Seguridad
Transaccional
AMBIENTES
ELECTRONICOS
Ene, 2010
Coro, Venezuela
Ing. Gonzalo Barbosa Berján
Características generales
– Autenticación.
Este es un
proceso para confirmar que la
persona que origina la transacción
realmente es el usuario de la
tarjeta. Esta autenticación puede
ser hecha generalmente con Clave
(PIN) o con cédula.
– Confidencialidad.
Consiste en
proteger secretamente los datos de
la transacción, ante la intercepción
de la información por personas, esto
se hace a través de la encripción del
PIN y su procesamiento apoyado en
medios físicos.
Características generales
– No rechazo. Si una transacción válida
es hecha, ningún sistema involucrado en la
transacción puede denegar la transacción.
El log de archivos o tablas guarda la
actividad del registro y lo conserva para
futuras consultas.
– Integridad:
Asegura que los datos no
han sido alterado, corruptos o cambiados.
Si un cambio a los datos ocurre, entonces
la autenticación no coincidirá. Existe una
validación de datos que sirve para
chequear la integridad de lo mismos,
conicida como MAC. El cual es un
requisito en algunos paises para
interactuar con las redes
Sistemas encriptadores
– Sistemas con llave Privada.
Se usa la misma llave para encriptar y
desencriptar. Ambas partes deben
conocer la llave. Se requiere
compartir una llave por cada sistema
con el que se decida cambiar
información. (DES, 3DES)
Sistemas encriptadores
– Sistema de llave pública.
Se usa una llave para encriptar y
otra para desencriptar. (RSA), Un
software muy conocido que usa
este sistema es PGP
Algoritmo de encripción DES
Encripción. Es el proceso que codifica un
mensaje para que sea leido solamente por
un sistema que conozca el algoritmo usado
para tal fin. Típicamente algoritmos
matemáticos son aplicados a mensajes que
usan llaves que alteran su contenido.
(Privacidad).
DES (Data Encryption Standard). IBM
desarrolló originalmente el DES en 1977.
Esto ha sido especificado en los estándares
ANSI X3.92 and X3.106, el estándar Federal
FIPS 46 and 81, también por el ISO de DEA-1
(Data Encryption Algorithm 1)
Administración de llaves
The Hardware Security Module (HSM)
Es la consola de configuración provee un
mecanismo para configurar los esquemas de
administración de llaves soportados por
Postilion.
El esquema de administración de la llave de
sesión maestra usa llaves “Data Encryption
Algorithm” (DEA1) llaves compartidas entre
varias zonas de seguridad. Las llaves son
usadas para encriptar, desencriptar y
verificar datos intercambiables entre las
partes. Cada una de las dos partes
comparte una llave inicial.
Administración de llaves
Cuando se crea una llave administrativa usando
una llave inicial DES o 3DES, se encripta las
llaves de operación también. La llave inicial se
refiere a la llave maestra, y la llave
operacional como una llave de sesión. (La llave
maestra no debe confundirse con la SMK o
LMK, Llave almacenadora maestra que es única
por cada módulo y amacenada en forma segura
en un HSM.)
HSMs usualmente almacenan una llave
físicamente en el Módulo, llamada LMK, en
otros Storage Master Key (SMK).
Antes de que cualquier esquema de
administración de llaves sea configurado, la
LMK o SMK debe ser ingresada en el HSM.
Administración de llaves
Es muy importante indicar que la
información de los componentes de una
llave de seguridad debe almacenarse
preferiblemente en lugares separados.
El acceso y custodia de esta información
debe ser asignada por lo menos a dos
personas las cuales tienen mitades
distintas de la información de cada
llave.
Si la LMKo SMK se pierden, el HSM será
alimentado con la misma llave SMK y
recargarse al módulo. Caso contrario
hay que ingresar la nueva SMK y la
totalidad de las llaves debido que todas
son creadas de nuevo.
Tipo de llaves
Tipo de llaves
– Key Encryption Keys (KEK), Llave
encriptora de llaves, es usada para encriptar
llaves operacionales como llave la PIN o la de
MAC. Y es ingresada únicamente por PINPad
– Key Working PIN (KWP). Llave de trabajo de
PIN, Las terminales son alimentadas con
llaves KEK o maestras para encriptar esta
llave. Cada que la terminal inicia deberá
intercambiar esta llave. La cual es encriptada
bajo una llave maestra o KEK.
Esta se alimenta mediante un criptograma
que es obtenido de la encripción de la KWP
bajo la KEK asociada.
Tipo de llaves
– Key Verification PIN (KVP), Llave de
verificación de PIN usada para validarlo.
Un PIN jamas debe ser almacenado en una base
de datos en claro, siempre son verificados
criptográficamente contra un valor llamado
offsetPIN.
Para los casos de asociación de un PIN a la
banda, se verifica contra el PIN Verification
Value (PVV).
Las llaves KVPs estan disponible para dos
formatos actualmente:
– Visa PIN (Double-length keys) 32 digitos
– IBM PIN (single-length keys). 16 digitos
Tipo de llaves
– Message Working Autenthication (KWA).
Llave de autenticación del mensajes, se usa
entre dos sistemas que necesitan verificar que
un mensaje no ha sido alterado. Esta llave
puede ser intercambiada encritándola bajo una
KEK. En algunos paises es de uso obligatorio
– Key Verification Card (KVC). Es la llave
verificadora de tarjetas. Se usa para chequear
que una tarjeta (Track2) no ha sido alterada.
Este dato se obtiene de un subcampo en el
track2. Postilion calcula el CVV usando esta
llave, tambien llamada (CVK).
– Los datos para la validación son PAN, Fecha
Expiración y Código Restricción del servicio.
IDLL
El Intercambio Dinámico de LLaves, es un
proceso dirigido a cambiar las llaves con las
cuales se encriptan los PINes y/o se calcula el
MAC cuando existe. Esto con el fin de evitar
riesgos de filtracion a una llave y los datos
puedan ser desencriptados.
Pueden existir diferentes factores para realizar
este proceso:
– Número de Transacciones
– Número de errores al intentar validar una clave
– A una hora determinada.
– Cada que se hace conexión entre las partes
MAC
– Esta dirigido a mantener la integridad de los
componentes mas sensibles de un mensaje y
evitar que sean alterados en el flujo de envio y
recepción del mismo.
– Se habilitan el campo P-64 o el S-128.
– Se trabaja ASCII Hex. Con longitud de 8 o 16
bytes
– Se calcula MAC a todo mensaje financiero y a
todo su contenido, menos al campo PINBLOCK.
– Se calcula MAC a mensajes admitivos 0800 y
0810 que manejen intercambio dinamico de
llaves.
– 0800 y 0810 de Echotest, Logon y Logoff no
tendran MAC.
Caracteristicas de
seguridad
en Postilion RealTime
Protección de Hotcards
– Para evitar que tarjetas perdidas o
robadas se aprueben, Postilion cambia su
estado en Postcard, evitando que pasen
luego de ser cambiadas de estado,
mediante mensaje en linea 0322 o en
batch.
– Si un tarjeta Habiente reporta perdida su
tarjeta y luego indica que la encontró,
significa que habría que devolver el
bloqueo por perdida de dicha tarjeta. A
menos que las políticas del emisor de la
tarjeta no lo contemplen
CVV, Verificación de tarjeta
– El PAN se usa junto con otros datos para
calcular el valor del CVV de 3 dígitos y es
almacenado en un lugar en el track 2.
– Este proceso lo hace el emisor de la tarjeta
mediante llaves de seguridad llamada CVK.
Cada que una trasacción requiere verificar
la tarjeta, se hace el calculo del valor
junto con ciertos campos ISO.
– Al final de los 8 pasos del método, deben
tenerse los 3 caracteres numéricos que
componen al CVV, corresponden a los 3
primeros números
CVV, Verificación de tarjeta
– En algunos casos, el Track2 no está
disponible. Regularmente esto pasa cuando
la entrada del PAN se hizo en forma manual
(Tx. Voz, Internet).
– Postilion en este caso puede chequear si la
tarjeta es fraudulenta verificando el (CVV2)
ya que la entrada del campo fué
manualmente, usando fecha de expiración, 3
ceros a cambio de servicio de restricción y la
llave misma de encripción CVK que valida el
CVV.
– Importante conocer que la validación del
CVV2, cuando es hecha por algunas las redes
se usa con formato MMYY en la fecha de
expiración.
Procesamiento de PIN
– El buen uso del PIN depende enteramente de
su secreto. Esto es escencialmente que tener
en secreto un PIN no es un compromiso real de
la institución. Solo una medida.
– La autenticación PIN no se hará nunca con una
coincidencia de información en alguna base de
datos, siempre es con procedimeinto EFT antes
dichos. (Contra banda o en base de
datos)
– Postilion provee emision de tarjetas con los
siguientes servicios de procesamiento de PIN:
– Traducción de PIN. Al llegar o salir del sistema
– Verificación de PIN. Si se es emisor y hay las
llaves.
Traducción de PIN
Traducción de PIN
– Postilion desencripta y encripta el PIN
Block (Campo ISO 52) que llega de un
Nodo Origen, usa la llave compartida
con la otra parte y reencripta el PIN
Block usando la llave compartida con el
Nodo destino.
– El PIN block encriptado bajo la llave que
Postilion comparte con el Nodo destino a
ser verificado.
– La traducción de PIN establece varias
zonas de seguridad
Verificación de PIN
– Postilion puede verificar ambos tipos de
PINes seguros e inseguros. Postilion soporta
2 esquemas de verificación de PIN:
• Esquema VISA PIN.
• Esquema IBM PIN.
– Con la verificación de tarjeta, 2 valores son
calculados cuando el PIN se emite: El PIN
actual, que solo debe ser impreso en
sobreflex de seguridad, y uno recalculado
de 4 dígitos para el PIN Verification Value
(PVV).
– Este PVV es almacenado en el Track2 de la
tarjeta o en la base de datos de Postilion,
según las políticas de emisor.
Verificación de PIN
– Este valor es comparado con el PVV en el
Track 2 o en la base de datos.
– Postilion previene PINes fraudulentos
haciendo bloqueo temporal de la tarjeta
luego de 3 o X intentos en el día.
– Cuando 3 PIN han fallado sucecivamente
en la misma tarjeta, hará que se decline
hasta el siguiente día, o cuando el
banco lo indique todas las transacciones
a esa tarjeta.
3DES
• El 3DES es usado con una doble longitud de una
llave DES (128 bits de largo, con 112 BITs
efectivos).
• La encripción de 3DES de un valor es hecha en
tres partes. Se encripta la llave con la primer
parte, luego se desencripta con la segunda
parte y nuevamente se encripta con la primer
parte o una tercera si esta se tiene definida.
• Si una llave tiene 56 bits de largo, entonces es
2^ 56 (que es: 72,057’594,037´927,936) llaves
posibles.
• 3DES incrementa el número de intentos por
fuerza bruta de 2^ 56 a 2^112 combinaciones.
DISPOSITIVOS CRITPOGRAFICOS
El “Incognito TSM310” mostrado
es uno de los dispositivos
criptográficos PCI de alto
rendimiento, usado como un coprocesador en un servidor.
Designado para brindar alto rendimiento,
servicios de alta seguridad, el TSM310 es
una tarjeta para Switch EFT, servidores ecommerce y servidores de red movil.
Soporta encripción en DES, 3DES y RSA.
Existiendo otro dispositivos como THALES Y
ATALLA igualmente cerrados por software
Preguntas
Descargar

Intercambio Dinámico de LLaves