Loading article…
EMVは、スマート 決済カードと、それを受け入れる決済端末およびATMの技術標準に基づいた決済方法です。EMVは、この標準を作成した3社「 Europay、Mastercard、Visa 」の略称です。 [1]
EMV カードは、チップ カード、集積回路カード、または IC カードとも呼ばれるスマートカードで、下位互換性のために磁気ストライプに加えて集積回路チップにデータを保存します。これには、リーダーに物理的に挿入または「浸す」必要があるカードと、近距離で近距離通信技術を使用して読み取ることができる非接触型カードが含まれます。EMV 標準に準拠した決済カードは、個人識別番号(PIN) や電子署名など、カード発行者が使用する認証方法に応じて、チップと PINまたはチップと署名カードと呼ばれることがよくあります。接触型カードの場合はISO/IEC 7816に基づく標準が、非接触型カードの場合はISO/IEC 14443に基づく標準が存在します( Mastercard Contactless、Visa PayWave、American Express ExpressPay )。[2] [より良い情報源が必要]
歴史
チップ & PIN が導入されるまで、対面でのクレジットカードまたはデビット カード取引では、アカウント データの読み取りと記録に磁気ストライプまたは機械的インプリントを使用し、本人確認のために署名を行っていました。顧客は販売時点でレジ係にカードを渡し、レジ係は磁気リーダーにカードを通すか、カードの浮き彫りの文字からインプリントを行います。前者の場合、システムはアカウントの詳細を確認し、顧客が署名するための伝票を印刷します。機械的インプリントの場合、取引の詳細を記入し、盗難番号のリストを参照し、顧客がインプリントされた伝票に署名します。どちらの場合も、レジ係は取引を認証するために、顧客の署名がカードの裏面の署名と一致していることを確認する必要があります。
カードの署名を検証方法として使用することには、セキュリティ上の欠陥が数多くあります。最も明らかなのは、正当な所有者が署名する前にカードが紛失してしまう可能性が比較的高いことです。もう 1 つの欠陥は、正当な署名の消去と置き換え、さらにもう 1 つの欠陥は、正しい署名の 偽造です。
1959年のシリコン 集積回路チップの発明は、1960年代後半に2人のドイツ人エンジニア、ヘルムート・グロットルップとユルゲン・デスロフによってプラスチック製のスマートカードに組み込むというアイデアにつながりました。[3]最も初期のスマートカードは1970年代に名刺として導入され、後に決済カードとして使用できるようになりました。[4] [5]それ以来、スマートカードはMOS集積回路チップに加えて、フラッシュメモリやEEPROM（電気的に消去可能なプログラム可能な読み取り専用メモリ）などのMOSメモリ技術を使用しています。[6]
スマート決済カードの最初の標準は、1986 年にフランスで導入された Bull-CP8 のCarte Bancaire B0M4 で、その後 1989 年に導入された B4B0' (M4 と互換性あり) が続きました。ドイツのGeldkarteも EMV より前のものです。EMV は、カードと端末がこれらの標準と下位互換性を持つように設計されました。フランスはその後、すべてのカードと端末のインフラストラクチャを EMV に移行しました。
EMVは、この標準を作成した3社、Europay、Mastercard、Visaの略称です。この標準は現在、Visa、Mastercard、 JCB、American Express、China UnionPay、Discoverが均等に管理するコンソーシアムであるEMVCoによって管理されています。 [7] EMVCoは、その草案の標準とプロセスに関する一般からのコメントを受け付けていますが、より深いコラボレーションのために他の組織が「アソシエイト」や「サブスクライバー」になることも認めています。[8] JCBは2009年2月にコンソーシアムに加盟し、China UnionPayは2013年5月に、[9] Discoverは2013年9月に加盟しました。 [10]
EMVカードとチップの主要ベンダーは、ABnote（American Bank Corp）、CPI Card Group、IDEMIA （2017年にOberthur TechnologiesとSafran Identity & Security（Morpho）が合併）、 Gemalto （ 2019年にThales Groupが買収）、 Giesecke & Devrient、Versatile Card Technologyです。[11]
違いと利点
スマートカードベースのクレジットカード決済システムに移行すると、セキュリティの向上（それに伴う不正行為の減少）と「オフライン」クレジットカード取引承認のより細かい制御の可能性という2つの大きなメリットがあります。EMVの当初の目標の1つは、カードに複数のアプリケーション（クレジットカードとデビットカードのアプリケーション、または電子財布）を提供することでした。2013年以降、米国で新たに発行されるデビットカードには、カード協会（Visa、Mastercardなど）アプリケーションと共通デビットアプリケーションの2つのアプリケーションが含まれています。[12]
EMV チップ カード取引は、所有者の署名とカードの目視検査に依存してホログラムなどの機能を確認する磁気ストライプ カード取引に比べて、詐欺に対するセキュリティが向上します。PIN と、 Triple DES、RSA、SHAなどの暗号化アルゴリズムを使用すると、処理端末とカード発行者のホスト システムにカードの認証が提供されます。処理時間はオンライン取引と同等で、通信の遅延がほとんどの時間を占め、端末での暗号化操作には比較的時間がかかりません。詐欺に対する保護が強化されたとされることで、銀行やクレジットカード発行者は「責任の転換」を確立でき、EMV 非対応のシステムでの取引から生じる詐欺に対しては、販売者が責任を負うようになりました (EU 地域では 2005 年 1 月 1 日現在、米国では 2015 年 10 月 1 日現在)。[1] [13] [14] EMV カードと端末の実装の大部分は、紙の領収書に署名するのではなく、個人識別番号(PIN)の入力を求めることでカード所有者の身元を確認します。 PIN 認証が行われるかどうかは、端末の機能とカードのプログラミングによって異なります。
クレジットカードが初めて導入されたとき、商店は磁気式ではなく、カーボン紙に印刷する機械式の携帯型カード印刷機を使用していました。カード発行会社と電子的に通信することはなく、カードは顧客の目の前から離れることはありませんでした。商店は、一定の通貨限度額を超える取引については、カード発行会社に電話をかけて確認しなければなりませんでした。1970 年代の米国では、多くの商店が盗難または無効なクレジットカード番号の定期的に更新されるリストに加入していました。このリストは、通常、新聞紙に小冊子の形で印刷されており、薄い電話帳のように番号順に並んでいましたが、無効な番号のリスト以外のデータは含まれていませんでした。レジ係は、クレジットカードが提示されるたびに、取引を承認する前に、この小冊子をめくらなければなりませんでした。承認には少しの遅延が発生しました。[15]
その後[いつ? ]、商店の端末機器がカード発行会社に電子的に連絡し、磁気ストライプの情報を使用してカードを確認し、取引を承認するようになりました。これははるかに高速でしたが、取引は固定された場所で行われる必要がありました。その結果、取引が端末の近くで行われなかった場合 (たとえばレストラン内)、店員またはウェイターは顧客からカードを取り上げてカード マシンに持っていかなければなりませんでした。不正な従業員が安価なマシンにこっそりとカードを通すと、カードとストライプの情報が即座に記録されました。実際、端末であっても、泥棒は顧客の前でかがみ、隠されたリーダーにカードを通すことができました。これにより、カードの違法な複製が比較的簡単になり、以前よりも頻繁に発生しました。[要出典]
決済カードのチップとPINの導入以来、チップの複製は不可能であり、磁気ストライプのみが複製可能であり、複製されたカードはPINを必要とする端末で単独で使用することはできません。チップとPINの導入は、ワイヤレスデータ伝送技術が安価で普及した時期と一致しました。携帯電話ベースの磁気リーダーに加えて、販売店の担当者はワイヤレスPINパッドを顧客に持参できるため、カードがカード所有者の目から離れることはありません。したがって、チップとPINとワイヤレス技術の両方を使用して、不正なスワイプとカードの複製のリスクを軽減できます。[16]
チップとPINとチップと署名
チップとPINは、EMV対応カードが使用できる2つの検証方法のうちの1つです。[15]ユーザーは、身元確認のためにレシートに物理的に署名するのではなく、通常4〜6桁の個人識別番号（PIN）を入力します。この番号は、ホストのチップまたはPINに保存されている情報と一致している必要があります。チップとPINテクノロジーにより、詐欺師が見つかったカードを使用することは非常に困難になります。カードを盗まれたとしても、PINを知らない限り不正な購入を行うことはできません。
一方、チップと署名は、署名によって消費者の身元を確認することで、チップとPINと区別されます。[17]
2015年現在、チップと署名のカードは、米国、メキシコ、南米の一部（アルゼンチンやペルーなど）、一部のアジア諸国（台湾、香港、タイ、韓国、シンガポール、インドネシアなど）でより一般的ですが、チップとPINのカードは、ほとんどのヨーロッパ諸国（英国、アイルランド、フランス、ポルトガル、フィンランド、オランダなど）やパキスタン、イラン、ブラジル、コロンビア、ベネズエラ、インド、スリランカ、カナダ、オーストラリア、ニュージーランドでより一般的です。[18] [19]
オンライン、電話、郵便注文の取引
EMV技術は販売時点における犯罪の減少に役立っていますが、不正取引はより脆弱な電話、インターネット、メールオーダー取引に移行しています。業界ではカード非提示取引またはCNP取引と呼ばれています。 [20] CNP取引は、すべてのクレジットカード詐欺の少なくとも50％を占めています。[21]物理的な距離のため、これらのケースでは販売者が顧客にキーパッドを提示することは不可能であるため、次のような代替手段が考案されています。
- Verified by Visa や Mastercard SecureCode (Visa の3-D Secureプロトコルの実装) など、カード発行銀行またはネットワークの Web サイトとのやり取りを伴うオンライン取引用のソフトウェア アプローチ。3-D Secure は現在、欧州第 2 次決済サービス指令で定義されている強力な顧客認証に置き換えられています。
- 指定された最大金額で物理カードにリンクされた 1 回限りの仮想カードを作成します。
- チップ認証プログラムなどのワンタイムパスワードを生成できるキーパッドと画面を備えた追加ハードウェア。
- 複雑なカードにキーパッドとスクリーンを統合し、ワンタイムパスワードを生成します。2008年以来、VisaはEmueカードを使用してパイロットプロジェクトを実施しており、生成された番号が標準カードの裏面に印刷されたコードに置き換わっています。[22]
どちらが速いかという点については、ニューヨークタイムズは認識の問題だと説明している。チップ方式では、取引と承認プロセスが完了するまでチップを機械の中に入れておく必要があるが、携帯電話をスワイプする方法ではバックグラウンドで承認が行われ、レシートがすぐに出てくる。[23]
コマンド
ISO/IEC 7816 -3 は、チップ カードとリーダー間の伝送プロトコルを定義します。このプロトコルを使用すると、データはアプリケーション プロトコル データ ユニット(APDU) で交換されます。これは、カードへのコマンドの送信、カードによるコマンドの処理、応答の送信で構成されます。EMV は次のコマンドを使用します。
- アプリケーションブロック
- アプリケーションのブロック解除
- カードブロック
- 外部認証 (7816-4)
- アプリケーション暗号を生成する
- データを取得 (7816-4)
- 処理オプションを取得する
- 内部認証 (7816-4)
- PINの変更/ブロック解除
- レコードを読む (7816-4)
- 選択 (7816-4)
- 確認する（7816-4）。
「7816-4」が続くコマンドは ISO/IEC 7816-4 で定義されており、 GSM SIMカードなどの多くのチップ カード アプリケーションで使用される業界共通コマンドです。
取引フロー
EMVトランザクションには次の手順があります。[24] [サードパーティソースが必要]
- アプリケーションの選択
- 申請処理を開始する
- アプリケーションデータを読み取る
- 処理制限
- オフラインデータ認証
- 証明書
- カード所有者の確認
- ターミナルリスク管理
- ターミナルアクション分析
- 最初のカードアクション分析
- オンライン取引承認（前の手順の結果によって必要な場合にのみ実行。ATMでは必須）
- 2枚目のカードアクション分析
- 発行者スクリプト処理
アプリケーションの選択
ISO/IEC 7816 はアプリケーション選択のプロセスを定義しています。アプリケーション選択の目的は、カードにGSMと EMV などの完全に異なるアプリケーションを組み込めるようにすることでした。しかし、EMV 開発者は、製品の種類を識別する方法としてアプリケーション選択を実装したため、すべての製品発行者 (Visa、Mastercard など) は独自のアプリケーションを持つ必要があります。EMV で規定されているアプリケーション選択の方法は、カードと端末間の相互運用性の問題の原因となることがよくあります。EMV 標準の Book 1 [25]では、アプリケーション選択プロセスの説明に 15 ページが割かれています。
アプリケーション識別子(AID) は、カード内またはカードなしで配布された場合はホスト カード エミュレーション (HCE) 内のアプリケーションを指定するために使用されます。AID は、 ISO/IEC 7816-5 登録機関によって発行される 5 バイトの登録済みアプリケーション プロバイダー識別子(RID) で構成されます。その後に独自のアプリケーション識別子拡張(PIX)が続き、これによりアプリケーション プロバイダーは提供されるさまざまなアプリケーションを区別できます。AID はすべての EMV カード所有者の領収書に印刷されます。カード発行者は、カード ネットワークの名前からアプリケーション名を変更できます。
アプリケーションのリスト:
申請処理を開始する
端末は、カードにget processing optionsコマンドを送信します。このコマンドを発行すると、端末は、カードが要求したデータ要素を処理オプション データ オブジェクト リスト(PDOL) でカードに提供します。PDOL (データ要素のタグと長さのリスト) は、アプリケーションの選択時にカードから端末にオプションで提供されます。カードは、トランザクションの処理で実行する機能のリストであるアプリケーション インターチェンジ プロファイル(AIP) で応答します。また、カードは、端末がカードから読み取る必要のあるファイルとレコードのリストであるアプリケーション ファイル ロケーター(AFL) も提供します。[引用が必要]
アプリケーションデータを読み取る
スマートカードはデータをファイルに保存します。AFLにはEMVデータを含むファイルが含まれています。これらはすべて、レコード読み取りコマンドを使用して読み取る必要があります。EMVはデータがどのファイルに保存されているかを指定しないため、すべてのファイルを読み取る必要があります。これらのファイル内のデータはBER TLV形式で保存されます。EMVはカード処理で使用されるすべてのデータのタグ値を定義します。[28]
処理制限
処理制限の目的は、カードが使用されるべきかどうかを確認することです。前のステップで読み取られた 3 つのデータ要素がチェックされます: アプリケーションのバージョン番号、アプリケーションの使用制御 (カードが国内専用かどうかなどを示します)、アプリケーションの有効/有効期限のチェック。[引用が必要]
これらのチェックのいずれかが失敗した場合、カードが拒否されるとは限りません。端末は端末検証結果(TVR) に適切なビットを設定します。このコンポーネントは、トランザクション フローの後半で承認/拒否の決定の基礎となります。この機能により、たとえばカード発行者は、カード所有者が有効期限切れのカードを有効期限後も引き続き使用できるようにしながら、有効期限切れのカードを使用したすべてのトランザクションをオンラインで実行できます。[引用が必要]
オフラインデータ認証（ODA）
オフラインデータ認証は、公開鍵暗号を使用してカードを検証する暗号チェックです。カードに応じて、3つの異なるプロセスを実行できます。[引用が必要]
- 静的データ認証(SDA) は、カードから読み取られたデータがカード発行者によって署名されていることを確認します。これにより、データの変更は防止されますが、複製は防止されません。
- 動的データ認証(DDA) は、データの変更や複製に対する保護を提供します。
- DDA/アプリケーション暗号の生成(CDA) の組み合わせは、DDA とカードのアプリケーション暗号の生成を組み合わせて、カードの有効性を保証します。このプロセスは特定の市場で実装されているため、デバイスでの CDA のサポートが必要になる場合があります。このプロセスは端末では必須ではなく、カードと端末の両方がサポートしている場合にのみ実行できます。[引用が必要]
EMV証明書
決済カードの真正性を検証するために、EMV証明書が使用されます。EMV認証局[29]は、決済カード発行者にデジタル証明書を発行します。要求されると、決済カードチップはカード発行者の公開鍵証明書とSSADを端末に提供します。端末はローカルストレージからCAの公開鍵を取得し、それを使用してCAの信頼を確認し、信頼できる場合は、カード発行者の公開鍵がCAによって署名されていることを確認します。カード発行者の公開鍵が有効であれば、端末はカード発行者の公開鍵を使用して、カードのSSADがカード発行者によって署名されていることを確認します。[30]
カード所有者の確認
カード所有者検証は、カードを提示した人が正当なカード所有者であるかどうかを評価するために使用されます。EMVでは、多くのカード所有者検証方法（CVM）がサポートされています。それらは[引用が必要]
- サイン
- オフラインプレーンテキストPIN
- オフライン暗号化PIN
- オフラインのプレーンテキストPINと署名
- オフライン暗号化PINと署名
- オンラインPIN
- CVMは不要
- 消費者向けデバイス CVM
- CVM処理に失敗
端末は、カードから読み取った CVM リストを使用して、実行する検証の種類を決定します。CVM リストは、端末の機能に応じて使用する CVM の優先順位を設定します。端末によってサポートされる CVM は異なります。ATM は一般にオンライン PIN をサポートします。POS 端末は、タイプと国によって CVM サポートが異なります。[引用が必要]
オフライン暗号化 PIN 方式の場合、端末はクリアテキスト PIN ブロックをカードの公開キーで暗号化してから、検証コマンドでカードに送信します。オンライン PIN 方式の場合、クリアテキスト PIN ブロックは、ポイントツーポイント暗号化キーを使用して端末によって暗号化され、承認要求メッセージでアクワイアラー プロセッサに送信されます。
すべてのオフライン方式は中間者攻撃に対して脆弱です。2017年にEMVCoはEMV仕様のバージョン4.3で生体認証方式のサポートを追加しました。[31]
ターミナルリスク管理
端末リスク管理は、取引をオンラインで承認するかオフラインで承認するかを決定する必要があるデバイスでのみ実行されます。取引が常にオンラインで実行される場合（ATMなど）、または常にオフラインで実行される場合は、この手順を省略できます。端末リスク管理では、取引額をオフライン上限額（この金額を超える取引はオンラインで処理する必要があります）と照合します。オンラインカウンターに1を設定し、ホットカードリストと照合することもできます（これはオフライン取引にのみ必要です）。これらのテストのいずれかの結果が肯定的であれば、端末は端末検証結果（TVR）の適切なビットを設定します。[32]
ターミナルアクション分析
以前の処理手順の結果を使用して、トランザクションをオフラインで承認するか、承認のためにオンラインに送信するか、またはオフラインで拒否するかを決定します。これは、端末に保持されている端末アクション コード(TAC)と呼ばれるデータ オブジェクトと、カードから読み取られた発行者アクション コード(IAC) の組み合わせを使用して行われます。TAC は IAC と論理的に OR され、トランザクション取得者にトランザクションの結果をある程度制御できるようにします。両方のタイプのアクション コードは、拒否、オンライン、およびデフォルトの値を取ります。各アクション コードには、端末検証結果(TVR) のビットに対応する一連のビットが含まれており、支払いトランザクションを承認、拒否、またはオンラインにするかどうかを端末が決定する際に使用されます。TAC はカード取得者によって設定されます。実際には、カード スキームは、特定の端末タイプの機能に応じて、その端末タイプに使用する必要がある TAC 設定をアドバイスします。IAC はカード発行者によって設定されます。一部のカード発行者は、拒否 IAC の適切なビットを設定することで、期限切れのカードを拒否することを決定する場合があります。他の発行者は、取引がオンラインで行われることを望んでいるかもしれないので、場合によってはこれらの取引の実行を許可することができる。[33] [より良い情報源が必要]
オンライン専用デバイスが IAC-Online および TAC-Online 処理を実行する場合、関連する TVR ビットは「トランザクション値がフロア リミットを超えています」のみです。フロア リミットはゼロに設定されているため、トランザクションは常にオンラインになり、TAC-Online または IAC-Online のその他の値はすべて無関係になります。オンライン専用デバイスは IAC デフォルト処理を実行する必要はありません。ATM などのオンライン専用デバイスは、IAC-Denial 設定によりオフラインで拒否されない限り、常に承認要求でオンラインにしようとします。IAC-Denial および TAC-Denial 処理中、オンライン専用デバイスの場合、関連する端末検証結果ビットは「サービスが許可されていません」のみです。[34]
最初のカードアクション分析
アプリケーション データの読み取り段階でカードから読み取られるデータ オブジェクトの 1 つに、CDOL1 (カード データ オブジェクト リスト) があります。このオブジェクトは、トランザクションを承認するか拒否するかを決定するためにカードが送信するタグのリストです (トランザクション金額だけでなく、他の多くのデータ オブジェクトも含まれます)。端末はこのデータを送信し、アプリケーション 暗号文生成コマンドを使用して暗号文を要求します。端末の決定 (オフライン、オンライン、拒否) に応じて、端末はカードから次の暗号文のいずれかを要求します。[引用が必要]
- 取引証明書（TC） - オフライン承認
- 認可要求暗号 (ARQC) - オンライン認可
- アプリケーション認証暗号 (AAC) - オフライン拒否
このステップでは、カードは端末のアクション分析を受け入れるか、取引を拒否するか、オンラインで取引を強制するかを選択できます。カードは、ARQCが要求されたときにTCを返すことはできませんが、TCが要求されたときにARQCを返すことはできます。[34]
オンライン取引承認
ARQC が要求されると、取引はオンラインになります。ARQC は承認メッセージで送信されます。カードは ARQC を生成します。その形式はカード アプリケーションによって異なります。EMV は ARQC の内容を指定しません。カード アプリケーションによって作成された ARQC は、取引の詳細のデジタル署名であり、カード発行者がリアルタイムで確認できます。これにより、カードが本物であることを示す強力な暗号チェックが提供されます。発行者は、承認要求に対して、応答コード (取引の承認または拒否)、承認応答暗号 (ARPC)、およびオプションで発行者スクリプト (カードに送信される一連のコマンド) で応答します。[34]
ARPC処理は、EMV用のVisa Quick Chip [35]およびMastercard M/Chip Fast [36]で処理される接触型取引や、複数のスキームにまたがる非接触型取引では実行されません。これは、ARQCが生成された後にカードがリーダーから取り外されるためです。
2枚目のカードアクション分析
CDOL2 (カード データ オブジェクト リスト) には、オンライン トランザクション認証後にカードが送信するタグのリスト (応答コード、ARPC など) が含まれています。何らかの理由で端末がオンラインにならなかった場合 (通信障害など) でも、端末は、認証暗号文生成コマンドを使用してこのデータをカードに再度送信する必要があります。これにより、カードは発行者の応答を知ることができます。その後、カード アプリケーションはオフライン使用制限をリセットできます。
発行者スクリプト処理
カード発行者が発行後にカードを更新したい場合、発行者スクリプト処理を使用してカードにコマンドを送信することができます。発行者スクリプトは端末にとって無意味であり、カードと発行者の間で暗号化して追加のセキュリティを提供することができます。発行者スクリプトはカードをブロックしたり、カードのパラメータを変更したりするために使用できます。[37]
発行者スクリプト処理は、EMVのVisa Quick Chip [35]およびMastercard M/Chip Fast [36]で処理される接触型取引、および複数のスキームにまたがる非接触型取引では利用できません。
EMVチップ仕様
EMV規格の最初のバージョンは1995年に公開されました。現在、この規格は民間企業であるEMVCo LLCによって定義および管理されています。EMVCoの現在のメンバー[38]は、 American Express、Discover Financial、JCB International、Mastercard、China UnionPay、およびVisa Incです。これらの組織はそれぞれEMVCoの株式を均等に所有しており、EMVCo組織およびEMVCoワーキンググループに代表者を置いています。
EMV 規格への準拠の認定 (つまり、デバイス認証) は、認定されたテスト機関によって実施されたテストの結果の提出後に EMVCo によって発行されます。[引用が必要]
EMV コンプライアンス テストには 2 つのレベルがあります。EMV レベル 1 は物理、電気、トランスポート レベルのインターフェイスをカバーし、EMV レベル 2 は支払いアプリケーションの選択とクレジット金融取引処理をカバーします。[引用が必要]
共通の EMVCo テストに合格した後、ソフトウェアは Visa VSDC、American Express AEIPS、Mastercard MChip、JCB JSmart などの独自の EMV 実装、または英国の LINK やカナダの Interac などの非 EMVCo メンバーの EMV 準拠実装に準拠していることを決済ブランドによって認定される必要があります。[引用が必要]
EMV ドキュメントと標準のリスト
2011 年現在、バージョン 4.0 以降、EMV 決済システムのすべてのコンポーネントを定義する公式 EMV 標準ドキュメントが、4 冊の「書籍」といくつかの追加ドキュメントとして公開されています。
- ブック1：アプリケーションに依存しないICCから端末へのインターフェース要件[25]
- 第2巻：セキュリティと鍵管理[39]
- 第3巻 アプリケーション仕様[40]
- 第4巻：カード保有者、係員、加盟店管理会社のインターフェース要件[41]
- 共通決済アプリケーション仕様[42]
- EMVカードパーソナライゼーション仕様[43]
バージョン
最初のEMV規格は1995年にEMV 2.0として登場しました。これは1996年にEMV 3.0（EMV '96と呼ばれることもあります）にアップグレードされ、その後1998年にEMV 3.1.1に改訂されました。これはさらに2000年12月にバージョン4.0（EMV 2000と呼ばれることもあります）に改訂されました。バージョン4.0は2004年6月に発効しました。バージョン4.1は2007年6月に発効しました。バージョン4.2は2008年6月から発効しています。バージョン4.3は2011年11月から発効しています。[44]
脆弱性
PINを収集し、磁気ストライプを複製する機会
EMV カードには通常、磁気ストライプ上のトラック 2 データに加えて、チップ上にエンコードされた同一のデータがあり、これは通常の EMV トランザクション プロセスの一部として読み取られます。EMV リーダーが侵害され、カードと端末間の会話が傍受された場合、攻撃者はトラック 2 データと PIN の両方を復元して磁気ストライプ カードを作成できる可能性があります。このカードは、チップと PIN 端末では使用できませんが、たとえば、チップ カードを持たない外国人顧客や不良カードに対して磁気ストライプ処理へのフォールバックを許可する端末デバイスで使用できます。この攻撃は、(a) オフライン PIN が PIN 入力デバイスによってカードにプレーンテキストで提示され、(b) カード発行者が磁気ストライプ フォールバックを許可し、(c) カード発行者が地理的および行動的チェックを実行できない場合にのみ可能です。[引用が必要]
英国の決済業界を代表するAPACSは、プロトコルに指定された変更（磁気ストライプとチップ（iCVV）のカード検証値が異なる）によりこの攻撃は無効になり、そのような対策は2008年1月から実施されると主張した。 [45] 2008年2月のカードテストでは、これが遅れている可能性があることが示された。[46]
攻撃の成功
会話キャプチャは、2006年5月にシェルの端末に対して行われたと報告された攻撃の一種であり、顧客から100万ポンド以上が盗まれた後、シェルはガソリンスタンドのすべてのEMV認証を無効にすることを余儀なくされました。[47]
2008 年 10 月、英国、アイルランド、オランダ、デンマーク、ベルギーでの使用を意図した数百台の EMV カード リーダーが、製造中または製造直後に中国で改ざんされたことが報告されました。9 か月間、クレジットカードとデビット カードの詳細と PIN が携帯電話ネットワークを介してパキスタンのラホールの犯罪者に送られました。米国国家防諜局長のジョエル ブレナーは、「以前は、この種の作戦を実行できるのは国家の諜報機関だけでした。恐ろしいことです」と述べています。盗難されたデータは通常、カード取引の 2 か月後に使用され、捜査官が脆弱性を突き止めるのを困難にしていました。詐欺が発覚した後、改ざんされた端末は、追加の回路によって重量が約 100 グラム増加したため、識別できることがわかりました。数千万ポンドが盗まれたと考えられています。[48]この脆弱性により、POSデバイスのライフサイクル全体にわたってより優れた制御を実装する取り組みが促進され、これはセキュアPOSベンダーアライアンス（SPVA）によって開発されているような電子決済セキュリティ標準によって承認された実践です。[49]
PIN 収集とストライプの複製
2008年2月のBBCニュースナイト番組で、ケンブリッジ大学の研究者スティーブン・マードックとサール・ドリマーは、チップとPINは、詐欺を証明する責任を銀行から顧客に転嫁するほど安全ではないことを説明する攻撃例を実演した。[50] [51]ケンブリッジ大学の脆弱性により、実験者は磁気ストライプを作成するためのカードデータとPINの両方を取得することができた。
英国の決済協会であるAPACSは、報告書の大部分に反対し、「この報告書で詳述されているPIN入力デバイスへの攻撃の種類は実行が難しく、詐欺師が実行するのは現時点では経済的に実行可能ではない」と述べた。 [52]また、プロトコルの変更（チップと磁気ストライプ間で異なるカード検証値（iCVV）を指定する）により、2008年1月からこの攻撃は無効になると述べた。
2016 年 8 月、NCR 社のセキュリティ研究者は、クレジットカード窃盗犯が磁気テープのコードを書き換えてチップのないカードのように見せかけ、偽造を可能にする方法を示しました。[引用が必要]
2010年: 隠されたハードウェアが盗難カードのPINチェックを無効化
Wikinewsには関連ニュースがあります:
- ケンブリッジの研究者、チップとPINは「目的に適さない」と主張
2010年2月11日、ケンブリッジ大学のマードックとドリマーのチームは、「チップとPINに非常に深刻な欠陥があり、システム全体を書き換える必要があると考えている」と発表しました。その欠陥は「非常に単純なものだったので、彼らはショックを受けました」。盗まれたカードは電子回路と偽のカードに接続され、偽のカードが端末に挿入されます（「中間者攻撃」）。任意の4桁の数字を入力して、有効なPINとして受け入れられます。[53] [54]
BBC のニュースナイト番組のチームは、このシステムがあるケンブリッジ大学のカフェテリアを (許可を得て) 訪問し、回路に接続した自分のカード (泥棒は盗んだカードを使う) を使って支払い、偽のカードを挿入して PIN として「0000」と入力することができた。取引は通常どおり登録され、銀行のセキュリティ システムには捕捉されなかった。研究チームのメンバーは、「小規模な犯罪システムでさえ、我々よりも優れた機器を持っている。この攻撃を実行するために必要な技術的洗練度は、実際には非常に低い」と述べた。脆弱性の発表では、「必要な専門知識は高くない (学部レベルの電子工学)。犯罪者は十分に洗練されていないという銀行業界の主張には異議を唱える。なぜなら、彼らはすでに、小型の PIN 入力デバイス スキマーで、この攻撃に必要なレベルよりもはるかに高いレベルのスキルを示しているからだ」と述べられている。この脆弱性が悪用されたかどうかは不明だが、未解決の詐欺事件の原因となる可能性がある。[54]
EMVCo はこれに反対し、このような攻撃は理論的には可能かもしれないが、成功させるのは非常に困難で費用もかかるため、現在の補償制御で詐欺を検出または制限できる可能性が高いこと、攻撃による金銭的利益は最小限であるが、取引が拒否されたり詐欺師が暴露されたりするリスクは大きいことなど、回答を発表した。[55]ケンブリッジ チームはこれに反対している。彼らは銀行に気付かれずに、既製の機器にいくつかの単純な追加機能を付けて実行した。より小型のバージョンは簡単に作れる。攻撃用にこのような機器を製造する者は、自らを危険にさらす必要はなく、インターネット経由で誰にでも販売できる。[54]
コメントを求めたところ、いくつかの銀行（コーポラティブ・バンク、バークレイズ、HSBC）はいずれも、これは業界全体の問題であると述べ、さらなるコメントを求めてニュースナイト・チームを銀行業界団体に紹介した。[56]消費者協会のフィル・ジョーンズ氏によると、チップとPINはカード犯罪の件数を減らすのに役立ったが、多くのケースは未だに説明されていない。「我々が知っているのは、個人から持ち込まれた、かなり説得力のあるケースがあるということだ。」[要出典]
この攻撃は、認証方法の選択が認証されていないという事実を利用しており、これにより中間者が攻撃を許す。端末はPINを要求し、それを取得し、カードによって取引を確認する。カードはカードと署名による取引を行っていると考えており、これはオフラインでも成功しうる。また、不十分なチェックのためか、オンラインでも機能する。[57]
当初、銀行の顧客は補償を受ける前に暗証番号を不注意に使用していなかったことを証明する必要があったが、2009年11月1日から施行された英国の規制により、いかなる紛争においても顧客が不注意であったことを証明する責任は銀行に課され、顧客には13ヶ月の請求期間が与えられた。[58]マードック氏は「[銀行は]顧客が暗証番号が使用されていないと主張し、銀行の記録では使用されていたことが示されている過去の取引を振り返り、これらの顧客がこの種の詐欺の被害者である可能性があるため、返金を検討すべきだ」と述べた。[54]
2011年: CVMのダウングレードにより任意のPINの収集が可能に
2011年3月のCanSecWestカンファレンスで、アンドレア・バリサーニとダニエレ・ビアンコは、サポートされているCVMデータが署名されている場合でも、カードのカード所有者検証構成に関係なく、任意のPIN収集を可能にするEMVの脆弱性を発見した研究を発表しました。[59]
PINの収集はチップスキマーで実行できます。本質的には、CVMをオフラインPINにダウングレードするように変更されたCVMリストは、署名が無効であるにもかかわらず、POS端末によって引き続き尊重されます。[60]
PINバイパス
2020年に、 ETHチューリッヒの研究者デビッド・バシン、ラルフ・サッセ、ホルヘ・トロは、 Visaの非接触型カードに影響を与えるセキュリティ問題を報告した[61] [62]。それは、EMV取引中にカードから端末に送信される重要なデータの暗号保護が欠如しているという問題である。問題のデータによって、取引に使用されるカード所有者の確認方法（PIN確認など）が決定される。研究チームは、このデータを変更して、カード所有者が自分のデバイス（スマートフォンなど）を使用して確認されているため、PINは不要であると端末に信じ込ませることが可能であることを実証した。研究者らは、物理的なVisaカードをモバイル決済アプリ（Apple Pay、Google Payなど）に効果的に変換し、PINなしで高額の購入を実行する概念実証Androidアプリを開発した。攻撃は、2台のNFC対応スマートフォンを使用して実行され 、1台は物理的なカードの近くに、もう1台は決済端末の近くに保持される。
2021年初頭、同じチームは、マスターカードカードもPINバイパス攻撃に対して脆弱であることを明らかにしました。彼らは、犯罪者が端末を騙してマスターカードの非接触型カードをVisaカードであると信じ込ませ、取引させることができることを示しました。このカードブランドの取り違えは、 VisaのPINバイパスと組み合わせてマスターカードのPINもバイパスできるため、重大な結果をもたらします。[62]
実装
_(49924994081).jpg/500px-Debit_Card_Chip_Package_(Back)_(49924994081).jpg)
.png/500px-Debit_Card_Chip_(Whitebalanced).png)
EMVは、この規格を作成した3社「 Europay、Mastercard、Visa 」の略称です。この規格は現在、金融会社のコンソーシアムであるEMVCoによって管理されています。 [1] EMV規格のその他のよく知られているチップは次のとおりです。
- AEIPS: アメリカン・エキスプレス
- UICS: 中国銀聯
- Jスマート：JCB
- D-PAS: ディスカバー/ダイナースクラブ インターナショナル
- ルペイ：NPCI
- ヴァーヴ
Visa と Mastercard は、電話やインターネットを介したカード非提示取引(CNP) をサポートするデバイスで EMV カードを使用するための標準も開発しました。Mastercard には、安全な電子商取引のためのチップ認証プログラム(CAP) があります。その実装は EMV-CAP として知られ、さまざまなモードをサポートしています。Visa には、異なるデフォルト値を使用して CAP を実装した動的パスコード認証 (DPA) スキームがあります。
世界の多くの国では、デビット カードやクレジットカードの決済ネットワークで責任の移転が実施されています。[要出典]通常、不正取引の責任はカード発行会社にあります。ただし、責任の移転が実施された後、ATM または販売店の POS 端末が EMV をサポートしていない場合、ATM 所有者または販売店が不正取引の責任を負います。
チップと暗証番号のシステムは、チップと暗証番号のカードを発行していない国からの旅行者にとって問題を引き起こす可能性があります。一部の小売店がチップレスカードの受け取りを拒否する可能性があるためです。 [63]ほとんどの端末は依然として磁気ストライプカードを受け入れており、主要なクレジットカードブランドは販売店に磁気ストライプカードの受け入れを義務付けていますが、[64]一部のスタッフは、カードが暗証番号を検証できない場合に詐欺の責任を負わされると考え、カードの受け取りを拒否する場合があります。チップと暗証番号のないカードは、駅の無人自動販売機やスーパーマーケットのセルフサービスレジなどでも使用できない場合があります。[65]
アフリカ
- マスターカードのこの地域の国々間の責任移転は2006年1月1日に行われました。[66] 2010年10月1日までに、すべての販売時点取引で責任移転が発生しました。[67]
- Visaの販売時点管理に関する責任移転は2006年1月1日に実施された。ATMに関しては、責任移転は2008年1月1日に実施された。[68]
南アフリカ
- マスターカードの責任移転は2005年1月1日に行われた。[66]
アジア太平洋諸国
- マスターカードのこの地域の国々への責任移転は2006年1月1日に行われました。[66] 2010年10月1日までに、中国と日本の国内取引を除くすべての販売時点取引で責任移転が発生しました。[67]
- Visaの販売時点管理に関する責任移転は2010年10月1日に実施された。[68] ATMについては、中国、インド、日本、タイを除き、2015年10月1日に責任移転が実施され、中国、インド、日本、タイでは2017年10月1日に責任移転が実施された。[69]中国国内のATM取引は現在、責任移転期限の対象ではない。
オーストラリア
- マスターカードは、2013年4月までにすべてのPOS端末がEMV対応となることを要求した。ATMについては、責任の移転は2012年4月に行われた。ATMは2015年末までにEMVに準拠する必要がある。[70]
- ATMに関するVisaの責任移転は2013年4月1日に行われた。[68]
マレーシア
- マレーシアは、2005年の導入から2年後にEMV準拠のスマートカードに完全移行した世界初の国である。[71] [72]
ニュージーランド
- マスターカードは、2011年7月1日までにすべてのPOS端末がEMVに準拠することを義務付けました。ATMについては、責任の移転は2012年4月に行われました。ATMは2015年末までにEMVに準拠する必要があります。[70]
- VisaのATMに関する責任移転は2013年4月1日であった。[68]
ヨーロッパ
- マスターカードの責任移転は2005年1月1日に行われた。[66]
- Visaの販売時点管理に関する責任移転は2006年1月1日に実施された。ATMに関しては、責任移転は2008年1月1日に実施された。[68]
- フランスでは、 1992 年の導入以来、カード詐欺が 80% 以上削減されました ( Carte Bleue を参照)。
イギリス
チップとPINは2003年5月からイギリスのノーザンプトンで試験的に導入され、 [73]結果的に2006年2月14日にイギリス全土で導入され[74]、新聞や全国テレビで「Safety in Numbers」というスローガンを掲げた広告が放映された。導入の初期段階では、磁気スワイプカードによる不正取引が行われたと判断された場合、チップとPIN導入前と同様に、発行銀行から小売業者に返金された。2005年1月1日には、こうした取引の責任が小売業者に移った。これは小売業者がPOSシステムをアップグレードする動機となり、大手チェーン店のほとんどがEMVの期限に間に合うようにアップグレードした。多くの中小企業は当初、機器のアップグレードに消極的だった。これは、まったく新しいPOSシステムが必要で、多額の投資が必要になるためである。
磁気ストライプとチップの両方を備えた新しいカードは、現在すべての大手銀行で発行されています。チップと PIN が採用される前のカードの交換は大きな問題でした。なぜなら、多くの人が 2007 年まで有効期限が切れるカードを持っていたにもかかわらず、銀行は消費者に新しいカードが「古いカードの有効期限が切れたら」届くとだけ述べたからです。カード発行会社のSwitch は、銀行が望むほど早く新しいカードを発行する準備が整っていなかったため、 HBOSとの主要契約をVisaに奪われました。
チップと暗証番号の導入は、銀行が署名が一致したことを証明するのではなく、顧客が暗証番号とカードを保護するために「相当の注意を払って」行動したことを証明することを義務付けることで、カード詐欺の申し立てがあった場合に銀行の責任を軽減するように設計されていると批判された。チップと暗証番号が導入される前は、顧客の署名が偽造された場合、銀行は法的責任を負い、顧客に補償しなければならなかった。2009年11月1日まで、チップと暗証番号による取引の不正使用から消費者を保護するような法律はなく、自主的な銀行コードのみが存在した。大規模な攻撃が成功したことが記録されているにもかかわらず、銀行が報告された状況下ではシステムが機能しなくなることはないと主張し、不正カード使用の被害者への補償を拒否したという報告が多数あった。[要出典]
2009年決済サービス規制は2009年11月1日に施行され[75]、カード保有者に過失があると仮定するのではなく、証明する責任が銀行に移った。[58]金融サービス機構（FSA）は、責任を拒否する前に「取引があなたによって行われ、手続き上の不備や技術的な問題がなかったことを証明するのは、銀行、住宅金融組合、またはクレジットカード会社の責任である」と述べた。
ラテンアメリカとカリブ海
- マスターカードのこの地域内の国々への責任移転は2005年1月1日に行われた。[66]
- Visaの販売時点管理に関する責任移転は、この地域でまだ責任移転を実施していない国では2012年10月1日に実施された。ATMについては、この地域でまだ責任移転を実施していない国では2014年10月1日に責任移転が実施された。[68]
ブラジル
- マスターカードの責任移転は2008年3月1日に行われた。[66]
- Visaの販売時点管理に関する責任移転は2011年4月1日に実施された。ATMに関しては、責任移転は2012年10月1日に実施された。[68]
コロンビア
- マスターカードの責任移転は2008年10月1日に行われた。[66]
メキシコ
- ディスカバーは2015年10月1日に責任移転を実施した。ガソリンスタンドのポンプでの支払いについては、責任移転は2017年10月1日に行われた。[76]
- Visaの販売時点管理に関する責任移転は2011年4月1日に実施された。ATMに関しては、責任移転は2012年10月1日に実施された。[68]
ベネズエラ
- マスターカードの責任移転は2009年7月1日に行われた。[66]
中東
- マスターカードのこの地域の国々間の責任移転は2006年1月1日に行われました。[66] 2010年10月1日までに、すべての販売時点取引で責任移転が発生しました。[67]
- Visaの販売時点管理に関する責任移転は2006年1月1日に実施された。ATMに関しては、責任移転は2008年1月1日に実施された。[68]
北米
カナダ
- アメリカン・エキスプレスは2012年10月31日に責任移転を実施した。[1] [77]
- ディスカバーは、2015年10月1日にガソリンスタンドでのペイ・アット・ザ・ポンプを除くすべての取引について責任移転を実施し、それらの取引は2017年10月1日に移行しました。[76] [第三者ソースが必要]
- Interac（カナダのデビットカードネットワーク）は、2012年12月31日にATMでの非EMV取引の処理を停止し、2016年9月30日にPOS端末でのEMV取引を義務付け、2015年12月31日に責任移転が行われた。[78] [検証に失敗した] [第三者の情報源が必要]
- マスターカードは、2011年3月31日に国内取引の責任移転を実施し、2011年4月15日に国際責任移転を実施した。ガソリンスタンドのポンプでの支払いについては、責任移転は2012年12月31日に実施された。[77]
- Visaは、国内取引の責任移転を2011年3月31日に、国際取引の責任移転を2010年10月31日に実施しました。ガソリンスタンドのポンプでの支払いについては、責任移転は2012年12月31日に実施されました。[77]
- EMV移行後の5年間で、カナダ国内のカード提示による不正取引は大幅に減少しました。ヘルシムのレポートによると、カード提示による国内デビットカード詐欺は89.49%減少し、クレジットカード詐欺は68.37%減少しました。[1] [79]
アメリカ合衆国
ターゲット、ホームデポ、その他の大手小売店のPOS端末のセキュリティが脆弱だったために個人情報の盗難が広まったことを受けて、Visa、Mastercard、Discover [80]は2012年3月に、American Express [81]は2012年6月に、米国でのEMV移行計画を発表しました。[82]発表以来、American Express、Bank of America、Citibank、 Wells Fargo [ 83]、 JPモルガンチェース、US Bank、およびいくつかの信用組合を含む複数の銀行とカード発行会社が、EMVチップと署名技術を採用したカードを発表しました。
2010年には、多くの企業がチップとPINを組み込んだプリペイドデビットカードを発行し始め、アメリカ人はユーロやポンドで現金をチャージできるようになりました。[84] [1] 国連連邦信用組合は、チップとPINのクレジットカードを提供する最初の米国発行者でした。[85] 2010年5月、ジェムアルト（世界的なEMVカード製造会社）のプレスリリースによると、ニューヨークの国連連邦信用組合は米国で最初のEMVカード発行者となり、顧客にEMV Visaクレジットカードを提供するとのことでした。[86] JPモルガンは、2012年半ばにEMV技術を搭載したカード、すなわちパラジウムカードを導入した最初の大手銀行でした。 [87]
2016年4月時点で、米国の消費者の70％がEMVカードを所有しており、2016年12月時点で約50％の加盟店がEMVに準拠していました。[88] [89]しかし、導入は遅く、ベンダー間で一貫性がありません。EMVハードウェアを備えた加盟店でさえ、ソフトウェアまたはコンプライアンスの欠陥のためにチップ取引を処理できない場合があります。[90]ブルームバーグはまた、 Verifoneマシンの音声プロンプトの変更など、ソフトウェアのリリースと導入に数か月かかる可能性のあるソフトウェア導入の問題にも言及しています。しかし、業界の専門家は、米国でソフトウェアの導入と標準の標準化が進むと予想しています。VisaとMastercardはどちらも、チップ取引を高速化する標準を実装しており、これらの時間を3秒未満に短縮することを目標としています。これらのシステムは、Visa Quick ChipとMastercard M/Chip Fastと呼ばれています。[91]
- アメリカン・エキスプレスは、2015年10月1日にPOS端末の責任移転を実施した。[92] [プロモーションソース? ]ガソリンスタンドのポンプでの支払いについては、責任移転は2021年4月16日であった。これは、COVID-19パンデミックのため、2020年10月1日から延長された。[93]
- ディスカバーは2015年10月1日に責任移転を実施した。ガソリンスタンドの給油所での支払いについては、責任移転は2020年10月1日であった。[76]
- マエストロは、2013年4月19日に米国で使用される国際カードに対して責任移転を実施しました。[94]
- マスターカードは、2015年10月1日にPOS端末の責任移転を実施した。[92]ガソリンスタンドのポンプでの支払いについては、責任移転は正式には2020年10月1日であった。[95] ATMについては、責任移転日は2016年10月1日であった。[96] [97]
- Visaは2015年10月1日にPOS端末の責任移転を実施した。ガソリンスタンドの給油機での支払いについては、責任移転は正式には2020年10月1日であった。[95] [98] ATMについては、責任移転日は2017年10月1日であった。[69] [1]
注記
- ^ Mastercard NetsUnion（別名Mastercard NetsUnion Information Technology（北京）Co., Ltd.）によって承認済み。Mastercardと中国の銀行ネットワークの合弁会社。
- ^ アメリカン・エキスプレスの合弁会社エクスプレス（杭州）テクノロジーサービスカンパニーリミテッドによって承認された
参照
参考文献
- ^ abcdefg Stacy Cowley (2015年9月23日). 「チェックアウトにまもなく登場：マイクロチップカード決済システム」.ニューヨークタイムズ. 2022年7月31日閲覧。
- ^ 重要なスマートカード業界標準。ISO 7816、Cardwerk Technologies
- ^ Chen, Zhiqun (2000)。『スマートカード向け Java Card テクノロジ: アーキテクチャとプログラマーズ ガイド』。Addison -Wesley Professional。pp . 3-4。ISBN 9780201703290。
- ^ 「スマートカードの簡単なレビュー（2019年更新）」Gemalto 2019年10月7日2019年10月27日閲覧。
- ^ Sorensen, Emily (2019年7月26日). 「クレジットカード端末の詳細な歴史」.モバイルトランザクション. 2019年10月27日閲覧。
- ^ Veendrick, Harry JM (2017). ナノメートル CMOS IC: 基礎から ASIC まで。Springer。p. 315。ISBN 9783319475974。
- ^ “EMVCo Members”. EMVCo. 2016年2月15日時点のオリジナルよりアーカイブ。2015年5月10日閲覧。
- ^ 「参加方法」。2023年1月31日閲覧。
- ^ 「China UnionPay が EMVCo に参加」（プレスリリース）。Finextra Research。2013 年 5 月 20 日。2015年5 月 10 日閲覧。
- ^ 「Discover が EMVCo に参加し、世界的な EMV 標準の推進を支援」Discover Network News。2013 年 9 月 3 日。2015年5 月 10 日閲覧。
- ^ 2016年から2020年までの世界のEMVカード市場におけるトップ7ベンダー、Technavioプレスリリース、2016年8月24日
- ^ 「VisaとMasterCard、米国のチップデビットルーティングを可能にする共通ソリューションをサポート」。Mastercard。2021年6月14日時点のオリジナルよりアーカイブ。2020年10月7日閲覧。
- ^ 「不正取引に対する責任の転換」英国カード協会。 2015年5月10日閲覧。
- ^ 「2015 年の米国詐欺責任シフトを理解する」(PDF)。www.emv -connection.com 。EMV 移行フォーラム。2015年 9 月 19 日時点のオリジナル(PDF)からアーカイブ。2015年11 月 15 日に取得。
- ^ ab Mark Scott (2014年12月2日). 「米国におけるチップアンドピンカードの導入準備」.ニューヨークタイムズ. 2022年7月31日閲覧。
- ^ 「チップ付きクレジットカードを持っていても詐欺から安全ではない理由」ABCニュース。
- ^ Ann Carrns (2011年6月20日). 「US BankとChaseが旅行者向けEMVチップカードを追加」 . 2022年7月31日閲覧。
- ^ チップ・アンド・ピン対チップ・アンド・シグネチャー、CardHub.com (現wallethub) 、 2012年7月31日閲覧
{{citation}}:値を確認する|url=(ヘルプ) - ^ 「EMV アップデート: 連邦準備制度理事会との協議」(PDF) . Visa . 2017 年1 月 2 日閲覧。
- ^ Carlin, Patricia (2017年2月15日). 「オンライン販売を阻害することなくチャージバックを削減する方法」. Forbes .
- ^ 「BBCニュース –テクノロジー – 詐欺対策のためのクレジットカードコード」bbc.co.uk。
- ^ 「Visa、PINマシン内蔵カードをテスト」IT PRO 2008年11月11日。
- ^ Brian X. Chen (2016年5月4日). 「Apple Payやその他のモバイルウォレットがチップカードに勝る理由」ニューヨークタイムズ。 2022年7月31日閲覧。
- ^ 「EMV (チップとPIN) の仕組み - 取引フローチャート」 Creditcall Ltd . 2015年5月10日閲覧。
- ^ ab 「Book 1: アプリケーションに依存しない ICC から端末へのインターフェース要件」(PDF) 4.3. EMVCo。2011 年 11 月 30 日。2018年9 月 20 日に閲覧。[永久リンク切れ ]
- ^ ウォーミング、ヤン・ビガム（2022年8月21日）。支払い：タカラガイからビットコインまで。独立出版。ISBN 979-8-8405-4325-2。
- ^ 「MasterCard 製品とサービス - ドキュメント」 。2017年4 月 17 日閲覧。
- ^ 「EMVチップ技術ガイド」(PDF)。EMVCo。2014年11月。2021年2月16日時点のオリジナル(PDF)からアーカイブ。2020年10月7日閲覧。
- ^ 「EMV CA」。EMV Certificate Authority Worldwide。2010年11月20日。2020年7月4日時点のオリジナルよりアーカイブ。 2020年3月20日閲覧。
- ^ 「Book 2: セキュリティとキー管理 (PDF)。4.3」(PDF)。EMVCo。2011年11月29日。 2018年9月20日閲覧。[永久リンク切れ ]
- ^ コンタクトチップ – 一般的なよくある質問（FAQ）2021年6月15日アーカイブ、Wayback Machine
- ^ 「ContactlessSpecifications for Payment Systems」（PDF） EMVCo。 2021年6月15日時点のオリジナル（PDF）よりアーカイブ。 2020年10月7日閲覧。
- ^ TAC 定義: ターミナルアクションコード
- ^ abc 「Visaテクノロジーパートナー：ターミナルアクションコード（VISAミニマム）」。
- ^ ab 「クイックチップ」。
- ^ ab “MasterCardのM/Chip FastはEMVトランザクションと買い物客のチェックアウトをスピードアップします”。2020年10月28日時点のオリジナルよりアーカイブ。2020年11月30日閲覧。
- ^ 「利用規約」（PDF）。[永久リンク切れ ]
- ^ EMVCo. 「EMVCoメンバー」 。 2020年8月1日閲覧。
- ^ 「Book 2: セキュリティとキー管理」(PDF) . 4.3. EMVCo. 2011 年 11 月 29 日. 2018 年9 月 20 日に閲覧。[永久リンク切れ ]
- ^ 「Book 3: Application Specific」（PDF） . 4.3. EMVCo. 2011年11月28日. 2018年9月20日閲覧。[永久リンク切れ ]
- ^ 「Book 4: Cardholder, Attendant, and Acquirer Interface Requirements」(PDF) . 4.3. EMVCo. 2011年11月27日. 2018年9月20日閲覧。[永久リンク切れ ]
- ^ 「SB CPA 仕様 v1 Plus 速報」(PDF)。EMVCo。2008 年 3 月 1 日。2018 年9 月 20 日閲覧。[永久リンク切れ ]
- ^ 「EMV® カードパーソナライゼーション仕様」(PDF)。EMVCo。2007 年 7 月 1 日。2018 年9 月 20 日閲覧。[永久リンク切れ ]
- ^ 「決済システム向け集積回路カード仕様」。EMVCo。2012年4月2日時点のオリジナルよりアーカイブ。2012年3月26日閲覧。
- ^ 「チップとPINはどの程度安全か?」BBC Newsnight。2008年2月26日。
- ^ Saar Drimer、Steven J. Murdoch、Ross Anderson。「PIN入力デバイス（PED）の脆弱性」。ケンブリッジ大学コンピュータ研究所。 2015年5月10日閲覧。
- ^ 「ガソリン会社がチップ・アンド・ピン方式を一時停止」BBCニュース、2006年5月6日。 2015年3月13日閲覧。
- ^ 「組織犯罪が欧州のカード読み取り装置を改ざん」The Register、2008年10月10日。
- ^ 「Technical Working Groups, Secure POS Vendor Alliance」 2009年。2010年4月15日時点のオリジナルよりアーカイブ。
- ^ 「チップとピンは本当に安全か？」BBCニュース。2008年2月26日。 2010年5月2日閲覧。
- ^ “Chip and pin”. 2007年2月6日. 2007年7月5日時点のオリジナルよりアーカイブ。
- ^ John Leyden (2008年2月27日). 「ペーパークリップ攻撃がチップとPINを串刺しにする」. The Channel . 2015年5月10日閲覧。
- ^ Steven J. Murdoch、Saar Drimer、Ross Anderson、Mike Bond。「EMV PIN 検証「ウェッジ」脆弱性」。ケンブリッジ大学コンピュータ研究所。2010年2 月 12 日閲覧。
- ^ abcd Susan Watts (2010年2月11日). 「チップとピンのシステムに新たな欠陥が発見される」BBCニュース. 2010年2月12日閲覧。
- ^ 「ケンブリッジ大学のチップとPINの脆弱性に関する報告書に対するEMVCoの回答（『チップとPINは壊れている』 - 2010年2月）」（PDF） 。EMVCo。 2010年5月8日時点のオリジナル（PDF）からアーカイブ。 2010年3月26日閲覧。
- ^ スーザン・ワッツ。「チップとピンのシステムに新たな欠陥が発見される（2010年2月11日）」。ニュースナイト。BBC 。 2015年12月9日閲覧。
- ^ ロス・アンダーソン (2010 年 2 月 11 日)。「チップと PIN は破られた」。
この攻撃がオフラインで機能することは、私たちや銀行員にとって驚くことではありません [...] 本当に衝撃的なのは、オンラインでも機能することです。
- ^ ab Richard Evans (2009年10月15日). 「カード詐欺：銀行は今やあなたの有罪を証明しなければならない」The Telegraph。 2009年10月21日時点のオリジナルよりアーカイブ。 2015年5月10日閲覧。
- ^ Andrea Barisani、Daniele Bianco、Adam Laurie、Zac Franken (2011)。「Chip & PIN は確実に壊れている」(PDF) 。Aperture Labs。2015年 10 月 19 日時点のオリジナル(PDF)からアーカイブ。2015 年5 月 10 日閲覧。
- ^ Adam Laurie、Zac Franken、Andrea Barisani、Daniele Bianco。「EMV – Chip & Pin CVM Downgrade Attack」。Aperture Labs および Inverse Path。2015 年 10 月 19 日時点のオリジナルよりアーカイブ。2015 年5 月 10 日閲覧。
- ^ D. Basin、R. Sasse、J. Toro - Pozo (2020)。「EMV 標準: 破壊、修正、検証」。2021 IEEE セキュリティおよびプライバシーシンポジウム (SP) : 1766–1781。arXiv : 2006.08249。
{{cite journal}}: CS1 maint: 複数の名前: 著者リスト (リンク) - ^ ab 「EMV 標準: 破壊、修正、検証」。
- ^ 「米国のクレジットカードは時代遅れ、海外では役に立たず、『チップとPIN』カードが普及」creditcards.com。[永久リンク切れ ]
- ^ 「Visa Australia」. visa-asia.com . 2013年9月22日時点のオリジナルよりアーカイブ。2015年6月29日閲覧。
- ^ ヒギンズ、ミシェル（2009年9月29日）。「アメリカ人にとって、海外でのプラスチック製品の購入は減少」ニューヨーク・タイムズ。 2017年4月17日閲覧。
- ^ abcdefghi 「チャージバックガイド」（PDF）。MasterCard Worldwide。2010年11月3日。 2015年5月10日閲覧。
- ^ abc 「運営規則」(PDF)。Visa International。2013年3月3日時点のオリジナル(PDF)からのアーカイブ。
- ^ abcdefghi 「ダイナミックデータへの旅」。Visa。2021年6月28日時点のオリジナルよりアーカイブ。
- ^ ab 「Visa、米国におけるEMVチップ導入ロードマップをATMと共通デビットソリューションに拡大」（プレスリリース）。カリフォルニア州フォスターシティ：Visa。2013年2月4日。 2015年5月10日閲覧。
- ^ ab 「MasterCard、オーストラリアの決済業界の様相を変える5ヵ年計画を発表」。Mastercard Australia。2013年1月28日時点のオリジナルよりアーカイブ。
- ^ 「マレーシア、チップベースのカード移行を初めて完了」The Star Online。
- ^ 「米国は10年後にマレーシアから学ぶ」The Rakyat Post。2015年10月14日。2019年3月20日時点のオリジナルよりアーカイブ。 2016年12月30日閲覧。
- ^ 「不正防止クレジットカードが試験的に導入」BBCビジネスニュース2003年4月11日2015年5月27日閲覧。
- ^ 英国カード協会。「チップとPINのガイド」（PDF） 。 2015年5月27日閲覧。
- ^ Foundation、インターネットメモリ。「[アーカイブコンテンツ] 英国政府ウェブアーカイブ - 国立公文書館」。2008年11月12日時点のオリジナルよりアーカイブ。2017年4月17日閲覧。
- ^ abc 「Discover、2015年までにEMV責任転換を実施」（プレスリリース）。Finextra Research。2012年11月12日。 2015年5月10日閲覧。
- ^ abc 「Chip Liability Shift」。globalpayments。2013年7月30日時点のオリジナルよりアーカイブ。
- ^ 「Interac - For Merchants」 。 2017年4月17日閲覧。
- ^ 「EMV、カナダでのカード提示詐欺を削減（インフォグラフィック） - The Official Helcim™ Blog」 。 2017年4月17日閲覧。
- ^ 「Discoverが米国、カナダ、メキシコでEMV義務化を実施」。2012年5月10日時点のオリジナルよりアーカイブ。
- ^ 「アメリカン・エキスプレス、接触型、非接触型、モバイル決済を推進する米国EMVロードマップを発表」（プレスリリース）。ニューヨーク：アメリカン・エキスプレス。2012年6月29日。2015年5月10日時点のオリジナルよりアーカイブ。 2015年5月10日閲覧。
- ^ 「EMVの米国における不確実な運命」。Protean Payment。2013年9月29日時点のオリジナルよりアーカイブ。2012年9月22日閲覧。
- ^ Camhi, Jonathan (2012年8月3日). 「Wells Fargoが消費者向けに新しいEMVカードを導入」. Bank Systems & Technology. 2014年6月5日時点のオリジナルよりアーカイブ。 2015年5月10日閲覧。
- ^ 「Travelex、アメリカ初のチップ＆PIN対応プリペイド外貨カードを提供」Business Wire 2010年12月1日2014年2月6日閲覧。
- ^ 「UNFCU が米国で初めて高セキュリティチップ搭載クレジットカードを発行へ」。United Nations Federal Credit Union。
- ^ Ray Wizbowski (2010年5月13日). 「国連連邦信用組合、米国で発行される初のグローバル準拠決済カードにジェムアルトを選択」(プレスリリース). テキサス州オースティン: ジェムアルト. 2015年5月10日閲覧。
- ^ Paul Riegler (2013年7月25日). 「2013年版 チップ&ピンおよびチップ&シグネチャークレジットカード入門」. Frequent Business Traveler . 2015年5月10日閲覧。
- ^ Goldman, Sharon (2017年3月20日). 「EMV小売導入への険しい道はよりスムーズになりつつあるか?」CIOマガジン。2017年3月27日時点のオリジナルよりアーカイブ。 2017年4月17日閲覧。
- ^ “EMV Credit Cards Poll”. 2017年3月27日時点のオリジナルよりアーカイブ。2017年3月26日閲覧。
- ^ 「小売業者はチップカードリーダーを持っているが、なぜ使用していないのか？」2017年11月22日閲覧。
- ^ 「チップ付きクレジットカードの煩わしさを軽減する計画」Bloomberg.com 2017年7月17日2017年8月5日閲覧。
- ^ ab Cathy Medich (2012 年 7 月)。「EMV 移行 - 決済ブランドのマイルストーンが推進」 。2015年5 月 10 日閲覧。
- ^ 「アメックス、ビザに続き米国ガソリンEMV移行を延期」2020年5月5日。
- ^ David Heun (2012年9月10日). 「MasterCard、米国のATMにEMVチップカード賠償責任ポリシーを導入」 SourceMedia. 2014年2月22日時点のオリジナルよりアーカイブ。2015年5月10日閲覧。
- ^ ab 「EMVの燃料賠償責任遅延がカード詐欺の懸念を増大」Credit Union Times 。 2016年12月4日閲覧。
- ^ Beth Kitchener (2012年9月10日). 「MasterCard、米国EMV移行ロードマップをATMチャネルに延長」(プレスリリース). Purchase, NY: Mastercard. 2015年5月8日時点のオリジナルよりアーカイブ。 2015年5月10日閲覧。
- ^ 「EMV For US Acquirers: EMV Readinessのための7つの基本原則」(PDF) 。 2016年7月5日時点のオリジナル(PDF)からアーカイブ。2017年4月17日閲覧。
- ^ 「Visa、世界的なPOS偽造品責任の移行に米国が参加することを発表」(PDF) (プレスリリース)。Visa。2011年8月9日。 2015年5月23日時点のオリジナル(PDF)からアーカイブ。 2015年5月10日閲覧。
外部リンク
- 公式サイト
- BBC: 銀行カードの中身、2022年11月