Google+
Журнал Плас Плас Журнал http://www.plusworld.ru/
ул. Кржижановского, д. 29, корп. 5 Москва, 117218 Россия
+7 495 961 1065 http://www.plusworld.ru/upload/templates/logo_plus_ru.png
RSS RSS RSS RSS

Chip&PIN снижает безопасность?

(Нет голосов)

11.05.2006 Количество просмотров 1249 просмотров

Редакция журнала ПЛАС

В то время как Великобритания и некоторые другие европейские страны активно внедряют карты Chip&PIN, требующие от держателей в обязательном порядке подтверждать вводом ПИН-кода платежные операции, некоторые эксперты не скрывают своего скептического отношения к этой инициативе.

Так, Майкл Бонд (Mike Bond), директор компании Cryptomathic, уверяет, что на практике внедрение Chip&PIN сулит больше негативных, чем позитивных последствий. При переходе на Chip&PIN держатель карты должен гораздо чаще вводить свой ПИН-код. Таким образом, у злоумышленников появляется значительно больше возможностей перехватить данные о ПИН-коде клиента при пересылке ПИН-блока от POS-терминала до хоста банка или просто подсмотреть ПИН-код в процессе его ввода держателем карты.

По мнению М. Бонда, шифрование ПИН-блока при его пересылке от АТМ до процессингового центра практически исключает возможность перехвата данных злоумышленниками. В то время как POS-терминалы не обеспечивают столь же высокий уровень защиты пересылаемых данных.

В качестве примера М. Бонд привел известный случай хищения карточных реквизитов путем взлома автоматизированных платежных терминалов, установленных на АЗС компании Shell. Тогда злоумышленникам удалось получить в свое распоряжение данные о нескольких тысячах EMV-карт, включая ПИН-код, которые были использованы для изготовления фальсифицированных карт с магнитной полосой и последующего хищения более 1 млн. евро путем проведения по ним мошеннических операций.

К настоящему моменту со стороны британской банковской ассоциации APACS не последовало какой-либо ответной реакции на высказывания М.Бонда. Ранее APACS не раз заявляла о том, что технология Chip&PIN обеспечивает необходимый уровень защищенности пользовательских данных.

Следует отметить, что вопрос целесообразности использования ПИН-кода в POS-терминальных транзакциях – тема давней дискуссии между ключевыми участниками мирового карточного рынка. Так, например, Visa International не рекомендует использовать ПИН-код при торговых операциях по картам с магнитной полосой. В свою очередь, MasterCard International, напротив, сделала обязательным подтверждение ПИН-кодом POS-терминальных транзакций по картам Maestro. По мнению ряда ведущих российских экспертов в области обеспечения безопасности карточных транзакций, проблема защищенности ПИН-кода в рамках технологии Chip&PIN представляется весьма актуальной. Так, по словам Игоря Голдовского, генерального директора ЗАО “Платежные технологии”, POS-терминал является гораздо более уязвимым с точки зрения обеспечения безопасности конфиденциальной информации устройством по сравнению с банкоматом. Поэтому основная проблема заключается не столько в том, что преступникам проще перехватить значение ПИН-кода при передаче ПИН-блока от терминала на хост, сколько в сравнительной простоте такого перехвата непосредственно на самом POS-терминале.

Необходимо также уделить внимание и более общей проблеме – проблеме подмены POS-терминала банка терминалом, установленным мошенниками. Стоимость POS-терминального устройства невелика – 400–600 долл. США. Поэтому подобная подмена является весьма правдоподобной при сговоре мошенника с кассиром торгового предприятия (известны случаи установки даже “ложных” банкоматов, стоимость которых на порядки выше!). Возможны также случаи, когда торговое предприятие использует POS-терминал исключительно с преступной целью сбора информации о картах (подробнее читайте статью И.Голдовского “Легкая поступь EMV-миграции, или Куда уходит фрод?”, “ПЛАС” №4/2006).

В то же время в качестве аргумента в пользу использования офлайнового ПИН-кода для чиповых карт может рассматриваться обеспечиваемая при этом защита от таких распространенных видов карточного мошенничества, как потерянные/украденные/неполученные карты. В некоторых регионах мира и некоторых платежных системах сегодня существует даже перенос ответственности в рамках Chip&PIN, согласно которому, если чиповая карта, поддерживающая Offline PIN, обслуживается в POSтерминале, не поддерживающем офлайновую проверку ПИН-кода, то ответственность за возможный фрод по потерянным/украденным/неполученным картам в этом случае целиком ложится на банк-эквайер.

Как отмечает И. Голдовский, в целом проблема перехвата ПИН-кода актуальна только в рамках среды, в которой одновременно используются как чиповые карты (включая совмещенные карточные продукты), так и карты с магнитной полосой. К тому времени, когда на мировом рынке станут обращаться исключительно чиповые карты (по различным оценкам, это произойдет через 15–20 лет), само по себе значение ПИН-кода без наличия карты не даст мошеннику никаких дополнительных преимуществ.

Между тем Ирландская банковская ассоциация Irish Payment Services Organisation (IPSO) намерена запретить местным торгово-сервисным предприятиям принудительно пропускать процедуру проверки ПИН-кода (так называемый PIN by-pass) при совершении покупок по картам Chip&PIN.

Как известно, недавно Ирландия и Великобритания мигрировали на выпуск карт Chip&PIN, использование которых подразумевает обязательное использование ПИН-кода при совершении платежных операций. Однако это не мешает сотрудникам торгово-сервисных предприятий принудительно отменять операцию ввода ПИН-кода, что допускается большинством версий терминального ПО. Если покупатель утверждает, что он не помнит свой ПИН-код, или просто отказывается его ввести, продавец может либо отказать ему в покупке, либо провести платежную транзакцию под свою ответственность с традиционным подтверждением ее подписью покупателя на терминальном чеке. Так, в начале 2006 г. APACS обнародовала новые правила, в соответствии с которыми торгово-сервисные предприятия получают право отказать в обслуживании клиентам, которые по каким-либо причинам не могут или не желают подтвердить операцию по карте вводом ПИН-кода.

IPSO планирует в ближайшее время потребовать от банков и торговых предприятий в обязательном порядке модифицировать используемое POS-терминальное ПО таким образом, чтобы полностью исключить возможность принудительной отмены кассиром торговой точки операции ввода ПИН-кода. В то же время данная опция должна сохраниться для EMV-карт, выпущенных в других странах, а также для карт британских эмитентов, не поддерживающих технологию Chip&PIN.

Предположительно, новые требования вступят в силу в I квартале 2007г. Параллельно с этим IPSO намерена провести масштабное исследование настроек ПО банкоматного парка Великобритании. Его целью является получение объективного подтверждения того факта, что банкоматы, установленные на территории страны, настроены таким образом, чтобы при работе с совмещенной EMV-картой предпочтение отдавалось микропроцессору. К настоящему моменту некоторые EMV-совместимые банкоматы в таких случаях автоматически проводят операцию по магнитной полосе изза некорректной настройки ПО. Примечательно, что на сегодняшний день 100% кредитных и 85% дебетовых карт, эмитированных в Ирландии, поддерживают технологию Chip&PIN.

Следует отметить, что стандарт EMV и правила международных платежных систем предусматривают возможность принудительной отмены кассиром торговой точки операции ввода ПИН-кода. По мнению экспертов, в случае крайней необходимости бороться с негативными последствиями PIN by-pass можно, в том числе и “ирландским” методом (т. е. путем запрета торгово-сервисным предприятиям использовать PIN by-pass).

Однако, как считает И. Голдовский, более правильным с точки зрения соответствия правилам международных платежных систем представляется следующий вариант. Поскольку отказ от проверки ПИН-кода отражается в объекте TVR (Terminal Verification Results), можно организовать получение эмитентом TVR на своем хосте внутри объекта Issuer Application Data. В таком случае, если TVR будет указывать на использование PIN by-pass, эмитент имеет право отклонить транзакцию. Конечно, это более сложный способ, нежели простой запрет PIN by-pass, однако и более корректный. Кроме того, в этом случае решается задача возможности корректного ухода от PIN by-pass при онлайновых операциях не только в Великобритании, но и по всему миру.


Комментарии (0):

Добавлять комментарии могут только зарегистрированные Пользователи


Читайте в этом номере:
обновить

а вы знаете, что...

… деньги из раковин на Соломоновых островах отличаются устойчивостью к любым финансовым кризисам? Если население отдаленных островов используют раковины в качестве расчетной единицы, то в более цивилизованных местах архипелага такие деньги используются как надежный запас на черный день, в то время как расчеты ведутся «обычными» деньгами. Недостаток у них один – недолговечность: раковины хрупкие, часто ломаются. Из-за этого денежная масса остается стабильной и не нарастает, что позволяет поддерживать постоянный курс.