EMV - EMV

5143773081812421

EMV - это метод оплаты, основанный на техническом стандарте для смарт- платежных карт, а также для платежных терминалов и банкоматов, которые могут их принимать. Первоначально EMV расшифровывалось как « E uropay , M astercard и V isa », трем компаниям, создавшим стандарт.

Карты EMV - это смарт-карты , также называемые чип-картами, интегральными схемами или IC-картами, которые хранят свои данные на интегральных микросхемах в дополнение к магнитным полосам для обратной совместимости . К ним относятся карты, которые необходимо физически вставить или «погрузить» в считывающее устройство, а также бесконтактные карты, которые можно считывать на небольшом расстоянии с помощью технологии связи ближнего поля . Платежные карты, соответствующие стандарту EMV, часто называют чипами и PIN-кодами или чипами и картами подписи , в зависимости от методов аутентификации, используемых эмитентом карты, таких как личный идентификационный номер (PIN) или цифровая подпись .

Существуют стандарты на основе ISO / IEC 7816 для контактных карт и стандарты на основе ISO / IEC 14443 для бесконтактных карт ( Mastercard Contactless , Visa PayWave , American Express ExpressPay ).

В феврале 2010 года компьютерные ученые из Кембриджского университета продемонстрировали, что реализация ввода PIN-кода EMV уязвима для атаки типа « злоумышленник в середине», но уязвимы были только реализации, в которых PIN-код проверялся в автономном режиме.

История

До введения чипа и PIN-кода все личные транзакции по кредитным или дебетовым картам включали использование магнитной полосы или механического отпечатка для чтения и записи данных учетной записи, а также подпись для проверки личности. Клиент передает свою карту кассиру в точке продажи, который затем пропускает карту через магнитный считыватель или делает оттиск с выпуклого текста на карте. В первом случае система проверяет реквизиты счета и распечатывает квитанцию ​​для подписи клиентом. В случае механического отпечатка заполняются детали транзакции, просматривается список украденных номеров, и покупатель подписывает отпечатанный бланк. В обоих случаях кассир должен убедиться, что подпись клиента совпадает с подписью на обратной стороне карты, чтобы подтвердить транзакцию.

Использование подписи на карте в качестве метода проверки имеет ряд недостатков безопасности, наиболее очевидным из которых является относительная легкость, с которой карты могут исчезнуть до того, как их законные владельцы смогут их подписать. Другой включает стирание и замену законной подписи, а третий - подделку правильной подписи.

Изобретение кремниевой интегральной схемы в 1959 году привело к идее встроить ее в пластиковую смарт-карту в конце 1960-х годов двумя немецкими инженерами, Хельмутом Греттрупом и Юргеном Детлоффом . Первые смарт-карты были представлены как телефонные карты в 1970-х годах, а затем были адаптированы для использования в качестве платежных карт . Смарт-карты с тех пор использовали микросхемы интегральных схем MOS , наряду с технологиями MOS-памяти, такими как флэш-память и EEPROM (электрически стираемая программируемая постоянная память ).

Первым стандартом для смарт-платежных карт был Carte Bancaire B0M4 от Bull-CP8, развернутый во Франции в 1986 году, за ним последовал B4B0 '(совместимый с M4), развернутый в 1989 году. Geldkarte в Германии также предшествовал EMV. EMV был разработан для обеспечения обратной совместимости карт и терминалов с этими стандартами. С тех пор Франция перевела всю свою карточную и терминальную инфраструктуру на EMV.

Первоначально EMV обозначало E uropay , M astercard и V isa , три компании, создавшие стандарт. Стандарт теперь управляется EMVCo , консорциумом, в котором контроль поровну разделен между Visa, Mastercard, JCB , American Express , China UnionPay и Discover. EMVCo также относится к «партнерам», компаниям, которые могут предоставить информацию и получить обратную связь по подробным техническим и эксплуатационным вопросам, связанным со спецификациями EMV и соответствующими процессами.

JCB присоединилась к консорциуму в феврале 2009 года, China UnionPay - в мае 2013 года, Discover - в сентябре 2013 года и RuPay - 26 марта 2012 года.

Отличия и преимущества

Есть два основных преимущества перехода к платежным системам с использованием смарт-карт: повышенная безопасность (с соответствующим сокращением случаев мошенничества) и возможность более точного контроля за утверждением транзакций по кредитным картам в автономном режиме. Одна из первоначальных целей EMV заключалась в том, чтобы обеспечить несколько приложений на карте: приложение для кредитной и дебетовой карты или электронный кошелек. Дебетовые карты нового выпуска в США содержат два приложения - приложение для ассоциации карт (Visa, Mastercard и т. Д.) И обычное дебетовое приложение. Идентификатор общего дебетового приложения в некоторой степени ошибочен, поскольку каждое "обычное" дебетовое приложение фактически использует приложение привязки карты резидента.

Операции с чип-картами EMV повышают защиту от мошенничества по сравнению с операциями с картами с магнитной полосой, которые полагаются на подпись держателя и визуальный осмотр карты для проверки наличия таких функций, как голограмма . Использование PIN-кода и криптографических алгоритмов, таких как Triple DES , RSA и SHA, обеспечивает аутентификацию карты для терминала обработки и хост-системы эмитента карты. Время обработки сопоставимо с онлайн-транзакциями, в которых задержка связи составляет большую часть времени, в то время как криптографические операции на терминале занимают сравнительно мало времени. Предполагаемая повышенная защита от мошенничества позволила банкам и эмитентам кредитных карт провести «сдвиг ответственности», так что теперь продавцы несут ответственность (с 1 января 2005 года в регионе ЕС и с 1 октября 2015 года в США) за любое мошенничество, которое является результатом транзакций в системах, не поддерживающих EMV.

Большинство реализаций карт и терминалов EMV подтверждают личность держателя карты, требуя ввода личного идентификационного номера (ПИН-кода), а не подписания бумажной квитанции. Произойдет ли аутентификация по PIN-коду, зависит от возможностей терминала и программирования карты.

Когда кредитные карты были впервые представлены, торговцы использовали механические, а не магнитные портативные импринтеры для карт, для которых требовалась копировальная бумага . Они не общались в электронном виде с эмитентом карты, и карта никогда не уходила из поля зрения покупателя. Продавец должен был подтвердить транзакции, превышающие определенный валютный лимит, позвонив эмитенту карты. В 1970-х годах в Соединенных Штатах многие торговцы подписывались на регулярно обновляемый список украденных или иным образом недействительных номеров кредитных карт. Этот список обычно печатался в виде буклета на газетной бумаге в порядке номеров, как в тонкой телефонной книге, но без каких-либо данных, кроме списка недействительных номеров. Предполагалось, что кассиры будут листать этот буклет каждый раз при предъявлении кредитной карты для оплаты любой суммы до утверждения транзакции, что влекло за собой небольшую задержку.

Позже оборудование связывалось с эмитентом карты в электронном виде, используя информацию с магнитной полосы для проверки карты и авторизации транзакции. Это было намного быстрее, чем раньше, но требовало, чтобы транзакция происходила в фиксированном месте. Следовательно, если транзакция не происходила возле терминала (например, в ресторане), служащий или официант должен был забрать карту у клиента и передать ее в банкомат. Для нечестного сотрудника было легко в любой момент тайно провести карту через дешевый аппарат, который мгновенно записал информацию на карту и полосу; Фактически, даже у терминала вор мог наклониться перед клиентом и провести карточкой по скрытому считывателю. Это сделало незаконное клонирование карт относительно простым и более частым явлением, чем раньше.

С момента введения Чипа платежной карты и ПИН-кода клонирование чипа невозможно; можно скопировать только магнитную полосу, а скопированную карту нельзя использовать отдельно на терминале, требующем PIN-кода. Появление чипа и PIN-кода совпало с тем, что технология беспроводной передачи данных стала недорогой и широко распространенной. В дополнение к магнитным считывающим устройствам на мобильных телефонах, торговый персонал теперь может приносить покупателям беспроводные PIN-планшеты, так что карта никогда не пропадает из поля зрения держателя карты. Таким образом, для снижения рисков несанкционированного считывания и клонирования карт можно использовать как чип-и-PIN, так и беспроводные технологии.

Чип и ПИН-код вместо чипа и подписи

Чип и ПИН-код - это один из двух методов проверки, которые могут использовать карты с поддержкой EMV. Вместо того, чтобы физически подписывать квитанцию ​​в целях идентификации, пользователь просто вводит личный идентификационный номер (PIN), как правило, длиной от 4 до 6 цифр. Этот номер должен соответствовать информации, хранящейся на чипе. Технология чипа и PIN-кода значительно усложняет мошенникам использование найденной карты, поэтому, если кто-то украдет карту, он не сможет совершать мошеннические покупки, если не знает PIN-код.

Чип и подпись, с другой стороны, отличаются от чипа и ПИН-кода, подтверждая личность потребителя с помощью подписи.

По состоянию на 2015 год чипы и карты для подписи более распространены в США, Мексике, некоторых частях Южной Америки (таких как Аргентина, Колумбия, Перу) и некоторых странах Азии (таких как Тайвань, Гонконг, Таиланд, Южная Корея, Сингапур и Индонезия), тогда как карты с чипом и PIN-кодом более распространены в большинстве европейских стран (например, в Великобритании, Ирландии, Франции, Португалии, Финляндии и Нидерландах), а также в Иране, Бразилии, Венесуэле, Индии, Шри-Ланке, Канаде, Австралии. и Новая Зеландия.

Операции онлайн, по телефону и по почте

В то время как технология EMV помогла снизить уровень преступности в торговых точках, мошеннические транзакции превратились в более уязвимые транзакции по телефону , Интернету и почте, известные в отрасли как транзакции без предъявления карты или транзакции CNP. Транзакции CNP составили не менее 50% всех случаев мошенничества с кредитными картами. Из-за физического расстояния продавец не может предоставить покупателю клавиатуру в этих случаях, поэтому были разработаны альтернативы, в том числе

  • Программные подходы к онлайн-транзакциям, которые включают взаимодействие с банком-эмитентом карты или веб-сайтом сети, например, Verified by Visa и Mastercard SecureCode (реализация протокола Visa 3-D Secure ). 3-D Secure теперь заменяется надежной аутентификацией клиентов, как это определено в Европейской директиве о вторых платежных услугах .
  • Создание одноразовой виртуальной карты, привязанной к физической карте с заданной максимальной суммой.
  • Дополнительное оборудование с клавиатурой и экраном, которое может выдавать одноразовый пароль , например программа аутентификации чипа .
  • Клавиатура и экран интегрированы в сложные карты для создания одноразового пароля . С 2008 года Visa запускает пилотные проекты с использованием карты Emue, где сгенерированный номер заменяет код, напечатанный на обратной стороне стандартных карт.

Команды

ISO / IEC 7816 -3 определяет протокол передачи между чип-картами и считывающими устройствами. Используя этот протокол, данные обмениваются в единицах данных протокола приложения (APDU). Это включает отправку команды на карту, ее обработку и отправку ответа. EMV использует следующие команды:

  • блок приложения
  • разблокировать приложение
  • блок карты
  • внешняя аутентификация (7816-4)
  • генерировать криптограмму приложения
  • получить данные (7816-4)
  • получить варианты обработки
  • внутренняя аутентификация (7816-4)
  • Изменение / разблокировка PIN-кода
  • прочитать запись (7816-4)
  • выберите (7816-4)
  • проверить (7816-4).

Команды, за которыми следует «7816-4», определены в ISO / IEC 7816-4 и являются межотраслевыми командами, используемыми для многих приложений для чип-карт, таких как SIM- карты GSM .

Поток транзакции

Транзакция EMV состоит из следующих этапов:

Выбор приложения

ИСО / МЭК 7816 определяет процесс выбора приложений. Цель выбора приложения заключалась в том, чтобы позволить картам содержать совершенно разные приложения - например, GSM и EMV. Однако разработчики EMV реализовали выбор приложений как способ определения типа продукта, поэтому все эмитенты продукта (Visa, Mastercard и т. Д.) Должны иметь собственное приложение. То, как в EMV предписывается выбор приложений, является частым источником проблем совместимости между картами и терминалами. В книге 1 стандарта EMV 15 страниц посвящено описанию процесса выбора приложения.

Идентификатор приложения (АИД) используется для адресации приложения в карты или хост - карты эмуляции (HCE) , если они доставлены без карты. AID состоит из пяти байтов зарегистрированного идентификатора поставщика приложения (RID), который выдается органом регистрации ISO / IEC 7816-5. За этим следует проприетарное расширение идентификатора приложения (PIX), которое позволяет поставщику приложения различать различные предлагаемые приложения. AID печатается на всех квитанциях держателей карт EMV. Эмитенты карт могут изменить имя приложения на имя сети карты. Chase , например, переименовывает приложение Visa на своих картах Visa в «CHASE VISA», а приложение Mastercard на своих картах Mastercard - в «CHASE MASTERCARD». Capital One переименовывает приложение Mastercard на своих картах Mastercard в «CAPITAL ONE», а приложение Visa на своих картах Visa - на «CAPITAL ONE VISA». В остальном приложения такие же.

Список приложений:

Схема карты / Платежная сеть ИЗБАВЛЯТЬ Продукт PIX ПОМОГАТЬ
Данмёнт (Дания) A000000001 Денежная карта 1010 A0000000011010
Виза (США) A000000003 Кредитная или дебетовая карта Visa 1010 A0000000031010
Visa Electron 2010 г. A0000000032010
V Pay 2020 г. A0000000032020
Плюс 8010 A0000000038010
Mastercard (США) A000000004 Кредитная или дебетовая карта Mastercard 1010 A0000000041010
Mastercard 9999 A0000000049999
Маэстро 3060 A0000000043060
Только карта Cirrus ATM 6000 A0000000046000
Программа аутентификации чипа Securecode 8002 A0000000048002
Mastercard A000000005 Maestro UK
(ранее Switch )
0001 A0000000050001
American Express (США) A000000025 American Express 01 A00000002501
US Debit (все межбанковские сети) (США) A000000098 Карта Visa 0840 A0000000980840
A000000004 Карта под брендом Mastercard 2203 A0000000042203
A000000152 Фирменная карта Discover 4010 A0000001524010
Кредитная карта Menards (карта магазина) (США) A000000817 002001 A000000817002001
Сеть банкоматов LINK (Великобритания) A000000029 Карта банкомата 1010 A0000000291010
CB (Франция) A000000042 CB (кредитная или дебетовая карта) 1010 A0000000421010
CB (только дебетовая карта) 2010 г. A0000000422010
JCB (Япония) A000000065 Японское кредитное бюро 1010 A0000000651010
Данкорт (Дания) A000000121 Данкорт 1010 A0000001211010
VisaDankort 4711 A0000001214711
Данкорт (Дж / спиди) 4711 A0000001214712
Consorzio Bancomat (Италия) A000000141 Bancomat / PagoBancomat 0001 A0000001410001
Diners Club / Discover (США) A000000152 Diners Club / Откройте для себя 3010 A0000001523010
Банрисул (Бразилия) A000000154 Банрикомпрас Дебито 4442 A0000001544442
SPAN2 (Саудовская Аравия) A000000228 ОХВАТЫВАТЬ 1010 A00000022820101010
Interac (Канада) A000000277 Дебетовая карточка 1010 A0000002771010
Discover (США) A000000324 ZIP 1010 A0000003241010
UnionPay (Китай) A000000333 Списание средств 010101 A000000333010101
Кредит 010102 A000000333010102
Квазикредит 010103 A000000333010103
Электронная наличность 010106 A000000333010106
ZKA (Германия) A000000359 Girocard 1010028001 A0000003591010028001
EAPS Bancomat (Италия) A000000359 PagoBancomat 10100380 A00000035910100380
Verve (Нигерия) A000000371 Verve 0001 A0000003710001
Сеть банкоматов Exchange Network (Канада / США) A000000439 Карта банкомата 1010 A0000004391010
RuPay (Индия) A000000524 RuPay 1010 A0000005241010
Dinube (Испания) A000000630 Инициирование платежа Dinube (PSD2) 0101 A0000006300101
МИР (Россия) A000000658 МИР Дебет 2010 г. A0000006582010
МИР Кредит 1010 A0000006581010
Эденред (Бельгия) A000000436 Билет Ресторан 0100 A0000004360100
eftpos (Австралия) A000000384 Экономия (дебетовая карта) 10 A00000038410
Чек (дебетовая карта) 20 A00000038420
GIM-UEMOA


(Восемь стран Западной Африки: Бенин, Буркина-Фасо, Кот-д'Ивуар, Гвинея-Бисау, Мали, Нигер, Сенегал, Того)

A000000337 Ретрейт 01 000001 A000000337301000
Стандарт 01 000002 A000000337101000
Классический 01 000003 A000000337102000
Предоплата онлайн 01 000004 A000000337101001
Возможность предоплаты в автономном режиме 01 000005 A000000337102001
Porte Monnaie Electronique 01 000006 A000000337601001
Миза (Египет) A000000732 карта meeza 100123 A000000732100123

Начать обработку заявки

Терминал отправляет на карту команду получения параметров обработки . При подаче этой команды терминал снабжает карту любыми элементами данных, запрошенными картой в списке объектов данных опций обработки (PDOL). PDOL (список тегов и длин элементов данных) дополнительно предоставляется картой терминалу во время выбора приложения . Карта отвечает профилем обмена приложениями (AIP), списком функций, выполняемых при обработке транзакции. Карта также содержит указатель файлов приложения (AFL), список файлов и записей, которые терминал должен прочитать с карты.

Чтение данных приложения

Смарт-карты хранят данные в файлах. AFL содержит файлы, содержащие данные EMV. Все они должны быть прочитаны с помощью команды чтения записи. EMV не указывает, в каких файлах хранятся данные, поэтому все файлы должны быть прочитаны. Данные в этих файлах хранятся в формате BER TLV . EMV определяет значения тегов для всех данных, используемых при обработке карт.

Ограничения обработки

Целью ограничений обработки является проверка того, следует ли использовать карту. Проверяются три элемента данных, считанных на предыдущем шаге: номер версии приложения, контроль использования приложения (показывает, предназначена ли карта только для домашнего использования и т. Д.), Проверка даты действия / истечения срока действия приложения.

Если какая-либо из этих проверок не удалась, карта не обязательно отклоняется. Терминал устанавливает соответствующий бит в результатах проверки терминала (TVR), компоненты которых формируют основу для принятия / отклонения решения позже в потоке транзакции. Эта функция позволяет, например, эмитентам карт разрешать держателям карт продолжать использовать карты с истекшим сроком действия после даты истечения срока их действия, но все транзакции с картой с истекшим сроком действия должны выполняться в режиме онлайн.

Автономная аутентификация данных (ODA)

Автономная проверка подлинности данных - это криптографическая проверка для проверки карты с использованием криптографии с открытым ключом . В зависимости от карты можно выполнить три различных процесса:

  • Статическая аутентификация данных (SDA) гарантирует, что данные, считанные с карты, были подписаны эмитентом карты. Это предотвращает изменение данных, но не предотвращает клонирование.
  • Динамическая аутентификация данных (DDA) обеспечивает защиту от изменения данных и клонирования.
  • Комбинированная криптограмма DDA / генерации приложения (CDA) объединяет DDA с генерацией криптограммы приложения карты для обеспечения действительности карты. Может потребоваться поддержка CDA в устройствах, поскольку этот процесс реализован на определенных рынках. Этот процесс не является обязательным в терминалах и может выполняться только там, где его поддерживают и карта, и терминал.

Сертификаты EMV

Для проверки подлинности платежных карт используются сертификаты EMV. Центр сертификации EMV выдает цифровые сертификаты эмитентам платежных карт. По запросу чип платежной карты предоставляет терминалу сертификат открытого ключа эмитента карты и SSAD. Терминал извлекает открытый ключ CA из локального хранилища и использует его для подтверждения доверия для CA и, если он доверяет, для проверки того, что открытый ключ эмитента карты был подписан CA. Если открытый ключ эмитента карты действителен, терминал использует открытый ключ эмитента карты для проверки того, что SSAD карты был подписан эмитентом карты.

Проверка держателя карты

Проверка держателя карты используется для оценки того, является ли лицо, предъявившее карту, законным держателем карты. EMV поддерживает множество методов проверки держателя карты (CVM). Они есть

  • Подпись
  • Автономный ПИН-код в виде обычного текста
  • Зашифрованный PIN-код в автономном режиме
  • Автономный текстовый PIN-код и подпись
  • Автономный зашифрованный PIN-код и подпись
  • ПИН-код онлайн
  • CVM не требуется
  • Потребительское устройство CVM
  • Ошибка обработки CVM

Терминал использует список CVM, считанный с карты, для определения типа проверки, которую необходимо выполнить. Список CVM устанавливает приоритет используемых CVM относительно возможностей терминала. Разные терминалы поддерживают разные CVM. Банкоматы обычно поддерживают онлайн-PIN. POS-терминалы различаются по поддержке CVM в зависимости от типа и страны.

Для автономных зашифрованных ПИН-методов терминал шифрует ПИН-блок с открытым текстом с помощью открытого ключа карты перед отправкой его на карту с помощью команды « Проверить» . Для метода онлайн-ПИН блок ПИН-кода в открытом виде шифруется терминалом с использованием его двухточечного ключа шифрования перед его отправкой процессору эквайера в сообщении с запросом на авторизацию.

В 2017 году EMVCo добавила поддержку методов биометрической верификации в версии 4.3 спецификаций EMV.

Управление терминальными рисками

Управление рисками терминалов выполняется только на устройствах, где необходимо принять решение о том, должна ли транзакция авторизоваться онлайн или офлайн. Если транзакции всегда выполняются в режиме онлайн (например, банкоматы) или всегда в автономном режиме, этот шаг можно пропустить. Управление терминальным риском проверяет сумму транзакции на соответствие пределу автономного потолка (выше которого транзакции должны обрабатываться в интерактивном режиме). Также возможно иметь 1 в онлайн-счетчике и проверку по списку горячих карт (что необходимо только для автономных транзакций). Если результат любого из этих тестов положительный, терминал устанавливает соответствующий бит в результатах верификации терминала (TVR).

Анализ действия терминала

Результаты предыдущих шагов обработки используются для определения того, должна ли транзакция быть одобрена в автономном режиме, отправлена ​​в оперативный режим для авторизации или отклонена в автономном режиме. Это выполняется с помощью комбинации объектов данных, известных как коды действий терминала (TAC), хранящихся в терминале, и кодов действий эмитента (IAC), считываемых с карты. TAC логически объединяется с IAC, чтобы предоставить эквайеру уровень контроля над результатом транзакции.

Оба типа кода действия принимают значения Denial, Online и Default. Каждый код действия содержит серию битов, которые соответствуют битам в результатах проверки терминала (TVR), и используются для принятия терминалом решения о том, принять, отклонить или перейти в режим онлайн для платежной транзакции. TAC устанавливается эквайером карты; на практике схемы карт рекомендуют настройки TAC, которые следует использовать для конкретного типа терминала в зависимости от его возможностей. IAC устанавливается эмитентом карты; Некоторые эмитенты карт могут решить, что карты с истекшим сроком действия должны быть отклонены, установив соответствующий бит в Denial IAC. Другие эмитенты могут захотеть, чтобы транзакция продолжалась в интерактивном режиме, чтобы в некоторых случаях они могли разрешить выполнение этих транзакций.

Устройство, доступное только в режиме онлайн, например банкомат, всегда пытается подключиться к запросу на авторизацию, если оно не отклонено в автономном режиме из-за кодов действий эмитента - настройки отказа. Во время обработки IAC-Denial и TAC-Denial для устройства, работающего только в режиме онлайн, единственным релевантным битом результатов проверки Терминала является «Услуга не разрешена».

Когда устройство, работающее только в режиме онлайн, выполняет обработку IAC — Online и TAC — Online, единственным релевантным битом TVR является «Значение транзакции превышает минимальный предел». Поскольку нижний предел установлен на ноль, транзакция всегда должна переходить в оперативный режим, а все другие значения в TAC — Online или IAC — Online не имеют значения. Устройствам, работающим только в режиме онлайн, не требуется выполнять обработку IAC по умолчанию.

Анализ действия первой карты

Одним из объектов данных, считываемых с карты на этапе чтения данных приложения, является CDOL1 (список объектов данных карты). Этот объект представляет собой список тегов, которые карта хочет отправить ей, чтобы принять решение о том, одобрить или отклонить транзакцию (включая сумму транзакции, но и многие другие объекты данных). Терминал отправляет эти данные и запрашивает криптограмму с помощью команды создания криптограммы приложения. В зависимости от решения терминала (офлайн, онлайн, отказ) терминал запрашивает с карты одну из следующих криптограмм:

  • Сертификат транзакции (TC) - офлайн-утверждение
  • Криптограмма запроса авторизации (ARQC) - онлайн-авторизация
  • Криптограмма проверки подлинности приложения (AAC) - отказ в автономном режиме.

Этот шаг дает карте возможность принять анализ действий терминала или отклонить транзакцию или принудительно выполнить транзакцию в режиме онлайн. Карта не может вернуть TC, когда был запрошен ARQC, но может вернуть ARQC, когда был запрошен TC.

Авторизация онлайн-транзакции

Транзакции переходят в режим онлайн после запроса ARQC. ARQC отправляется в сообщении авторизации. Карта генерирует ARQC. Его формат зависит от приложения карты. EMV не определяет содержимое ARQC. ARQC, созданный приложением карты, представляет собой цифровую подпись деталей транзакции, которую эмитент карты может проверить в режиме реального времени. Это обеспечивает надежную криптографическую проверку подлинности карты. Эмитент отвечает на запрос авторизации кодом ответа (принятие или отклонение транзакции), криптограммой ответа авторизации (ARPC) и, необязательно, скриптом эмитента (строкой команд, которые должны быть отправлены на карту).

Обработка ARPC не выполняется в контактных транзакциях, обрабатываемых с помощью Visa Quick Chip для EMV и Mastercard M / Chip Fast, а также в бесконтактных транзакциях по схемам, поскольку карта удаляется из считывающего устройства после создания ARQC.

Анализ действий второй карты

CDOL2 (список объектов данных карты) содержит список тегов, которые карта хотела бы отправить после авторизации транзакции онлайн (код ответа, ARPC и т. Д.). Даже если по какой-либо причине терминал не может выйти в онлайн (например, сбой связи), терминал должен снова отправить эти данные на карту, используя команду генерации криптограммы авторизации. Это позволяет карте узнать ответ эмитента. После этого приложение карты может сбросить ограничения на использование в автономном режиме.

Обработка скрипта эмитента

Если эмитент карты хочет обновить пост-выпуск карты, он может отправлять команды на карту, используя обработку сценария эмитента. Скрипты эмитента не имеют смысла для терминала и могут быть зашифрованы между картой и эмитентом для обеспечения дополнительной безопасности. Скрипт эмитента можно использовать для блокировки карт или изменения параметров карты.

Обработка сценария эмитента недоступна в транзакциях с контактами, обрабатываемых с помощью Visa Quick Chip для EMV и Mastercard M / Chip Fast, а также для бесконтактных транзакций в разных схемах.

Контроль стандарта EMV

Контактная площадка для электрического интерфейса на лицевой стороне кредитной карты

Первая версия стандарта EMV была опубликована в 1995 году. Сейчас стандарт определяется и управляется частной корпорацией EMVCo LLC. В настоящее время членами EMVCo являются American Express , Discover Financial , JCB International , Mastercard , China UnionPay и Visa Inc. Каждая из этих организаций владеет равной долей в EMVCo и имеет представителей в организации EMVCo и рабочих группах EMVCo.

Признание соответствия стандарту EMV (т. Е. Сертификация устройства) выдается EMVCo после представления результатов испытаний, проведенных аккредитованной испытательной лабораторией.

Тестирование на соответствие EMV имеет два уровня: EMV Level 1, который охватывает интерфейсы физического, электрического и транспортного уровня, и EMV Level 2, который охватывает выбор платежных приложений и обработку кредитных финансовых транзакций.

После прохождения общих тестов EMVCo программное обеспечение должно быть сертифицировано платежными брендами на соответствие проприетарным реализациям EMV, таким как Visa VSDC, American Express AEIPS, Mastercard MChip, JCB JSmart или EMV-совместимым реализациям сторонних участников, таких как LINK в Великобритания или Interac в Канаде.

Список документов и стандартов EMV

По состоянию на 2011 год, начиная с версии 4.0, официальные стандартные документы EMV, которые определяют все компоненты платежной системы EMV, публикуются в виде четырех «книг» и некоторых дополнительных документов:

  • Книга 1: Требования к интерфейсу ICC и терминала, не зависящие от приложения
  • Книга 2: Безопасность и управление ключами
  • Книга 3: Спецификация приложения
  • Книга 4: Требования к интерфейсу держателя карты, оператора и эквайера
  • Общая спецификация платежного приложения
  • Спецификация персонализации карты EMV

Версии

Первый стандарт EMV появился в 1995 году как EMV 2.0. Это было обновлено до EMV 3.0 в 1996 году (иногда называемое EMV '96) с более поздними поправками к EMV 3.1.1 в 1998 году. Это было дополнительно исправлено до версии 4.0 в декабре 2000 года (иногда называемой EMV 2000). Версия 4.0 вступила в силу в июне 2004 года. Версия 4.1 вступила в силу в июне 2007 года. Версия 4.2 действует с июня 2008 года. Версия 4.3 действует с ноября 2011 года.

Уязвимости

Возможности сбора PIN-кодов и клонирования магнитных полос

Помимо данных второй дорожки на магнитной полосе, карты EMV обычно содержат идентичные данные, закодированные на чипе, которые считываются как часть обычного процесса транзакции EMV. Если устройство чтения EMV скомпрометировано до такой степени, что перехватывается разговор между картой и терминалом, то злоумышленник может восстановить как данные дорожки-два, так и PIN-код, что позволит создать карту с магнитной полосой, которая, в то время как не может использоваться в терминале с микросхемой и PIN-кодом, может использоваться, например, в оконечных устройствах, которые позволяют откатиться к обработке магнитной полосы для иностранных клиентов без чип-карт и дефектных карт. Эта атака возможна только в том случае, если (а) автономный ПИН-код представлен в виде открытого текста устройством ввода ПИН-кода на карту, (б) запасной вариант магнитной полосы разрешен эмитентом карты и (в) если географическая и поведенческая проверка не может осуществляться. эмитентом карты.

APACS , представляющая платежную индустрию Великобритании, заявила, что изменения, указанные в протоколе (где значения проверки карты различаются между магнитной полосой и чипом - iCVV), сделали эту атаку неэффективной и что такие меры будут применяться с января 2008 года. карты в феврале 2008 г. указали, что это могло быть отложено.

Успешные атаки

Захват разговора - это форма атаки, которая, как сообщается, произошла против терминалов Shell в мае 2006 года, когда они были вынуждены отключить всю аутентификацию EMV на своих заправочных станциях после того, как у клиентов было украдено более 1 миллиона фунтов стерлингов.

В октябре 2008 года сообщалось, что сотни считывателей карт EMV для использования в Великобритании, Ирландии, Нидерландах, Дании и Бельгии были искусно взломаны в Китае во время или вскоре после производства. В течение 9 месяцев данные и ПИН-коды кредитных и дебетовых карт отправлялись по сетям мобильной связи преступникам в Лахоре , Пакистан. США Национальной Контрразведки Исполнительный Джоэл Бреннер сказал: «Раньше лишь в несколько государственной нации «сек спецслужба была бы способна стаскивать этот тип операции. Это страшно.» Данные обычно использовались через пару месяцев после транзакции по карте, чтобы следователям было сложнее выявить уязвимость. После того, как мошенничество было обнаружено, было обнаружено, что взломанные терминалы могут быть идентифицированы, поскольку дополнительные схемы увеличили их вес примерно на 100 г. Считается, что были украдены десятки миллионов фунтов стерлингов. Эта уязвимость подтолкнула к усилиям по внедрению лучшего контроля над электронными POS-устройствами на протяжении всего их жизненного цикла, практика, одобренная стандартами безопасности электронных платежей, такими как стандарты, разработанные Secure POS Vendor Alliance (SPVA).

Сбор PIN-кода и клонирование полосы

В феврале 2008 года в программе BBC Newsnight исследователи Кембриджского университета Стивен Мердок и Саар Дример продемонстрировали один пример атаки, чтобы проиллюстрировать, что чип и PIN-код недостаточно безопасны, чтобы оправдать передачу ответственности за доказательство мошенничества с банков на клиентов. Эксплуатация Кембриджского университета позволила экспериментаторам получить как данные карты для создания магнитной полосы, так и PIN-код.

APACS , британская платежная ассоциация, не согласилась с большей частью отчета, заявив, что «типы атак на устройства ввода PIN-кода, подробно описанные в этом отчете, сложно предпринять, и в настоящее время мошенник не может их осуществить с экономической точки зрения». Они также заявили, что изменения в протоколе (указание различных значений верификации карты между чипом и магнитной полосой - iCVV) сделают эту атаку неэффективной с января 2008 года. Мошенничество, о котором сообщалось в октябре 2008 года, действовало в течение 9 месяцев (см. Выше), было вероятно, в то время находился в эксплуатации, но не был обнаружен в течение многих месяцев.

В августе 2016 года исследователи компьютерной безопасности NCR (компания платежных технологий) показали, как похитители кредитных карт могут переписать код магнитной полосы, чтобы она выглядела как карта без чипа, что позволяет подделывать ее.

2010: Скрытое оборудование отключает проверку PIN-кода на украденной карте

11 февраля 2010 года команда Мердока и Драймера из Кембриджского университета объявила, что они обнаружили «недостаток в микросхеме и ПИН-коде, настолько серьезный, что они думают, что он показывает, что вся система нуждается в переписывании», что было «настолько простым, что это их шокировало». Украденная карта соединяется с электронной схемой и поддельной картой, которая вставляется в терминал (« атака посредника »). Вводятся любые четыре цифры, которые принимаются в качестве действительного ПИН-кода.

Команда программы BBC Newsnight посетила кафетерий Кембриджского университета (с разрешения) с системой и смогла заплатить, используя свои собственные карты (вор мог использовать украденные карты), подключенные к сети, вставив поддельную карту и набрав " 0000 "в качестве ПИН-кода. Транзакции регистрировались в обычном режиме и не отслеживались системами безопасности банков. Один из членов исследовательской группы сказал: «Даже мелкие криминальные системы имеют лучшее оборудование, чем мы. Уровень технической сложности, необходимой для проведения этой атаки, действительно довольно низок». В объявлении об уязвимости говорилось: «Требуемый опыт невысокий (электроника на уровне бакалавриата) ... Мы оспариваем утверждение банковского сектора о том, что преступники недостаточно опытны, потому что они уже продемонстрировали гораздо более высокий уровень навыков. чем это необходимо для этой атаки, в их миниатюрных скиммерах для ввода ПИН-кода ". Неизвестно, использовалась ли эта уязвимость.

EMVCo не согласился и опубликовал ответ, в котором говорилось, что, хотя такая атака может быть теоретически возможна, ее будет чрезвычайно сложно и дорого провести успешно, что текущие компенсирующие меры, вероятно, обнаружат или ограничат мошенничество, и что возможная финансовая выгода от атака минимальна, в то время как риск отклонения транзакции или разоблачения мошенника значительный.

Когда к нам обратились за комментариями, несколько банков (Кооперативный банк, Barclays и HSBC) заявили, что это проблема всей отрасли, и направили команду Newsnight в ассоциацию банковской торговли для получения дальнейших комментариев. По словам Фила Джонса из Ассоциации потребителей , чип и PIN-код помогли снизить количество карточных преступлений, но многие случаи остаются необъясненными. «Что мы действительно знаем, так это то, что у нас есть дела, выдвинутые отдельными лицами, которые кажутся весьма убедительными».

Поскольку отправка ПИН-кода подавлена, это точный эквивалент выполнения продавцом транзакции обхода ПИН-кода. Такие транзакции не могут быть успешными в автономном режиме, поскольку карта никогда не генерирует автономную авторизацию без успешного ввода ПИН-кода. В результате этого транзакция ARQC должна быть отправлена ​​онлайн эмитенту, который знает, что ARQC был сгенерирован без успешной отправки PIN-кода (поскольку эта информация включена в зашифрованный ARQC) и, следовательно, может отклонить транзакцию, если это было связано с высоким значением, несоответствием характеру или иным образом выходящим за рамки типичных параметров управления рисками, установленных эмитентом.

Первоначально клиенты банка должны были доказать, что они не проявили халатность со своим PIN-кодом, прежде чем получить компенсацию, но правила Великобритании, действующие с 1 ноября 2009 года, жестко возлагали бремя на банки, чтобы доказать, что клиент проявил халатность в любом споре, с Заказчику дано 13 месяцев на предъявление претензии. Мердок сказал, что «[банкам] следует оглянуться на предыдущие транзакции, в которых клиент сказал, что их PIN-код не использовался, а банковская запись показала, что это было так, и рассмотреть вопрос о возмещении этим клиентам, поскольку они могут быть жертвами такого типа мошенничества. "

2011: переход на более раннюю версию CVM позволяет произвольно извлекать ПИН-код

На конференции CanSecWest в марте 2011 года Андреа Барисани и Даниэле Бьянко представили исследование, раскрывающее уязвимость в EMV, которая позволяет произвольно собирать PIN-код, несмотря на конфигурацию карты проверки держателя карты, даже если поддерживаемые данные CVM подписаны.

Сбор ПИН-кода может выполняться с помощью флотатора. По сути, список CVM, который был изменен для понижения CVM до автономного ПИН-кода, по-прежнему соблюдается POS-терминалами, несмотря на то, что его подпись недействительна.

Обход PIN-кода

В 2020 году исследователи Дэвид Басин, Ральф Сассе и Хорхе Торо из ETH Zurich сообщили о критической проблеме безопасности, затрагивающей бесконтактные карты Visa . Проблема заключается в отсутствии криптографической защиты критических данных, отправляемых картой на терминал во время транзакции EMV. Рассматриваемые данные определяют метод проверки держателя карты (CVM, например, проверка PIN-кода), который будет использоваться для транзакции. Команда продемонстрировала, что можно изменить эти данные, чтобы заставить терминал поверить в то, что PIN-код не требуется, поскольку владелец карты был проверен с помощью своего устройства (например, смартфона). Исследователи разработали экспериментальное приложение для Android , которое эффективно превращает физическую карту Visa в мобильное платежное приложение (например, Apple Pay , Google Pay ) для совершения дорогостоящих покупок без ввода PIN-кода. Атака осуществляется с помощью двух смартфонов с поддержкой NFC , один из которых находится рядом с физической картой, а второй - возле платежного терминала. Атака могла затронуть карты Discover и China's UnionPay, но на практике это не было продемонстрировано, в отличие от карт Visa.

В начале 2021 года та же команда сообщила, что карты Mastercard также уязвимы для атаки с обходом PIN-кода. Они показали, что преступники могут обманом заставить терминал совершать операции с бесконтактной картой Mastercard, считая, что это карта Visa. Такое смешение брендов карт имеет критические последствия, поскольку его можно использовать в сочетании с обходом PIN-кода для Visa, чтобы также обходить PIN-код для карт Mastercard.

«Сложные системы, такие как EMV, должны анализироваться автоматическими инструментами, такими как средства проверки моделей » , - отмечают исследователи в качестве основного вывода из своих выводов. В отличие от людей, инструменты проверки моделей, такие как Tamarin, подходят для этой задачи, поскольку они могут справиться со сложностью реальных систем, таких как EMV.

Реализация

Первоначально EMV означало Europay , Mastercard и Visa - три компании, создавшие стандарт. Стандарт теперь управляется EMVCo , консорциумом финансовых компаний. Наиболее известные микросхемы стандарта EMV:

  • ВИС: Виза
  • Чип Mastercard: Mastercard
  • AEIPS: American Express
  • UICS: China Union Pay
  • J Smart: JCB
  • D-PAS: Discover / Diners Club International
  • Рупай: NPCI
  • Verve

Visa и Mastercard также разработали стандарты использования карт EMV в устройствах для поддержки транзакций без предъявления карт (CNP) по телефону и через Интернет. Mastercard имеет программу аутентификации чипа (CAP) для безопасной электронной коммерции. Его реализация известна как EMV-CAP и поддерживает несколько режимов. Visa имеет схему динамической аутентификации с использованием пароля (DPA), которая является их реализацией CAP с использованием различных значений по умолчанию.

Во многих странах мира платежные системы по дебетовым и / или кредитным картам ввели сдвиг в ответственности. Обычно ответственность за мошеннические транзакции несет эмитент карты. Однако после реализации сдвига ответственности, если банкомат или торговый терминал продавца не поддерживает EMV, владелец банкомата или продавец несет ответственность за мошенническую транзакцию.

Системы с чипом и PIN-кодом могут создавать проблемы для путешественников из стран, которые не выпускают карты с чипом и PIN-кодом, поскольку некоторые розничные продавцы могут отказать в приеме их бесколлекторных карт. Хотя большинство терминалов по-прежнему принимают карты с магнитной полосой, а основные бренды кредитных карт требуют, чтобы продавцы принимали их, некоторые сотрудники могут отказать в приеме карты, полагая, что они несут ответственность за любое мошенничество, если карта не может проверить PIN-код. Карты без чипа и PIN-кода также могут не работать в некоторых автоматических торговых автоматах, например, на вокзалах или в кассах самообслуживания в супермаркетах.

Африке

  • Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2006 года. К 1 октября 2010 года произошло изменение ответственности по всем операциям в точках продаж.
  • Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.

Южная Африка

  • Смена ответственности Mastercard произошла 1 января 2005 года.

Страны Азиатско-Тихоокеанского региона

  • Сдвиг ответственности Mastercard между странами этого региона произошел 1 января 2006 года. К 1 октября 2010 года сдвиг ответственности произошел для всех транзакций в точках продаж, за исключением внутренних транзакций в Китае и Японии.
  • Сдвиг ответственности Visa для точек продаж состоялся 1 октября 2010 года. Для банкоматов дата смещения ответственности состоялась 1 октября 2015 года, за исключением Китая, Индии, Японии и Таиланда, где смещение ответственности произошло 1 октября 2017 года. Операции через банкоматы в Китае в настоящее время не подлежат переносу ответственности.

Австралия

  • Mastercard требует, чтобы все терминалы в торговых точках были совместимы с EMV к апрелю 2013 года. Для банкоматов сдвиг ответственности произошел в апреле 2012 года. К концу 2015 года банкоматы должны быть совместимы с EMV.
  • Сдвиг ответственности Visa за банкоматы состоялся 1 апреля 2013 года.

Малайзия

  • Малайзия - первая страна в мире, которая полностью перешла на смарт-карты, совместимые с EMV, через два года после их внедрения в 2005 году.

Новая Зеландия

  • Mastercard требует, чтобы все терминалы в торговых точках были совместимы с EMV к 1 июля 2011 года. Для банкоматов смещение ответственности произошло в апреле 2012 года. Банкоматы должны быть совместимы с EMV к концу 2015 года.
  • Перенос ответственности Visa в отношении банкоматов произошел 1 апреля 2013 года.

Европа

  • Смена ответственности Mastercard произошла 1 января 2005 года.
  • Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.
  • Франция сократила количество случаев мошенничества с картами более чем на 80% с момента его введения в 1992 году (см. Carte Bleue ).

Объединенное Королевство

Green rectangle containing a row of four white asterisks in black squares; the outline of a hand points to and obscures the second asterisk.
Чип и PIN-код Великобритании логотип

Чип и ПИН-код были опробованы в Нортгемптоне , Англия, с мая 2003 года, и в результате 14 февраля 2006 года они были развернуты по всей Великобритании с рекламой в прессе и на национальном телевидении, рекламирующей лозунг «Безопасность в цифрах». На первых этапах развертывания, если считалось, что произошла мошенническая транзакция с магнитной картой, банк-эмитент возмещал розничному продавцу деньги, как это было до введения чипа и PIN-кода. 1 января 2005 г. ответственность по таким операциям перешла к розничному продавцу; это послужило стимулом для розничных продавцов к обновлению своих систем точек продаж (PoS), и большинство крупных уличных сетей были модернизированы вовремя к крайнему сроку EMV. Многие малые предприятия изначально не хотели обновлять свое оборудование, поскольку для этого требовалась совершенно новая система PoS - значительные вложения.

Новые карты с магнитными полосами и чипами теперь выпускаются всеми крупными банками. Замена карт с предварительным чипом и PIN-кодом была серьезной проблемой, поскольку банки просто заявили, что потребители получат свои новые карты «по истечении срока действия их старой карты» - несмотря на то, что многие люди имели карты со сроком действия еще в 2007 году. Switch потеряла крупный контракт с HBOS с Visa , поскольку они не были готовы выпустить новые карты так рано, как того требовал банк.

Внедрение чипа и PIN-кода подверглось критике за то, что оно призвано снизить ответственность банков в случаях заявленного мошенничества с картами, требуя от клиента доказать, что он действовал «с разумной осторожностью» для защиты своего PIN-кода и карты, а не о том, что банк должен доказать соответствие подписи. До появления чипа и PIN-кода, если подпись клиента была подделана, банки несли юридическую ответственность и должны были возместить клиенту расходы. До 1 ноября 2009 года не существовало такого закона, защищающего потребителей от мошенничества с использованием их чипов и PIN-кодов, только добровольный банковский код . Было много сообщений о том, что банки отказывались возмещать жертвам мошенничества с использованием карт, утверждая, что их системы не могут дать сбой в указанных обстоятельствах, несмотря на несколько задокументированных успешных крупномасштабных атак.

Положения о платежных услугах 2009 года вступили в силу 1 ноября 2009 года и возложили на банки ответственность доказать, а не предполагать, что владелец карты виноват. Управление финансовых услуг (FSA) заявило, что «банк, строительный кооператив или компания, выпускающая кредитные карты, должны доказать, что транзакция была проведена вами, и не было никаких сбоев в процедурах или технических трудностей», прежде чем отказаться от ответственности.

Латинская Америка и Карибский бассейн

  • Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2005 года.
  • Сдвиг ответственности Visa для точек продаж состоялся 1 октября 2012 года для всех стран в этом регионе, которые еще не внедрили сдвиг ответственности. Для банкоматов сдвиг ответственности произошел 1 октября 2014 года для всех стран в этом регионе, которые еще не внедрили сдвиг ответственности.

Бразилия

  • Смена ответственности Mastercard произошла 1 марта 2008 года.
  • Изменение ответственности Visa для точек продаж произошло 1 апреля 2011 года. Для банкоматов изменение ответственности произошло 1 октября 2012 года.

Колумбия

  • Смена ответственности Mastercard произошла 1 октября 2008 года.

Мексика

  • 1 октября 2015 года Discover внедрила сдвиг ответственности. Что касается оплаты на заправочных станциях, то сдвиг ответственности произошел 1 октября 2017 года.
  • Изменение ответственности Visa для точек продаж произошло 1 апреля 2011 года. Для банкоматов изменение ответственности произошло 1 октября 2012 года.

Венесуэла

  • Смена ответственности Mastercard произошла 1 июля 2009 года.

Средний Восток

  • Перераспределение ответственности Mastercard между странами этого региона произошло 1 января 2006 года. К 1 октября 2010 года произошло изменение ответственности по всем операциям в точках продаж.
  • Изменение ответственности Visa для точек продаж произошло 1 января 2006 года. Для банкоматов изменение ответственности произошло 1 января 2008 года.

Северная Америка

Канада

  • 31 октября 2012 года компания American Express осуществила сдвиг ответственности.
  • 1 октября 2015 года Discover внедрила сдвиг ответственности для всех транзакций, за исключением операций с оплатой по факту на заправочных станциях; эти операции были перенесены 1 октября 2017 года.
  • Interac (канадская сеть дебетовых карт) прекратила обработку транзакций, не связанных с EMV, в банкоматах 31 декабря 2012 года и ввела обязательные транзакции EMV в торговых точках 30 сентября 2016 года, а 31 декабря 2015 года произошел сдвиг в ответственности.
  • 31 марта 2011 года Mastercard осуществила сдвиг обязательств по внутренней транзакции, а 15 апреля 2011 года - сдвиг по международным обязательствам. Для оплаты на заправочных станциях сдвиг ответственности был введен 31 декабря 2012 года.
  • 31 марта 2011 года Visa осуществила сдвиг обязательств по сделкам внутри страны, а 31 октября 2010 года - сдвиг по международным обязательствам. Для оплаты на заправочных станциях сдвиг ответственности был введен 31 декабря 2012 года.
  • За 5-летний период после перехода на EMV количество мошеннических транзакций с использованием внутренних карт и карт в Канаде значительно сократилось. Согласно отчетам Helcim, мошенничество с внутренними дебетовыми картами с предъявлением карт сократилось на 89,49%, а мошенничество с кредитными картами - на 68,37%.

Соединенные Штаты

После широко распространенной кражи личных данных из-за слабой безопасности в торговых точках Target , Home Depot и других крупных розничных продавцов Visa, Mastercard и Discover в марте 2012 года - и American Express в июне 2012 года - объявили о своих планах перехода на EMV для Соединенные Штаты. С момента объявления несколько банков и эмитентов карт анонсировали карты с технологией чипа и подписи EMV, включая American Express, Bank of America, Citibank, Wells Fargo , JPMorgan Chase, US Bank и несколько кредитных союзов.

В 2010 году ряд компаний начали выпускать предоплаченные дебетовые карты с чипом и PIN-кодом, позволяющие американцам загружать наличные в евро или фунтах стерлингов . Федеральный кредитный союз Организации Объединенных Наций был первым эмитентом США, предложившим кредитные карты с чипом и PIN-кодом. В мае 2010 года в пресс-релизе Gemalto (глобального производителя карт EMV) было указано, что Федеральный кредитный союз Организации Объединенных Наций в Нью-Йорке станет первым эмитентом карт EMV в Соединенных Штатах, предлагающим своим клиентам кредитную карту EMV Visa. JPMorgan был первым крупным банком , который в середине 2012 года представил карту с технологией EMV, а именно карту Palladium .

По состоянию на апрель 2016 года 70% потребителей в США имеют карты EMV, а по состоянию на декабрь 2016 года примерно 50% продавцов соответствуют требованиям EMV. Однако развертывание у разных поставщиков было медленным и непоследовательным. Даже продавцы с оборудованием EMV могут быть не в состоянии обрабатывать транзакции с чипами из-за недостатков программного обеспечения или нормативных требований. Bloomberg также указывал на проблемы с развертыванием программного обеспечения, включая изменения звуковых подсказок для компьютеров Verifone, на выпуск и развертывание программного обеспечения может уйти несколько месяцев. Однако отраслевые эксперты ожидают в США большей стандартизации развертывания программного обеспечения и стандартов. Visa и Mastercard внедрили стандарты для ускорения транзакций с чипами, чтобы сократить время, необходимое для них, до трех секунд. Эти системы имеют маркировку Visa Quick Chip и Mastercard M / Chip Fast.

  • American Express ввела сдвиг ответственности для терминалов торговых точек 1 октября 2015 года. Для оплаты на заправочной станции на заправочных станциях сдвиг ответственности наступает 16 апреля 2021 года. Срок действия ответственности был продлен с 1 октября 2020 года из-за осложнений, связанных с коронавирусом.
  • Ознакомьтесь с введенной смещением ответственности 1 октября 2015 года. Для оплаты на заправочной станции на заправочных станциях смещение ответственности наступает 1 октября 2020 года.
  • 19 апреля 2013 года Maestro ввела сдвиг ответственности для международных карт, используемых в США.
  • Mastercard ввела сдвиг ответственности для терминалов торговых точек 1 октября 2015 года. Для оплаты на заправочной станции на заправочных станциях сдвиг ответственности формально наступает 1 октября 2020 года. Для банкоматов дата изменения ответственности была 1 октября 2016 года.
  • Visa осуществила сдвиг ответственности для терминалов торговых точек 1 октября 2015 года. Для оплаты на заправочной станции на заправочных станциях сдвиг ответственности формально наступает 1 октября 2020 года. Для банкоматов дата изменения ответственности была 1 октября 2017 года.

Примечания

Смотрите также

использованная литература

внешние ссылки