¿EMV protege contra la detección de datos PAN desde redes no confiables?

4

He recibido información conflictiva con respecto a la seguridad de los datos de PAN en el cable. ¿Se puede olfatear esto con EMV debidamente configurada en un cajero?

Para citar desde el siguiente enlace: enlace

El Consejo de Normas de Seguridad de PCI señala: "en los entornos EMV, el PAN [número de cuenta principal] no se mantiene confidencial en ningún momento de la transacción".

Sin embargo, a mi entender, una parte fundamental de una transacción EMV es que el procesador forma un criptograma del PAN que solo puede ser descifrado por el emisor / procesador (CDA / DDA). Haciendo inútil cualquier tráfico capturado. ¿Cuál sería el punto de enviar PAN cuando ya existe una forma única de identificar la tarjeta? Vea la cita a continuación:

"Todas las tarjetas EMV tienen un requisito mínimo obligatorio para usar una Tarjeta única clave 3DES y tiene una opción entre tres cada vez más Usos seguros de firmas y claves RSA, denominadas SDA (Datos estáticos). Autenticación), DDA (Autenticación de datos dinámica) y CDA (Combinado Autenticación de datos). " enlace

Estas dos fuentes legítimas parecen contradecirse en cuanto a que los datos de PAN son vulnerables a los ataques MITM.

    
pregunta Tyler 04.04.2016 - 19:11
fuente

2 respuestas

3

Muchas personas se sorprenden al saber que EMV no cifra el PAN. Pero en realidad, una vez que EMV se haya implementado completamente, el cifrado del PAN se volverá innecesario y quedará como una deuda técnica de los actuales protocolos inseguros. EMV no necesita comenzar con ese equipaje.

La razón por la que EMV no requiere cifrado del PAN es que el PAN solo representa Identity ; no representa Autenticación del chip (ese es el trabajo del mensaje ARQC), y no representa la Autorización del titular de la tarjeta para usar la tarjeta (ese es el trabajo del PIN). Mientras el chip esté autenticado y el usuario proporcione la autorización, la transacción estará protegida. La identidad no tiene por qué mantenerse en secreto.

En el mundo actual que no es EMV, la identidad, la autenticación y la autorización se combinan en la banda magnética inmutable. Copiar los datos de banda le permite clonar una tarjeta, por lo que es necesario proteger toda la banda. Usamos las palabras "robo de identidad" para que la gente piense que están robando nuestra identidad, pero en realidad, están robando los tres atributos de la tarjeta al mismo tiempo.

Con EMV, todavía se requiere que PAN proporcione la identidad de la tarjeta. El resto de los datos de EMV no incluye información suficiente para identificar la tarjeta, ni debería hacerlo. La identidad puede incluso hacerse pública, siempre y cuando no pueda ser utilizada por sí misma.

En EMV, el criptograma ARQC sirve como la firma del chip, autentificando los mensajes originados en el chip asociado con el PAN. La criptografía y el almacenamiento seguro en los chips garantizan que no se pueda falsificar un ARQC. Debido a que el ARQC es transaccional, cada solicitud es diferente; los ataques de repetición no funcionan mientras el banco garantice que los ARQC duplicados sean rechazados.

El PIN sirve como la autorización del usuario para cargar. El PIN le dice al chip "hey, su usuario acaba de demostrar en este momento que quiere que se lleve a cabo esta transacción". Depende de su banco si quieren que su tarjeta requiera un PIN; podrían estar contentos simplemente dejándole firmar la transacción.

[Tenga en cuenta que la mayoría de los bancos de EE. UU. optaron por Chip y Signature en lugar de Chip y PIN. La única ventaja de Chip y PIN es que protege su tarjeta del uso no autorizado en caso de pérdida o robo; pero realmente, la FDIC ya limita su responsabilidad personal a $ 50 , y casi todos los bancos renuncian que a $ 0 en el caso de una tarjeta perdida o robada. Y como los bancos ganan dinero cada vez que cobran algo, prefieren aceptar el riesgo de fraude (que ya están obligados a tomar por ley ) que incomodar a sus clientes al hacer que escriban un PIN. Creen que los clientes incomodados encontrarán una manera más fácil de pagar, reduciendo sus ganancias.]

Pero estamos muy lejos de la implementación completa de EMV. El cambio de responsabilidad de octubre de 2015 se creó como incentivo para que los minoristas de EE. UU. Cambien el procesamiento de sus transacciones para utilizar EMV, pero muy pocos minoristas de EE. UU. Realmente aceptan tarjetas con chip a partir de abril de 2016. Despliegue de nuevos terminales, nuevo software y nuevas tarjetas en 6 millones de minoristas 11,000 bancos y miles de millones de tarjetas requieren mucho tiempo y dinero. Y nadie ha creado todavía una solución universalmente aceptada para asegurar las transacciones con Tarjeta No Presente (CNP), como reservas de hoteles, compras por Internet, etc. Por lo tanto, hasta que EMV esté completamente implementado y el problema de CNP esté resuelto, todavía depende de los comerciantes y los terminales de punto de venta proteger. y cifre los PAN y los datos de autorización confidenciales. Por ahora, eso incluye el PAN.

    
respondido por el John Deters 04.04.2016 - 22:39
fuente
3

El PAN sigue siendo tan vulnerable al compromiso en una transacción de EMV como lo fue sin EMV, si no se toman medidas de seguridad adicionales. El texto claro, PAN estático todavía se incluye en el mensaje de la transacción, además del criptograma. Las afirmaciones que citó anteriormente son verdaderas. El uso de SDA / DDA / CDA está relacionado con las operaciones criptográficas realizadas con EMV. Aparte de eso, el PAN aún se incluye en otro campo que no sea el que se envió el criptograma.

En cuanto a "en el cable", los requisitos de PCI DSS sí especifican que los PAN se cifren cuando se transmiten a través de redes abiertas y públicas como Internet. El cifrado en redes privadas no es obligatorio.

Muchas soluciones están implementando el cifrado punto a punto (P2PE) sobre EMV para ayudar a proteger el PAN.

    
respondido por el Jin 04.04.2016 - 21:26
fuente

Lea otras preguntas en las etiquetas