EMV es un estándar de interoperabilidad de tarjetas IC ("Tarjetas con circuito integrado") y TPV con soporte de circuito integrado, para la autenticación de pagos mediante tarjetas de crédito y débito. El nombre EMV es un acrónimo de "Europay MasterCard VISA", las tres compañías que inicialmente colaboraron en el desarrollo del estándar. Los sistemas de tarjeta IC basados en EMV están introduciéndose de forma escalonada en todo el mundo.
El estándar EMV define la interacción entre las tarjetas IC y los dispositivos de procesamiento de tarjetas IC a nivel físico, eléctrico, de datos y de aplicación, para transacciones finales. Algunas partes del estándar están basados en gran medida en la interfaz 'IC microprocesador card' definida en el ISO 7816.
El sistema es incompatible con las tarjetas Carte Bleue, desplegadas sistemáticamente en Francia desde 1992 (aunque su existencia se remonta a 1967). Sin embargo, Carte Bleue está migrando hacia el estándar EMV, habiendo iniciado dicho proceso en 2002 y encontrándose actualmente en un estado muy avanzado. Actualmente, es perfectamente posible utilizar tarjetas con el sistema EMV en Francia.
Diferencias y ventajas de EMV
El propósito y objetivo del estándar EMV es el de permitir una interoperabilidad segura, a nivel mundial, entre tarjetas IC que cumplan EMV y terminales de pago de tarjetas de crédito que cumplan EMV. Existen dos ventajas principales al cambiar a tarjetas de crédito y sistemas de pago basados en EMV: mayor seguridad (lo que implica una reducción del fraude) y la posibilidad de controlar de forma más detallada la aprobación de transacciones sin conexión.
Las transacciones financieras mediante EMV ofrecen una mayor protección contra el fraude que los pagos tradicionales mediante tarjeta de crédito con banda magnética. Esto se debe al uso de algoritmos de cifrado como DES, Triple DES, RSA y SHA para la provisión de autentificación por parte de la tarjeta al terminal que la procesa, y al centro que se encarga de la transacción. Sin embargo, el procesamiento es generalmente más lento que utilizando tarjetas de banda magnética, debido a los cálculos criptográficos necesarios en el intercambio de mensajes entre tarjeta y terminal. Esta mejora en la protección contra el fraude ha permitido a bancos y entidades emisoras de tarjetas de crédito iniciar una 'inversión de responsabilidades' según la cual los comerciantes son ahora responsables (desde el 1 de enero de 2005) de todo fraude resultante de una transacción realizada sin EMV en sus sistemas. La aplicación práctica de este nuevo concepto depende de cada país y de su grado de implantación de los pagos por EMV.
Aunque no se trate del único método posible, la mayoría de implementaciones de tarjetas y terminales EMV confirman la identidad del propietario de la tarjeta solicitando el tecleo de un NIP (Número Identificación Personal) en lugar de requerir la firma del recibo en papel. La autentificación mediante NIP depende de las posibilidades del terminal y de la programación de la tarjeta. En el futuro, estos sistemas podrían actualizarse para utilizar otros sistemas de autentificación, por ejemplo biométricos.
Control del estándar EMV
El estándar fue definido y es administrado por la entidad EMVco. El reconocimiento de cumplimiento del estándar EMV (certificación de dispositivos) es emitido por EMVCo según los resultados remitidos por una firma auditora homologada.
La prueba de cumplimiento de EMV tiene dos niveles: El Nivel 1 de EMV, que cubre interfaces a nivel físico, eléctrico y de transporte, y el Nivel 2 de EMV que cubre la selección de aplicaciones de pago y el procesamiento de transacciones financieras mediante tarjetas de crédito.
Comandos EMV ISO 7816-3 define el protocolo de transmisión entre las tarjetas con chip y los lectores. El uso de este protocolo, los datos se intercambian en unidades de datos de protocolo de aplicación (APDU). Esto incluye el envío de un comando a una tarjeta, procesamiento de la tarjeta, y el envío de una respuesta. EMV utiliza los siguientes comandos:
Bloquear aplicación Desbloquear aplicación Bloquear tarjeta Autenticación externa (7816-4) Generar criptograma aplicación Obtener datos (7816-4)
Obtener opciones de procesamiento Autenticación interna (7816-4) Cambio de PIN / desbloquear Leer registro (7816-4) Seleccionar (7816-4) Verificar (7816-4)
Los comandos seguidos de "7816-4" se definen en la norma ISO / IEC 7816-4 y son comandos interindustriales utilizados para muchas aplicaciones de tarjetas con chip, como GSM SIM tarjetas.
Flujo de transacciones EMV Una transacción EMV sigue los siguientes pasos:
Selección de aplicaciones Iniciar el proceso de aplicación Leer datos de aplicación Restricciones de Procesamiento Autenticación de datos sin conexión Verificación del titular de la tarjeta Gestión de riesgos del Terminal Análisis de la acción Terminal Análisis Primera acción tarjeta Autorización de la transacción en línea (sólo lleva a cabo si es requerido por el resultado de los pasos anteriores; obligatoria en los cajeros automáticos) Segunda acción de análisis de tarjeta Procesamiento del Emisor.
Selección de aplicaciones ISO 7816 define un proceso para la selección de la aplicación. La intención de selección de aplicación fue permitir que las tarjetas alojasen diferentes aplicaciones, por ejemplo GSM y EMV. EMV sin embargo utilizó la selección de aplicaciones como una forma de identificar el tipo de producto, de modo que todos los emisores de productos (Visa, MasterCard, etc) tienen que tener su propia aplicación. La forma de selección de solicitudes según lo prescrito en el EMV es una fuente frecuente de problemas de interoperabilidad entre tarjetas y terminales. Libro 1 de la norma EMV dedica 15 páginas a describir el proceso de selección de la aplicación.
Un identificador de aplicación (AID) se utiliza para identificar una aplicación en la tarjeta. Un AID consiste en un registro de proveedores de aplicaciones (RID) de cinco bytes, que es emitido por la autoridad de registro ISO / IEC 7816-5. Esto es seguido por una extensión propietaria identificador de aplicación (PIX) que permite que el proveedor de la aplicación pueda diferenciar entre las diferentes aplicaciones que se ofrecen. El AID debe imprimirse en todos los recibos EMV.
Card scheme RID Product PIX AIDVisaA000000003Visa credit or debit1010A0000000031010 Visa Electron2010A0000000032010 V PAY2020A0000000032020 Plus8010A0000000038010MasterCardA000000004MasterCard credit or debit1010A0000000041010 MasterCardPayPass Implementation Guides9999A0000000049999 Maestro (debit card)3060A0000000043060 Cirrus (interbank network) ATM card only6000A0000000046000 MasterCardA000000005Maestro UK (formerly branded as Switch)0001A0000000050001 American ExpressA000000025American Express01A00000002501 LINK (UK) ATM networkA000000029ATM card1010A0000000291010CB (France)A000000042CB (Credit or Debit card)1010A0000000421010 CB (Debit card only)2010A0000000422010 JCBA000000065Japan Credit Bureau1010A0000000651010 Dankort (Denmark) A000000121Debit card1010A0000001211010 CoGeBan (Italy)A000000141PagoBANCOMAT0001A0000001410001 Diners Club/DiscoverA000000152Diners Club/Discover3010A0000001523010 Banrisul (Brazil)A000000154Banricompras Debito4442A0000001544442 SPAN2 (Saudi Arabia)A000000228SPAN1010A00000022820101010 Interac (Canada) A000000277Debit card1010A0000002771010 DiscoverA000000324ZIP1010A0000003241010UnionPayA000000333Debit010101A000000333010101 Credit010102A000000333010102 Quasi Credit 010103A000000333010103 Electronic Cash 010106A000000333010106 ZKA (Germany)A000000359Girocard1010028001A0000003591010028001 EAPS BANCOMAT (Italy)A000000359PagoBANCOMAT10100380A00000035910100380 Verve (Nigeria)A000000371Verve0001A0000003710001 The Exchange Network ATM NetworkA000000439ATM card1010A0000004391010 RuPay (India)A000000524RuPay1010A0000005241010
Iniciar el proceso de aplicación El terminal envía el comando obtener opciones de procesamiento a la tarjeta. Al enviar este comando, el terminal proporciona a la tarjeta todos los elementos de datos solicitados por esta en la opciones de tratamiento de la información lista de objetos (PDOL). El PDOL (una lista de las etiquetas y las longitudes de los elementos de datos) está opcionalmente provisto por la tarjeta al terminal durante la Selección aplicación. La tarjeta responde con el perfil de intercambio aplicación (AIP), proporcionando una lista de las funciones que se deben realizar en el procesamiento de la transacción. La tarjeta también envía el localizador de expediente de solicitud (AFL), una lista de los archivos y registros que el terminal tiene que leer de la tarjeta.
Leer datos de aplicación En las Tarjetas inteligentes se almacenan datos en archivos. La AFL contiene los archivos que contienen datos EMV. Los datos se leen con el comando registro leído. EMV no especifica en qué archivos se almacenan los datos, así que todos los archivos tienen que ser leídos. Los datos de estos archivos se almacenan siguiendo las BER y el formato TLV. EMV define valores de las etiquetas de todos los datos utilizados en el procesamiento de tarjetas.
Restricciones de Procesamiento El propósito de las restricciones de procesamiento es comprobar si la tarjeta se debe utilizar. Se comprueban tres elementos de datos leídos en el paso anterior:
Número de versión de la aplicación El control de la utilización de aplicaciones (Esto muestra si la tarjeta es sólo para el uso doméstico, etc) Las fechas de aplicación efectiva / caducidad.
Si cualquiera de estas comprobaciones falla, la tarjeta no es necesariamente rechazada. El terminal establece el bit apropiado en los resultados de la verificación de terminal (TVR), los componentes de los que forman la base de una decisión de aceptar / rechazar más adelante en el flujo de la transacción. Esta función permite, por ejemplo, que los emisores de tarjetas permitan a sus usuarios seguir utilizando las tarjetas caducadas después de su fecha de caducidad, pero para todas las transacciones realizadas con una tarjeta caducada, obligar a realizarla en línea.
Autenticación de datos sin conexión Con la autenticación de datos sin conexión (offline) se pretende validar la autenticidad de la tarjeta empleando criptografía de clave pública. EMV contempla tres métodos diferentes dependiendo de las características del chip y las necesidades de seguridad: Autenticación de datos estática (SDA): Método que asegura que ciertos datos leídos de la tarjeta (por ejemplo, su fecha de caducidad) han sido firmados por la entidad emisora de la tarjeta. Esto evita que estos datos sean modificados (por ejemplo, ampliando la caducidad de la tarjeta), pero no impide la clonación de la tarjeta completa. Autenticación de datos dinámica (DDA): Método que proporciona protección contra la alteración de ciertos datos y la clonación de tarjetas completas. Esto se realiza mediante la firma dinámica (es decir, diferente en cada transacción) no sólo de los datos que se desea proteger sino también de un número aleatorio. Para poder aplicar DDA es necesario que el chip de la tarjeta sea capaz de realizar cifrados de criptografía de clave pública. Autenticación de datos combinada (CDA): Método que combina el SDA con la firma dinámica no sólo de ciertos datos sino de la transacción completa, lo que permite una mayor seguridad. Sin embargo, este proceso sólo puede realizarse cuando tanto tarjeta como terminal están actualizados para soportarlo.
Verificación del titular de la tarjeta La Verificación del titular de la tarjeta se utiliza para evaluar si la persona que presenta la tarjeta es el titular legítimo. Hay muchos métodos de verificación del titular de la tarjeta (CVMS) apoyados en EMV: Firma Plaintext PIN offline PIN cifrado offline Plaintext PIN y firma offline PIN y firma cifrada offline PIN Online No se requiere CVM Procesamiento de Falla CVM.