DIN SPEC 16591:2016-12
Методы генерации, проверки и замены ПИН-кода клиентом
- Стандартный №
- DIN SPEC 16591:2016-12
- Дата публикации
- 2016
- Разместил
- German Institute for Standardization
- Последняя версия
- DIN SPEC 16591:2016-12
- сфера применения
-
Углубленный анализ стандарта управления банковскими ПИН-кодами DIN SPEC
DIN SPEC, предварительный стандарт, выпущенный Немецким институтом стандартизации (DIN), предоставляет комплексную техническую основу для управления ПИН-кодами в банковской сфере. Разработанный комитетом NA 043-03-02 AA «Банковское дело», этот стандарт фокусируется на спецификациях процессов безопасности для генерации, проверки и изменения ПИН-кодов, инициированных клиентами.
Предыстория разработки стандарта и технологическое развитие
С ускорением цифровой трансформации в финансах традиционные методы управления ПИН-кодами сталкиваются с новыми проблемами безопасности. Целью настоящего стандарта является установление единых рекомендаций по внедрению обработки ПИН-кодов для банковской сферы, решая следующие основные проблемы посредством криптографических инноваций:
Во-первых, он обеспечивает строгое техническое разделение между системами генерации ПИН-кодов и авторизации для предотвращения единых точек отказа и уязвимостей безопасности. Во-вторых, он реализует проверку PIN-кода на основе односторонних функций, чтобы избежать риска обратного вычисления при операциях дешифрования. В-третьих, он поддерживает автономность клиента в выборе PIN-кода, предоставляя при этом соответствующие элементы управления безопасностью.
Стандарт принимает модульную концепцию проектирования, предоставляя как общее алгоритмически независимое описание, так и конкретный план реализации на основе алгоритма AES, что гарантирует устойчивость технологии и независимость алгоритма.
Основная архитектура безопасности и технические требования
Основные требования к криптографии
Стандарт требует, чтобы все криптографические операции выполнялись в сертифицированном аппаратном модуле безопасности (HSM), гарантируя, что PIN-код существует только в зашифрованном виде вне HSM. Единственным исключением является сценарий печати PIN-кода, но при этом требуются поддерживающие организационные меры безопасности.
Функции безопасности Технические требования Механизм реализации Независимость от алгоритмов Поддержка нескольких алгоритмов шифрования AES как базовый алгоритм Управление ключами Использование различных ключевых материалов для различных целей Многоуровневая система ключей Генерация PIN-кода Двойные механизмы случайной генерации и детерминированного вывода Односторонняя функция CMAC/HMAC Аутентификация Безопасность Предотвращение атак с использованием кодовой книги и коллизий 16-байтовая конструкция PRW Механизм генерации PIN-кода
Стандарт определяет два метода генерации PIN-кода: детерминированный вывод и случайную генерацию. Детерминированный вывод основан на применении криптографической односторонней функции, параметризованной с помощью секретного компонента, а входное значение содержит PAN и другие идентификационные данные карты. Для случайной генерации требуется, чтобы генератор случайных чисел соответствовал соответствующим критериям оценки.
Процесс генерации обеспечивает равномерное распределение всех цифр PIN-кода, поддерживает длину от 4 до 12 цифр и позволяет эмитентам исключать некоторые простые PIN-коды (до 20).
Система расчета эталонного значения PIN-кода (PRW)
Принцип генерации PRW
Эталонное значение PIN-кода является основным техническим компонентом для проверки PIN-кода. Его расчет основан на следующем принципе построения: PRW = FK(PL, PIN, RNDPRW, AD, CD). FK представляет собой криптографическую одностороннюю функцию, использующую секретный ключ K.
В конкретной реализации используется алгоритм CMAC на основе AES: PRW := CMACAES-k(KPRW, PBF-0 || RNDPRW || CD, 16). Такая конструкция гарантирует, что даже если криптографический ключ известен, исходный PIN-код не может быть вычислен обратно.
Механизм зашифрованного PIN-блока (EPB)
Для бизнес-сценариев, требующих хранения PIN-кода, стандарт определяет формат зашифрованного PIN-блока (EPB): EPB := encAES-k_CBC(KEPB, 0, PBF-1). CMAC также используется для защиты целостности: EPB-M := CMACAES-k(KEBP_MAC, EPB || CDp, 8).
Подробный анализ функциональных модулей HSM
Функциональные модули Сценарий применения Входные параметры Выходной результат PRW_GEN1 Детерминированная генерация PIN-кода KPRW, KPrint, KDET, ER, CD, PL, PAN PRW, RNDPRWneu, зашифрованный PIN-код PRW_GEN2 Случайная генерация PIN-кода KPRW, KПечать, PL, PAN, CD PRW, RNDPRWneu, зашифрованный PIN-код PRW_FK1 Создать PRW для последующих карт KPRWneu, KEPB, KEPB_MAC, CD, EPB, EPB-M PRWneu, RNDPRWneu, EPBneu, EPB-Mneu PIN_VER Проверка PIN-кода KPRW, KPAC, CD, RNDPRW, PRW, PAN, PAC Код возврата (RC) PIN_CHA Изменение PIN-кода KPRW, KPRWneu, KPAC, RNDPRW, CD, PRWalt, PAN, PAC, PACneu PRWneu, RNDPRWneu, RC, Script Система управления ключами и требования к безопасности
Классификация ключей и спецификации использования
Стандарт устанавливает полную систему управления ключами, и каждый Тип ключа имеет четкие ограничения по области использования и жизненному циклу:
KEPB: используется для шифрования PIN-блока PBF-1, ограничен системой генерации и должен заменяться ежегодно. Максимальный срок использования - срок действия карты плюс один год.
KPRW: используется для расчета PRW. Система генерации и система авторизации используют отдельные экземпляры и должны заменяться ежегодно. Для целей проверки может использоваться неограниченное время.
KPrint: используется для шифрования печати PIN-кода. Система генерации и поставщик услуг печати должны использовать его ежегодно, а максимальный срок использования составляет один год.
Защита безопасности ключа
Все криптографические ключи используются только внутри HSM; внешнее хранилище должно быть соответствующим образом зашифровано и защищено. Средства управления доступом HSM гарантируют, что PIN-код не может быть отменен посредством операций дешифрования.
Рекомендации по внедрению и передовой опыт
Требования к организационной структуре
Организации, внедряющие этот стандарт, должны установить строгую организационную сегрегацию: функции генерации и проверки PIN-кода должны быть организационно и технически разделены, чтобы гарантировать, что ни одна организация не обладает возможностями как генерации, так и проверки.
Руководство по техническому внедрению
Рекомендуется принять иерархическую архитектуру ключей, при этом корневой ключ должен генерироваться в HSM и никогда не экспортироваться. Операционные ключи должны регулярно ротироваться, и должен быть установлен комплексный процесс управления жизненным циклом ключей.
Для управления списком исключений PIN-кодов в HSM должен быть реализован принцип четырех глаз, чтобы обеспечить надежность и устойчивость процесса управления к несанкционированному вмешательству.
Мониторинг и аудит
Внедряющие учреждения должны создать механизм мониторинга операций проверки PIN-кода для обнаружения и предотвращения аномально частых попыток проверки на одной и той же карте. Рекомендуется вести подробный журнал аудита, в котором регистрируются ключевые параметры всех операций HSM.
Значение стандартизации и влияние на отрасль
Стандарт управления банковскими PIN-кодами DIN SPEC устанавливает унифицированные технические спецификации для банковской отрасли Германии. Его значение заключается в следующем:
Во-первых, стандартизация устраняет различия в независимых реализациях различными учреждениями, улучшая взаимодействие систем и согласованность безопасности. Во-вторых, она использует новейшие криптографические технологии для эффективного противодействия текущим и будущим угрозам безопасности. В-третьих, она поддерживает самообслуживание клиентов и улучшает пользовательский опыт, обеспечивая при этом безопасность.
Этот стандарт применим не только к традиционным услугам банковских карт, но и предоставляет справочную структуру управления PIN-кодами для новых способов оплаты и имеет важное отраслевое значение.
DIN SPEC 16591:2016-12 Ссылочный документ
- ISO 9564-1 Финансовые услуги. Управление персональным идентификационным номером (ПИН-кодом) и безопасность. Часть 1. Основные принципы и требования к ПИН-кодам в карточных системах.*， 2017-10-31 Обновление
DIN SPEC 16591:2016-12 История
- 2016 DIN SPEC 16591:2016-12 Методы генерации, проверки и замены ПИН-кода клиентом
