем расчетов (БелКарт).

Защита электронной пластиковой карты как средства доступа к счету ее держателя реализуется через персонализацию и авторизацию владельца и идентификацию владельца и карты.

Персонализация осуществляется при выдаче карты клиенту. При этом на карту заносятся данные, позволяющие идентифицировать карту и ее владельца, а также осуществить проверку платежеспособности карты при приеме ее к оплате или выдаче наличных денег.

Процедуры активации карты, операции, связанные с ее безопасностью, и ее персонализация разнесены по трем различным рабочим местам с целью исключения злоупотреблений.

Авторизация – это процесс утверждения продажи или выдачи наличных по карте. Для проведения авторизации точка обслуживания делает запрос платежной системе о подтверждении полномочий предъявителя карты и его финансовых возможностей.

Испытанным способом идентификации владельца пластиковой карты является использование секретного персонального идентификационного кода (Personal Identification Number – PIN). PIN выбирается таким образом, чтобы, с одной стороны, быть как можно более длинным для снижения вероятности угадывания с помощью полного перебора, а с другой – чтобы владелец мог его запомнить. Обычно длина PIN колеблется от четырех до восьми десятичных цифр, но может достигать 12.

Если PIN назначается банком, то одним из вариантов получения PIN является его криптографическая генерация из номера счета владельца карточки. Сначала номер счета клиента дополняется до 16 шестнадцатеричных цифр (восемь байтов). Затем получившиеся восемь байтов шифруются по алгоритму DES с использованием секретного ключа. Если число, образуемое этими битами, меньше 10, то полученная цифра включается в PIN, иначе это значение не используется. Таким путем обрабатываются все 64 бита (восемь байтов). Если в результате обработки не удалось получить сразу требуемое количество десятичных цифр, то обращаются к неиспользованным четырехбитовым блокам, из которых вычитают 10. Достоинство: значение PIN не нужно хранить внутри электронной платежной системы. Недостаток: при необходимости изменения PIN надо менять либо номер счета клиента, либо криптографический ключ. В то же время, поскольку все PIN вычисляют, используя один ключ, изменение одного PIN при сохранении счета клиента влечет за собой изменение всех персональных идентификационных номеров.

При втором варианте банк выбирает PIN случайным образом, сохраняя это значение в виде криптограммы. Выбранные значения PIN передаются владельцам карт по защищенному каналу.

Защита персонального идентификационного номера PIN для электронной пластиковой карты является критичной для безопасности всей платежной системы. Поэтому открытая форма PIN должна быть известна только законному владельцу карты. Она никогда не хранится и не передается в рамках системы электронных платежей. При идентификации клиента по значению PIN и предъявленной карте используются два основных способа проверки PIN: неалгоритмический и алгоритмический.

Неалгоритмический способ проверки PIN осуществляется путем непосредственного сравнения введенного клиентом PIN значания со значениями, хранимыми в базе данных. Обычно база данных со значениями PIN клиентов шифруется методом прозрачного шифрования, чтобы повысить ее защищенность, не усложняя процесса сравнения.

Алгоритмический способ проверки PIN заключается в том, что введенный клиентом PIN преобразуют по криптографическому алгоритму с использованием секретного ключа, отдельного для каждого PIN (например тройной DES). Из зашифрованного результата выбираются цифры, которые становятся числом проверки PIN (Pin Verification Value – PVV) или смещением PIN (Pin Offset). Смещение PIN сохраняется у банка, а конверт с PIN выдается клиенту. Смещение включает в себя цифры, выбранные из шифрованных данных. Обычно это 4 –6 цифр. PIN не может быть получен на основании смещения PIN. При проведении по карте транзакции, которая требует ввод PIN, терминал посылает авторизатору банка шифрованный блок, содержащий введенный PVV с дорожки карты. Авторизатор рассчитывает PVV и сравнивает с присланным с терминала.

Достоинства этого метода проверки:

– отсутствие копии PIN на главном компьютере исключает его раскрытие персоналом банка;

– отсутствие передачи PIN между банкоматом или POS-терминалом и главным компьютером банка исключает его перехват или навязывание результатов сравнения;

– упрощение работы по созданию программного обеспечения системы, так как уже нет необходимости действий в реальном масштабе времени.

Следует отметить, что платежная система Visa не всегда и не по всем операциям (в отличие от MasterCard) требует ввод PIN. Однако во всех банкоматах ввод PIN ограничен тремя попытками, т.е. вероятность угадать PIN составляет 0,03 %.

Для идентификации карты используется проверочное значение карты (Card Verification Value – CVV2 для Visa или CVC для MasterCard), которое печатается на обратной стороне карты. Это трех- или четырехзначный результат шифрования номера карты, срока его действия и некоторых других данных на специальном ключе, известном эмитенту карты. Это число передается при транзакции вместе с другими данными и позволяет банку гарантировать, что карта с данным номером была действительно им выпущена. То есть, зная только номер карты, теоретически нельзя изготовить копию карты и получить доступ к счету, однако это становится возможным, если известен номер карты, срок ее действия и CVV2 (CVC).