Seguridad

Transaccional
Ene, 2010
Coro, Venezuela
Ing. Gonzalo Barbosa Berjn
AMBIENTES
ELECTRONICOS
Caractersticas generales
Autenticacin. Este es un
proceso para confirmar que la
persona que origina la transaccin
realmente es el usuario de la
tarjeta. Esta autenticacin puede
ser hecha generalmente con Clave
(PIN) o con cdula.
Confidencialidad. Consiste en
proteger secretamente los datos de
la transaccin, ante la intercepcin
de la informacin por personas, esto
se hace a travs de la encripcin del
PIN y su procesamiento apoyado en
medios fsicos.
Caractersticas generales
No rechazo. Si una transaccin vlida
es hecha, ningn sistema involucrado en la
transaccin puede denegar la transaccin.
El log de archivos o tablas guarda la
actividad del registro y lo conserva para
futuras consultas.
Integridad: Asegura que los datos no
han sido alterado, corruptos o cambiados.
Si un cambio a los datos ocurre, entonces
la autenticacin no coincidir. Existe una
validacin de datos que sirve para
chequear la integridad de lo mismos,
conicida como MAC. El cual es un
requisito en algunos paises para
interactuar con las redes
Sistemas encriptadores
Sistemas con llave Privada.
Se usa la misma llave para encriptar y
desencriptar. Ambas partes deben
conocer la llave. Se requiere
compartir una llave por cada sistema
con el que se decida cambiar
informacin. (DES, 3DES)
Sistemas encriptadores
Sistema de llave pblica.
Se usa una llave para encriptar y
otra para desencriptar. (RSA), Un
software muy conocido que usa
este sistema es PGP
Algoritmo de encripcin DES
Encripcin. Es el proceso que codifica un
mensaje para que sea leido solamente por
un sistema que conozca el algoritmo usado
para tal fin. Tpicamente algoritmos
matemticos son aplicados a mensajes que
usan llaves que alteran su contenido.
(Privacidad).
DES (Data Encryption Standard). IBM
desarroll originalmente el DES en 1977.
Esto ha sido especificado en los estndares
ANSI X3.92 and X3.106, el estndar Federal
FIPS 46 and 81, tambin por el ISO de DEA-1
(Data Encryption Algorithm 1)
Administracin de llaves
The Hardware Security Module (HSM)
Es la consola de configuracin provee un
mecanismo para configurar los esquemas de
administracin de llaves soportados por
Postilion.
El esquema de administracin de la llave de
sesin maestra usa llaves Data Encryption
Algorithm (DEA1) llaves compartidas entre
varias zonas de seguridad. Las llaves son
usadas para encriptar, desencriptar y
verificar datos intercambiables entre las
partes. Cada una de las dos partes
comparte una llave inicial.
Administracin de llaves
Cuando se crea una llave administrativa usando
una llave inicial DES o 3DES, se encripta las
llaves de operacin tambin. La llave inicial se
refiere a la llave maestra, y la llave
operacional como una llave de sesin. (La llave
maestra no debe confundirse con la SMK o
LMK, Llave almacenadora maestra que es nica
por cada mdulo y amacenada en forma segura
en un HSM.)
HSMs usualmente almacenan una llave
fsicamente en el Mdulo, llamada LMK, en
otros Storage Master Key (SMK).
Antes de que cualquier esquema de
administracin de llaves sea configurado, la
LMK o SMK debe ser ingresada en el HSM.

Es muy importante indicar que la
informacin de los componentes de una
llave de seguridad debe almacenarse
preferiblemente en lugares separados.
El acceso y custodia de esta informacin
debe ser asignada por lo menos a dos
personas las cuales tienen mitades
distintas de la informacin de cada
llave.
Si la LMKo SMK se pierden, el HSM ser
alimentado con la misma llave SMK y
recargarse al mdulo. Caso contrario
hay que ingresar la nueva SMK y la
totalidad de las llaves debido que todas
son creadas de nuevo.
Administracin de llaves
Tipo de llaves
Tipo de llaves
Key Encryption Keys (KEK), Llave
encriptora de llaves, es usada para encriptar
llaves operacionales como llave la PIN o la de
MAC. Y es ingresada nicamente por PINPad

Key Working PIN (KWP). Llave de trabajo de
PIN, Las terminales son alimentadas con
llaves KEK o maestras para encriptar esta
llave. Cada que la terminal inicia deber
intercambiar esta llave. La cual es encriptada
bajo una llave maestra o KEK.
Esta se alimenta mediante un criptograma
que es obtenido de la encripcin de la KWP
bajo la KEK asociada.
Tipo de llaves
Key Verification PIN (KVP), Llave de
verificacin de PIN usada para validarlo.

Un PIN jamas debe ser almacenado en una base
de datos en claro, siempre son verificados
criptogrficamente contra un valor llamado
offsetPIN.
Para los casos de asociacin de un PIN a la
banda, se verifica contra el PIN Verification
Value (PVV).
Las llaves KVPs estan disponible para dos
formatos actualmente:
Visa PIN (Double-length keys) 32 digitos
IBM PIN (single-length keys). 16 digitos

Tipo de llaves
Message Working Autenthication (KWA).
Llave de autenticacin del mensajes, se usa
entre dos sistemas que necesitan verificar que
un mensaje no ha sido alterado. Esta llave
puede ser intercambiada encritndola bajo una
KEK. En algunos paises es de uso obligatorio
Key Verification Card (KVC). Es la llave
verificadora de tarjetas. Se usa para chequear
que una tarjeta (Track2) no ha sido alterada.
Este dato se obtiene de un subcampo en el
track2. Postilion calcula el CVV usando esta
llave, tambien llamada (CVK).

Los datos para la validacin son PAN, Fecha
Expiracin y Cdigo Restriccin del servicio.
IDLL
El Intercambio Dinmico de LLaves, es un
proceso dirigido a cambiar las llaves con las
cuales se encriptan los PINes y/o se calcula el
MAC cuando existe. Esto con el fin de evitar
riesgos de filtracion a una llave y los datos
puedan ser desencriptados.
Pueden existir diferentes factores para realizar
este proceso:
Nmero de Transacciones
Nmero de errores al intentar validar una clave
A una hora determinada.
Cada que se hace conexin entre las partes
MAC
Esta dirigido a mantener la integridad de los
componentes mas sensibles de un mensaje y
evitar que sean alterados en el flujo de envio y
recepcin del mismo.
Se habilitan el campo P-64 o el S-128.
Se trabaja ASCII Hex. Con longitud de 8 o 16
bytes
Se calcula MAC a todo mensaje financiero y a
todo su contenido, menos al campo PINBLOCK.
Se calcula MAC a mensajes admitivos 0800 y
0810 que manejen intercambio dinamico de
llaves.
0800 y 0810 de Echotest, Logon y Logoff no
tendran MAC.
Caracteristicas de
seguridad
en Postilion RealTime
Proteccin de Hotcards
Para evitar que tarjetas perdidas o
robadas se aprueben, Postilion cambia su
estado en Postcard, evitando que pasen
luego de ser cambiadas de estado,
mediante mensaje en linea 0322 o en
batch.
Si un tarjeta Habiente reporta perdida su
tarjeta y luego indica que la encontr,
significa que habra que devolver el
bloqueo por perdida de dicha tarjeta. A
menos que las polticas del emisor de la
tarjeta no lo contemplen
CVV, Verificacin de tarjeta
El PAN se usa junto con otros datos para
calcular el valor del CVV de 3 dgitos y es
almacenado en un lugar en el track 2.
Este proceso lo hace el emisor de la tarjeta
mediante llaves de seguridad llamada CVK.
Cada que una trasaccin requiere verificar
la tarjeta, se hace el calculo del valor
junto con ciertos campos ISO.
Al final de los 8 pasos del mtodo, deben
tenerse los 3 caracteres numricos que
componen al CVV, corresponden a los 3
primeros nmeros


En algunos casos, el Track2 no est
disponible. Regularmente esto pasa cuando
la entrada del PAN se hizo en forma manual
(Tx. Voz, Internet).
Postilion en este caso puede chequear si la
tarjeta es fraudulenta verificando el (CVV2)
ya que la entrada del campo fu
manualmente, usando fecha de expiracin, 3
ceros a cambio de servicio de restriccin y la
llave misma de encripcin CVK que valida el
CVV.
Importante conocer que la validacin del
CVV2, cuando es hecha por algunas las redes
se usa con formato MMYY en la fecha de
expiracin.
CVV, Verificacin de tarjeta
Procesamiento de PIN
El buen uso del PIN depende enteramente de
su secreto. Esto es escencialmente que tener
en secreto un PIN no es un compromiso real de
la institucin. Solo una medida.
La autenticacin PIN no se har nunca con una
coincidencia de informacin en alguna base de
datos, siempre es con procedimeinto EFT antes
dichos. (Contra banda o en base de
datos)
Postilion provee emision de tarjetas con los
siguientes servicios de procesamiento de PIN:
Traduccin de PIN. Al llegar o salir del sistema
Verificacin de PIN. Si se es emisor y hay las
llaves.
Traduccin de PIN
Traduccin de PIN
Postilion desencripta y encripta el PIN
Block (Campo ISO 52) que llega de un
Nodo Origen, usa la llave compartida
con la otra parte y reencripta el PIN
Block usando la llave compartida con el
Nodo destino.
El PIN block encriptado bajo la llave que
Postilion comparte con el Nodo destino a
ser verificado.
La traduccin de PIN establece varias
zonas de seguridad

Verificacin de PIN
Postilion puede verificar ambos tipos de
PINes seguros e inseguros. Postilion soporta
2 esquemas de verificacin de PIN:
Esquema VISA PIN.
Esquema IBM PIN.
Con la verificacin de tarjeta, 2 valores son
calculados cuando el PIN se emite: El PIN
actual, que solo debe ser impreso en
sobreflex de seguridad, y uno recalculado
de 4 dgitos para el PIN Verification Value
(PVV).
Este PVV es almacenado en el Track2 de la
tarjeta o en la base de datos de Postilion,
segn las polticas de emisor.
Verificacin de PIN
Este valor es comparado con el PVV en el
Track 2 o en la base de datos.
Postilion previene PINes fraudulentos
haciendo bloqueo temporal de la tarjeta
luego de 3 o X intentos en el da.
Cuando 3 PIN han fallado sucecivamente
en la misma tarjeta, har que se decline
hasta el siguiente da, o cuando el
banco lo indique todas las transacciones
a esa tarjeta.
3DES

El 3DES es usado con una doble longitud de una
llave DES (128 bits de largo, con 112 BITs
efectivos).
La encripcin de 3DES de un valor es hecha en
tres partes. Se encripta la llave con la primer
parte, luego se desencripta con la segunda
parte y nuevamente se encripta con la primer
parte o una tercera si esta se tiene definida.
Si una llave tiene 56 bits de largo, entonces es
2^ 56 (que es: 72,057594,037927,936) llaves
posibles.
3DES incrementa el nmero de intentos por
fuerza bruta de 2^ 56 a 2^112 combinaciones.
DISPOSITIVOS CRITPOGRAFICOS
El Incognito TSM310 mostrado
es uno de los dispositivos
criptogrficos PCI de alto
rendimiento, usado como un co-
procesador en un servidor.
Designado para brindar alto rendimiento,
servicios de alta seguridad, el TSM310 es
una tarjeta para Switch EFT, servidores e-
commerce y servidores de red movil.
Soporta encripcin en DES, 3DES y RSA.

Existiendo otro dispositivos como THALES Y
ATALLA igualmente cerrados por software
Preguntas