YARUS K2100 и стандарты безопасности для платёжных терминалов и касс.

Требования международных платежных систем, предъявляемые к POS-терминалам и ПИН-падам, как было отмечено выше, весьма просты и прозрачны. Согласно им любое изделие, предназначенное для приема платежей по банковским картам с вводом ПИН-кода, должно иметь как минимум 4 сертификата:

• Сертификат EMV Level 1 (отдельно для контактных и бесконтактных карт), свидетельствующий о том, что картридер контактной или бесконтактной карты на физическом уровне взаимодействия удовлетворяет требованиям МПС (т. е.напряжения правильных уровней подаются в правильное время на контакты чиповой карты, размер и напряженность поля антенны соответствуют заданным значениям, и т. п.).
• Сертификат EMV Level 2 (отдельно для контактных и бесконтактных карт). Этот документ должен удостоверить тот факт, что алгоритм взаимодействия с чиповой картой реализован правильно. При этом практически все производители терминалов сертифицируют так называемую EMV-библиотеку, которая может быть использована на всем семействе устройств, обладающих следующими признаками:                                                                

При этом должен применяться один и тот же компилятор для генерации исполняемого кода для этой библиотеки на различных устройствах. Отсюда следует весьма важный вывод, что EMV-библиотека, сертифицированная для работы на POS-терминале на основе ARM-процессора под управлением проприетарной ОС, не может быть откомпилирована и использована на персональном компьютере типа IBM PC под управлением MS Windows, и наоборот. Более того, некорректно переносить EMV-библиотеку с терминала одного производителя на терминал другого без нового сертификационного тестирования, что иногда пытаются сделать вендоры-новички из Азии.

• Сертификат по безопасности PCI PED версии 1.х, 2.х или PCI PTS – начиная с версии 3.0. Этот сертификат говорит о том, что устройство реализовано с учетом требований МПС по безопасности. Попросту говоря, в него крайне затруднительно внедрить «жучок», загрузить «левые» программы и украсть данные карты или ПИН-код. При всем этом не надо путать стандарты PCI PED (PTS) и PCI DSS. PCI DSS – это сертификация банка, процессора или крупного торгово-сервисного предприятия на предмет правильного обращения с персональными данными, и она не затрагивает вопросов исследования безопасности терминальных устройств (за исключением настроек терминальных устройств со стороны банка).
• Сертификат TQM от MasterCard – это сертификат соответствия производства (завода) требованиям МПС по соблюдению производственной дисциплины и некоторых специфических требований по безопасности (использования средств и процедур, обеспечивающих защиту доступа к секретным данным). По сути, TQM – это адаптация стандарта ISO 9000 к специфике производства терминального оборудования.

Отдельным пунктом стоит наличие сертификата PCI PA. Последний выдается на программу (приложение) для POS-терминала и, помимо исследования программы на предмет безопасного хранения данных транзакции, утечек памяти и т. д., свидетельствует о сертификации разработчика приложения в части соблюдения правил и процедур по надежной разработке продукта, хранения версий и воспроизводимости результатов. Нужно отметить, что данный сертификат обязателен только для «коробочных» продуктов; если же программа разработана для конкретного банка, можно обойтись без этой, пока весьма дорогостоящей, сертификации.

Все вышеперечисленные сертификаты для POS-терминалов требуются и для устройств банковского самообслуживания. Но здесь присутствует важный нюанс: устройства самообслуживания в отличие от POS-терминалов и ПИН-падов зачастую выполнены не в виде моноблока, а состоят из некоторого набора устройств (часто производимых различными компаниями), соединенных кабелями. Например, можно встретить киоск самообслуживания, в котором установлен платежный контроллер в виде промышленного компьютера с ОС MS Windows и подключенными к нему:

• EPP-клавиатурой с сертификатом PCI PED 1.3;
• моторизированным ридером контактных и магнитных карт с сертификатом EMV L1;
• бесконтактным ридером с сертификатами EMV L1, EMV L2;
• большим цветным дисплеем (часто с touchscreen), на котором отображаются «звездочки» при наборе ПИН-кода.

Аналогичное определение состава устройства самообслуживания (UPT) содержится и в стандарте Payment Card Industry (PCI) Unattended Payment Terminal (UPT) Security Requirements Version 1.0.

При этом существует отдельный стандарт, уточняющий требования к клавиатуре для ввода ПИН-кода: Encrypting PIN Pad (EPP) Security Requirements Manual V1.0, который раскрывает суть существования отдельных требований стандарта для ПИН-клавиатур (EPP):

«Шифрующие ПИН-клавиатуры (EPP) являются составной частью необслуживаемых оператором устройств ввода PIN (PED). Обычно EPP используются для защиты введения держателем карты своего номера PIN. Для цели этого документа EPP рассматривается как состоящая только из защищенного устройства ввода PIN-кода. ЕРР используются в соединении (составе) с АТМ, топливораздаточными колонками (ТРК), киосками и торговыми автоматами. Полное описание требований к этим устройствам можно найти в других документах индустрии платежных карт (PCI) по защите PED. Поставщики могут выбрать оценку EPP отдельно, как первый шаг к аттестации PED, или как часть общей аттестации PED для устройства данного типа. Для аттестации PED применяются дополнительные критерии, такие как проверка дисплея подсказок, а там, где предполагается проверка ПИН-кода в режиме offline, используются критерии, применимые к картридеру и взаимодействию с ним»

Таким образом, из описания стандартов PCI PED версий 1.х и 2.х однозначно ясно, что по этим стандартам сертифицировались только конечные решения и устройства в виде комплектов, а отдельные требования для сертификации EPP были введены лишь как первый шаг для облегчения сертификации конечного решения.

В конечную сертификацию входила оценка защищенности картридера и дисплея, процессора и Firmware, т. е. некого «обобщенного» устройства, состоящего из набора различных физических блоков. Такие комплекты разрабатывались и выпускались всеми ведущими вендорами, но их стоимость была весьма высока, что сдерживало широкое применение.

Основная трудность заключалась в том, что не существовало отдельных картридеров, сертифицированных по PCI PED, которые бы массово выпускались специализированными компаниями. Был широко известен ручной картридер (DIP-reader) от компании Sankyo, удовлетворяющий требованиям PCI PED 1.3, но время сертификаций по версии 1.3 давно прошло, а других ридеров не появилось. Именно поэтому ведущие производители были вынуждены производить свои защищенные картридеры и сертифицировать их в комплекте с EPP, дисплеями и контроллерами. Было, правда, одно весьма важное для нашего рынка исключение – если не использовался режим верификации/проверки ПИН-кода в режиме offline (Offline PIN Verification), то картридер «выпадал» из процесса сертификации, чем и воспользовались многие поставщики решений для российского рынка.

• Почему было необходимо сертифицировать все составляющие устройства самообслуживания только в комплексе?

Потому что в стандартах версии 1.х и 2.х не было отдельных (модульных) требований к различным составляющим частям (кроме EPP) и общим правилам интеграции. Таким

образом, на сертификацию предъявлялся полный комплект оборудования, как распределенный POS-терминал.

• Почему были особо оговорены дисплей и контроллер, если ключи шифрования и сам процесс ввода ПИН-кода осуществлялся на EPP?

Потому что использование небезопасного (не защищенного от несанкционированного вмешательства) контроллера в киоске, который мы рассматривали в начале статьи, может привести (и уже приводило, как известно, на банкоматах) к загрузке вредоносной программы, которая может запоминать данные карт и передавать их злоумышленнику. Перехватить ПИН-код в таких устройствах тоже не составляет никакого труда – достаточно вывести на дисплей приглашение к вводу ПИН-кода, перевести EPP в режим ввода нешифрованных данных, и ПИН-код пользователя будет скомпрометирован. После ввода ПИН-кода можно для маскировки мошеннических действий вывести сообщение об ошибке ввода и попросить пользователя повторить набор, но уже перейти в программе на «честную» обработку процедуры ввода ПИН-кода через EPP. Поскольку таким образом транзакция будет выполнена, то клиент ничего не заподозрит, но впоследствии лишится своих денег. Строго говоря, бессмысленно применять защищенную EPP, дисплей и картридер, если контроллер базируется на простом компьютере с обычной ОС, т. е. не сформирована доверенная среда, и любой мошенник без труда загрузит в устройство самообслуживания любое вредоносное приложение с флэш-носителя или по сети. При этом необходимо различать контроллер банковской части (как часть распределенного POS-терминала, на котором выполняется банковское приложение и работает EMV L2 библиотека) и контроллер самого устройства самообслуживания, который мы в данном случае не рассматриваем.

• Почему в таком случае в банкоматах все устроено иначе, чем здесь описывается?

Обычно поставщики рассмотренного нами выше решения (на базе обычного компьютера) весьма вольно ссылаются на архитектуру банкомата (ATM), как на некий пример для подражания. Действительно, архитектура банкомата выглядит так же, но она так же не защищена от подмены программного обеспечения или внедрения «жучка» злоумышленником. Однако требования PCI PED (PTS) пока не распространяются на ATM (кроме требований к EPP) в силу различных исторических причин, поэтому неправомерно копировать архитектуру банкоматов при проектировании киосков самообслуживания. Суммируя мнения экспертов по сертификации относительно данного вопроса, можно заключить, что у банкоматного рынка сегодня есть достаточно ясные перспективы ужесточения сертификационных требований со стороны международных платежных систем, иными словами, у банкоматов «в плане ужесточения требований все еще впереди».

Итак, устройство самообслуживания с вводом ПИН-кода и Offline PIN Verification должно быть сертифицировано по стандартам PCI PED 1.x, 2.x или PCI UPT 1.x как единый комплект, в составе которого имеются:

• Защищенная клавиатура для ввода ПИН-кода;
• Защищенный дисплей;
• Защищенный процессор и память (контроллер), на которых выполняется банковское приложение совместно с EMV-библиотекой;
• Защищенный картридер.

Терминальные Технологии – первая компания на Российском рынке, ведущая разработки аппаратуры, системного и прикладного программного обеспечения для POS-терминалов. Компания «Терминальные технологии» ведет разработки аппаратуры для электронных платежей с 2004 года. Разработанный маршрутизатор транзакций TR600 и устройство трассировки данных DATAScope-Pro известны многим клиентам компании Hypercom в России и за рубежом. В 2009г. были созданы компании ООО «ТТ» и ООО «Виджет», которые входят в группу компаний «Терминальные технологии». В настоящее время компании ведут свою деятельность в здании бизнес-инкубатора «Зеленоград». Право аренды помещений в этом здании было получено по результатам открытого конкурса. Выиграть в конкурсе компании смогли благодаря своей научно-технической деятельности, которая является актуальной в сложившейся рыночной ситуации и представляет интерес для банков и торгово-сервисных предприятий.

С 2007 года совместно компаний "Терминальные технологии" и ГК"ШТРИХ-М" – крупнейшим производителем ККТ в России - велись разработки первого российского POS-терминала YARUS.

В 2009 году впервые в мировой практике был получен международный сертификат по безопасности PCI PED на Российский терминал YARUS C2100, открывший дорогу отечественной продукции на мировой рынок. В 2012 году компаниями ГК "ШТРИХ-М" и "Терминальные технологии" - создана совместная компания YARUS LTD.

Основные направления "YARUS LTD" это производство и продажи банковского оборудования YARUS C2100, YARUS P2100, YARUS K2100 , YARUS T2100, а так же разработка специализированного банковского программного обеспечения. Подразделение "YARUS Self-Service" занимается разработкой и продажами моделей информационных киосков, платёжных терминалов и устройств самообслуживания с возможностью работы с банковскими картами.

С уважением,

компания «YARUS LTD» 

www.yarus.me  

www.termt.com  

 Тел.: +7 (495) 787-6090 

Факс: +7 (495) 787-6099