Europay Mastercard Visa, abrégé par le sigle EMV, est depuis le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs : Europay International (absorbé par Mastercard en ) ; MasterCard International ; Visa International ; rejoints au sein de l'organisme EMVCo (basé aux États-Unis) par : depuis , le japonais JCB International ; depuis , l'américain American Express ; depuis , le chinois UnionPay ; depuis , l'américain Discover .
Cette nouvelle technologie, dont la première version des spécifications est parue en , tire profit de la puce intégrée à la carte.
En France, depuis fin , l'ancien système national Cartes Bancaires (CB) utilise désormais les cartes au standard EMV et l'ensemble du parc des terminaux de paiement électroniques (TPE) a été mis à jour.
Principales caractéristiques : interopérabilité internationale (quel que soit l'émetteur de la carte et quel que soit le terminal de paiement) ; vérification et chiffrement de la clé personnelle par la puce ; gestion plus ouverte de plusieurs applications sur la carte : débit/crédit, points de fidélité, porte-monnaie électronique, authentification forte.
Avantage de l'EMV Le standard international EMV spécifie l'interopérabilité entre les cartes EMV à microprocesseurs (cartes à puces) et les terminaux de paiement EMV à travers le monde. Le passage à EMV sur les cartes de paiement apporte les deux avantages suivants : amélioration de la sécurité (entraînant une réduction de la fraude) ; un contrôle plus précis pour les transactions par carte bancaire « hors ligne » (c'est-à-dire sans demande d'autorisation bancaire). L'un des objectifs initiaux des spécifications EMV était de permettre le déploiement de cartes « multi-applicatives », c'est-à-dire que plusieurs applications peuvent tenir sur une seule et même carte, par exemple : une application « débit » pour débiter le compte courant ; une application « crédit » pour débiter la réserve de crédit associée distincte du compte courant ; un porte-monnaie électronique (Moneo).
Le choix de l'application peut être effectué, soit de manière automatisée (c'est-à-dire sans intervention du porteur, en paramétrant l'application qui sera prioritaire), soit en demandant le choix au porteur (par exemple, « comptant » ou « crédit »).
Les spécifications EMV apportent une très nette amélioration de la sécurité pour les transactions par carte à puce par rapport aux transactions par piste magnétique, où la seule sécurité dans ce cas reste uniquement le contrôle de la signature du titulaire et une inspection visuelle de la carte (pour vérifier la présence de l'hologramme, la cohérence des numéros...). L'EMV permet l'utilisation d'un code PIN et des algorithmes cryptographiques tels que DES, Triple-DES, RSA et SHA afin de permettre à la carte et au terminal de s'authentifier mutuellement. Ces opérations cryptographiques prennent relativement peu de temps. Elles peuvent être complétées par une demande d'autorisation bancaire (systématique à l'étranger). Le renforcement de la protection contre la fraude a permis aux banques et émetteurs de cartes de crédit de « transférer les responsabilités » vers les commerçants. Ceux-ci sont maintenant responsables (depuis le en Union Européenne) de toute fraude qui résulte de transactions sur les systèmes qui ne sont pas compatibles avec les spécifications EMV.
Bien que n'étant pas la seule méthode d'authentification possible, la majorité des implémentations de cartes et terminaux de paiement EMV exigent la saisie d'un code PIN (code confidentiel), au lieu ou en plus de la signature du reçu papier. À noter, l'obligation de saisie du code PIN dépend de la configuration de la carte et des terminaux. À l'étranger, il sera peut-être simplement demandé de signer. En France, pour les transactions supérieures à , les deux modes d'authentification sont obligatoires.
Commandes EMV La spécification EMV s'appuie sur la norme ISO/IEC 7816 pour les échanges entre le lecteur et la carte. En particulier, la partie 3 de la norme définit les protocoles de transmission pouvant être utilisés pour les échanges entre le lecteur et la carte à puce en mode contact, tandis que la partie 4 définit le format des échanges au niveau applicatif, basé sur les APDU. Le lecteur est maître du dialogue: il émet les commandes auxquelles la puce répond après traitement.
L'EMV utilise les commandes suivantes (normalisées ou spécifiques):
application block ; application unblock ; card block ; external authenticate (7816-4) ; generate application cryptogram ; get data (7816-4) ; get processing options ; internal authenticate (7816-4) ; PIN change / unblock ; read record (7816-4) ; select (7816-4) ; verify (7816-4).
Les commandes types « 7816-4 » sont définies par la norme ISO/IEC 7816-4. Ces commandes sont utilisées par différents types de cartes à puce comme les cartes SIM pour la téléphonie mobile.
Transaction EMV Une transaction EMV s'effectue selon ces étapes : sélection de l'application EMV (CB, VISA...) ; initialisation de l'application ; lecture des données de l'application ; lecture des restrictions d'utilisation ; authentification des données hors ligne ; identification du porteur (Code confidentiel, Signature...) ; gestion du risque côté terminal ; analyse du risque et action terminal (Paiement accepté hors ligne, refusé hors ligne, Autorisation requise) ; première analyse du risque côté carte ; demande d'autorisation en ligne (le cas échéant) ; deuxième analyse du risque côté carte ; exécution du script final émetteur (mise à jour des paramètres carte, blocage...).
Sélection de l'Application EMV La norme ISO/IEC 7816 définit un processus de sélection de l'application. Cela permet à la carte de disposer d'applications totalement différentes, par exemple CB EMV, Moneo, ou même une application non bancaire, « privative ». L'EMV permet de déterminer le type d'application présente dans la carte. Tous les émetteurs de cartes (Visa, MasterCard, etc.) doivent avoir un identifiant d'application qui leur est propre. La méthode de sélection de l'application tel que défini dans les spécifications EMV peut toutefois poser des problèmes d'interopérabilités entre la carte et le terminal.
Le champ application identifier (AID) est utilisé pour identifier l'application présente dans la carte. Les octets de ce champ permettent d'identifier l'émetteur (RID : registered application provider identifier) tel que défini par la norme ISO/IEC 7816-5. Il est suivi par le champ PIX (proprietary application identifier extension) qui permet d'identifier l'application propre à l'émetteur (Visa debit, visa electron de chez Visa par exemple). L'AID figure sur l'ensemble des reçus de carte de paiement EMV.
Émetteur RID Produit PIX AIDVisaA000000003Visa classique (débit ou crédit)1010A0000000031010 Visa Electron2010A0000000032010 V PAY2020A0000000032020 Plus (Carte de retrait seulement)8010A0000000038010MasterCardA000000004MasterCard classique (crédit ou débit)1010A0000000041010 MasterCard9999A0000000049999 Maestro3060A0000000043060 Cirrus (Carte de retrait seulement)6000A0000000046000 MasterCardA000000005Maestro délivrée uniquement au Royaume-Uni0001A0000000050001 American ExpressA000000025American Express01A00000002501 LINK (UK) ATM networkA000000029Carte de retrait1010A0000000291010CB (France)A000000042CB (Carte bancaire française de paiement et retrait)1010A0000000421010 CB (Carte bancaire française de paiement et retrait, à autorisation systématique)2010A0000000422010CB (Carte bancaire française de retrait seul)3010A0000000423010CB (Carte bancaire française de paiement seul)4010A0000000424010CB (Carte bancaire française de paiement seul, à autorisation systématique)5010A0000000425010 JCBA000000065Japan Credit Bureau1010A0000000651010 Dankort (Danemark) A000000121Debit card1010A0000001211010 CoGeBan (Italie)A000000141PagoBANCOMAT0001A0000001410001DiscoverA000000152Diners Club/Discover3010A0000001523010 Banrisul (Brésil)A000000154Banricompras Debito4442A0000001544442 Saudi Payments Network (Arabie saoudite)A000000228SPAN1010A00000022820101010 Interac (Canada) A000000277Carte de débit1010A0000002771010 Discover CardA000000324ZIP1010A0000003241010UnionPayA000000333Debit010101A000000333010101 Credit010102A000000333010102 Quasi Credit 010103A000000333010103 Electronic Cash 010106A000000333010106 Zentraler Kreditausschuss (Allemagne)A000000359Girocard1010028001A0000003591010028001 Euro Alliance of Payment Schemes (Italie)A000000359PagoBANCOMAT10100380A00000035910100380 Verve (Nigeria)A000000371Verve0001A0000003710001 The Exchange Network ATM NetworkA000000439Carte de retrait1010A0000004391010 RuPay (India)A000000524RuPay1010A0000005241010GIM-UEMOAA000000337RETRAIT01 000001A000000337301000Huit pays en Afrique de l'OuestSTANDARD01 000002A000000337101000Benin, Burkina Faso, Côte d'IvoireCLASSIC01 000003A000000337102000Guinée-Bissau, Mali, NigerPREPAYE ONLINE01 000004A000000337101001Sénégal, TogoPREPAYE POSSIBILE OFFILINE01 000005A000000337102001PORTE MONNAIE ELECTRONIQUE01 000006A000000337601001GIMACA000000656Carte de débit1010A0000006561010 ПРО100 (Russie)A000000432Universal Electronic Card0001A0000004320001EdenredA000000436Ticket Restaurant (Belgique)0100A0000004360100SodexoD250000012Ticket Restaurant (France)1010D2500000121010Apetiz D250000012Ticket Restaurant (France)2000D2500000122000
Initialisation de l'Application EMV Le terminal envoie à la carte la commande get processing options. Après l'envoi de cette commande, le terminal fournit à la carte l'ensemble des informations dont elle a besoin et figurant dans une liste d'objets nommée processing options data objects list (PDOL). Cette liste est envoyée au terminal lors de la sélection de l'application. La carte envoie ensuite la liste des fichiers et enregistrements que le terminal doit lire (AFL : Application File Locator)
Sécurité informatique et carte EMV vignette|upright|Un lecteur d'authentification CAP.
Depuis , il est possible d'utiliser sa carte de type EMV afin de s'authentifier de manière forte. Le nouveau protocole CAP () permet de générer un .
Voir aussi Articles connexes Groupement des Cartes Bancaires CB Carte de paiement Identité numérique Certificat numérique Authentification forte
Liens externes Groupement cartes Bancaires Terminal de paiement EMV Ingenico le site officiel EMVco en anglais
Notes et références
Catégorie:Monétique Catégorie:Carte à puce Catégorie:Sécurité informatique