ISO 9564 - ISO 9564 - Wikipedia

Bu makale çok güveniyor Referanslar -e birincil kaynaklar. Lütfen ekleyerek bunu geliştirin ikincil veya üçüncül kaynaklar. (Ekim 2016) (Bu şablon mesajını nasıl ve ne zaman kaldıracağınızı öğrenin)

ISO 9564 bir uluslararası standart için kimlik Numarası (PIN) yönetimi ve güvenlik finansal hizmetler.

PIN, bir müşterinin (bir müşterinin kullanıcısı) kimliğini doğrulamak için kullanılır. banka kartı ) içinde Elektronik Fon Transferi sistemi ve (tipik olarak) fonların transferine veya çekilmesine yetki vermek. Bu nedenle, PIN'leri yetkisiz ifşa veya yanlış kullanıma karşı korumak önemlidir. Modern bankacılık sistemleri, çeşitli PIN giriş cihazları, akıllı kartlar, kart okuyucular, kartı veren kuruluşlar, banka satın almak ve Perakendeciler - bu varlıklar arasında PIN'lerin aktarımı dahil - bu nedenle, hem teknik uyumluluk hem de karşılıklı olarak kabul edilen bir güvenlik düzeyi sağlamak için PIN'lerin işlenmesi ve güvenliğinin sağlanması için ortak bir kurallar dizisi gereklidir. ISO 9564, bu gereksinimleri karşılamak için ilkeler ve teknikler sağlar.

ISO 9564 üç bölümden oluşur,^{[Not 1]} genel başlığı altında Finansal hizmetler - Kişisel Kimlik Numarası (PIN) yönetimi ve güvenliği.

Bölüm 1: Kart tabanlı sistemlerde PIN'ler için temel ilkeler ve gereksinimler

ISO 9564-1: 2011^[1] güvenli PIN yönetiminin temel ilkelerini ve tekniklerini belirtir. Hem genel ilkeleri hem de özel gereksinimleri içerir.

Temel prensipler

PIN yönetiminin temel ilkeleri şunları içerir:

• PIN yönetimi işlevleri, yazılım ve donanımda işlevselliğin değiştirilemeyeceği şekilde uygulanacaktır. tespitsiz ve verilerin elde edilemeyeceği veya kötüye kullanılamayacağı.
• Aynı PIN kodunu aynı anahtarla ancak farklı bir banka hesabı tahmin edilebileceği gibi aynı şifre metnini vermez.
• PIN şifrelemesinin güvenliği, anahtarın gizliliğine bağlı olacaktır, algoritmanın gizliliği.
• PIN her zaman saklanmalıdır şifreli veya fiziksel olarak güvenli.
• Yalnızca müşteri (yani bir kartın kullanıcısı) ve / veya yetkili kartı çıkaran personel, PIN seçimine veya düzenlemesine dahil olacaktır. Kartı veren kuruluş personelinin dahil olduğu durumlarda, sıkı bir şekilde uygulanan uygun prosedürler kullanılacaktır.
• Depolanan şifreli bir PIN, değiştirilmeye karşı korunacaktır.
• Bir PIN tehlikeye atılırsa veya olduğundan şüphelenilirse iptal edilecektir.
• Kartı veren kuruluş, PIN doğrulamasından sorumlu olacaktır.
• Müşteriye, PIN kodunu gizli tutmanın önemi hakkında bilgi verilecektir.

PIN giriş cihazları

Standart, gerekli veya önerilen bazı özellikleri belirtir. PIN giriş cihazları (Ayrıca şöyle bilinir PIN pedleri ), yani müşterinin PIN kodunu girdiği cihaz, şunları içerir:

• Tüm PIN giriş cihazları, sıfır ile dokuz arasındaki rakamların girilmesine izin verecektir. Sayısal tuşların üzerinde de basılı harfler olabilir, örn. göre E.161. Bu mektuplar sadece müşterilerin rahatlığı içindir; dahili olarak, PIN giriş cihazı yalnızca rakamları işler. (Örn. Standart desteklemez çoklu dokunma veya benzeri.) Standart ayrıca, müşterilerin tüm cihazlarda harf bulunmayabileceği konusunda uyarılmasını tavsiye eder.
• PIN giriş cihazı, fiziksel olarak güvenli böylece çalışmasını değiştirmek veya PIN'leri çıkarmak mümkün değildir veya şifreleme anahtarları ondan.
• PIN giriş cihazı, diğer kişilerin giriş yapmasını önleyecek şekilde tasarlanmalı veya kurulmalıdır. girilirken PIN'i gözlemlemek.
• Klavye düzeni, "gir", "temizle" (bu giriş) ve "iptal" (işlem) gibi işlev tuşları için tutarlı ve net etiketlerle standartlaştırılmalıdır. Standart ayrıca işlev tuşları için belirli renkler önermektedir: "enter" için yeşil, "temizle" için sarı, "iptal" için kırmızı.

Akıllı kart okuyucuları

Bir PIN güvenli bir yerde saklanabilir akıllı kart ve doğrulandı çevrimdışı bu kartla. PIN giriş cihazı ve okuyucu PIN'i doğrulayacak kart için kullanılan tek bir fiziksel olarak güvenli birime entegre edilebilir, ancak bunların olması gerekmez.

Akıllı kart okuyucular için geçerli olan ek gereksinimler şunları içerir:

• kart okuyucu Kart yuvasına bir izleme cihazı takılarak kartla iletişimin izlenmesini önleyecek şekilde yapılmalıdır.
• PIN giriş cihazı ve kart okuyucunun her ikisi de entegre bir güvenli birimin parçası değilse, PIN, PIN giriş cihazından kart okuyucuya aktarılırken şifrelenecektir.

Diğer özel PIN kontrol gereksinimleri

Diğer özel gereksinimler şunları içerir:

• PIN işleme için kullanılan tüm donanım ve yazılım şu şekilde uygulanacaktır:
  • Doğru işleyişi garanti edilebilir.
  • Tespit edilmeden değiştirilemez veya erişilemezler.
  • Verilere uygunsuz bir şekilde erişilemez, değiştirilemez veya kötüye kullanılamaz.
  • PIN, bir tarafından belirlenemez kaba kuvvet arama.
• PIN sözlü olarak iletilmeyecektir. Özellikle banka personeli asla müşteriden PIN kodunu açıklamasını istememeli veya bir PIN değeri önermemelidir.
• PIN şifreleme anahtarları başka hiçbir amaçla kullanılmamalıdır.

PIN uzunluğu

Standart, PIN'lerin dört ila on iki basamak uzunluğunda olacağını belirtir ve daha uzun PIN'lerin daha güvenli olduğunu ancak kullanımının daha zor olduğunu belirtir. Ayrıca, yayıncının altı basamaktan uzun PIN atamaması gerektiğini de önerir.

PIN seçimi

Bir PIN seçmenin veya oluşturmanın kabul edilen üç yöntemi vardır:

atanmış türetilmiş PIN

Kartı veren kuruluş, hesap numarasına veya müşteriyle ilişkili başka bir değere bazı şifreleme işlevlerini uygulayarak PIN'i oluşturur.

rastgele PIN atanmış

Kartı veren kuruluş, bir rastgele numara üreticisi.

müşteri tarafından seçilen PIN

Müşteri, PIN değerini seçer.

PIN verilmesi ve teslimi

Standart, oluşturulduktan sonra, ihraççıdan müşteriye iletirken PIN'in gizli tutulması için gereksinimleri içerir. Bunlar şunları içerir:

• PIN, kartı veren personel tarafından asla temin edilmez.
• PIN, müşteri için yalnızca uygun şekilde güvenli bir şekilde görüntülenebilir veya yazdırılabilir. Yöntemlerden biri PIN postası, zarf açılıncaya kadar PIN görünmeden (baskı sırasında bile) yazdırılabilecek şekilde tasarlanmış bir zarf. Bir PIN postası da oluşturulmalıdır, böylelikle önceki herhangi bir açılma müşteriye açık olsun ve daha sonra PIN'in ifşa edilmiş olabileceğinin farkına varacaktır.
• PIN asla bir müşterinin hesabıyla ilişkilendirilebileceği bir yerde görünmeyecektir. Örneğin, bir PIN postası hesap numarasını içermemeli, yalnızca fiziksel teslimatı için yeterli bilgiyi (örneğin ad ve adres) içermelidir. PIN ve ilgili kart birlikte veya aynı anda postalanmayacaktır.

PIN şifreleme

PIN giriş cihazından doğrulayıcıya aktarım sırasında PIN'i korumak için standart, PIN'in şifrelenmesini gerektirir ve kullanılabilecek çeşitli formatları belirtir. Her durumda, PIN, bir PIN bloğu, daha sonra "onaylanmış bir algoritma" ile şifrelenir. Bölüm 2 standardın).

PIN blok biçimleri şunlardır:

Biçim 0

PIN bloğu, ÖZELVEYA iki 64 bitlik alan: düz metin PIN alanı ve hesap numarası alanıher ikisi de 16 dört bitlik kemirmeler.

Düz metin PIN alanı:

• 0 değerine sahip bir yarım bayt, bunu bir biçim 0 bloğu olarak tanımlar
• uzunluğu kodlayan bir yarım bayt N PIN
• N her biri bir PIN rakamını kodlar
• 14−N kemikleri, her biri "doldurmak "değer 15 (ör. 1111₂)

Hesap numarası alanı:

• sıfır değerinde dört yarım
• En sağdaki 12 basamağı içeren 12 yarım birincil hesap numarası (PAN), hariç rakamları kontrol etmek

Biçim 1

Bu format, PAN'ın mevcut olmadığı yerlerde kullanılmalıdır. PIN bloğu, PIN'i bir işlem numarasıyla birleştirerek oluşturulur, böylece:

• 1 değerine sahip bir yarım bayt, bunu bir biçim 1 bloğu olarak tanımlar
• uzunluğu kodlayan bir yarım bayt N PIN
• N her biri bir PIN rakamını kodlar
• 14−N bir işlem sıra numarası, zaman damgası veya rastgele sayı olabilen benzersiz bir değeri kodlayan yarımlar

Biçim 2

Biçim 2, yalnızca çevrimdışı sistemlerle yerel kullanım içindir, ör. akıllı kartlar. PIN bloğu, PIN'in bir dolgu değeri ile birleştirilmesiyle oluşturulur, böylece:

• bunu bir format 2 bloğu olarak tanımlayan 2 değerli bir yarım bayt
• uzunluğu kodlayan bir yarım bayt N PIN
• N her biri bir PIN rakamını kodlar
• 14−N her biri "doldurma" değeri 15'i (ör. 1111₂)

(İlk yarım bayttaki biçim değeri dışında, bu, biçim 0'ın düz metin PIN alanıyla aynıdır.)

Biçim 3

Biçim 3, biçim 0 ile aynıdır, ancak "doldurma" rakamları 10'dan 15'e kadar rasgele değerler ve ilk yarım bayt (blok biçimini tanımlayan) 3 değerine sahiptir.

Genişletilmiş PIN blokları

0 ile 3 arasındaki formatların tümü, Üçlü Veri Şifreleme Algoritması 64 bitine karşılık geldikçe blok boyutu. Ancak standart, daha büyük blok boyutlarına sahip diğer şifreleme algoritmalarına izin verir, örn. Gelişmiş Şifreleme Standardı 128 bitlik bir blok boyutuna sahiptir. Bu gibi durumlarda, PIN, bir genişletilmiş PIN bloğu, formatı 2015 tarihli ISO 9564-1 değişikliğinde tanımlanmıştır.^[2]

Bölüm 2: PIN şifreleme için onaylanmış algoritmalar

ISO 9564-2: 2014^[3] PIN'leri şifrelemek için hangi şifreleme algoritmalarının kullanılabileceğini belirtir. Onaylanan algoritmalar şunlardır:

• Üçlü Veri Şifreleme Algoritması
• RSA;
• Gelişmiş Şifreleme Standardı

Bölüm 3 (çekildi)

ISO 9564-3 Bölüm 3: ATM ve POS sistemlerinde çevrimdışı PIN kullanımı için gereksinimler,^[4] en son 2003 yılında yayınlandı, 2011'de geri çekildi ve içeriği Bölüm 1.

4. Bölüm: Ödeme İşlemleri için e-Ticarette PIN işlemine yönelik gereksinimler

Bu bölüm genişlemeye ihtiyacı var. Yardımcı olabilirsiniz ona eklemek. (Ekim 2016)

ISO 9564-4: 2016^[5] PIN'lerin ve PIN giriş cihazlarının kullanımı için minimum güvenlik gereksinimlerini ve uygulamalarını tanımlar. elektronik Ticaret.

Notlar

Referanslar

Dış bağlantılar

• PIN bloklarının tam listesi örneklerle