Аналитические заметки

В рамках данной заметки описываются возможности и преимущества применения виртуальных карт, средства преодоления технологических ограничений, влияющих на активность распространения подобных решений. С учетом широкого спектра проектов применения виртуальных карт (в качестве банковских, топливных, бонусных, …), активного стремления производителей мобильных устройств занять данную нишу и очевидной ценовой целесообразности использования виртуальных карт дается прогноз о сроках отказа от использования физических карт в пользу виртуальных.

В рамках данной статьи приводятся примеры технологий, обеспечивающих практическую невозможность копирования карты лояльности, и анализируется – оправданы ли те неудобства, которые переносятся на владельца карты в случае применения требования его верификации (например, необходимость помнить и предъявлять ПИН-код или носить и предъявлять паспорт).

Суть relay attack состоит в том, что злоумышленник получает временный (real-time) «клон» карты, что позволяет ему использовать его в своих целях. Кроме этого, во время проведения транзакции, злоумышленник может подменить некоторые данные карты таким образом, что сразу обнаружить подмену не сможет ни платежный терминал, ни процессинговый центр.

Несмотря на то, что платежные приложения защищают большую часть информации на карте средствами аутентификации данных, некоторые данные так и остаются «открытыми» для атаки. В частности, в кобрендинговых проектах достаточно часто открытыми оказываются идентификаторы лояльности, хранящиеся в тэгах, т.е. BER TLV объектах карточных приложений международных платежных систем.

В заметке анализируются описанные в западной литературе виды атак на пользовательские данные. Показывается опасность хранения данных лояльности в платежных приложениях в «открытом» виде, приводящая к тому, что злоумышленник списывает бонусные баллы лояльности с чужого счета. Предлагаются защищенные способы хранения пользовательских данных на смарт-картах.

Суть «балловой» схемы следующая. Ритейлер присваивает Клиенту некоторый идентификатор лояльности и ассоциирует с ним лояльный счет. Каждый раз, когда Клиент покупает товары у Ритейлера, Клиент может предъявить идентификатор лояльности и на его лояльный счет добавляются «баллы». Накопив некоторое количество баллов, Клиент может обменять баллы на товары и/или услуги Ритейлера. После такого обмена потраченные баллы со счета Клиента списываются.

В заметке сравниваются различные варианты реализации лояльного приложения на картах и в терминалах, когда лояльное приложение «интегрируется» с имеющимся платежным приложением Банка. Показывается, как выбор носителя лояльности определяет такие параметры лояльного приложения на ко-бренд карте как безопасность, удобство и независимость.

В заметке изложены основные положения подхода, которым можно воспользоваться для подготовки требований тендера по закупке кобрендинговых карт, а также обосновывается необходимость предэмиссионного тестирования.

Приведенная в заметке последовательность действий позволяет свести риски возникновения в кобрендинговом проекте ситуаций некорректной работы кобрендинговых карт к минимально возможным значениям. Заметка полезна для работников банков, проводящих тендеры по выбору поставщиков кобрендинговых карт и отвечающих за корректную интеграцию апплетов на карте.