روش های صحت سنجی رمز مشتری

روش های صحت سنجی رمز مشتری به دو روش آنلاین و آفلاین تقسیم می شود که در ادامه درباره آنها توضیح داده شده است:

Online PIN verification :

در این روش صحت شماره رمز مشتری به صورت Online  و توسط سوییچ کارت کنترل می گردد که مرتبط با کارت های مغناطیسی و هوشمند می باشد:

•   استفاده از کلید های متقارن با الگوریتم های DES/3DES در تولید کلید Session
•   استفاده از کلید های متقارن DES و 3DES در روش DUKPT (Drive Unique Key Per Transaction)
•   بارگذاری کلید به صورت امن
•   عدم تشابه کلید ها
•   عدم دسترسی برنامه به رمز وارد شده توسط مشتری
•   پشتیبانی از استاندارد ISO 9564-2 در این استاندارد الگوریتم های رمزنگاری PIN (Personal Identification Number) تعریف شده است.

Offline PIN verification:

در این روش صحت شماره رمز مشتری به صورت offline توسط کارت هوشمند کنترل می گردد. تبادل کلید بین پایانه و کارت به صورت های زیر می تواند باشد :

•   بررسی صحت شماره رمز با ارسال PIN  وارد شده به کارت
•   بررسی صحت شماره رمز با ارسال PIN رمز شده به کارت
•   استفاده از تولید کننده شماره تصادفی مطابق NIST 800-22
•   عدم دسترسی برنامه به ریز وارد شده توسط مشتری
•  رمز باید در PED وارد شده باشد.
•  PIN برای کنترل به کارت ارسال کردد.

پایه و اساس کار این استاندارد افزایش کنترل ها روی داده می باشد و در تمام بخش هایی که اطلاعات دارنده کارت را نگهداری و پردازش و تبادل می کنند ، قابل استفاده است .

نوع دستگاه ها:

نمودار زیر الزامات امنیتی نسخه های مختلف این استاندارد را نشان می دهد :

هدف این استاندارد حفاظت منطقی و یا فیزیکی دارنده کارت و یا سایر اطلاعات حساس در دستگاه های نقطه تعامل (POI) و ماژول های امنیتی سخت افزار (HSM) به شکل زیر است :

POI : یک محصول پذیرش تراکنش الکترونیکی است. یک POI متشکل از سخت افزار و نرم افزار و تجهیزات پذیرش تراکنش کارت دارنده کارت است. POI ممکن است با مراقب یا بی مراقب باشد . تراکنش های POII  شامل تراکنش های مبتنی بر کارت IC،نوار مغناطیسی ، و غیر تماسی است.

HSM : یک دستگاه سخت افزاری فیزیکی و منطقی محافظت شده است که مجموعه ای امن ز خدمات رمزنگاری را فراهم می کند . این دستگاه شامل مجموعه ای از سخت افزار، سیستم عامل ( نرم افزار دائمی ) ، نرم افزار ، و یا ترکیبی از آن ها است که منطق رمز نگاری ،فرآیند های رمزنگاری و یا هردوی آن ها از جمله الگوریتم های رمزنگاری را پیاده سازی می کند.

الزامات استاندارد PCI PTS POI

الزامات امنیتی این استاندارد در دستگاه های (PCI PTS POI) POI به 5 گروه به شرح جدول زیر تقسیم می شود :