Elektronsko Bankarstvo: Lekcija 4: Platne kartice - Izrada PDF

Elektronsko Bankarstvo: Lekcija 4: Platne kartice - Izrada zima 2024/2025 Branimir M. Trenkić  Podela platnih kartica – tehnologija izrade  Prema tehnologiji izrade platne kartica možemo podeliti na:  Plastične kartice sa magnetnom trakom  “Pametne” (smart) ka...

Elektronsko Bankarstvo: Lekcija 4: Platne kartice - Izrada zima 2024/2025 Branimir M. Trenkić  Podela platnih kartica – tehnologija izrade  Prema tehnologiji izrade platne kartica možemo podeliti na:  Plastične kartice sa magnetnom trakom  “Pametne” (smart) kartice 2  Kartice sa magnetnom trakom  Kartice sa digitalnim zapisom podataka na magnetnoj traci (na poleđini kartice)  Magnetna traka – u to vreme, osnovni medij za elektronsko memorisanje podataka  Izum kompanije IBM – ugovor sa vladom SAD za pravljenje ovog bezbedonosnog sistema  Osnovni problem – kako nalepiti magnetnu traku na plastičnu karticu? 3  Kartice sa magnetnom trakom  Osnovna ideja izumitelja:  Magnetna traka bi trebala da:  Omogući skladištenje podataka u elektronskoj formi  Minimizira korišćenje papira  Obezbedi automatizaciju 4  Kartice sa magnetnom trakom - Standardi  Danas, veliki broj ISO standarda se odnosi na magnetne kartice  ISO/IEC 7810 - fizičke karakteristike Platne kartice: ID-1 sa zaobljenim uglovima (2.88-3.48mm) Nominalna debljina – 0.76mm  ISO/IEC 7811 - tehnike snimanja na karticu  ISO/IEC 7812 - identifikacija izdavača  ISO/IEC 7813 - definiše sadržaj finansijskih kartica  ISO/IEC 5 8583 - razmena (finansijskih) poruka nastalih korišćenjem kartica  Načini zapisa podataka(1/2)  Podaci su utisnuti (embosirani) na prednjoj strani  Kartice koje se mogu koristiti i uz pomoć imprintera  Zapisani na magnetnoj traci koja je smeštena na pozadinu kartice  Podaci laserski ugravirani ili odštampani na prednjoj strani  Upotreba isključivo u elektronskim karticama 6  Načini zapisa podataka(2/2)  Podaci odštampani upotrebom bar koda na prednjoj strani  Ne koriste se za finansijske kartice  Podaci isključivo na magnetnoj traci  Hotelski “ključevi” 7  Klasične kartice sa magnetnom trakom - Sadržaj  Platne kartice:  Na prednjoj strani Podaci su utisnuti (embosirani)  Na pozadinu kartice Podaci su zapisani na magnetnoj traci 8  Klasične kartice sa magnetnom trakom - Sadržaj  Na prednjoj strani se nalazi (prema ISO/IEC 7811):  broj (kreditne) kartice – identifikacioni broj (ISO/IEC 7812), (Credit Card Number) koji se još zove i PAN (Primary Account Number)  datum isticanja karte (mesec i godina) posle kojeg kartica više nije validna 9  ime i prezime korisnika (cardholder)  Klasične kartice sa magnetnom trakom - Sadržaj  Na zadnjoj strani se nalazi:  magnetni sloj moguće je čitati i pisati podatke tri staze na magnetnom sloju može se oštetiti (mehanički ili razmagnetisati) Magnetna koercitivnost – jačina magnetnog polja LoCo (low-coercivity) i HiCo (high-coercivity)  traka (tamper evident band) sa potpisom  Card Security Code (ili CVV2) 10  Kartice sa magnetnom trakom  Magnetna traka poseduje 3 staze za upis određenih podataka  Samo u stazi 1 se može nalaziti alfabetski tekst (npr. ime korisnika kartice) 11  Kartice sa magnetnom trakom Staza 3  Praktično više nije u upotrebi kod većine svetskih kartica  Obično se ni fizički ne nalazi na kartici 12  Kartice sa magnetnom trakom Staza 1  Razvijena od strane Međunarodne Asocijacije za Vazdušni Saobraćaj (IATA) 13  Kartice sa magnetnom trakom Staza 1 (4 polja)  PAN (Primary Account Number) – često, ali ne uvek, isti je kao i broj kartice na prednjoj strani  Prezime i ime korisnika kartice  Dodatni podaci  Rok isticanja važnosti kartice 14  Šifarnik usluga (Service Code)  Kartice sa magnetnom trakom Staza 1  Diskrecioni podaci  PVKI (PIN Verification Key Identificator) – služi za identifikaciju para DES ključeva pri verifikaciji PIN koda  PVV (PIN Verification Value) – služi za verifikaciju PIN koda  CVV (Card Verification Value) – služi za verifikaciju 15 broja kartice  Kartice sa magnetnom trakom Staza 2  Razvijena od strane Američke Bankarske Asocijacije (ABA) 16  Kartice sa magnetnom trakom Staza 2  PAN  Rok isticanja važnosti kartice  Šifarnik usluga (Service Code)  PVKI (identifikator para ključeva) i PVV i CVV 17  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Embosiran na prednjoj strani:  Na magnetnoj traci (staze 1,2): 18  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Sadrži od 14 - 19 cifara (ISO/IEC 7812)  Često, ali ne uvek, isti je kao i broj kartice na prednjoj strani kartice  Nije slučajan broj!  Sastoji se iz tri dela: 1. Identifikacioni broj (banke) izdavaoca (IIN) 2. Broj kartice (Card Number) 3. Kontrolna cifra (Checksum) 19  Kartice sa magnetnom trakom  PAN (Primary Account Number) 1. Identifikacioni broj (banke) izdavaoca (IIN) IIN – Issuer Identifier Number Zauzima prvih 6 cifara na magnetnoj traci Započinje jednom cifrom - MII (Major Industry Identifier) Pokazuje koja je banka izdavalac kartice Ranije se zvalo Bank Identification Number (BIN) 20  Kartice sa magnetnom trakom  PAN (Primary Account Number) 3. Kontrolna cifra (Checksum) Poslednja cifra Sračunava se Luhn-ovim (mod 10) algoritmom Sprečavanje stvaranja lažnih brojeva (PAN-ova) 2. Broj kartice (Card Number) Sve cifre između prvog dela (IIN) i kontrolne cifre (9 do 12 cifara) – jedinstvene za datog korisnika kartice 21  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Banke algoritamski definišu validne PAN brojeve dodavanjem kontrolne cifre (po Luhn-ovom algoritmu) Primer: Neka je dat account number (IIN + Card Number) – “7992739871” Kompletirati PAN (Dodati validnu kontrolnu cifru) 22  Kartice sa magnetnom trakom  PAN (Primary Account Number) Rešenje: Dakle, PAN će biti u formi 7992739871x Izračinati validnu kontrolnu cifru (x) primenom Luhn-ovog algoritma: PAN Dupliranje svake druge Zbir cifara Zbir cifara2367+x, zaključujemo x = 3, PAN = 79927398713  Kartice sa magnetnom trakom  PAN (Primary Account Number)  MII (Major Industry Identifier) 24  Kartice sa magnetnom trakom  PAN (Primary Account Number)  IIN (Issuer Identifier Number) - Prefiks AmericanExpress 34xxxx, 37xxxx 15 Discover 6011xx 16 25  Kartice sa magnetnom trakom PAN (Primary Account Number) Postupak validacije PAN-a Broj kreditne kartice je validan ako je broj sračunat po Luhn-ovoj formuli - deljiv sa deset 26  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Luhn-ov algoritam za validaciju:  svaku drugu cifru počev od druge cifre sa desna pomnožiti sa dva; sabrati cifre dobijenog broja i dodati na sumu (trik: zbir cifara dvocifrenog broja manjeg od 20 == broj – 9)  ostale cifre dodati na sumu  ako je dobijena suma deljiva sa 10, broj je validan 27  Kartice sa magnetnom trakom  PAN (Primary Account Number) Primer:  Proveriti validnost računa: 49927398716 28  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Proveriti validnost računa: 49927398716 29  Kartice sa magnetnom trakom  PAN (Primary Account Number)  Prilikom transakcije proverava se da li je PAN iz prve staze jednak onom koji se nalazi u drugoj stazi 30  Kartice sa magnetnom trakom  Rok isticanja važnosti kartice  Zauzima 4 cifre iza PAN broja i u prvoj i u drugoj stazi  Formata je mm/gg (2 cifre za mesec (mm) i 2 za godinu (gg))  Koristi se prilikom validacije kartice 31  Kartice sa magnetnom trakom  Šifarnik usluga (Service code)  Nalazi se u obe staze - Sadrži tri cifre  Označavaju koje usluge pruža kartica  Težnja je da ovi kodovi usluga i značenje budu identični za sve brendove kartica (Mastercard, Visa.....)  Bez obzira da li koristite pripejd, debitnu ili kreditnu karticu – koriste identične kodove 32  Kartice sa magnetnom trakom  Šifarnik usluga (Service code)  Prva cifra – geografsko područje korišćenja + da li kartica podržava čip tehnologiju Kod Visa kartice Prva cifra = 1 ili 2 – radi se o internacionalnoj čip kartici Prva cifra = 5 ili 6 – kartica je samo za lokalnu (nacionalnu) upotrebu Prva cifra = 7 – kartica je zatvorenog tipa 33  Kartice sa magnetnom trakom  Šifarnik usluga (Service code)  Druga cifra - koja vrsta obrade autorizacije je obavezna off-line on-line  Treća cifra – (I) vrste servisa koje su na raspolaganju, kao i (II) način verifikacije vlasnika Na primer: gotovina isključivo/PIN obavezan 34 bez ograničenja/PIN obavezan  Kartice sa magnetnom trakom  Šifarnik usluga (Service code)  Treća cifra - vrste servisa koje su na raspolaganju, kao i način verifikacije vlasnika 35  Kartice sa magnetnom trakom  PVKI (PIN Verification Key Indicator)  Nalazi se u okviru diskrecionih podataka u obe staze  Može imati vrednost 1 - 6 – u zavisnosti od ove vrednosti selektuje se odgovarajući par DES ključeva 36  Kartice sa magnetnom trakom – verifikacija PIN-a  PVV  VISA verifikacioni metod i IBM-3624 sa ofsetom  Naziva se još i offset (IBM-3624)  Zauzima sledeće 4 cifre  Koristi se za verifikaciju PIN koda kojeg je korisnik uneo prilikom obavljanja transakcije 37  Kartice sa magnetnom trakom – verifikacija PIN-a Autentifikacija vlasnika preko PIN koda (IBM-3624)  Tri PIN koda:  prirodni (natural) PIN – sračunava se na osnovu PAN-a Nigde se ne čuva! Enkripcijom PAN-a namenski generisanim ključem – PGK (PIN Generation Key) Definisan u okviru IBM 3624 metode verifikacije Ne može biti korisnički selektovan – vezan za PAN  korisnikov PIN (customer PIN) zna 38 samo korisnik! – nigde nije zapisan  Kartice sa magnetnom trakom – verifikacija PIN-a Autentifikacija vlasnika preko PIN koda (IBM- 3624 sa offsetom)  Tri PIN koda:  ofset (offset) sračunava se na osnovu predhodna dva PIN-a (offset = korisnikov PIN – prirodni PIN) upisan u kartici i zove se Pin Verification Value čuva se i na serveru banke! (online verifikac.) služi pri verifikaciji PIN-a - dodaje se na prirodni PIN (bez prenosa) da bi se dobio 39 korisnikov PIN  Kartice sa magnetnom trakom – verifikacija PIN-a  IBM-3624 sa ofsetom verifikacioni algoritam: PGK (PIN Generation Key) Tabela decimalizacije: Provera: 40  Kartice sa magnetnom trakom – verifikacija PIN-a  IBM-3624 sa ofsetom verifikacioni algoritam: Prirodni PIN 41  Kartice sa magnetnom trakom – verifikacija PIN-a  Prenošenje izabranog PIN-a u sklopu online verifikacije  Enkriptovani PIN blok  Dužina PIN bloka = 8 bajtova = 16 heksadecimalnih brojeva  Postoje različiti formati za PIN blokove  ISO-0, ISO-1, VISA-2, VISA-4, ANSI X9.8,............  Različiti postupci formiranja....... 42  Kartice sa magnetnom trakom – verifikacija PIN-a  PIN blok ISO-0: koristi PIN i deo PAN broja  Struktura PIN podataka: Format: ukazuje na format PIN bloka, (ISO-0 = 0) Cnt: broj cifara PIN-a (4-12 (hex C)) P: PIN cifre P/X: PIN cifre ili FILL (hex F) ako je potrebno  Struktura PAN podataka: N: Null (0) 43 P: 12 cifara PAN broja, krajnje desne bez kontrolne cifre  Kartice sa magnetnom trakom – verifikacija PIN-a  Formiranje PIN bloka ISO-0 (Primer)  Nakon toga se vrši enkripcija PIN bloka i šalje....  Napomena: PIN blok se šalje zajedno sa PAN-om!  Na prijemnoj strani:  (Dekriptovani PIN blok) XOR PAN data (iz PAN broja)  Provera: Format; dužina PIN-a;...... 44  Ekstrakcija PIN broja iz PIN bloka  Kartice sa magnetnom trakom – verifikacija PIN-a  VISA PIN Verifikacioni postupak  Postupak izdavanja + Postupak verifikacije  Postupak se bazira na:  3DES kriptografskom algoritmu  Paru DES ključeva PVK (Pin Verification Keys) šifre Svaki izdavač kreira svoje vlastite PVK-ove koji se koriste samo u ovom postupku Maksimalno 6 parova PVK-ova – Tabela PVK 45ključeva  Kartice sa magnetnom trakom – verifikacija PIN-a  Visa postupak izdavanja PIN-a:  Slučajno se generiše PIN  Formira se blok podataka: TSP = PAN + PVKI + PIN TSP (64bit) – Transformed Security Parameter 11 krajnje desnih cifara PAN-a bez kontrolne cifre Ako PIN ima više od 4 cifre za postupak se uzimaju krajnje leve 4 cifre PVKI – 1 cifra koja predstavlja indeks selektovanog para PVK-ova iz Tabele PVK ključeva 46  Kartice sa magnetnom trakom – verifikacija PIN-a  Visa postupak izdavanja PIN-a:  Primer generisanog TSP-a: 47  Kartice sa magnetnom trakom – verifikacija PIN-a  Visa postupak izdavanja PIN-a:  Skeniranje enkriptovanog TSP-a: 48  Kartice sa magnetnom trakom – verifikacija PIN-a  Visa postupak izdavanja PIN-a:  Skeniranje enkriptovanog TSP-a:  Skeniranje s leva na desno izdvajajući cifre koje su manje ili jednake 9 dok se ne nađe 4 takvih cifara Te 4 cifre predstavljaju – PVV Proces skeniranja se završava.  Ako je broj takvih cifara manji od 4 – ponavlja se postupak skeniranja ali ovog puta samo cifara većih od 9 – svaka takva cifra se decimalizuje  Dopunom do 4 cifre proces skeniranja se završava 49  Kartice sa magnetnom trakom – verifikacija PIN-a  Visa postupak izdavanja PIN-a:  Iz rezultata 3DES enkripcije – Referentni PVV (+ PVKI)  Referentni PVV + PVKI se memoriše (kartica/BP banke – offline/online)  PIN se automatski štampa u PIN pismo  Radna memorija je briše (resetuje na 0!) Iz PVV se ne može rekonstruisati PIN! 50  Kartice sa magnetnom trakom transformed security parameter TSP VISA PIN Verifikacioni postupak  Kada korisnik platne kartice ukuca PIN – na mestu verifikacije se izračunava Transakcioni PVV  Ako je Referentni PVV = Transakcioni PVV - Verifikacija 51 je uspešna!  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Naziva se još: CVC (Card Verification Code) ili CSC (Card Security Code)  Sadrži 3-4 cifre  Koristi se u toku transakcije plaćanja od strane izdavača kartice u cilju provere integriteta primljenih 52 podataka pročitanih sa magnetne trake  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Postoje dva bezbedonosna koda CVV1 (transaction in person) CVV2 (card not present) 53  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Prvi bezbedonosni kod  CVV1 – nalazi se na traci nastao šifrovanjem bloka podataka (64-bit): a) Broj kartice (PAN) b) Rok isticanja važnosti c) Šifarnik usluga  Koristi se u transakcijama koje se obavljaju uz prisustvo 54 korisnika (transaction in person)  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Prvi bezbedonosni kod  CVV1 – Ima za cilj da potvrdi da je kartica zapravo u rukama trgovca tokom transakcije  Preuzima se provlačenjem kartice na POS uređaju na prodajnom mestu zajedno sa ostalim podacima (PAN, Dodatni podaci) 55  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Drugi bezbedonosni kod - CVV2  CVV2 – koristi se u e-transakcijama u kojima kartica nije prisutna (card not present)  Generiše se (prilikom izdavanja kartice): Ekriptovanjem DES (3DES) algoritmom blok-podataka (64-bit): a) Broj kartice (PAN) b) Rok isticanja važnosti 56 c) Fiksni tro-cifreni broj (999)  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Lokacija Visa i MasterCard Na poleđini kartice, desno od potpisa nalazi se broj – poslednje tri cifre su CVV2 (Credit Card ID, CCID) American Express Na licu kartice kao odštampan broj – sadrži 4 cifre 57  Kartice sa magnetnom trakom  CVV (Card Verification Value)  Lokacija CVV2 koda na platnoj kartici 58  Kartice sa magnetnom trakom  CVV2 - Za plaćanje preko Interneta  Za plaćanje preko Interneta – potrebno je poslati PAN broj Rok isticanja važnosti kartice CVV2  Zbog učestalih pokušaja krađa kartica i podataka sa njih – postalo je obavezno slanje ovog bezbedonosnog koda za sva plaćanja koja se obavljaju bez prisustva korisnika  Ovaj broj ne treba mešati sa standardnim brojem računa 59 (embosirane cifre na licu kartice)  Kartice sa magnetnom trakom  CVV2 - Za plaćanje preko Interneta  Prilikom obavljanja transakcija potrebno je poslati ovaj broj – kako bi se proverilo da li kupac stvarno poseduje tu karticu 60  Kartice sa magnetnom trakom  CVV2 - Za plaćanje preko Interneta  Kako se CVV2 kod ne nalazi na magnetnoj stazi – uglavnom se koristi za transakcije koje se obavljaju bez prisustva korisnika kartice  Neki trgovci od nedavno zahtevaju unos ovog koda i kada se transakcija obavlja uz prisustvo korisnika CVV2 koda  Počev od 2005. ovo je stalna praksa u nekim zemljama EU (Engleska, Irska,...) kada se radi o Amerikan Express kartici 61  Kartice sa magnetnom trakom  CVV2 - Za plaćanje preko Interneta  Korišćenje ovog koda je i dalje opciono  Transakcije koje se obavljaju bez ovog koda pružaju veću mogućnost zlonamernog otkrivanja podataka sa kreditne kartice 62  Kartice sa magnetnom trakom - nedostaci  Podaci koji se nalaze na njoj mogu biti jednostavno pročitani i modifikovani  Skimovanje (Card skimming) – proces čitanja podataka sa kartice  Kloniranje kartice – pravljenja duplikata kopiranjem skimovanih podataka na drugu karticu 63  Kartice sa magnetnom trakom - nedostaci  To je razlog zbog čega se na kartici - ne mogu nalaziti poverljive informacije (lozinka, PIN)  Prilikom transakcije ATM ili POS moraju on-line da provere PIN, što zahteva vreme  Ovaj problem može biti rešen – smart karticom 64  Smart kartice  Termin SmartCard (pametna kartica) - u širem smislu  Kartica koja ima mogućnost da dovede u vezu informaciju(e) sa određenom aplikacijom  magnetna,  optička,  memorijska i  mikroprocesorska kartica 65  Smart kartice  U užem smisli, smart karticama se smatraju:  Memorijske kartice i  Mikroprocesorske kartice 66  Smart kartice  Sredinom 70-tih prošlog veka u Francuskoj – koncept kartice sa procesorom  Osnovna novina – (I) poseduje algoritamsku zaštitu pristupa podacima  Faktička primena u francuskim bankama 1992.  Najzastupljenija u Evropi  Svedoci smo eksponencijalnog rasta tržišta smart kartica 67  Smart kartice  Postoje dve osnovne kategorije (u užem smislu) smart kartica 1. Memorijske kartice kartica sa integrisanim kolom – ICC Optičke memorijske kartice 2. Mikroprocesorske (čip-) kartice Kartica sa procesorom 68  Smart kartice Memorijske kartice  Sadrže samo memoriju i integrisano kolo sa ograničenim brojem memorijskih funkcija  Ali ne i procesor za manipulaciju (obradu)  Za obradu se koristi čitač kartice  Jednostavna tehnologija izrade – jeftina proizvodnja (oko 1 dolar) 69  Smart kartice Memorijske kartice  Sadrže:  EEPROM electrically erasable programmable read-only memory Oblik postojane memorije Kapacitet od nekoliko stotina bajtova do 8 KB  ROM Adresnu ligiku i 70Primitivnu sigurnosnu logiku  Smart kartice Memorijske kartice  Široka primena:  U segmentu telefonskih kartica (pre-paid)  U segmentu kartica zdravstvenog osiguranja  Kartice za transport  Pre-paid kartice za parkiranje  Programi lojalnosti 71  Smart kartice Optičke memorijske kartice  Izgledaju kao kartice na koje je nalepljen deo CDROM-a  Mogu da uskladište preko 4MB podataka  Jednom uneti podaci – ne mogu se više menjati  Idealna za čuvanje zapisa – medicinski fajlovi, podaci sa vozačke dozvole  Ove kartice nemaju ugrađen procesor – ali se može očekivati u budućnosti  Cena izrade – cena čitača (nestandardni) 72  Smart kartice Mikroprocesorske (čip) kartice  Nude veće mogućnosti skladištenja i sigurnosti podataka – u odnosu na magnetne kartice  Omogućavaju i obradu podataka koji se nalaze na kartici  Koriste se u mnogim aplikacijama – naročito onim sa ugrađenom kriptografijom  Osnovna platforma za čuvanje digitalnog identiteta 73  Smart kartice Mikroprocesorske (čip) kartice  Primeri ovih kartica:  Kartice sa uskladištenom monetarnom vrednošću, debitne, kreditne kartice  Kartice za držanje novčanih ekvivalenata – affinity kartice  Kartice koje omogućavaju bezbedan pristup mrežama  Kartice koje se koriste u mobilnim telefonima 74  Smart kartice Mikroprocesorske (čip) kartice  Mikroprocesorska kartica sadrži:  Mikroprocesor  Memoriju  Ulazno/izlazni sklop 75  Smart kartice Mikroprocesorske (čip) kartice  Mikroprocesorska kartica sadrži:  Mikroprocesor – CPU Na njemu se izvršavaju različite instrukcije projektovane da Ograniče pristup uskladištenim podacima Onemoguće neautorizovan pristup  Memoriju RAM ROM 76 EEPROM  Smart kartice Mikroprocesorske (čip) kartice EEPROM memorija  Omogućava izmenu postojećih podataka  Podaci u njoj mogu biti zaključani – moguće im je pristupiti samo unošenjem PIN koda  Svaka transakcija se memoriše na samoj kartici  Kartica poseduje i ulazno/izlazni sklop preko koga se komunicira sa okolinom (čitačem) 77  Smart kartice Mikroprocesorske (čip) kartice  Sa pojavom smart kartica proširuju se aplikativne mogućnosti platnih kartica – kao rezultat: a) Uvođenja autonomnosti obrade podataka na kartici u odnosu na sistem b) Porasta kapaciteta memorije  Primenom smart kartice moguće je sprečiti napade na lične podatke 78Algoritamska zaštita pristupa Bilateralna provera autentičnosti  Smart kartice Mikroprocesorske (čip) kartice  Tipična smart kartica:  8-bitni procesor brzine 5 MHz  256KB – 1024KB RAM-a  6KB – 32KB ROM-a  2KB – 32KB EEPROM-a  Operativni sistem – JavaCard, MULTOS  Najpoznatiji protokoli za upotrebu smart kartica – SSL, 79 SET, EMV protokoli  Smart kartice Mikroprocesorske (čip) kartice  Smart kartice mogu da sadrže i digitalni sertifikat sa svim podacima o vlasniku kartice 80  Prednosti smart kartice A) Čuvanje mnogo veće količine podataka nego na magnetnoj traci  Omogućuju svim učesnicima u transakciji uskladištenje dodatnih podataka na kartici  Tehnološka ograničenja magnetne kartice su bila očigledna Limitirani kapacitet za skladištenje podataka i nedostatak bezbedonosne logike – čini ih pasivnim uređajem  Brz porast snage i kapaciteta + smanjenje troškova 81 izrade – najbolja alternativa magnetnoj kartici  Prednosti smart kartice A) Čuvanje mnogo veće količine podataka nego na magnetnoj traci 82  Prednosti smart kartice B) Zaštita od neautorizovanog pristupa  Na kartici je moguće čuvati poverljive podatke (PIN)  Trgovac ne mora svaki put on-line da obavlja autentifikaciju korisnika  Omogućavaju čuvanje podataka kao što su tajni ključevi i sertifikati nezavisno od računara – gde su podložni napadima virusa Smart kartice imaju prednost u odnosu na sofverska rešenja bezbedonosnih problema (na PC-u)– uređaj 83otporan na falsifikovanje  Prednosti smart kartice C) Mnoštvo aplikacija  Jedna kartica može da služi kao pasoš, vozačka dozvola, identifikaciona kartica, finansijska (platna) kartica...  Na početku, većina smart kartica su obavljale samo osnovnu kriptografsku obradu – verifikacija digitalnog sertifikata  Nove verzije smart kartica - u stanju da čuvaju i izvršavaju veliki broj aplikacija  Sun Microsystems Inc. – JavaCard API 84 Omogućuje učitavanje različitih aplikacija u karticu  Prednosti smart kartice C) Mnoštvo aplikacija  Tipična smart aplikacija treba da omogući: Upravljanje kešom Pristup finansijskim servisima Medicinske informacije Javni prevoz Da obezbedi funkcionalnost koju već poseduje platna kartica 85  Prednosti smart kartice D) Ne može biti jednostavno kopirana kao u slušaju magnetne kartice  Veliki broj krađa magnetnih platnih kartica  Potreba za naprednim mehanizmima autentifikacije – pronalaženje najbolje alternative – smart kartice  U Francuskoj, uvođenjem smart kartica – krađe svedene gotovo na nulu 86  Prednosti smart kartice E) Troškovi obavljanja transakcija su smanjeni  Transakcije koje iziskuju vreme bankarskog službenika i rad sa papirima – sada se obavlja elektronski  Omogućuje plaćanje bez potrebe ostvarenja komunikacije između trgovca i izdavaoca kartice  Izbegavaju visoke troškove obrade čekova  Prednost u odnosu na keš – mogućnost ostvarivanja kamata na novac uskladišten na kartici 87  Klasifikacija smart kartica  U zavisnosti od metoda komunikacije i transfera podataka sa uređajima za čitanje smart kartice možemo podeliti na:  Kontaktne  Beskontaktne  Hibridne (kombinovane) kartice 88  Kontaktna smart kartica  Standardna ili kontaktna smart kartica – istih dimenzija kao konvencionalne plastične kartice  Pored toga, ugrađena memorija + procesor  Za njeno korišćenje potrebno je uspostaviti (fizički) kontakt sa  Čitačem kartice (card reader) ili  Terminalom kako bi se priključila na naponski izvor 89  Kontaktna smart kartica Čitač kartice  Snabdeva integrisano kolo na smart kartici električnim naponom Čitanje podataka sa kartice Upis podataka u karticu  Digitalni ulazno-izlazni uređaj koji komunicira sa računarom (back-end) u oba smera Terminal  Zaseban uređaj koji se preko telekomun. mreže spreže sa centralnim računarom  Sadrži 90 SW/HW interfejs za čitanje i upis na karticu  Kontaktna smart kartica  Čitači mogu biti  Samostalni uređaji sa LCD ekranom i numeričkom tastaturom  Povezani sa personalnim računarom  Integrisani u ATM uređaje, POS terminale, mobilne telefone..... 91  Kontaktna smart kartica  Memorija i centralni procesor se mogu nalaziti:  Na posebnim čipovima  Jedan čip – procesor i operativna memorija  Drugi čip – sekundarna memorija  Na istom čipu  Skuplje rešenje  Bezbednije rešenje 92  Kontaktna smart kartica - nedostaci  Elektro-statičko pražnjenje usled lošeg kontakta – može da ošteti integrisano kolo na kartici  Ponekad korisnik izvuče karticu iz čitača pre nego što se transakcija kompletira – nije dobro za karticu (Card Tearing) 93  Kontaktna smart kartica  Procesor kod kontaktnih smart kartica može biti korišćen za autentifikaciju korisnika bez potrebe direktne on-line veze sa centralnim računarom banke 94  Beskontaktna smart kartica  Beskontaktne kartice (tzv. Proximity Cards) sadrže antenu kojom se prihvataju signali emitovani sa čitača  Nije potreban direktan kontakt sa čitačem ili terminalom  Kao i kontaktne – ne sadrže bateriju  Koriste ugrađeni induktor koji hvata radio signale i koristi ih za napajanje elektronike u smart kartici  Udaljenost 95 od nekoliko santimetra do pola metra  Beskontaktna smart kartica  Nije potreban fizički kontakt – time rešeni svi problemi vezani za kontaktne kartice  Koriste se uglavnom kada je potrebno transakciju izvršiti veoma brzo  Skuplje su u odnosu na kontaktne ali su i dugovečnije 96  Beskontaktna smart kartica - prednosti  Za kupce – komfornost prilikom plaćanja, nije potrebno potpisivati račun ili unositi PIN kod  Smanjenje vremena za obavljanje plaćanja  Za trgovce – povećava se obim prodaje, a nisu potrebne velike investicije za implementaciju ove tehnologije  Dovoljno je postojećem POS terminalu dodati RF čitač  Za banke – veći prihodi od naplate provizija usled povećanog 97 broja transakcija  Hibridna smart kartica  Imaju mogućnost komuniciranja i direktnim kontaktom (u čitač kartica) kao i pomoću RF signala  Beskontaktni čip se koristi kada je potrebno brzo obaviti transakciju  Kontaktni čip se koristi za aplikacije koje zahtevaju veću bezbednost 98  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Koristi tehniku radio talasa za razmenjivanje podataka između čitača (reader) i uređaja koji se zove transmitter (tag) /transponder 99  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  RFID tag – inkorporiran u čip koji se nalazi na smart kartici 100  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Sastoje se iz dva dela: Prvi deo: Integrisano kolo (procesor) Koje skladišti i obrađuje podatke Modulacija i demodulacija RF signala Drugi deo: Antena 101 Koja prima i šalje signale  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Pasivni RFID  Uključivanjem čitača on počinje emitovati signal određene frekvencije. Stvoreno elektro-magnetno polje daje energiju (struju) integrisanom kolu da bi se RFID tag (procesor) pokrenuo  Aktivni RFID  Sadrži sopstveno napajanje – bateriju  Neprekidno emituje signal (lokator) 102  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Polu-aktivni RFID  Sadrži sopstveno napajanje – bateriju  Očekuje iniciranje od strane čitača 103  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Metod automatske identifikacije - zasnovan na skladištenju i daljinskom očitavanju podataka pomoću – RFID tagova  U tag je upisan jedinstveni identifikacioni broj (ID) koji se putem radio talasa emituje do prijemnika  Prijemnik ga prosleđuje u autorizacioni centar gde se ID vezuje za broj računa u banci i vrši plaćanje 104  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification) 105  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification)  Mogu se implementirati u životinje ili ljude radi identifikacije (praćenja) (aktivni RFID)  Mogu se automatski pročitati (pasivni RFID)  Na njih se uglavnom gleda kao zameni za bar kodove 106  RFID tehnologija  Identifikacija pomoću radio frekvencije – RFID (Radio-frequency identification) Primena  RFID tagovi se koriste i za pasoše (e-pasoši)  Prvi RFID pasoš je izdat u Maleziji 1998. godine  Sadrže digitalnu fotografiju korisnika, i podatke o istoriji svih putovanja – datumi ulaska i izlaska iz svih zemalja koje su posećene 107  RFID tehnologija - problemi  Nekompatibilnost frekvencija koje se koriste za RFID u Evropi i SAD (još uvek ne postoji standard)  RFID čipovi unutar RFID smart kartice mogu biti podložni fizičkom uništenju u slučaju jačeg udarca  Glavni problem koji nosi upotreba RFID tehnologije je privatnost  Rešenje? 108  RFID tehnologija - problemi  Moguće je sprečiti napajanje presretanjem elektro-magnetnih signala  Na ovaj način se može sprečiti čitanje podataka na RFID kartici  To se može preduprediti korišćenjem anti- statičkog omotača (aluminijumske folije) – Faradejev kavez 109  RFID tehnologija - problemi  Kompanija Chase Corporation je 2007. godine razvila novi proizvod – Paper Tyger za zaštitu ličnih podataka koji se nalaze na beskontaktnoj kartici  Ovaj RFID oklop sadrži sigurnosnu barijeru za obezbeđivanje osetljivih podataka 110  EMV standard  Smart kartice su uglavnom usaglašene sa EMV standardom  Europay, MasterCard, Visa – 1993. godine zajedno rade na razvoju standarda i specifikacija za korišćenje smart kartice  EMV standardi definišu interakcije na fizičkom, informacionom i aplikativnom nivou između  smart111 kartice i uređaja za procesuiranje transakcija  EMV standard  Dve najpoznatije implementacije saglasne EMV standardu:  VSDC (Visa) i  M/Chip (MasterCard) i (M/Chip Fast) 112  EMV standard  Cilj i svrha standarda – da omogući interoperabilnost između smart kartica zasnovanih na EMV i terminala širom sveta koji prihvataju plaćanje ovim karticama  Poboljšana bezbednost finansijskih transakcija uz smanjenje krađe  Smart kartice koje nisu zasnovane na EMV standardu imaju sopstvenu kripto zaštitu koja je zasnovana na lokalnim privatnim standardima 113  EMV standard  Procesuiranje transakcija pomoću smart kartica je sporije u odnosu na magnetne kartice  Dodatna kriptografija  Vreme potrebno za prenos podataka između kartice i terminala  Za potvrdu identiteta uglavnom se koristi PIN kod a ređe potpisivanje računa  U budućnosti će se verovatno koristiti savremeniji sistemi za autentifikaciju kao što su biometrijski  Za sada 114 nedovoljno ekonomični  EMV standard  EMV sesija može biti podeljena u 5 faza: 1. Inicijalizcija: selektovanje aplikacije na smart kartici i čitanje odgovarajućih podataka; 2. (opciona) Verifikacija kartice, SDA, DDA ili CDA; 3. (opciona) Verifikacija korisnika kartice, pomoću PIN-a ili svojeručnog potpisa; 4. Transakcija 5. (opciona) Ažururanje sadržaja kartice od strane izdavaoca, omogućuje izdavaocu da ažurira podatke 115 na kartici neposredno nakon transakcije  EMV standard Inicijalizacija  U prvoj fazi EMV sesije, terminal dobija:  Osnovne podatke o platnoj kartici (broj kartice, datum isteka važenja)  Informacije o funkcijama koje kartica podržava  Informacije o konfiguracijama podržanih funkcija  Opciono, u ovoj fazi i kartica može da zatraži neke podatke od terminala 116  EMV standard Inicijalizacija Sesija započinje selektovanjem određene aplikacije (plaćanja) Nakon razmene i usaglašavanja podataka što se tiče selektovane aplikacije, prelazi se na sledeću fazu 117  EMV standard Verifikacija kartice EMV sistemi koriste različite protokole za proveru da li je kartica koja se koristi – legitimna Online Zahteva Internet konekciju kako bi terminal mogao podatke za verifikaciju da pošalje izdavaocu kartice na proveru Slično proveri u slučaju magnetne kartice (CVV) – samo mnogo bezbednije Offline(SDA), SDA – Statička autentifikacija kartice Offline(DDA), 118 DDA – Dinamička autentifikacija kartice  EMV standard Verifikacija kartice SDA – Statička autentifikacija kartice  Offline verifikacija kartice se vrši bez Internet konekcije sa izdavaocem kartice  U EMV kartice su prilikom formiranja učitani:  Digitalno-potpisan sertifikat (od strane izdavaoca) i  Ključevi  Terminali poseduju javne ključeve svih sistema plaćanja (izdavalaca) koji su prihvaćeni u toku njihovog 119 konfigurisanja  EMV standard Verifikacija kartice SDA – Statička autentifikacija kartice  Procedura verifikacije započinje slanjem sertifikata kartice terminalu  Terminal koristi odgovarajući javni ključ kako bi verifikovao sertifikat kartice  Ako je verifikacija uspešna, preuzima javni ključ iz sertifikata (javni ključ kartice) i njega koristi u nastavku procedure verifikacije 120  EMV standard Verifikacija kartice SDA – Statička autentifikacija kartice Kartica šalje digitalno potpisane podatke (uključujući broj kartice+datum isticanja) kako bi se verifikovala na terminalu Verifikacija je omogućena jer terminal poseduje javni ključ kartice Međutim na ovaj način verifikacije se ne otklanja mogućnost kloniranja kartice 121  EMV standard Verifikacija kartice  DDA – Dinamička autentifikacija podataka  Slično SDA samo što se koriste jedinstveni podaci vezani za svaku transakciju  Nudi veći stepen sigurnosti  Asimetrična kriptografija (tajni/javni ključ) i  Mehanizam teksta izazova (challenge-response mehanizam) 122  EMV standard Verifikacija korisnika kartice  CVM - Cardholder Verification Method  Može biti ostvarena na nekoliko načina:  Korišćenjem PIN-a  Svojeručnim potpisom  Nije potrebna verifikacija  Kartica šalji listu podržanih metoda verifikacije (CVM Rules) terminalu koja specificira pod kojim uslovima su koje CVM metode prihvatljive (sortirane po jačini)  123 Terminal selektuje metod koji će se koristiti  EMV standard Verifikacija korisnika kartice  Ako je selektovana metoda verifikacije pomoću PIN-a, to je moguće realizovati na tri načina:  Online PIN verifikacija U ovom slučaju banka izdavaoc vrši proveru PIN-a  Offline tekstualni (izvorni) PIN verifikacija  Offline ekriptovani PIN verifikacija 124  EMV standard Verifikacija korisnika kartice Offline tekstualni PIN verifikacija  U ovom slučaju procesor na kartici proverava PIN  PIN je prenet na karticu u izvornom obliku (plain text) T→C: VERIFY(pin) C→T: Success/ (PINfailed, tries_left) /Failed tries_left – neuspešna verifikacija, preostali broj pokušaja 125 pre blokiranja kartice  EMV standard Verifikacija korisnika kartice Offline ekriptovani PIN verifikacija  U ovom slučaju procesor na kartici proverava PIN  PIN je prenet na karticu u enkriptovanom obliku T→C: GETCHALLENGE C→T: nonce T→C: VERIFY(encrypt(pin, nonce)) C→T: Success/ (PIN_failed, tries_left) /Failed nonce – tekst izazova (slučajni broj koji može biti korišćen 126samo jednom u kriptografskoj komunikaciji)