Sécurité des transactionsti A Carte Bancaire EMV, S.E.T et 3D Secure Dr. Nabil EL KADHI nelkadhi@club-internet.fr; Directeur du Laboratoire L.E.R.I.A. www.leria.eu Professeur permanant A EPITECH www.epitech.net Responsable cycle MCN: Monétique Certification Numérique Vice-President K&KPartner : Forger le pont entre la R&D et l Entreprise Innovant www.knkpartner.fr 1
Plan Profiles EMV SSL SET C-SET Secure Electronic Transaction 3DSecure Conclusion 2
(Euroopeen Master card and Visa Card) http://www.emvco.com 3
4
Profile de Protection EMV 5
6
Sécurité de la communication SSL SSL Secure Socket Layer Authentification unidirectionnelle Clefs de sessions avec ou sans Rekeying SSL Handshake protocol: Avant de communiquer, les 2 parties SSL négocient des clés et des algorithmes de chiffrement communs SSL Record protocol: Une fois négociés, ils chiffrent toutes les informations échangées et effectuent divers contrôles 7
Sécurité de la communication SSL utilise: SSL un système de chiffrement asymétrique (comme RSA ou Diffie-Hellman) Master Key. un système de chiffrement symétrique (DES, 3DES, IDEA, RC4...) clés de session. un système de signature cryptographique des messages (HMAC, MD5, SHA...) La législation française autorise l usage de clef de chiffrement de 128 bits. 8
Sécurité des SSL transactions/paiements SSL TLS (Transport Layer Security) IETF version dessl i KP (IBM) SEPP (Secure Encryption Payment Protocol) MasterCard, IBM, Netscape STT (Secure Transaction Technology) VISA, Microsoft SET (Secure Electronic Transactions) MasterCard, VISA Certificats OBSOLETE Acceptation Assez Lente 9
Architecture SET 10
CCA MCA PCA Card-Holder Merchant Payement Gateway 11
SET-Résumé- Pi Principe i de fonctionnement: t Cardholder et Vendeur Enregistrement C.A. Cardholder émission commande + paiement Merchant transfert paiement a sa banque La banque du marchant vérifie la solvabilité du client, autorisations de paiement Envoie de l autorisation d acceptation du paiement entre les organismes financiers Réception de l autorisation par le vendeur Exécution de la vente Transfert de l ordre et paiement 12
13
Signatures Sg aues Informations de Paiement + Hash de la commande 14
15
Demande de Certification Clé à utiliser pour le cryptage de la communication (CCR) Numéro de la carte (NC) crypté sous le conttrôle de la clé CR CardHolder Formulaire d enregistrement t spécifique au type de la carte CCA Formulaire d enregistrement rempli Certificat Demande de Certification Marchant Formulaire d enregistrement Formulaire d enregistrement rempli Certificat MCA 16
Particularite de la France La France se trouve à l'épicentre du conflit. A travers le GIE Carte Bancaire, les banques ont acquis, dans l'hexagone, une relative autonomie par rapport à Visa et à Mastercard. Et l'usage de la carte à puce y est largement répandu. Le conflit s'est traduit, en autre, par la création de deux consortiums concurrents au même objectif : créer un solution sécurisée à l'aide de la carte à puce, qui soit aussi compatible avec le protocole SET. L'un, CSET (Chip SET), émanant du GIE Carte Bancaire et représentant "l'interbancarité" à la française, le second, Ecomm, plus proche de Visa International. L'affrontement entre banques "vertes" et banques "bleues" a été évité de justesse. 3DSecure 17
SET Spec. sans Produit commercial Nécessite une utilisation exhaustive, tous les niveaux des certificats / signatures digitales (x.509). Composantes clients supplémentaires Obligatoire pour assurer l authentification du client Protocole assez lourd, contraignant en déploiement. 18
3D Secure Transfert de responsabilités en cas de fraude ( banque vendeur ou acheteur) Permet l identification du détenteur de la carte Authentification tifi ti du cardholders on linependant la phase d achat Utilisation de SSL pour le transfert de données sensibles Libre moyen d authentification (certificat ) 19
3D Secure Transaction 3DSecure 20
3D Secure (Banque Acheteur Issuer) Maintenir un Account Holder File (AHF): Base de données des comptes Compte actif ou pas? Quelle est la méthode d authentification/paiement? Serveur d Inscriptions Génères les entrées AHF Serveur de Contrôle d accès Access Control Server (ACS) Serveur centrale avec 2 fonctions de base: Répondre au interrogation des vendeurs Assurer l authentification des CardHolders Architecture similaire aux K.D.Cs. 21
3D Secure (Vendeur) Plug-in Vendeur (MP) Composant logiciel incorpore au site marchant du vendeur Serveur de Validation (VS) Vérifier les message signes et leurs authenticités Sollicité par le MP Serveur différent, partie du MP, toute t organisation est possible avec secret de la communication (SSL) 22
3D Secure (Interopérabilité/Visa) L équivalent d un DNS Directory Server (DS) Permet a un MP de solliciter le bon ACS selon une carte donnée MPs Millions ACSsites Centaines DS Dizaine(s) Hébergés/gérés par VISA Serveur de preuves/reçus Sauvegarde sécurisée des traces de transactions Messages signés C est Cest en fait une preuve d authentification Tous les reçus sont collectés par Visa 23
3D Secure (Global l Authentication ti ti Network) Cardholder browser Authentication Credential A Member Bank Enrollment Server Access Control Server AHF VISA Directory Server Receipt Server Card Accepting Merchant Site Merchant Software Global Payment Network Acquirer 24
3D Secure (Conclusion) Transfert de la couverture de fraude de la banque commerçant vers la banque porteur de la carte Libre choix de la méthode d identification/ authentification (certificat, téléphone, passpharase, ) Utilisation de jeton sécurisé par transaction Ce concept est aujourd hui mis en œuvre sous les marque Verified by Visa et SecureCode 25
Conclusion 26