Ene, 2010 Coro, Venezuela

1. Seguridad Transaccional Ene, 2010 Coro, Venezuela AMBIENTES ELECTRONICOS Ing. Gonzalo Barbosa Berján

2. Características generales • Autenticación. Este es un proceso para confirmar que la persona que origina la transacción realmente es el usuario de la tarjeta. Esta autenticación puede ser hecha generalmente con Clave (PIN) o con cédula. • Confidencialidad. Consiste en proteger secretamente los datos de la transacción, ante la intercepción de la información por personas, esto se hace a través de la encripción del PIN y su procesamiento apoyado en medios físicos.

3. Características generales • No rechazo. Si una transacción válida es hecha, ningún sistema involucrado en la transacción puede denegar la transacción. El log de archivos o tablas guarda la actividad del registro y lo conserva para futuras consultas. • Integridad: Asegura que los datos no han sido alterado, corruptos o cambiados. Si un cambio a los datos ocurre, entonces la autenticación no coincidirá. Existe una validación de datos que sirve para chequear la integridad de lo mismos, conicida como MAC. El cual es un requisito en algunos paises para interactuar con las redes

4. Sistemas encriptadores • Sistemas con llave Privada. Se usa la misma llave para encriptar y desencriptar. Ambas partes deben conocer la llave. Se requiere compartir una llave por cada sistema con el que se decida cambiar información. (DES, 3DES)

5. Sistemas encriptadores • Sistema de llave pública. Se usa una llave para encriptar y otra para desencriptar. (RSA), Un software muy conocido que usa este sistema es PGP

6. Algoritmo de encripción DES Encripción. Es el proceso que codifica un mensaje para que sea leido solamente por un sistema que conozca el algoritmo usado para tal fin. Típicamente algoritmos matemáticos son aplicados a mensajes que usan llaves que alteran su contenido. (Privacidad). DES (Data Encryption Standard). IBM desarrolló originalmente el DES en 1977. Esto ha sido especificado en los estándares ANSI X3.92 and X3.106, el estándar Federal FIPS 46 and 81, también por el ISO de DEA-1 (Data Encryption Algorithm 1)

7. Administración de llaves The Hardware Security Module (HSM)Es la consola de configuración provee un mecanismo para configurar los esquemas de administración de llaves soportados por Postilion. El esquema de administración de la llave de sesión maestra usa llaves “Data Encryption Algorithm” (DEA1) llaves compartidas entre varias zonas de seguridad. Las llaves son usadas para encriptar, desencriptar y verificar datos intercambiables entre las partes. Cada una de las dos partes comparte una llave inicial.

8. Administración de llaves • Cuando se crea una llave administrativa usando una llave inicial DES o 3DES, se encripta las llaves de operación también. La llave inicial se refiere a la llave maestra, y la llave operacional como una llave de sesión. (La llave maestra no debe confundirse con la SMK o LMK, Llave almacenadora maestra que es única por cada módulo y amacenada en forma segura en un HSM.) • HSMs usualmente almacenan una llave físicamente en el Módulo, llamada LMK, en otros Storage Master Key (SMK). • Antes de que cualquier esquema de administración de llaves sea configurado, la LMK o SMK debe ser ingresada en el HSM.

9. Administración de llaves • Es muyimportanteindicarque la información de los componentes de unallave de seguridaddebealmacenarsepreferiblemente en lugaresseparados. • El acceso y custodia de estainformacióndebe ser asignadapor lo menos a dos personas lascualestienenmitadesdistintas de la información de cadallave. • Si la LMKo SMK se pierden, el HSM seráalimentado con la mismallave SMK y recargarse al módulo. Casocontrario hay queingresar la nueva SMK y la totalidad de lasllavesdebidoquetodas son creadas de nuevo.

10. Tipo de llaves

11. Tipo de llaves • Key Encryption Keys (KEK), Llave encriptora de llaves, es usada para encriptar llaves operacionales como llave la PIN o la de MAC. Y es ingresada únicamente por PINPad • Key Working PIN (KWP). Llave de trabajo de PIN, Las terminales son alimentadas con llaves KEK o maestras para encriptar esta llave. Cada que la terminal inicia deberá intercambiar esta llave. La cual es encriptada bajo una llave maestra o KEK. • Esta se alimenta mediante un criptograma que es obtenido de la encripción de la KWP bajo la KEK asociada.

12. Tipo de llaves • Key Verification PIN (KVP), Llave de verificación de PIN usadaparavalidarlo. • Un PIN jamasdebe ser almacenado en una base de datos en claro, siempre son verificadoscriptográficamente contra un valor llamadooffsetPIN. • Para los casos de asociación de un PIN a la banda, se verifica contra el PIN Verification Value (PVV). • Las llaves KVPs estandisponiblepara dos formatosactualmente: • Visa PIN (Double-length keys) 32 digitos • IBM PIN (single-length keys). 16 digitos

13. Tipo de llaves • Message Working Autenthication (KWA). Llave de autenticación del mensajes, se usa entre dos sistemas que necesitan verificar que un mensaje no ha sido alterado. Esta llave puede ser intercambiada encritándola bajo una KEK. En algunos paises es de uso obligatorio • Key Verification Card (KVC). Es la llave verificadora de tarjetas. Se usa para chequear que una tarjeta (Track2) no ha sido alterada. Este dato se obtiene de un subcampo en el track2. Postilion calcula el CVV usando esta llave, tambien llamada (CVK). • Los datos para la validación son PAN, Fecha Expiración y Código Restricción del servicio.

14. IDLL • El Intercambio Dinámico de LLaves, es un proceso dirigido a cambiar las llaves con las cuales se encriptan los PINes y/o se calcula el MAC cuando existe. Esto con el fin de evitar riesgos de filtracion a una llave y los datos puedan ser desencriptados. • Pueden existir diferentes factores para realizar este proceso: • Número de Transacciones • Número de errores al intentar validar una clave • A una hora determinada. • Cada que se hace conexión entre las partes

15. MAC • Esta dirigido a mantener la integridad de los componentes mas sensibles de un mensaje y evitar que sean alterados en el flujo de envio y recepción del mismo. • Se habilitan el campo P-64 o el S-128. • Se trabaja ASCII Hex. Con longitud de 8 o 16 bytes • Se calcula MAC a todo mensaje financiero y a todo su contenido, menos al campo PINBLOCK. • Se calcula MAC a mensajes admitivos 0800 y 0810 que manejen intercambio dinamico de llaves. • 0800 y 0810 de Echotest, Logon y Logoff no tendran MAC.

16. Caracteristicas de seguridaden Postilion RealTime

17. Protección de Hotcards • Para evitar que tarjetas perdidas o robadas se aprueben, Postilion cambia su estado en Postcard, evitando que pasen luego de ser cambiadas de estado, mediante mensaje en linea 0322 o en batch. • Si un tarjeta Habiente reporta perdida su tarjeta y luego indica que la encontró, significa que habría que devolver el bloqueo por perdida de dicha tarjeta. A menos que las políticas del emisor de la tarjeta no lo contemplen

18. CVV, Verificación de tarjeta • El PAN se usa junto con otros datos para calcular el valor del CVV de 3 dígitos y es almacenado en un lugar en el track 2. • Este proceso lo hace el emisor de la tarjeta mediante llaves de seguridad llamada CVK. Cada que una trasacción requiere verificar la tarjeta, se hace el calculo del valor junto con ciertos campos ISO. • Al final de los 8 pasos del método, deben tenerse los 3 caracteres numéricos que componen al CVV, corresponden a los 3 primeros números

19. CVV, Verificación de tarjeta • En algunos casos, el Track2 no está disponible. Regularmente esto pasa cuando la entrada del PAN se hizo en forma manual (Tx. Voz, Internet). • Postilion en este caso puede chequear si la tarjeta es fraudulenta verificando el (CVV2) ya que la entrada del campo fué manualmente, usando fecha de expiración, 3 ceros a cambio de servicio de restricción y la llave misma de encripción CVK que valida el CVV. • Importante conocer que la validación del CVV2, cuando es hecha por algunas las redes se usa con formato MMYY en la fecha de expiración.

20. Procesamiento de PIN • El buen uso del PIN depende enteramente de su secreto. Esto es escencialmente que tener en secreto un PIN no es un compromiso real de la institución. Solo una medida. • La autenticación PIN no se hará nunca con una coincidencia de información en alguna base de datos, siempre es con procedimeinto EFT antes dichos. (Contra banda o en base de datos) • Postilion provee emision de tarjetas con los siguientes servicios de procesamiento de PIN: • Traducción de PIN. Al llegar o salir del sistema • Verificación de PIN. Si se es emisor y hay las llaves.

21. Traducción de PIN

22. Traducción de PIN • Postilion desencripta y encripta el PIN Block (Campo ISO 52) que llega de un Nodo Origen, usa la llave compartida con la otra parte y reencripta el PIN Block usando la llave compartida con el Nodo destino. • El PIN block encriptado bajo la llave que Postilion comparte con el Nodo destino a ser verificado. • La traducción de PIN establece varias zonas de seguridad

23. Verificación de PIN • Postilion puede verificar ambos tipos de PINes seguros e inseguros. Postilion soporta 2 esquemas de verificación de PIN: • Esquema VISA PIN. • Esquema IBM PIN. • Con la verificación de tarjeta, 2 valores son calculados cuando el PIN se emite: El PIN actual, que solo debe ser impreso en sobreflex de seguridad, y uno recalculado de 4 dígitos para el PIN Verification Value (PVV). • Este PVV es almacenado en el Track2 de la tarjeta o en la base de datos de Postilion, según las políticas de emisor.

24. Verificación de PIN • Este valor es comparado con el PVV en el Track 2 o en la base de datos. • Postilion previene PINes fraudulentos haciendo bloqueo temporal de la tarjeta luego de 3 o X intentos en el día. • Cuando 3 PIN han fallado sucecivamente en la misma tarjeta, hará que se decline hasta el siguiente día, o cuando el banco lo indique todas las transacciones a esa tarjeta.

25. 3DES • El 3DES es usado con una doble longitud de una llave DES (128 bits de largo, con 112 BITs efectivos). • La encripción de 3DES de un valor es hecha en tres partes. Se encripta la llave con la primer parte, luego se desencripta con la segunda parte y nuevamente se encripta con la primer parte o una tercera si esta se tiene definida. • Si una llave tiene 56 bits de largo, entonces es 2^ 56 (que es: 72,057’594,037´927,936) llaves posibles. • 3DES incrementa el número de intentos por fuerza bruta de 2^ 56 a 2^112 combinaciones.

26. DISPOSITIVOS CRITPOGRAFICOS El “Incognito TSM310” mostrado es uno de los dispositivos criptográficos PCI de alto rendimiento, usado como un co-procesador en un servidor. Designado para brindar alto rendimiento, servicios de alta seguridad, el TSM310 es una tarjeta para Switch EFT, servidores e-commerce y servidores de red movil. Soporta encripción en DES, 3DES y RSA. Existiendo otro dispositivos como THALES Y ATALLA igualmente cerrados por software

27. Preguntas