اي ام في

الموسوعة الحرة

بطاقة ائتمان EMV
بطاقة ائتمان EMV

EMV هي طريقة دفع تعتمد على معيار فني لبطاقات الدفع الذكية وأجهزة الدفع وأجهزة الصراف الآلي التي يمكنها قبولها. EMV تعني " Europay و Mastercard و Visa "، الشركات الثلاث التي ابتكرت المعيار. [1]

بطاقات EMV هي بطاقات ذكية ، تسمى أيضًا بطاقات الشريحة أو بطاقات الدوائر المتكاملة أو بطاقات IC، والتي تخزن بياناتها على شرائح الدوائر المتكاملة ، بالإضافة إلى الشرائط المغناطيسية للتوافق مع الإصدارات السابقة . وتشمل هذه البطاقات التي يجب إدخالها فعليًا أو "غمسها" في قارئ، بالإضافة إلى البطاقات التي لا تلامسية والتي يمكن قراءتها على مسافة قصيرة باستخدام تقنية الاتصالات القريبة المدى . غالبًا ما تسمى بطاقات الدفع التي تتوافق مع معيار EMV بطاقات الشريحة ورقم التعريف الشخصي أو بطاقات الشريحة والتوقيع ، اعتمادًا على طرق المصادقة التي يستخدمها مصدر البطاقة، مثل رقم التعريف الشخصي (PIN) أو التوقيع الإلكتروني . توجد معايير، بناءً على ISO/IEC 7816 ، لبطاقات الاتصال، وبناءً على ISO/IEC 14443 للبطاقات التي لا تلامسية ( Mastercard Contactless وVisa PayWave وAmerican Express ExpressPay ). [2] [ مصدر أفضل مطلوب ]

تاريخ

حتى ظهور تقنية الشريحة ورقم التعريف الشخصي، كانت جميع المعاملات التي تتم وجهاً لوجه باستخدام بطاقات الائتمان أو الخصم تتضمن استخدام شريط مغناطيسي أو بصمة ميكانيكية لقراءة وتسجيل بيانات الحساب، وتوقيع لأغراض التحقق من الهوية. يسلم العميل بطاقته إلى أمين الصندوق في نقطة البيع الذي يمرر البطاقة بعد ذلك عبر قارئ مغناطيسي أو يقوم بطباعة بصمة من النص البارز على البطاقة. في الحالة الأولى، يتحقق النظام من تفاصيل الحساب ويطبع إيصالاً ليوقع عليه العميل. في حالة البصمة الميكانيكية، يتم ملء تفاصيل المعاملة، والاطلاع على قائمة بالأرقام المسروقة، ويوقع العميل على الإيصال المطبوع. في كلتا الحالتين، يجب على أمين الصندوق التحقق من أن توقيع العميل يتطابق مع التوقيع الموجود على ظهر البطاقة للمصادقة على المعاملة.

إن استخدام التوقيع على البطاقة كوسيلة للتحقق من الهوية ينطوي على عدد من العيوب الأمنية، وأكثرها وضوحاً هو السهولة النسبية التي قد تضيع بها البطاقات قبل أن يتمكن أصحابها الشرعيون من التوقيع عليها. وهناك عيب آخر يتعلق بمحو التوقيع الشرعي واستبداله، وهناك عيب آخر يتعلق بتزوير التوقيع الصحيح.

أدى اختراع شريحة الدائرة المتكاملة المصنوعة من السيليكون في عام 1959 إلى فكرة دمجها على بطاقة ذكية بلاستيكية في أواخر الستينيات من قبل مهندسين ألمانيين، هما هيلموت جروتروب ويورجن ديثلوف . [3] تم تقديم أقدم البطاقات الذكية كبطاقات اتصال في السبعينيات، قبل أن يتم تعديلها لاحقًا لاستخدامها كبطاقات دفع . [4] [5] منذ ذلك الحين، استخدمت البطاقات الذكية شرائح الدوائر المتكاملة المصنوعة من مادة MOS ، إلى جانب تقنيات ذاكرة MOS مثل ذاكرة الفلاش و EEPROM ( ذاكرة القراءة فقط القابلة للبرمجة والمحو كهربائيًا ). [6]

كان المعيار الأول لبطاقات الدفع الذكية هو Carte Bancaire B0M4 من Bull-CP8 الذي تم نشره في فرنسا عام 1986، ثم تبعه B4B0' (المتوافق مع M4) الذي تم نشره عام 1989. كما سبقت Geldkarte في ألمانيا EMV. تم تصميم EMV للسماح للبطاقات والأجهزة الطرفية بالتوافق مع هذه المعايير. ومنذ ذلك الحين، قامت فرنسا بنقل جميع البنية الأساسية للبطاقات والأجهزة الطرفية إلى EMV.

EMV تعني Europay وMastercard وVisa، الشركات الثلاث التي ابتكرت المعيار. يتم إدارة المعيار الآن بواسطة EMVCo ، وهو اتحاد يتم تقسيم السيطرة فيه بالتساوي بين Visa وMastercard و JCB و American Express و China UnionPay و Discover. [7] تقبل EMVCo التعليقات العامة على مسودة معاييرها وعملياتها، ولكنها تسمح أيضًا للمنظمات الأخرى بأن تصبح "شركاء" و"مشتركين" من أجل تعاون أعمق. [8] انضمت JCB إلى الاتحاد في فبراير 2009، وChina UnionPay في مايو 2013، [9] وDiscover في سبتمبر 2013. [10]

أهم موردي بطاقات وشرائح EMV هم: ABnote (American Bank Corp)، وCPI Card Group، و IDEMIA (من اندماج Oberthur Technologies وSafran Identity & Security (Morpho) في عام 2017)، و Gemalto (استحوذت عليها مجموعة Thales في عام 2019)، و Giesecke & Devrient وVersatile Card Technology. [11]

الاختلافات والفوائد

هناك فائدتان رئيسيتان للانتقال إلى أنظمة الدفع ببطاقات الائتمان القائمة على البطاقات الذكية: تحسين الأمان (مع الحد من الاحتيال المرتبط بذلك)، وإمكانية التحكم بشكل أدق في الموافقات على معاملات بطاقات الائتمان "غير المتصلة بالإنترنت". كان أحد الأهداف الأصلية لـ EMV هو توفير تطبيقات متعددة على البطاقة: لتطبيق بطاقة الائتمان والخصم أو المحفظة الإلكترونية. تحتوي بطاقات الخصم الصادرة حديثًا في الولايات المتحدة [ متى؟ ] على تطبيقين - تطبيق رابطة البطاقات (Visa وMastercard وما إلى ذلك)، وتطبيق خصم مشترك. معرف تطبيق الخصم المشترك هو تسمية خاطئة إلى حد ما حيث يستخدم كل تطبيق خصم "مشترك" في الواقع تطبيق رابطة البطاقة المقيمة. [12]

تحسن معاملات بطاقات الشريحة EMV الأمان ضد الاحتيال مقارنة بمعاملات بطاقات الشريط المغناطيسي التي تعتمد على توقيع حامل البطاقة والفحص البصري للبطاقة للتحقق من ميزات مثل الهولوغرام . يوفر استخدام رقم التعريف الشخصي والخوارزميات التشفيرية مثل Triple DES و RSA و SHA مصادقة البطاقة على محطة المعالجة ونظام المضيف لمصدر البطاقة. وقت المعالجة مماثل للمعاملات عبر الإنترنت، حيث يمثل تأخير الاتصالات غالبية الوقت، بينما تستغرق العمليات التشفيرية في المحطة وقتًا قصيرًا نسبيًا. سمحت الحماية المتزايدة المفترضة من الاحتيال للبنوك وشركات بطاقات الائتمان بالدفع من خلال "تحول المسؤولية"، بحيث أصبح التجار الآن مسؤولين (اعتبارًا من 1 يناير 2005 في منطقة الاتحاد الأوروبي و 1 أكتوبر 2015 في الولايات المتحدة) عن أي احتيال ينتج عن معاملات على أنظمة غير قادرة على EMV. [1] [13] [14] تؤكد غالبية تطبيقات بطاقات EMV والأجهزة الطرفية هوية حامل البطاقة من خلال طلب إدخال رقم التعريف الشخصي (PIN) بدلاً من التوقيع على إيصال ورقي. يعتمد ما إذا كان يتم مصادقة رقم التعريف الشخصي أم لا على قدرات الجهاز الطرفي وبرمجة البطاقة.

عندما تم تقديم بطاقات الائتمان لأول مرة، استخدم التجار طابعات بطاقات محمولة ميكانيكية بدلاً من الطابعات المغناطيسية التي تتطلب ورق الكربون لعمل بصمة. لم يتواصلوا إلكترونيًا مع جهة إصدار البطاقة، ولم تغادر البطاقة أبدًا مجال رؤية العميل. كان على التاجر التحقق من المعاملات التي تتجاوز حدًا معينًا للعملة عن طريق الاتصال بجهة إصدار البطاقة. خلال سبعينيات القرن العشرين في الولايات المتحدة، اشترك العديد من التجار في قائمة محدثة بانتظام بأرقام بطاقات الائتمان المسروقة أو غير الصالحة. كانت هذه القائمة تُطبع عادةً في شكل كتيب على ورق الصحف، بترتيب رقمي، تمامًا مثل دليل الهاتف الرفيع، ولكن بدون أي بيانات بخلاف قائمة الأرقام غير الصالحة. كان من المتوقع أن يتصفح أمناء الصندوق هذا الكتيب في كل مرة يتم فيها تقديم بطاقة ائتمان لسداد أي مبلغ، قبل الموافقة على المعاملة، والتي تسببت في تأخير قصير. [15]

لاحقًا [ متى؟ ] ، اتصلت المعدات إلكترونيًا بجهة إصدار البطاقة، باستخدام المعلومات من الشريط المغناطيسي للتحقق من البطاقة وتفويض المعاملة. كان هذا أسرع كثيرًا من ذي قبل، لكنه يتطلب حدوث المعاملة في مكان ثابت. وبالتالي، إذا لم تتم المعاملة بالقرب من محطة (في مطعم، على سبيل المثال)، كان على الموظف أو النادل أن يأخذ البطاقة بعيدًا عن العميل ويضعها في ماكينة البطاقات. كان من الممكن بسهولة في أي وقت لموظف غير أمين أن يقوم بتمرير البطاقة خلسة عبر ماكينة رخيصة تسجل على الفور المعلومات الموجودة على البطاقة والشريط؛ في الواقع، حتى في المحطة، يمكن للص أن ينحني أمام العميل ويمرر البطاقة على قارئ مخفي. هذا جعل الاستنساخ غير القانوني للبطاقات سهلًا نسبيًا وحدثًا أكثر شيوعًا من ذي قبل .

منذ إدخال الشريحة ورقم التعريف الشخصي لبطاقة الدفع، لم يعد استنساخ الشريحة ممكنًا؛ يمكن فقط نسخ الشريط المغناطيسي، ولا يمكن استخدام البطاقة المنسوخة بمفردها على محطة تتطلب رقم التعريف الشخصي. تزامن إدخال الشريحة ورقم التعريف الشخصي مع انخفاض تكلفة تكنولوجيا نقل البيانات اللاسلكية وانتشارها على نطاق واسع. بالإضافة إلى أجهزة قراءة المغناطيسية المستندة إلى الهاتف المحمول، يمكن لموظفي التاجر الآن إحضار لوحات PIN اللاسلكية للعميل، وبالتالي فإن البطاقة لا تغيب أبدًا عن بصر حامل البطاقة. وبالتالي، يمكن استخدام كل من الشريحة ورقم التعريف الشخصي والتكنولوجيا اللاسلكية للحد من مخاطر التمرير غير المصرح به واستنساخ البطاقة. [16]

الشريحة ورقم التعريف الشخصي مقابل الشريحة والتوقيع

تعد تقنية الشريحة ورقم التعريف الشخصي (PIN) واحدة من طريقتي التحقق اللتين يمكن للبطاقات الممكّنة بتقنية EMV استخدامهما. [15] فبدلاً من التوقيع فعليًا على إيصال لأغراض التعريف، يدخل المستخدم رقم تعريف شخصي (PIN)، يتكون عادةً من أربعة إلى ستة أرقام. يجب أن يتوافق هذا الرقم مع المعلومات المخزنة على الشريحة أو رقم التعريف الشخصي (PIN) لدى المضيف. تجعل تقنية الشريحة ورقم التعريف الشخصي (PIN) من الصعب جدًا على المحتالين استخدام بطاقة تم العثور عليها، حيث إذا سرق شخص ما بطاقة، فلن يتمكن من إجراء عمليات شراء احتيالية ما لم يكن يعرف رقم التعريف الشخصي (PIN).

من ناحية أخرى، تتميز الشريحة والتوقيع عن الشريحة ورقم التعريف الشخصي من خلال التحقق من هوية المستهلك من خلال التوقيع. [17]

اعتبارًا من عام 2015، أصبحت بطاقات الشريحة والتوقيع أكثر شيوعًا في الولايات المتحدة والمكسيك وأجزاء من أمريكا الجنوبية (مثل الأرجنتين وبيرو) وبعض الدول الآسيوية (مثل تايوان وهونج كونج وتايلاند وكوريا الجنوبية وسنغافورة وإندونيسيا)، في حين أصبحت بطاقات الشريحة ورقم التعريف الشخصي أكثر شيوعًا في معظم الدول الأوروبية (مثل المملكة المتحدة وأيرلندا وفرنسا والبرتغال وفنلندا وهولندا) وكذلك في باكستان وإيران والبرازيل وكولومبيا وفنزويلا والهند وسريلانكا وكندا وأستراليا ونيوزيلندا. [18] [19]

المعاملات عبر الإنترنت والهاتف والبريد

في حين ساعدت تقنية EMV في الحد من الجريمة عند نقطة البيع، فقد تحولت المعاملات الاحتيالية إلى معاملات أكثر عرضة للخطر عبر الهاتف والإنترنت والبريد الإلكتروني - والمعروفة في الصناعة باسم معاملات عدم وجود البطاقة أو CNP. [20] شكلت معاملات CNP ما لا يقل عن 50٪ من جميع عمليات الاحتيال على بطاقات الائتمان. [21] نظرًا للمسافة المادية، فليس من الممكن للتاجر تقديم لوحة مفاتيح للعميل في هذه الحالات، لذلك تم ابتكار بدائل، بما في ذلك

  • الأساليب البرمجية للمعاملات عبر الإنترنت والتي تتضمن التفاعل مع موقع الويب الخاص بالبنك المصدر للبطاقة أو الشبكة، مثل Verified by Visa وMastercard SecureCode (تطبيقات بروتوكول 3-D Secure الخاص بشركة Visa ). يتم الآن استبدال بروتوكول 3-D Secure بمصادقة العميل القوية كما هو محدد في التوجيه الأوروبي لخدمات الدفع الثانية .
  • إنشاء بطاقة افتراضية لمرة واحدة مرتبطة ببطاقة فعلية بمبلغ أقصى معين.
  • أجهزة إضافية مع لوحة مفاتيح وشاشة يمكنها إنتاج كلمة مرور لمرة واحدة ، مثل برنامج مصادقة الشريحة .
  • لوحة مفاتيح وشاشة مدمجة في بطاقات معقدة لإنتاج كلمة مرور لمرة واحدة . منذ عام 2008، كانت Visa تدير مشاريع تجريبية باستخدام بطاقة Emue حيث يحل الرقم الناتج محل الكود المطبوع على ظهر البطاقات القياسية. [22]

أما عن أيهما أسرع، فقد أوضحت صحيفة نيويورك تايمز أن الأمر يتعلق بالإدراك: ففي حين تتطلب طريقة الشريحة بقاء الشريحة في الجهاز حتى اكتمال المعاملة وعملية الترخيص، فإن طريقة تمرير الهاتف تقوم بالترخيص في الخلفية؛ ويبدأ الإيصال في الظهور على الفور. [23]

الأوامر

يحدد المعيار ISO/IEC 7816-3 بروتوكول النقل بين بطاقات الشريحة والقارئات. وباستخدام هذا البروتوكول، يتم تبادل البيانات في وحدات بيانات بروتوكول التطبيق (APDUs). ويتضمن هذا إرسال أمر إلى بطاقة، ثم معالجة البطاقة له، ثم إرسال استجابة. يستخدم EMV الأوامر التالية:

  • كتلة التطبيق
  • إلغاء حظر التطبيق
  • كتلة البطاقة
  • المصادقة الخارجية (7816-4)
  • إنشاء تشفير التطبيق
  • الحصول على البيانات (7816-4)
  • الحصول على خيارات المعالجة
  • المصادقة الداخلية (7816-4)
  • تغيير رقم التعريف الشخصي / إلغاء الحظر
  • قراءة السجل (7816-4)
  • حدد (7816-4)
  • التحقق من (7816-4).

تم تعريف الأوامر التي يتبعها "7816-4" في ISO/IEC 7816-4 وهي أوامر مشتركة بين الصناعات تُستخدم في العديد من تطبيقات بطاقات الشريحة مثل بطاقات SIM GSM .

تدفق المعاملات

تتضمن معاملة EMV الخطوات التالية: [24] [ مطلوب مصدر تابع لجهة خارجية ]

  1. اختيار التطبيق
  2. بدء معالجة الطلب
  3. قراءة بيانات التطبيق
  4. قيود المعالجة
  5. مصادقة البيانات دون اتصال بالإنترنت
  6. الشهادات
  7. التحقق من حامل البطاقة
  8. إدارة المخاطر النهائية
  9. تحليل العمل النهائي
  10. تحليل عمل البطاقة الأولى
  11. تفويض المعاملات عبر الإنترنت (يتم إجراؤه فقط إذا كانت نتيجة الخطوات السابقة مطلوبة؛ إلزامي في أجهزة الصراف الآلي)
  12. تحليل عمل البطاقة الثانية
  13. معالجة نص المصدر

اختيار التطبيق

تحدد ISO/IEC 7816 عملية اختيار التطبيق. وكان الغرض من اختيار التطبيق هو السماح للبطاقات باحتواء تطبيقات مختلفة تمامًا - على سبيل المثال GSM وEMV. ومع ذلك، قام مطورو EMV بتنفيذ اختيار التطبيق كطريقة لتحديد نوع المنتج، بحيث يتعين على جميع الجهات المصدرة للمنتج (Visa وMastercard وما إلى ذلك) أن يكون لديها تطبيقها الخاص. الطريقة التي يتم بها تحديد اختيار التطبيق في EMV هي مصدر متكرر لمشاكل التوافق بين البطاقات والأجهزة الطرفية. يخصص الكتاب 1 [25] من معيار EMV 15 صفحة لوصف عملية اختيار التطبيق.

يتم استخدام معرف التطبيق (AID) لمعالجة تطبيق في البطاقة أو محاكاة بطاقة المضيف (HCE) إذا تم تسليمها بدون بطاقة. يتكون معرف التطبيق من معرف موفر التطبيق المسجل (RID) المكون من خمسة بايتات، والذي يتم إصداره بواسطة هيئة تسجيل ISO/IEC 7816-5. يتبع ذلك امتداد معرف التطبيق الخاص (PIX)، والذي يمكن موفر التطبيق من التمييز بين التطبيقات المختلفة المقدمة. يتم طباعة معرف التطبيق على جميع إيصالات حاملي بطاقات EMV. يمكن لمصدري البطاقات تغيير اسم التطبيق من اسم شبكة البطاقة.

قائمة التطبيقات:

مخطط البطاقة / شبكة الدفع يتخلص منتج بيكس يساعد
FBF-1886 (الدنمرك) [26] أ000000001 بطاقة الولاء 0001 أ0000000010001
دانمونت (الدنمارك) أ000000001 بطاقة نقدية 1010 أ0000000011010
فيزا أ000000003 بطاقة الائتمان أو الخصم فيزا 1010 أ0000000031010
فيزا الكترون 2010 أ0000000032010
الدفع في 2020 أ0000000032020
زائد 8010 أ0000000038010
ماستر كارد أ000000004 بطاقة الائتمان أو الخصم ماستركارد 1010 أ0000000041010
ماستركارد [27] 9999 أ0000000049999
المايسترو 3060 أ0000000043060
بطاقة الصراف الآلي Cirrus فقط 6000 أ0000000046000
برنامج مصادقة الشريحة Securecode 8002 أ0000000048002
أ000000005 مايسترو المملكة المتحدة
(سابقا سويتش )		 0001 أ0000000050001
أ000000010 ماستركارد (الصين، بطاقات الخصم والائتمان) [ملاحظة 1] 8888 أ0000000108888
أمريكان إكسبريس أ000000025 أمريكان إكسبريس 01 أ00000002501
أ000000790 AMEX CHINA (بطاقات الخصم والائتمان) [ملاحظة 2] 01 أ00000079001
US Debit (جميع شبكات البنوك) (الولايات المتحدة الأمريكية) أ000000098 بطاقة تحمل علامة فيزا التجارية 0840 أ0000000980840
أ000000004 بطاقة تحمل علامة ماستركارد التجارية 2203 أ0000000042203
أ000000152 بطاقة تحمل العلامة التجارية Discover 4010 أ0000001524010
بطاقة الائتمان مناردز (بطاقة المتجر) (الولايات المتحدة الأمريكية) أ000000817 بطاقة المتجر 002001 أ000000817002001
شبكة LINK ATM (المملكة المتحدة) أ000000029 بطاقة الصراف الآلي 1010 أ0000000291010
سي بي (فرنسا) أ000000042 CB (بطاقة الائتمان أو الخصم) 1010 أ0000000421010
CB (بطاقة الخصم فقط) 2010 أ0000000422010
جيه سي بي (اليابان) أ000000065 مكتب الإئتمان الياباني 1010 أ0000000651010
دانكورت (الدنمارك) أ000000121 دانكورت 1010 أ0000001211010
فيزا دانكورت 4711 أ0000001214711
دانكورت (ج/سريع) 4712 أ0000001214712
اتحاد البنوك (إيطاليا) أ000000141 بانكومات/باجو بانكومات 0001 أ0000001410001
داينرز كلوب / اكتشف أ000000152 داينرز كلوب/ديسكفر 3010 أ0000001523010
بانريسول (البرازيل) أ000000154 بانريكومبراس ديبيتو 4442 أ0000001544442
SPAN2 (المملكة العربية السعودية) أ000000228 فترة 1010 أ0000002281010
إنترآك (كندا) أ000000277 بطاقة الخصم 1010 أ0000002771010
اكتشف (الولايات المتحدة الأمريكية) أ000000324 أَزِيز 1010 أ0000003241010
يونيون باي (الصين) أ000000333 دَين 010101 أ000000333010101
ائتمان 010102 أ000000333010102
شبه ائتماني 010103 أ000000333010103
النقود الالكترونية 010106 أ000000333010106
DK (ألمانيا) أ000000359 جيروكارد 1010028001 أ0000003591010028001
EAPS Bancomat (إيطاليا) أ000000359 باغو بانكومات 10100380 أ00000035910100380
فيرفي (نيجيريا) أ000000371 حيوية 0001 أ0000003710001
شبكة أجهزة الصراف الآلي Exchange Network (كندا/الولايات المتحدة الأمريكية) أ000000439 بطاقة الصراف الآلي 1010 أ0000004391010
روباي (الهند) أ000000524 روباي 1010 أ0000005241010
دينوبي (أسبانيا) أ000000630 بدء الدفع عبر Dinube (PSD2) 0101 أ0000006300101
مير (روسيا) أ000000658 بطاقة الخصم المباشر 2010 أ0000006582010
مير الائتمانية 1010 أ0000006581010
إيدنريد (بلجيكا) أ000000436 مطعم التذاكر 0100 أ0000004360100
eftpos (أستراليا) أ000000384 التوفير (بطاقة الخصم) 10 أ00000038410
الشيك (بطاقة الخصم) 20 أ00000038420
جيم-اتحاد الجمهوريات الاقتصادية والتجارية في غرب أفريقيا


(ثماني دول في غرب أفريقيا: بنين، بوركينا فاسو، كوت ديفوار، غينيا بيساو، مالي، النيجر، السنغال، توغو)

أ000000337 تراجع 01 000001 أ000000337301000
معيار 01 000002 أ000000337101000
كلاسيكي 01 000003 أ000000337102000
الدفع المسبق عبر الإنترنت 01 000004 أ000000337101001
إمكانية الدفع المسبق دون اتصال بالإنترنت 01 000005 أ000000337102001
بورت مونيه الكترونيك 01 000006 أ000000337601001
ميزا (مصر) أ000000732 بطاقة ميزا 100123 أ000000732100123
عطارد (الإمارات العربية المتحدة) أ000000529 بطاقة عطارد 1010 أ0000005291010
الصين تي يونيون أ000000632 محفظة MOT الإلكترونية 010105 أ000000632010105
النقود الإلكترونية MOT 010106 أ000000632010106

بدء معالجة الطلب

يرسل الجهاز الطرفي أمر الحصول على خيارات المعالجة إلى البطاقة. وعند إصدار هذا الأمر، يزود الجهاز الطرفي البطاقة بأي عناصر بيانات تطلبها البطاقة في قائمة كائنات بيانات خيارات المعالجة (PDOL). يتم توفير PDOL (قائمة العلامات وأطوال عناصر البيانات) اختياريًا بواسطة البطاقة إلى الجهاز الطرفي أثناء اختيار التطبيق. تستجيب البطاقة بملف تعريف تبادل التطبيق (AIP)، وهي قائمة بالوظائف التي يجب القيام بها في معالجة المعاملة. توفر البطاقة أيضًا محدد ملفات التطبيق (AFL)، وهي قائمة بالملفات والسجلات التي يحتاج الجهاز الطرفي إلى قراءتها من البطاقة. [ بحاجة لمصدر ]

قراءة بيانات التطبيق

تخزن البطاقات الذكية البيانات في ملفات. يحتوي ملف AFL على الملفات التي تحتوي على بيانات EMV. يجب قراءة كل هذه الملفات باستخدام أمر read record. لا يحدد EMV الملفات التي يتم تخزين البيانات فيها، لذا يجب قراءة جميع الملفات. يتم تخزين البيانات في هذه الملفات بتنسيق BER TLV . يحدد EMV قيم العلامات لجميع البيانات المستخدمة في معالجة البطاقات. [28]

قيود المعالجة

الغرض من قيود المعالجة هو معرفة ما إذا كان ينبغي استخدام البطاقة. يتم التحقق من ثلاثة عناصر بيانات مقروءة في الخطوة السابقة: رقم إصدار التطبيق، ومراقبة استخدام التطبيق (يُظهر هذا ما إذا كانت البطاقة مخصصة للاستخدام المحلي فقط، وما إلى ذلك)، والتحقق من تواريخ سريان/انتهاء صلاحية التطبيق. [ بحاجة لمصدر ]

إذا فشلت أي من هذه الفحوصات، فلن يتم رفض البطاقة بالضرورة. يحدد الجهاز الطرفي البت المناسب في نتائج التحقق من الجهاز الطرفي (TVR)، والتي تشكل مكوناتها الأساس لقرار القبول/الرفض في وقت لاحق من تدفق المعاملة. تتيح هذه الميزة، على سبيل المثال، لمصدري البطاقات السماح لحاملي البطاقات بالاستمرار في استخدام البطاقات منتهية الصلاحية بعد تاريخ انتهاء صلاحيتها، ولكن لجميع المعاملات التي تتم باستخدام بطاقة منتهية الصلاحية يجب أن تتم عبر الإنترنت. [ بحاجة لمصدر ]

مصادقة البيانات دون اتصال بالإنترنت (ODA)

مصادقة البيانات دون اتصال بالإنترنت هي عملية فحص تشفيرية للتحقق من صحة البطاقة باستخدام تشفير المفتاح العام . هناك ثلاث عمليات مختلفة يمكن إجراؤها حسب البطاقة: [ بحاجة لمصدر ]

  • تضمن مصادقة البيانات الثابتة (SDA) أن البيانات المقروءة من البطاقة تم توقيعها من قبل جهة إصدار البطاقة. وهذا يمنع تعديل البيانات، لكنه لا يمنع الاستنساخ.
  • توفر مصادقة البيانات الديناميكية (DDA) الحماية ضد تعديل البيانات والاستنساخ.
  • يجمع نظام DDA/generate application cryptogram (CDA) بين نظام DDA وإنشاء تشفير تطبيق البطاقة لضمان صحة البطاقة. قد يكون دعم نظام CDA في الأجهزة ضروريًا، حيث تم تنفيذ هذه العملية في أسواق محددة. هذه العملية ليست إلزامية في المحطات ولا يمكن تنفيذها إلا حيث تدعمها كل من البطاقة والمحطة. [ بحاجة لمصدر ]

شهادات EMV

للتحقق من صحة بطاقات الدفع، يتم استخدام شهادات EMV. تصدر هيئة شهادة EMV [29] شهادات رقمية لمصدري بطاقات الدفع. عند الطلب، توفر شريحة بطاقة الدفع شهادة المفتاح العام وSSAD لجهة إصدار البطاقة إلى المحطة. تسترد المحطة المفتاح العام لهيئة شهادة من التخزين المحلي وتستخدمه لتأكيد الثقة لهيئة شهادة، وإذا كانت موثوقة، للتحقق من أن المفتاح العام لجهة إصدار البطاقة قد تم توقيعه من قبل هيئة شهادة. إذا كان المفتاح العام لجهة إصدار البطاقة صالحًا، تستخدم المحطة المفتاح العام لجهة إصدار البطاقة للتحقق من أن SSAD للبطاقة قد تم توقيعه من قبل جهة إصدار البطاقة. [30]

التحقق من حامل البطاقة

يتم استخدام التحقق من حامل البطاقة لتقييم ما إذا كان الشخص الذي يقدم البطاقة هو حامل البطاقة الشرعي. هناك العديد من طرق التحقق من حامل البطاقة (CVMs) المدعومة في EMV. وهي [ بحاجة لمصدر ]

  • إمضاء
  • رقم التعريف الشخصي للنص العادي غير المتصل بالإنترنت
  • رقم التعريف الشخصي المشفر غير المتصل بالإنترنت
  • رقم التعريف الشخصي والتوقيع النصي العادي غير المتصل بالإنترنت
  • رقم التعريف الشخصي والتوقيع المشفران دون اتصال بالإنترنت
  • رقم التعريف الشخصي عبر الإنترنت
  • لا يتطلب CVM
  • إدارة سلامة الأجهزة الاستهلاكية
  • فشل معالجة CVM

يستخدم الجهاز الطرفي قائمة CVM التي يتم قراءتها من البطاقة لتحديد نوع التحقق الذي يجب إجراؤه. تحدد قائمة CVM أولوية CVMs للاستخدام نسبة إلى قدرات الجهاز الطرفي. تدعم الأجهزة الطرفية المختلفة CVMs مختلفة. تدعم أجهزة الصراف الآلي عمومًا رقم التعريف الشخصي عبر الإنترنت. تختلف أجهزة نقاط البيع الطرفية في دعم CVM حسب النوع والبلد. [ بحاجة لمصدر ]

بالنسبة لطرق PIN المشفرة غير المتصلة بالإنترنت، يقوم الجهاز الطرفي بتشفير كتلة PIN النصية الواضحة باستخدام المفتاح العام للبطاقة قبل إرسالها إلى البطاقة باستخدام أمر التحقق. بالنسبة لطريقة PIN عبر الإنترنت، يقوم الجهاز الطرفي بتشفير كتلة PIN النصية الواضحة باستخدام مفتاح التشفير من نقطة إلى نقطة قبل إرسالها إلى معالج المشتري في رسالة طلب الترخيص.

جميع الطرق غير المتصلة بالإنترنت معرضة لهجمات الوسيط. في عام 2017، أضافت EMVCo دعمًا لطرق التحقق البيومترية في الإصدار 4.3 من مواصفات EMV. [31]

إدارة المخاطر النهائية

لا يتم تنفيذ إدارة مخاطر المحطة إلا في الأجهزة التي يتعين اتخاذ قرار بشأن ما إذا كان ينبغي الموافقة على المعاملة عبر الإنترنت أو دون الاتصال بالإنترنت. إذا تم تنفيذ المعاملات دائمًا عبر الإنترنت (على سبيل المثال، أجهزة الصراف الآلي) أو دائمًا دون الاتصال بالإنترنت، فيمكن تخطي هذه الخطوة. تتحقق إدارة مخاطر المحطة من مبلغ المعاملة مقابل حد السقف غير المتصل بالإنترنت (الذي يجب معالجة المعاملات فوقه عبر الإنترنت). من الممكن أيضًا الحصول على 1 في عداد عبر الإنترنت، وتحقق من قائمة البطاقات الساخنة (وهو أمر ضروري فقط للمعاملات غير المتصلة بالإنترنت). إذا كانت نتيجة أي من هذه الاختبارات إيجابية، فإن المحطة تحدد البت المناسب في نتائج التحقق من المحطة (TVR). [32]

تحليل العمل النهائي

تُستخدم نتائج خطوات المعالجة السابقة لتحديد ما إذا كان ينبغي الموافقة على المعاملة دون اتصال بالإنترنت، أو إرسالها عبر الإنترنت للموافقة عليها، أو رفضها دون اتصال بالإنترنت. ويتم ذلك باستخدام مجموعة من كائنات البيانات المعروفة باسم رموز إجراءات المحطة الطرفية (TACs) المحفوظة في المحطة الطرفية ورموز إجراءات الجهة المصدرة (IACs) المقروءة من البطاقة. يتم إجراء عملية أو منطقية بين رموز إجراءات المحطة الطرفية ورموز إجراءات الجهة المصدرة، لإعطاء متلقي المعاملة مستوى من التحكم في نتيجة المعاملة. يأخذ كلا النوعين من رموز الإجراءات القيم Denial وOnline وDefault. يحتوي كل رمز إجراء على سلسلة من البتات التي تتوافق مع البتات الموجودة في نتائج التحقق من المحطة الطرفية (TVR)، ويتم استخدامها في قرار المحطة الطرفية بشأن قبول أو رفض أو الانتقال إلى الإنترنت لمعاملة الدفع. يتم تعيين رموز إجراءات المحطة الطرفية من قبل متلقي البطاقة؛ في الممارسة العملية، تنصح مخططات البطاقات بإعدادات رموز إجراءات المحطة الطرفية التي يجب استخدامها لنوع محطة طرفية معين اعتمادًا على قدراتها. يتم تعيين رموز إجراءات الجهة المصدرة للبطاقة؛ قد تقرر بعض الجهات المصدرة للبطاقات رفض البطاقات منتهية الصلاحية، عن طريق تعيين البت المناسب في رموز إجراءات الجهة المصدرة للبطاقة. قد يرغب مصدرون آخرون في أن تتم المعاملة عبر الإنترنت حتى يتمكنوا في بعض الحالات من السماح بتنفيذ هذه المعاملات. [33] [ مصدر أفضل مطلوب ]

عندما يقوم جهاز متصل بالإنترنت فقط بإجراء معالجة IAC-Online وTAC-Online، فإن البت الوحيد ذي الصلة في TVR هو "قيمة المعاملة تتجاوز الحد الأدنى". ولأن الحد الأدنى مضبوط على الصفر، فيجب أن تنتقل المعاملة دائمًا إلى الإنترنت وتكون جميع القيم الأخرى في TAC-Online أو IAC-Online غير ذات صلة. لا تحتاج الأجهزة المتصلة بالإنترنت فقط إلى إجراء معالجة IAC الافتراضية. يحاول الجهاز المتصل بالإنترنت فقط مثل ماكينة الصراف الآلي دائمًا الاتصال بالإنترنت بطلب التفويض، ما لم يتم رفضه في وضع عدم الاتصال بسبب إعدادات IAC-Denial. أثناء معالجة IAC-Denial وTAC-Denial، بالنسبة لجهاز متصل بالإنترنت فقط، فإن البت الوحيد ذي الصلة في نتائج التحقق من المحطة الطرفية هو "الخدمة غير مسموح بها". [34]

تحليل عمل البطاقة الأولى

أحد كائنات البيانات المقروءة من البطاقة في مرحلة قراءة بيانات التطبيق هو CDOL1 (قائمة كائنات بيانات البطاقة). هذا الكائن عبارة عن قائمة بالعلامات التي تريد البطاقة إرسالها إليها لاتخاذ قرار بشأن الموافقة على معاملة أو رفضها (بما في ذلك مبلغ المعاملة، ولكن العديد من كائنات البيانات الأخرى أيضًا). يرسل الجهاز الطرفي هذه البيانات ويطلب تشفيرًا باستخدام أمر إنشاء تشفير التطبيق. بناءً على قرار الجهاز الطرفي (غير متصل بالإنترنت، متصل بالإنترنت، رفض)، يطلب الجهاز الطرفي أحد التشفيرات التالية من البطاقة: [ بحاجة لمصدر ]

  • شهادة المعاملة (TC) - الموافقة دون اتصال بالإنترنت
  • تشفير طلب الترخيص (ARQC) - الترخيص عبر الإنترنت
  • تشفير مصادقة التطبيق (AAC) - الرفض في وضع عدم الاتصال

تمنح هذه الخطوة البطاقة الفرصة لقبول تحليل عمل المحطة الطرفية أو رفض معاملة أو فرض معاملة عبر الإنترنت. لا يمكن للبطاقة إرجاع TC عندما يتم طلب ARQC، ولكن يمكنها إرجاع ARQC عندما يتم طلب TC. [34]

تفويض المعاملات عبر الإنترنت

تتم المعاملات عبر الإنترنت عند طلب ARQC. يتم إرسال ARQC في رسالة التفويض. تقوم البطاقة بإنشاء ARQC. يعتمد تنسيقه على تطبيق البطاقة. لا يحدد EMV محتويات ARQC. ARQC الذي تم إنشاؤه بواسطة تطبيق البطاقة هو توقيع رقمي لتفاصيل المعاملة، والذي يمكن لجهة إصدار البطاقة التحقق منه في الوقت الفعلي. يوفر هذا فحصًا تشفيريًا قويًا للتأكد من أن البطاقة أصلية. يستجيب المصدر لطلب التفويض برمز استجابة (قبول أو رفض المعاملة)، وتشفير استجابة التفويض (ARPC) واختياريًا نص برمجي للجهة المصدرة (سلسلة من الأوامر التي سيتم إرسالها إلى البطاقة). [34]

لا يتم تنفيذ معالجة ARPC في معاملات الاتصال التي تتم معالجتها باستخدام Visa Quick Chip [35] لـ EMV وMastercard M/Chip Fast، [36] وفي المعاملات غير التلامسية عبر الأنظمة لأن البطاقة تتم إزالتها من القارئ بعد إنشاء ARQC.

تحليل عمل البطاقة الثانية

تحتوي قائمة بيانات البطاقة (CDOL2) على قائمة بالعلامات التي تريد البطاقة إرسالها بعد تفويض المعاملة عبر الإنترنت (رمز الاستجابة، ARPC، إلخ). حتى إذا لم يتمكن الجهاز من الاتصال بالإنترنت لأي سبب (على سبيل المثال، فشل الاتصال)، فيجب على الجهاز إرسال هذه البيانات إلى البطاقة مرة أخرى باستخدام أمر إنشاء تشفير التفويض. يتيح هذا للبطاقة معرفة استجابة الجهة المصدرة. قد يقوم تطبيق البطاقة بعد ذلك بإعادة تعيين حدود الاستخدام دون اتصال بالإنترنت.

معالجة نص المصدر

إذا أرادت جهة إصدار البطاقة تحديث بطاقة ما بعد الإصدار، فيمكنها إرسال أوامر إلى البطاقة باستخدام معالجة نص الجهة المصدرة. لا تعني نصوص الجهة المصدرة شيئًا بالنسبة للطرفية ويمكن تشفيرها بين البطاقة والجهة المصدرة لتوفير أمان إضافي. يمكن استخدام نص الجهة المصدرة لحظر البطاقات أو تغيير معلمات البطاقة. [37]

لا تتوفر معالجة نص المصدر في معاملات الاتصال التي تتم معالجتها باستخدام Visa Quick Chip [35] لبطاقات EMV وMastercard M/Chip Fast، [36] وللمعاملات غير التلامسية عبر الأنظمة.

مواصفات شريحة EMV

لوحة اتصال للواجهة الكهربائية على الجانب الأمامي لبطاقة الائتمان

تم نشر الإصدار الأول من معيار EMV في عام 1995. والآن يتم تعريف المعيار وإدارته من قبل شركة EMVCo LLC المملوكة للقطاع الخاص. الأعضاء الحاليون في EMVCo [38] هم American Express و Discover Financial و JCB International و Mastercard و China UnionPay و Visa Inc. تمتلك كل من هذه المنظمات حصة متساوية في EMVCo ولديها ممثلون في منظمة EMVCo ومجموعات عمل EMVCo.

يتم إصدار اعتراف بالامتثال لمعيار EMV (أي شهادة الجهاز) من قبل EMVCo بعد تقديم نتائج الاختبار التي أجراها بيت اختبار معتمد. [ بحاجة لمصدر ]

يتضمن اختبار الامتثال لمعايير EMV مستويين: المستوى 1 من EMV، والذي يغطي الواجهات على المستوى المادي والكهربائي ومستوى النقل، والمستوى 2 من EMV، والذي يغطي اختيار تطبيق الدفع ومعالجة المعاملات المالية الائتمانية. [ بحاجة لمصدر ]

بعد اجتياز اختبارات EMVCo الشائعة، يجب أن يتم اعتماد البرنامج من قبل العلامات التجارية للدفع للامتثال لتطبيقات EMV الملكية مثل Visa VSDC، American Express AEIPS، Mastercard MChip، JCB JSmart، أو تطبيقات متوافقة مع EMV من غير أعضاء EMVCo مثل LINK في المملكة المتحدة، أو Interac في كندا. [ بحاجة لمصدر ]

قائمة مستندات ومعايير EMV

اعتبارًا من عام 2011، منذ الإصدار 4.0، يتم نشر مستندات معيار EMV الرسمية التي تحدد جميع المكونات في نظام دفع EMV على شكل أربعة "كتب" وبعض المستندات الإضافية:

  • الكتاب 1: متطلبات واجهة ICC المستقلة عن التطبيق لواجهة المحطة الطرفية [25]
  • الكتاب 2: الأمن وإدارة المفاتيح [39]
  • الكتاب 3: مواصفات التطبيق [40]
  • الكتاب 4: متطلبات واجهة حامل البطاقة والموظف والمشتري [41]
  • مواصفات تطبيق الدفع المشترك [42]
  • مواصفات تخصيص بطاقة EMV [43]

الإصدارات

ظهر أول معيار EMV في عام 1995 باسم EMV 2.0. وتمت ترقيته إلى EMV 3.0 في عام 1996 (يشار إليه أحيانًا باسم EMV '96) مع تعديلات لاحقة على EMV 3.1.1 في عام 1998. وتم تعديله لاحقًا إلى الإصدار 4.0 في ديسمبر 2000 (يشار إليه أحيانًا باسم EMV 2000). أصبح الإصدار 4.0 ساري المفعول في يونيو 2004. وأصبح الإصدار 4.1 ساري المفعول في يونيو 2007. وأصبح الإصدار 4.2 ساري المفعول منذ يونيو 2008. وأصبح الإصدار 4.3 ساري المفعول منذ نوفمبر 2011. [44]

نقاط الضعف

فرص لحصاد أرقام التعريف الشخصية واستنساخ الأشرطة المغناطيسية

بالإضافة إلى بيانات المسار الثاني على الشريط المغناطيسي، تحتوي بطاقات EMV عمومًا على بيانات متطابقة مشفرة على الشريحة، والتي تتم قراءتها كجزء من عملية معاملة EMV العادية. إذا تم اختراق قارئ EMV إلى الحد الذي يتم فيه اعتراض المحادثة بين البطاقة والجهاز، فقد يتمكن المهاجم من استعادة بيانات المسار الثاني ورقم التعريف الشخصي، مما يسمح ببناء بطاقة شريط مغناطيسي، والتي على الرغم من عدم إمكانية استخدامها في محطة رقاقة ورقم تعريف شخصي، يمكن استخدامها، على سبيل المثال، في الأجهزة الطرفية التي تسمح بالرجوع إلى معالجة الشريط المغناطيسي للعملاء الأجانب الذين لا يملكون بطاقات شريحة، والبطاقات المعيبة. لا يمكن تنفيذ هذا الهجوم إلا عندما (أ) يتم تقديم رقم التعريف الشخصي غير المتصل بالإنترنت في نص عادي بواسطة جهاز إدخال رقم التعريف الشخصي إلى البطاقة، حيث (ب) يسمح مصدر البطاقة بالرجوع إلى الشريط المغناطيسي و(ج) حيث لا يجوز إجراء فحص جغرافي وسلوكي من قبل مصدر البطاقة. [ بحاجة لمصدر ]

زعمت APACS ، التي تمثل صناعة الدفع في المملكة المتحدة، أن التغييرات المحددة في البروتوكول (حيث تختلف قيم التحقق من البطاقة بين الشريط المغناطيسي والشريحة - iCVV) جعلت هذا الهجوم غير فعال وأن مثل هذه التدابير ستكون سارية اعتبارًا من يناير 2008. [45] أشارت الاختبارات التي أجريت على البطاقات في فبراير 2008 إلى أن هذا قد تأخر. [46]

هجمات ناجحة

يُعد التقاط المحادثة شكلاً من أشكال الهجوم الذي ورد أنه حدث ضد محطات Shell في مايو 2006، عندما أُجبروا على تعطيل جميع عمليات مصادقة EMV في محطات البنزين الخاصة بهم بعد سرقة أكثر من مليون جنيه إسترليني من العملاء. [47]

في أكتوبر 2008، وردت أنباء عن تعرض مئات من أجهزة قراءة البطاقات EMV المخصصة للاستخدام في بريطانيا وأيرلندا وهولندا والدنمرك وبلجيكا للتلاعب في الصين أثناء التصنيع أو بعده بفترة وجيزة. وعلى مدى تسعة أشهر، تم إرسال تفاصيل وأرقام التعريف الشخصية لبطاقات الائتمان والخصم عبر شبكات الهاتف المحمول إلى مجرمين في لاهور ، باكستان. وقال جويل برينر، المدير التنفيذي لمكافحة التجسس الوطني في الولايات المتحدة: "في السابق، كانت وكالة استخبارات الدولة القومية فقط قادرة على تنفيذ هذا النوع من العمليات. إنه أمر مخيف". وعادة ما يتم استخدام البيانات المسروقة بعد شهرين من معاملات البطاقة لجعل من الصعب على المحققين تحديد الثغرة. وبعد اكتشاف الاحتيال، وجد أنه يمكن التعرف على الأجهزة الطرفية التي تم التلاعب بها حيث زادت الدوائر الإضافية من وزنها بحوالي 100 جرام. ويُعتقد أن عشرات الملايين من الجنيهات قد سُرقت. [48] ​​حفزت هذه الثغرة الجهود الرامية إلى تنفيذ سيطرة أفضل على أجهزة نقاط البيع طوال دورة حياتها بالكامل، وهي ممارسة أقرتها معايير أمان الدفع الإلكتروني مثل تلك التي طورتها تحالف البائعين الآمنين لنقاط البيع (SPVA). [49]

حصاد PIN واستنساخ الشرائط

في برنامج BBC Newsnight في فبراير 2008، أظهر الباحثان ستيفن مردوخ وسار دريمر من جامعة كامبريدج هجومًا نموذجيًا واحدًا، لتوضيح أن الشريحة ورقم التعريف الشخصي ليسا آمنين بدرجة كافية لتبرير نقل مسؤولية إثبات الاحتيال من البنوك إلى العملاء. [50] [51] سمح الاستغلال في جامعة كامبريدج للمجربين بالحصول على بيانات البطاقة لإنشاء شريط مغناطيسي ورقم التعريف الشخصي.

أبدت جمعية المدفوعات البريطانية APACS عدم موافقتها على أغلب ما ورد في التقرير، قائلة: "إن أنواع الهجمات على أجهزة إدخال رقم التعريف الشخصي المفصلة في هذا التقرير يصعب تنفيذها ولا يمكن للمحتال تنفيذها اقتصاديًا في الوقت الحالي". [52] كما قالوا إن التغييرات التي تطرأ على البروتوكول (تحديد قيم مختلفة للتحقق من البطاقة بين الشريحة والشريط المغناطيسي - iCVV) من شأنها أن تجعل هذا الهجوم غير فعال اعتبارًا من يناير 2008.

في أغسطس 2016، أظهر باحثو الأمن في شركة NCR Corporation كيف يمكن للصوص بطاقات الائتمان إعادة كتابة رمز الشريط المغناطيسي لجعله يبدو وكأنه بطاقة بدون شريحة، مما يسمح بالتزوير. [ بحاجة لمصدر ]

2010: أجهزة مخفية تعطل التحقق من رقم التعريف الشخصي (PIN) على البطاقة المسروقة

ويكي نيوز لديها أخبار ذات صلة:
  • يقول باحث في كامبريدج إن الشريحة ورقم التعريف الشخصي "غير مناسبين للغرض"

في الحادي عشر من فبراير 2010، أعلن فريق مردوخ ودريمر في جامعة كامبريدج أنهم اكتشفوا "خللًا في الشريحة ورقم التعريف الشخصي (PIN) خطيرًا لدرجة أنهم يعتقدون أنه يُظهر أن النظام بأكمله يحتاج إلى إعادة كتابة" وكان "بسيطًا لدرجة أنه صدمهم". يتم توصيل البطاقة المسروقة بدائرة إلكترونية وبطاقة مزيفة يتم إدخالها في المحطة (" هجوم الرجل في المنتصف "). يمكن كتابة أي أربعة أرقام وقبولها كرقم تعريف شخصي صالح. [53] [54]

قام فريق من برنامج Newsnight التابع لهيئة الإذاعة البريطانية (بي بي سي ) بزيارة كافتيريا جامعة كامبريدج (بإذن) باستخدام النظام، وتمكنوا من الدفع باستخدام بطاقاتهم الخاصة (يستخدم اللص بطاقات مسروقة) المتصلة بالدائرة، وإدخال بطاقة مزيفة وكتابة "0000" كرقم التعريف الشخصي. تم تسجيل المعاملات بشكل طبيعي، ولم يتم التقاطها بواسطة أنظمة أمن البنوك. قال أحد أعضاء فريق البحث، "حتى الأنظمة الإجرامية الصغيرة الحجم لديها معدات أفضل من تلك التي لدينا. إن مقدار التطور الفني المطلوب لتنفيذ هذا الهجوم منخفض حقًا". قال الإعلان عن الثغرة الأمنية، "الخبرة المطلوبة ليست عالية (إلكترونيات على مستوى جامعي). نحن نرفض تأكيد صناعة البنوك بأن المجرمين ليسوا متطورين بما يكفي، لأنهم أظهروا بالفعل مستوى أعلى بكثير من المهارة مما هو ضروري لهذا الهجوم في أجهزة التزوير المصغرة الخاصة بهم لإدخال رقم التعريف الشخصي". لم يكن معروفًا ما إذا كان قد تم استغلال هذه الثغرة الأمنية، لكنها قد تفسر حالات الاحتيال المزعومة التي لم يتم حلها. [54]

ولكن شركة EMVCo لم توافق على هذا الرأي ونشرت رداً جاء فيه أنه في حين أن مثل هذا الهجوم قد يكون ممكناً من الناحية النظرية، فإنه سيكون من الصعب للغاية ومكلفاً تنفيذه بنجاح، وأن الضوابط التعويضية الحالية من المرجح أن تكشف عن الاحتيال أو تحد منه، وأن المكسب المالي المحتمل من الهجوم ضئيل في حين أن خطر رفض المعاملة أو كشف المحتال كبير. [55] ولكن فريق كامبريدج لا يوافق على هذا الرأي: فقد نفذوا الهجوم دون أن تلاحظ البنوك، باستخدام معدات جاهزة مع بعض الإضافات غير المعقدة. ويمكن بسهولة تصنيع نسخ أقل حجماً. ولا يحتاج أولئك الذين ينتجون مثل هذه المعدات للهجوم إلى تعريض أنفسهم للخطر، ولكن يمكنهم بيعها لأي شخص عبر الإنترنت. [54]

عند الاتصال بهم للتعليق، قال العديد من البنوك (بنك كووبراتيف، وباركليز، وإتش إس بي سي) إن هذه كانت مشكلة على مستوى الصناعة، وأحالوا فريق نيوزنايت إلى رابطة التجارة المصرفية لمزيد من التعليق. [56] وفقًا لفيل جونز من جمعية المستهلكين ، ساعدت الشريحة ورقم التعريف الشخصي في الحد من حالات جرائم البطاقات، لكن العديد من الحالات لا تزال غير مفسرة. "ما نعرفه هو أن لدينا حالات تم تقديمها من قبل أفراد تبدو مقنعة تمامًا." [ بحاجة لمصدر ]

يستغل الهجوم حقيقة أن اختيار طريقة المصادقة غير مصادق عليه، مما يسمح للرجل في المنتصف بالتدخل. يطلب الجهاز الطرفي رقم التعريف الشخصي، ويحصل عليه ويحصل على تأكيد المعاملة من البطاقة - التي تعتقد أنها تقوم بمعاملة بطاقة وتوقيع، والتي يمكن أن تنجح بالفعل دون اتصال بالإنترنت. كما تعمل أيضًا عبر الإنترنت، ربما بسبب عدم كفاية عمليات الفحص. [57]

في الأصل، كان على عملاء البنوك إثبات عدم إهمالهم في استخدام رقم التعريف الشخصي الخاص بهم قبل الحصول على التعويض، لكن اللوائح البريطانية التي دخلت حيز التنفيذ منذ 1 نوفمبر 2009 وضعت العبء على البنوك لإثبات إهمال العميل في أي نزاع، مع منح العميل مهلة 13 شهرًا لتقديم المطالبة. [58] قال مردوخ إن "[البنوك] يجب أن تنظر إلى المعاملات السابقة حيث قال العميل إن رقم التعريف الشخصي الخاص به لم يُستخدم وأظهر سجل البنك أنه تم استخدامه، وأن تفكر في إعادة الأموال لهؤلاء العملاء لأنهم قد يكونون ضحايا لهذا النوع من الاحتيال". [54]

2011: تخفيض مستوى CVM يسمح بحصاد رقم التعريف الشخصي التعسفي

في مؤتمر CanSecWest في مارس 2011، قدم أندريا باريساني ودانييل بيانكو بحثًا يكشف عن ثغرة أمنية في EMV من شأنها أن تسمح بحصاد رقم التعريف الشخصي بشكل تعسفي على الرغم من تكوين التحقق من حامل البطاقة، حتى عندما يتم توقيع بيانات CVMs المدعومة. [59]

يمكن إجراء عملية حصاد رقم التعريف الشخصي باستخدام جهاز استخراج الرقائق. في الأساس، لا تزال قائمة CVM التي تم تعديلها لخفض مستوى CVM إلى رقم التعريف الشخصي غير المتصل بالإنترنت معتمدة من قبل محطات نقاط البيع، على الرغم من أن توقيعها غير صالح. [60]

تجاوز رقم التعريف الشخصي

في عام 2020، أبلغ الباحثون ديفيد باسين ورالف ساسي وخورخي تورو من المعهد الفيدرالي السويسري للتكنولوجيا في زيورخ [61] [62] عن مشكلة أمنية تؤثر على بطاقات فيزا غير التلامسية: عدم وجود حماية تشفيرية للبيانات الهامة التي ترسلها البطاقة إلى المحطة أثناء معاملة EMV. تحدد البيانات المعنية طريقة التحقق من حامل البطاقة (مثل التحقق من رقم التعريف الشخصي) التي سيتم استخدامها للمعاملة. أظهر الفريق أنه من الممكن تعديل هذه البيانات لخداع المحطة للاعتقاد بعدم الحاجة إلى رقم التعريف الشخصي لأن حامل البطاقة تم التحقق منه باستخدام جهازه (مثل الهاتف الذكي). طور الباحثون تطبيق Android لإثبات المفهوم يحول بطاقة Visa المادية بشكل فعال إلى تطبيق دفع عبر الهاتف المحمول (مثل Apple Pay و Google Pay ) لإجراء عمليات شراء عالية القيمة بدون رقم تعريف شخصي. يتم تنفيذ الهجوم باستخدام هاتفين ذكيين يدعمان NFC ، أحدهما يُحمل بالقرب من البطاقة المادية والثاني يُحمل بالقرب من محطة الدفع. قد يؤثر الهجوم على بطاقات Discover و UnionPay الصينية ولكن لم يتم إثبات ذلك عمليًا، على عكس بطاقات Visa.

في أوائل عام 2021، كشف نفس الفريق أن بطاقات ماستركارد معرضة أيضًا لهجوم تجاوز رقم التعريف الشخصي. لقد أظهروا أن المجرمين يمكنهم خداع المحطة الطرفية لإجراء معاملات باستخدام بطاقة ماستركارد بدون تلامس معتقدين أنها بطاقة فيزا. هذا الخلط بين العلامة التجارية للبطاقة له عواقب وخيمة لأنه يمكن استخدامه مع تجاوز رقم التعريف الشخصي لبطاقة فيزا لتجاوز رقم التعريف الشخصي لبطاقات ماستركارد أيضًا. [62]

تطبيق

حزمة أشباه الموصلات لشريحة EMV على الجانب المقابل لمنصات التلامس الخاصة بها
منظر للرقاقة، طلقة نرد

EMV تعني " Europay و Mastercard و Visa "، وهي الشركات الثلاث التي أنشأت المعيار. يتم إدارة المعيار الآن بواسطة EMVCo ، وهو اتحاد من الشركات المالية. [1] الرقائق الأخرى المعروفة على نطاق واسع لمعيار EMV هي:

  • AEIPS: أمريكان إكسبريس
  • UICS: أجور الاتحاد الصيني
  • جيه سمارت: جيه سي بي
  • D-PAS: اكتشف/داينرز كلوب إنترناشيونال
  • روبي: NPCI
  • حيوية

كما طورت Visa وMastercard معايير لاستخدام بطاقات EMV في الأجهزة لدعم المعاملات التي تتم بدون بطاقة (CNP) عبر الهاتف والإنترنت. تمتلك Mastercard برنامج مصادقة الشريحة (CAP) للتجارة الإلكترونية الآمنة. يُعرف تنفيذه باسم EMV-CAP ويدعم عددًا من الأوضاع. تمتلك Visa مخطط مصادقة رمز المرور الديناميكي (DPA)، وهو تنفيذهم لبرنامج CAP باستخدام قيم افتراضية مختلفة.

في العديد من دول العالم، طبقت شبكات الدفع ببطاقات الخصم و/أو بطاقات الائتمان تحولات المسؤولية. [ بحاجة لمصدر ] عادةً، يكون مصدر البطاقة مسؤولاً عن المعاملات الاحتيالية. ومع ذلك، بعد تنفيذ تحول المسؤولية، إذا كان جهاز الصراف الآلي أو محطة نقطة البيع الخاصة بالتاجر لا يدعم EMV، فإن مالك جهاز الصراف الآلي أو التاجر مسؤول عن المعاملة الاحتيالية.

يمكن أن تتسبب أنظمة الشريحة ورقم التعريف الشخصي في حدوث مشكلات للمسافرين من البلدان التي لا تصدر بطاقات الشريحة ورقم التعريف الشخصي حيث قد يرفض بعض تجار التجزئة قبول بطاقاتهم الخالية من الشريحة. [63] في حين أن معظم المحطات لا تزال تقبل بطاقة الشريط المغناطيسي، وتتطلب العلامات التجارية الرئيسية لبطاقات الائتمان من البائعين قبولها، [64] قد يرفض بعض الموظفين قبول البطاقة، معتقدين أنهم مسؤولون عن أي احتيال إذا لم تتمكن البطاقة من التحقق من رقم التعريف الشخصي. قد لا تعمل البطاقات غير المزودة بشريحة ورقم تعريف شخصي أيضًا في بعض آلات البيع غير المراقبة في محطات القطارات على سبيل المثال، أو ماكينات الدفع الذاتي في محلات السوبر ماركت. [65]

أفريقيا

  • حدث تحول في مسؤولية ماستركارد بين البلدان داخل هذه المنطقة في الأول من يناير 2006. [66] وبحلول الأول من أكتوبر 2010، حدث تحول في المسؤولية لجميع معاملات نقاط البيع. [67]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في الأول من يناير 2006. أما بالنسبة لأجهزة الصراف الآلي، فقد تم تحويل المسؤولية في الأول من يناير 2008. [68]

جنوب أفريقيا

  • تم تحويل مسؤولية ماستركارد في الأول من يناير 2005. [66]

الدول الآسيوية والمحيط الهادئ

  • حدث تحول في مسؤولية ماستركارد بين البلدان داخل هذه المنطقة في الأول من يناير 2006. [66] وبحلول الأول من أكتوبر 2010، حدث تحول في المسؤولية لجميع معاملات نقاط البيع، باستثناء المعاملات المحلية في الصين واليابان. [67]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في 1 أكتوبر 2010. [68] بالنسبة لأجهزة الصراف الآلي، تم تحويل المسؤولية في 1 أكتوبر 2015، باستثناء الصين والهند واليابان وتايلاند، حيث تم تحويل المسؤولية في 1 أكتوبر 2017. [69] لا تخضع معاملات أجهزة الصراف الآلي المحلية في الصين حاليًا لموعد نهائي لتحويل المسؤولية.

أستراليا

  • اشترطت ماستركارد أن تكون جميع محطات نقاط البيع متوافقة مع معايير EMV بحلول أبريل 2013. أما بالنسبة لأجهزة الصراف الآلي، فقد حدث تحول المسؤولية في أبريل 2012. ويجب أن تكون أجهزة الصراف الآلي متوافقة مع معايير EMV بحلول نهاية عام 2015. [70]
  • تم تحويل مسؤولية فيزا عن أجهزة الصراف الآلي في 1 أبريل 2013. [68]

ماليزيا

  • ماليزيا هي أول دولة في العالم تنتقل بالكامل إلى البطاقات الذكية المتوافقة مع EMV بعد عامين من تنفيذها في عام 2005. [71] [72]

نيوزيلندا

  • اشترطت ماستركارد أن تكون جميع محطات نقاط البيع متوافقة مع معايير EMV بحلول الأول من يوليو 2011. أما بالنسبة لأجهزة الصراف الآلي، فقد حدث تحول المسؤولية في أبريل 2012. ويتعين على أجهزة الصراف الآلي أن تكون متوافقة مع معايير EMV بحلول نهاية عام 2015. [70]
  • تحول مسؤولية فيزا عن أجهزة الصراف الآلي إلى 1 أبريل 2013. [68]

أوروبا

  • تم تحويل مسؤولية ماستركارد في الأول من يناير 2005. [66]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في الأول من يناير 2006. أما بالنسبة لأجهزة الصراف الآلي، فقد تم تحويل المسؤولية في الأول من يناير 2008. [68]
  • نجحت فرنسا في خفض حالات الاحتيال بالبطاقات بنسبة تزيد عن 80% منذ تقديمها في عام 1992 (انظر Carte Bleue ).

المملكة المتحدة

مستطيل أخضر يحتوي على صف من أربع نجوم بيضاء في مربعات سوداء؛ يشير مخطط اليد إلى النجمة الثانية ويخفيها.
شعار Chip and PIN في المملكة المتحدة

تم تجربة Chip and PIN في نورثامبتون بإنجلترا منذ مايو 2003، [ 73] ونتيجة لذلك تم طرحه على مستوى البلاد في المملكة المتحدة في 14 فبراير 2006 [74] مع إعلانات في الصحافة والتلفزيون الوطني تروج لشعار "الأمان في الأرقام". خلال المراحل الأولى من النشر، إذا اعتُبر أن معاملة بطاقة ممغنطة احتيالية قد حدثت، يتم رد الأموال إلى التاجر من قبل البنك المصدر، كما كانت الحال قبل تقديم Chip and PIN. في 1 يناير 2005، تم تحويل المسؤولية عن مثل هذه المعاملات إلى التاجر؛ كان هذا بمثابة حافز لتجار التجزئة لترقية أنظمة نقاط البيع (PoS) الخاصة بهم، وقامت معظم سلاسل الشوارع الرئيسية بالترقية في الوقت المحدد للموعد النهائي لـ EMV. كانت العديد من الشركات الصغيرة مترددة في البداية في ترقية معداتها، حيث تطلب الأمر نظام نقاط بيع جديد تمامًا - وهو استثمار كبير.

تُصدر جميع البنوك الكبرى الآن بطاقات جديدة تحتوي على شرائط مغناطيسية ورقائق. كان استبدال البطاقات التي لم يتم تزويدها بشريحة ورقم تعريف شخصي مشكلة كبيرة، حيث صرحت البنوك ببساطة أن المستهلكين سيحصلون على بطاقاتهم الجديدة "عندما تنتهي صلاحية بطاقاتهم القديمة" - على الرغم من أن العديد من الأشخاص لديهم بطاقات بتواريخ انتهاء صلاحية حتى عام 2007. خسرت شركة Switch المصدرة للبطاقات عقدًا رئيسيًا مع HBOS لصالح Visa ، حيث لم تكن مستعدة لإصدار البطاقات الجديدة في أقرب وقت ممكن كما أراد البنك.

تم انتقاد تطبيق الشريحة ورقم التعريف الشخصي (PIN) باعتباره مصممًا لتقليل مسؤولية البنوك في حالات الاحتيال المزعوم على البطاقات من خلال مطالبة العميل بإثبات أنه تصرف "بعناية معقولة" لحماية رقم التعريف الشخصي الخاص به وبطاقته، بدلاً من إلزام البنك بإثبات تطابق التوقيع. قبل الشريحة ورقم التعريف الشخصي، إذا تم تزوير توقيع العميل، كانت البنوك مسؤولة قانونًا وكان عليها تعويض العميل. حتى 1 نوفمبر 2009 لم يكن هناك قانون من هذا القبيل يحمي المستهلكين من الاستخدام الاحتيالي لمعاملات الشريحة ورقم التعريف الشخصي الخاصة بهم، فقط قانون البنوك الطوعي . كانت هناك العديد من التقارير التي تفيد بأن البنوك رفضت تعويض ضحايا الاستخدام الاحتيالي للبطاقات، مدعية أن أنظمتها لا يمكن أن تفشل في ظل الظروف المبلغ عنها، على الرغم من العديد من الهجمات الناجحة واسعة النطاق الموثقة. [ بحاجة لمصدر ]

دخلت لوائح خدمات الدفع لعام 2009 حيز التنفيذ في 1 نوفمبر 2009 [75] ونقلت العبء إلى البنوك لإثبات خطأ حامل البطاقة بدلاً من افتراضه. [58] قالت هيئة الخدمات المالية (FSA) "يتعين على البنك أو جمعية البناء أو شركة بطاقات الائتمان إثبات أن المعاملة تمت من قبلك، ولم يكن هناك انهيار في الإجراءات أو صعوبة فنية" قبل رفض المسؤولية.

أمريكا اللاتينية ومنطقة البحر الكاريبي

  • تم تحويل مسؤولية ماستركارد بين البلدان داخل هذه المنطقة في الأول من يناير 2005. [66]
  • تم تحويل المسؤولية لشركة Visa فيما يتعلق بنقاط البيع في الأول من أكتوبر 2012، وذلك بالنسبة لأي دولة في هذه المنطقة لم تكن قد نفذت بالفعل تحويل المسؤولية. وبالنسبة لأجهزة الصراف الآلي، تم تحويل المسؤولية في الأول من أكتوبر 2014، بالنسبة لأي دولة في هذه المنطقة لم تكن قد نفذت بالفعل تحويل المسؤولية. [68]

البرازيل

  • تم تحويل مسؤولية ماستركارد في الأول من مارس 2008. [66]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في الأول من أبريل 2011. أما بالنسبة لأجهزة الصراف الآلي، فقد تم تحويل المسؤولية في الأول من أكتوبر 2012. [68]

كولومبيا

  • تم تحويل مسؤولية ماستركارد في الأول من أكتوبر 2008. [66]

المكسيك

  • نفذت شركة Discover عملية تحويل المسؤولية في 1 أكتوبر 2015. بالنسبة للأجور عند المضخة في محطات الوقود، كان تحويل المسؤولية في 1 أكتوبر 2017. [76]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في الأول من أبريل 2011. أما بالنسبة لأجهزة الصراف الآلي، فقد تم تحويل المسؤولية في الأول من أكتوبر 2012. [68]

فنزويلا

  • تم تحويل مسؤولية ماستركارد في 1 يوليو 2009. [66]

الشرق الأوسط

  • حدث تحول في مسؤولية ماستركارد بين البلدان داخل هذه المنطقة في الأول من يناير 2006. [66] وبحلول الأول من أكتوبر 2010، حدث تحول في المسؤولية لجميع معاملات نقاط البيع. [67]
  • تم تحويل مسؤولية فيزا عن نقاط البيع في الأول من يناير 2006. أما بالنسبة لأجهزة الصراف الآلي، فقد تم تحويل المسؤولية في الأول من يناير 2008. [68]

أمريكا الشمالية

كندا

  • نفذت شركة أمريكان إكسبريس تحويل المسؤولية في 31 أكتوبر 2012. [1] [77]
  • نفذت شركة Discover تحويل المسؤولية في 1 أكتوبر 2015 لجميع المعاملات باستثناء الدفع عند المضخة في محطات الوقود؛ وتم تحويل هذه المعاملات في 1 أكتوبر 2017. [76] [ مصدر جهة خارجية مطلوب ]
  • توقفت Interac (شبكة بطاقات الخصم الكندية) عن معالجة المعاملات غير المعتمدة على تقنية EMV في أجهزة الصراف الآلي في 31 ديسمبر 2012، وألزمت بإجراء معاملات EMV في محطات نقاط البيع في 30 سبتمبر 2016، مع حدوث تحول في المسؤولية في 31 ديسمبر 2015. [78] [ فشل في التحقق ] [ مطلوب مصدر من جهة خارجية ]
  • نفذت ماستركارد عملية تحويل المسؤولية عن المعاملات المحلية في 31 مارس 2011، وعملية تحويل المسؤولية الدولية في 15 أبريل 2011. وبالنسبة للدفع عند المضخة في محطات الوقود، تم تنفيذ عملية تحويل المسؤولية في 31 ديسمبر 2012. [77]
  • نفذت شركة فيزا عملية تحويل المسؤولية عن المعاملات المحلية في 31 مارس 2011، وعملية تحويل المسؤولية الدولية في 31 أكتوبر 2010. وبالنسبة للدفع عند المضخة في محطات الوقود، تم تنفيذ عملية تحويل المسؤولية في 31 ديسمبر 2012. [77]
  • على مدى فترة خمس سنوات بعد انتقال EMV، انخفضت المعاملات الاحتيالية من خلال البطاقات المحلية إلى البطاقات الحالية بشكل كبير في كندا. وفقًا لتقارير Helcim، انخفض الاحتيال على بطاقات الخصم المحلية من خلال البطاقات الحالية بنسبة 89.49% والاحتيال على بطاقات الائتمان بنسبة 68.37%. [1] [79]

الولايات المتحدة

بعد انتشار سرقة الهوية على نطاق واسع بسبب ضعف الأمن في محطات نقاط البيع في Target و Home Depot وتجار التجزئة الرئيسيين الآخرين، أعلنت Visa و Mastercard و Discover [80] في مارس 2012 - و American Express [81] في يونيو 2012 - عن خطط هجرة EMV للولايات المتحدة. [82] منذ الإعلان، أعلنت العديد من البنوك والجهات المصدرة للبطاقات عن بطاقات مزودة بتقنية الشريحة والتوقيع EMV، بما في ذلك American Express و Bank of America و Citibank و Wells Fargo [ 83] و JPMorgan Chase و US Bank والعديد من اتحادات الائتمان.

في عام 2010، بدأت عدد من الشركات في إصدار بطاقات خصم مسبقة الدفع تتضمن شريحة ورقم تعريف شخصي وتسمح للأمريكيين بتحميل النقود باليورو أو الجنيه الإسترليني . [84] [1] كان اتحاد الائتمان الفيدرالي للأمم المتحدة أول جهة إصدار في الولايات المتحدة تقدم بطاقات ائتمان مزودة بشريحة ورقم تعريف شخصي. [85] في مايو 2010، أشار بيان صحفي من Gemalto (منتج بطاقات EMV عالمي) إلى أن اتحاد الائتمان الفيدرالي للأمم المتحدة في نيويورك سيصبح أول جهة إصدار لبطاقات EMV في الولايات المتحدة، حيث يقدم بطاقة ائتمان EMV Visa لعملائه. [86] كان جي بي مورجان أول بنك رئيسي يقدم بطاقة مزودة بتقنية EMV، وهي بطاقة Palladium ، في منتصف عام 2012. [87]

اعتبارًا من أبريل 2016، كان لدى 70% من المستهلكين في الولايات المتحدة بطاقات EMV واعتبارًا من ديسمبر 2016 كان ما يقرب من 50% من التجار متوافقين مع EMV. [88] [89] ومع ذلك، كان النشر بطيئًا وغير متسق عبر البائعين. حتى التجار الذين لديهم أجهزة EMV قد لا يتمكنون من معالجة معاملات الشريحة بسبب أوجه القصور في البرامج أو الامتثال. [90] كما استشهد بلومبرج بمشكلات تتعلق بنشر البرامج، بما في ذلك التغييرات التي طرأت على المطالبات الصوتية لأجهزة Verifone والتي قد تستغرق عدة أشهر لإصدار ونشر البرنامج. ومع ذلك، يتوقع خبراء الصناعة المزيد من التوحيد القياسي في الولايات المتحدة لنشر البرامج والمعايير. نفذت كل من Visa و Mastercard معايير لتسريع معاملات الشريحة بهدف تقليل الوقت اللازم لها ليكون أقل من ثلاث ثوانٍ. تم تصنيف هذه الأنظمة باسم Visa Quick Chip وMastercard M/Chip Fast. [91]

  • نفذت شركة أمريكان إكسبريس تحويل المسؤولية لمحطات نقاط البيع في 1 أكتوبر 2015. [92] [ مصدر ترويجي؟ ] بالنسبة للدفع عند المضخة، في محطات الوقود، كان تحويل المسؤولية في 16 أبريل 2021. تم تمديد هذا من 1 أكتوبر 2020 بسبب جائحة كوفيد-19 . [93]
  • تم تنفيذ تحول المسؤولية في الأول من أكتوبر 2015. بالنسبة للأجور في المضخة، في محطات الوقود، كان تحول المسؤولية في الأول من أكتوبر 2020. [76]
  • نفذت شركة مايسترو عملية تحويل المسؤولية في 19 أبريل 2013، بالنسبة للبطاقات الدولية المستخدمة في الولايات المتحدة. [94]
  • نفذت ماستركارد عملية تحويل المسؤولية لمحطات نقاط البيع في 1 أكتوبر 2015. [92] بالنسبة للدفع عند المضخة، في محطات الوقود، كان تاريخ تحويل المسؤولية رسميًا في 1 أكتوبر 2020. [95] بالنسبة لأجهزة الصراف الآلي، كان تاريخ تحويل المسؤولية في 1 أكتوبر 2016. [96] [97]
  • نفذت فيزا عملية تحويل المسؤولية لمحطات نقاط البيع في 1 أكتوبر 2015. بالنسبة للدفع عند المضخة، في محطات الوقود، كان تاريخ تحويل المسؤولية رسميًا في 1 أكتوبر 2020. [95] [98] بالنسبة لأجهزة الصراف الآلي، كان تاريخ تحويل المسؤولية في 1 أكتوبر 2017. [69] [1]

ملحوظات

  1. ^ تمت الموافقة عليها من قبل شركة ماستركارد نت يونيون، المعروفة أيضًا باسم شركة ماستركارد نت يونيون لتكنولوجيا المعلومات (بكين) المحدودة، وهي مشروع مشترك بين ماستركارد والشبكة المصرفية الصينية
  2. ^ تمت الموافقة عليها من قبل شركة الخدمات التكنولوجية المحدودة Express (Hangzhou) التابعة لشركة American Express

انظر أيضا

مراجع

  1. ^ abcdefg Stacy Cowley (23 سبتمبر 2015). "قريبًا على منافذ البيع: أنظمة الدفع ببطاقات الشريحة الدقيقة". صحيفة نيويورك تايمز . تم الاسترجاع في 31 يوليو 2022 .
  2. ^ معايير صناعة البطاقات الذكية المهمة. ISO 7816، Cardwerk Technologies
  3. ^ تشن، تشي تشون (2000). تقنية بطاقات جافا للبطاقات الذكية: دليل العمارة والمبرمج . أديسون ويسلي بروفيشنال . ص 3-4. رقم ISBN 9780201703290.
  4. ^ "مراجعة قصيرة للبطاقات الذكية (تحديث 2019)". Gemalto . 7 أكتوبر 2019 . تم الاسترجاع في 27 أكتوبر 2019 .
  5. ^ سورنسن، إميلي (26 يوليو 2019). "التاريخ التفصيلي لآلات بطاقات الائتمان". المعاملات المتنقلة . تم الاسترجاع في 27 أكتوبر 2019 .
  6. ^ Veendrick, Harry JM (2017). Nanometer CMOS ICs: From Basics to ASICs. Springer. ص. 315. ISBN 9783319475974.
  7. ^ "أعضاء EMVCo". EMVCo. مؤرشف من الأصل في 15 فبراير 2016. تم الاسترجاع 10 مايو 2015 .
  8. ^ "طرق المشاركة" . تم الاسترجاع في 31 يناير 2023 .
  9. ^ "انضمام China UnionPay إلى EMVCo" (بيان صحفي). Finextra Research. 20 مايو 2013. تم الاسترجاع في 10 مايو 2015 .
  10. ^ "Discover Joins EMVCo to Help Advance Global EMV Standards". Discover Network News. 3 سبتمبر 2013. تم الاسترجاع في 10 مايو 2015 .
  11. ^ أفضل 7 بائعين في سوق بطاقات EMV العالمية من 2016 إلى 2020، بيان صحفي لشركة Technavio، 24 أغسطس 2016
  12. ^ "Visa وMasterCard تدعمان حلولاً مشتركة لتمكين توجيه بطاقات الخصم المباشر الأمريكية". Mastercard. مؤرشف من الأصل في 14 يونيو 2021 . تم الاسترجاع 7 أكتوبر 2020 .
  13. ^ "تحويل المسؤولية عن المعاملات الاحتيالية". رابطة البطاقات في المملكة المتحدة . تم الاسترجاع في 10 مايو 2015 .
  14. ^ "فهم تحولات المسؤولية عن الاحتيال في الولايات المتحدة في عام 2015" (ملف PDF) . www.emv-connection.com . منتدى انتقال EMV. مؤرشف من الأصل (ملف PDF) في 19 سبتمبر 2015. تم الاسترجاع في 15 نوفمبر 2015 .
  15. ^ من تأليف مارك سكوت (2 ديسمبر 2014). "التحضير لبطاقات الشريحة والرقم السري في الولايات المتحدة". صحيفة نيويورك تايمز . تم الاسترجاع في 31 يوليو 2022 .
  16. ^ "لماذا لا تزال غير آمن من الاحتيال إذا كان لديك بطاقة ائتمان مزودة بشريحة". ABC News .
  17. ^ آن كارنز (20 يونيو 2011). "يو إس بنك وتشيس يضيفان بطاقات EMV ذات الشريحة للمسافرين" . تم الاسترجاع في 31 يوليو 2022 .
  18. ^ Chip-and-PIN vs. Chip-and-Signature, CardHub.com (الآن wallethub) ، تم الاسترجاع في 31 يوليو 2012 {{citation}}: تحقق من |url=القيمة ( مساعدة )
  19. ^ "تحديث EMV: مناقشة مع الاحتياطي الفيدرالي" (PDF) . Visa . تم الاسترجاع في 2 يناير 2017 .
  20. ^ كارلين، باتريشيا (15 فبراير 2017). "كيفية تقليل عمليات رد المبالغ المدفوعة دون قتل المبيعات عبر الإنترنت". فوربس .
  21. ^ "BBC NEWS – التكنولوجيا – رمز بطاقة الائتمان لمكافحة الاحتيال". bbc.co.uk .
  22. ^ "فيزا تختبر البطاقات المزودة بآلة PIN مدمجة". IT PRO . 11 نوفمبر 2008.
  23. ^ Brian X. Chen (4 مايو 2016). "لماذا تتفوق Apple Pay والمحافظ الإلكترونية الأخرى على بطاقات الشريحة". صحيفة نيويورك تايمز . تم الاسترجاع في 31 يوليو 2022 .
  24. ^ "كيفية عمل EMV (الشريحة ورقم التعريف الشخصي) – مخطط تدفق المعاملات". Creditcall Ltd. تم الاسترجاع في 10 مايو 2015 .
  25. ^ "الكتاب 1: متطلبات واجهة ICC المستقلة عن التطبيق لواجهة المحطة الطرفية" (PDF) . 4.3. EMVCo. 30 نوفمبر 2011. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  26. ^ Warming, Jan Bigum (21 August 2022). المدفوعات: من أصداف الكاوري إلى البيتكوين. نُشرت بشكل مستقل. رقم ISBN 979-8-8405-4325-2.
  27. ^ "MasterCard Product & Services - Documentation" . تم الاسترجاع في 17 أبريل 2017 .
  28. ^ "دليل لتكنولوجيا شريحة EMV" (PDF) . EMVCo. نوفمبر 2014. مؤرشف من الأصل (PDF) في 16 فبراير 2021. تم الاسترجاع 7 أكتوبر 2020 .
  29. ^ "EMV CA". هيئة إصدار شهادات EMV العالمية. 20 نوفمبر 2010. مؤرشف من الأصل في 4 يوليو 2020. تم الاسترجاع في 20 مارس 2020 .
  30. ^ "الكتاب 2: الأمان وإدارة المفاتيح (PDF). 4.3" (PDF) . EMVCo. 29 نوفمبر 2011. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  31. ^ Contact Chip – الأسئلة الشائعة العامة (FAQ) محفوظ في 15 يونيو 2021 على موقع Wayback Machine
  32. ^ "مواصفات أنظمة الدفع بدون تلامس" (PDF) . EMVCo. مؤرشف من الأصل (PDF) في 15 يونيو 2021 . تم الاسترجاع 7 أكتوبر 2020 .
  33. ^ تعريف TAC: رمز الإجراء الطرفي
  34. ^ "شريك تكنولوجيا فيزا: رمز الإجراء الطرفي (الحد الأدنى لـ VISA)".
  35. ^ من "الشريحة السريعة".
  36. ^ "بطاقة M/Chip Fast من ماستركارد تسرع معاملات EMV والمتسوقين من خلال الدفع". مؤرشف من الأصل في 28 أكتوبر 2020. تم الاسترجاع في 30 نوفمبر 2020 .
  37. ^ "شروط الاستخدام" (PDF) .[ رابط ميت دائم ]
  38. ^ EMVCo. "أعضاء EMVCo" . تم الاسترجاع في 1 أغسطس 2020 .
  39. ^ "الكتاب 2: الأمان وإدارة المفاتيح" (PDF) . 4.3. EMVCo. 29 نوفمبر 2011. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  40. ^ "الكتاب 3: مواصفات التطبيق" (PDF) . 4.3. EMVCo. 28 نوفمبر 2011. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  41. ^ "الكتاب 4: متطلبات واجهة حامل البطاقة والموظف والمشتري" (PDF) . 4.3. EMVCo. 27 نوفمبر 2011. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  42. ^ "SB CPA Specification v1 Plus Bulletins" (PDF) . EMVCo. 1 مارس 2008 . تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  43. ^ "مواصفات تخصيص بطاقة EMV®" (PDF) . EMVCo. 1 يوليو 2007. تم الاسترجاع في 20 سبتمبر 2018 .[ رابط ميت دائم ]
  44. ^ "مواصفات بطاقات الدوائر المتكاملة لأنظمة الدفع". EMVCo. مؤرشف من الأصل في 2 أبريل 2012. تم الاسترجاع في 26 مارس 2012 .
  45. ^ "ما مدى أمان الشريحة ورقم التعريف الشخصي؟". بي بي سي نيوزنايت. 26 فبراير 2008.
  46. ^ Saar Drimer; Steven J. Murdoch; Ross Anderson. "PIN Entry Device (PED) vulnerabilities". مختبر الحاسوب بجامعة كامبريدج . تم الاسترجاع في 10 مايو 2015 .
  47. ^ "شركة البنزين تعلق استخدام الشريحة والرقم السري". بي بي سي نيوز . 6 مايو 2006. تم استرجاعه في 13 مارس 2015 .
  48. ^ "الجريمة المنظمة تتلاعب بأجهزة تمرير البطاقات الأوروبية". صحيفة ذا ريجيستر. 10 أكتوبر/تشرين الأول 2008.
  49. ^ "مجموعات العمل الفنية، تحالف موردي نقاط البيع الآمنة". 2009. مؤرشف من الأصل في 15 أبريل 2010.
  50. ^ "هل الشريحة والرقم السري آمنان حقًا؟". بي بي سي نيوز . 26 فبراير 2008. تم الاسترجاع في 2 مايو 2010 .
  51. ^ "Chip and pin". 6 فبراير 2007. مؤرشف من الأصل في 5 يوليو 2007.
  52. ^ جون ليدن (27 فبراير 2008). "هجوم مشبك ورق على أسياخ Chip and PIN". القناة . تم الاسترجاع في 10 مايو 2015 .
  53. ^ ستيفن جيه. مردوخ؛ سار دريمر؛ روس أندرسون؛ مايك بوند. "ثغرة "إسفين" التحقق من رقم التعريف الشخصي EMV". مختبر الكمبيوتر، جامعة كامبريدج . تم الاسترجاع في 12 فبراير 2010 .
  54. ^ abcd Susan Watts (11 فبراير 2010). "كشف عيوب جديدة في نظام الشريحة والرقم السري". BBC News . تم الاسترجاع في 12 فبراير 2010 .
  55. ^ "رد من شركة EMVCo على تقرير جامعة كامبريدج حول نقاط ضعف الشريحة ورقم التعريف الشخصي ('الشريحة ورقم التعريف الشخصي معطلان' – فبراير 2010)" (PDF) . EMVCo. مؤرشف من الأصل (PDF) في 8 مايو 2010 . تم الاسترجاع في 26 مارس 2010 .
  56. ^ سوزان، واتس. "كشف عيوب جديدة في نظام الشريحة والرقم السري (11 فبراير 2010)". نيوزنايت . بي بي سي . تم الاسترجاع في 9 ديسمبر 2015 .
  57. ^ روس أندرسون (11 فبراير 2010). "الشريحة ورقم التعريف الشخصي معطلان". ليس من المستغرب بالنسبة لنا أو للمصرفيين أن ينجح هذا الهجوم دون اتصال بالإنترنت [...] والأمر المذهل حقًا هو أنه ينجح عبر الإنترنت أيضًا
  58. ^ من تأليف ريتشارد إيفانز (15 أكتوبر 2009). "الاحتيال بالبطاقات: على البنوك الآن إثبات ذنبك". صحيفة التلغراف . مؤرشف من الأصل في 21 أكتوبر 2009. تم الاسترجاع في 10 مايو 2015 .
  59. ^ أندريا باريساني؛ دانييل بيانكو؛ آدم لوري؛ زاك فرانكن (2011). "Chip & PIN is definitely broken" (PDF) . Aperture Labs. مؤرشف من الأصل (PDF) في 19 أكتوبر 2015. تم الاسترجاع في 10 مايو 2015 .
  60. ^ آدم لوري؛ زاك فرانكن؛ أندريا باريساني؛ دانييل بيانكو. "EMV – Chip & Pin CVM Downgrade Attack". Aperture Labs and Inverse Path. مؤرشف من الأصل في 19 أكتوبر 2015. تم الاسترجاع في 10 مايو 2015 .
  61. ^ D. Basin, R. Sasse, J. Toro-Pozo (2020). "معيار EMV: الكسر والإصلاح والتحقق". ندوة معهد مهندسي الكهرباء والإلكترونيات لعام 2021 حول الأمن والخصوصية (SP) : 1766–1781. arXiv : 2006.08249 .{{cite journal}}:CS1 maint: أسماء متعددة: قائمة المؤلفين ( الرابط )
  62. ^ "معيار EMV: الكسر والإصلاح والتحقق".
  63. ^ "بطاقات الائتمان الأمريكية أصبحت قديمة، وأقل فائدة في الخارج، مع انتشار بطاقات "الشريحة والرقم السري". creditcards.com .[ رابط ميت دائم ]
  64. ^ "تأشيرة أستراليا". visa-asia.com . مؤرشف من الأصل في 22 سبتمبر 2013 . تم الاسترجاع 29 يونيو 2015 .
  65. ^ هيغينز، ميشيل (29 سبتمبر 2009). "بالنسبة للأمريكيين، البلاستيك يشتري أقل في الخارج". نيويورك تايمز . تم الاسترجاع في 17 أبريل 2017 .
  66. ^ abcdefghi "دليل استرداد الرسوم" (PDF) . MasterCard Worldwide. 3 نوفمبر 2010 . تم الاسترجاع في 10 مايو 2015 .
  67. ^ abc "Operating Regulations" (PDF) . Visa International. مؤرشف من الأصل (PDF) في 3 مارس 2013.
  68. ^ abcdefghi "رحلة إلى البيانات الديناميكية". فيزا. مؤرشف من الأصل في 28 يونيو 2021.
  69. ^ "Visa توسع خارطة الطريق الأمريكية لتبني شريحة EMV لتشمل أجهزة الصراف الآلي وحل الخصم المشترك" (بيان صحفي). فوستر سيتي، كاليفورنيا: Visa. 4 فبراير 2013. تم الاسترجاع في 10 مايو 2015 .
  70. ^ "ماستركارد تعلن عن خطة مدتها خمس سنوات لتغيير وجه صناعة المدفوعات في أستراليا". ماستركارد أستراليا. مؤرشف من الأصل في 28 يناير 2013.
  71. ^ "ماليزيا أول دولة تستكمل عملية هجرة البطاقات الذكية". ستار أونلاين .
  72. ^ "الولايات المتحدة تتعلم من ماليزيا بعد 10 سنوات". صحيفة راكيات بوست. 14 أكتوبر 2015. مؤرشف من الأصل في 20 مارس 2019. تم الاسترجاع 30 ديسمبر 2016 .
  73. ^ "بطاقات الائتمان لمكافحة الاحتيال قيد المحاكمة". بي بي سي بيزنس نيوز . 11 أبريل 2003. تم الاسترجاع في 27 مايو 2015 .
  74. ^ رابطة البطاقات في المملكة المتحدة. "دليل الشريحة ورقم التعريف الشخصي" (PDF) . تم الاسترجاع في 27 مايو 2015 .
  75. ^ مؤسسة ذاكرة الإنترنت. "[المحتوى المؤرشف] أرشيف الويب الحكومي البريطاني – الأرشيف الوطني". مؤرشف من الأصل في 12 نوفمبر 2008. تم استرجاعه في 17 أبريل 2017 .
  76. ^ abc "Discover to enforcement EMV responsibility shift by 2015" (بيان صحفي). Finextra Research. 12 نوفمبر 2012. تم الاسترجاع في 10 مايو 2015 .
  77. ^ abc "Chip Liability Shift". globalpayments. مؤرشف من الأصل في 30 يوليو 2013.
  78. ^ "Interac - For Merchants" . تم الاسترجاع في 17 أبريل 2017 .
  79. ^ "EMV يقلل من الاحتيال من خلال البطاقة الحالية في كندا (إنفوجراف) - مدونة Helcim™ الرسمية" . تم الاسترجاع في 17 أبريل 2017 .
  80. ^ "Discover Implements EMV Mandate for US, Canada and Mexico". مؤرشف من الأصل في 10 مايو 2012.
  81. ^ "أمريكان إكسبريس تعلن عن خارطة طريق EMV الأمريكية لتطوير المدفوعات التلامسية وغير التلامسية والمدفوعات عبر الهاتف المحمول" (بيان صحفي). نيويورك: أمريكان إكسبريس. 29 يونيو 2012. مؤرشف من الأصل في 10 مايو 2015. تم الاسترجاع في 10 مايو 2015 .
  82. ^ "مصير EMV غير المؤكد في الولايات المتحدة". Protean Payment. مؤرشف من الأصل في 29 سبتمبر 2013. تم الاسترجاع في 22 سبتمبر 2012 .
  83. ^ كامهي، جوناثان (3 أغسطس 2012). "ويلز فارجو تقدم بطاقة EMV جديدة للمستهلكين". أنظمة البنوك والتكنولوجيا. مؤرشف من الأصل في 5 يونيو 2014. تم الاسترجاع في 10 مايو 2015 .
  84. ^ "Travelex تقدم أول بطاقة مسبقة الدفع للعملات الأجنبية مزودة بشريحة ورقم تعريف شخصي في أمريكا". Business Wire . 1 ديسمبر 2010 . تم الاسترجاع في 6 فبراير 2014 .
  85. ^ "UNFCU ستصبح أول جهة إصدار في الولايات المتحدة تقدم بطاقات ائتمان مزودة بشريحة أمان عالية". اتحاد الائتمان الفيدرالي التابع للأمم المتحدة .
  86. ^ راي ويزبوفسكي (13 مايو 2010). "اتحاد الائتمان الفيدرالي التابع للأمم المتحدة يختار جيمالتو لأول بطاقة دفع متوافقة عالميًا صادرة في الولايات المتحدة" (بيان صحفي). أوستن، تكساس: جيمالتو . تم الاسترجاع في 10 مايو 2015 .
  87. ^ بول ريجلر (25 يوليو 2013). "دليل بطاقات الائتمان ذات الشريحة والرقم السري والتوقيع لعام 2013". مسافر الأعمال المتكرر . تم الاسترجاع في 10 مايو 2015 .
  88. ^ جولدمان، شارون (20 مارس 2017). "هل الطريق الصعب نحو تبني تقنية EMV في مجال البيع بالتجزئة أصبح أكثر سلاسة؟". مجلة CIO . مؤرشف من الأصل في 27 مارس 2017. تم الاسترجاع في 17 أبريل 2017 .
  89. ^ "استطلاع رأي حول بطاقات الائتمان EMV". مؤرشف من الأصل في 27 مارس 2017. اطلع عليه بتاريخ 26 مارس 2017 .
  90. ^ "لدى تجار التجزئة قارئات بطاقات ذكية -- لماذا لا يستخدمونها؟" . تم الاسترجاع في 22 نوفمبر 2017 .
  91. ^ "خطة لجعل بطاقات الائتمان ذات الشريحة أقل إزعاجًا". بلومبرج.كوم . 17 يوليو 2017. تم الاسترجاع في 5 أغسطس 2017 .
  92. ^ من تأليف Cathy Medich (يوليو 2012). "EMV Migration – Driven by Payment Brand Milestones" . تم الاسترجاع في 10 مايو 2015 .
  93. ^ "Amex تنضم إلى Visa في تأجيل انتقال EMV للغاز في الولايات المتحدة". 5 مايو 2020.
  94. ^ ديفيد هيون (10 سبتمبر 2012). "ماستركارد تقدم سياسة المسؤولية عن بطاقات EMV ذات الشريحة إلى ماكينات الصراف الآلي في الولايات المتحدة". SourceMedia. مؤرشف من الأصل في 22 فبراير 2014. تم الاسترجاع في 10 مايو 2015 .
  95. ^ "مخاوف بشأن احتيال بطاقات مضخات تأخير الوقود EMV". Credit Union Times . تم الاسترجاع في 4 ديسمبر 2016 .
  96. ^ بيث كيتشنر (10 سبتمبر 2012). "ماستركارد توسع خارطة طريق انتقال EMV في الولايات المتحدة إلى قناة الصراف الآلي" (بيان صحفي). بيرتشيس، نيويورك: ماستركارد. مؤرشف من الأصل في 8 مايو 2015. تم الاسترجاع في 10 مايو 2015 .
  97. ^ "EMV For US Acquirers: Seven Guiding Principles for EMV Readiness" (PDF) . مؤرشف من الأصل (PDF) في 5 يوليو 2016. تم الاسترجاع في 17 أبريل 2017 .
  98. ^ "Visa Announces US Participation in Global Point-of-Sale Fakefeit Liability Shift" (PDF) (بيان صحفي). Visa. 9 أغسطس 2011. مؤرشف من الأصل (PDF) في 23 مايو 2015. تم الاسترجاع في 10 مايو 2015 .
  • الموقع الرسمي
  • بي بي سي: ماذا يوجد داخل بطاقة البنك، نوفمبر 2022
تم الاسترجاع من "https://en.wikipedia.org/w/index.php?title=EMV&oldid=1248553940"
Original text
Rate this translation
Your feedback will be used to help improve Google Translate