2.2 Nghiên cứu tổng quan về hệ thống thanh toán ATM hiện nay tại Ngân hàng
2.2.6 Bảo mật trong thanh toán ATM
Mô hình chung của một luồng thông tin xác thực cho giao dịch thẻ thông minh trước khi thực hiện giao dịch (Các thẻ thông minh EVM có thể coi là một sự mở rộng hơn so với thẻ thanh toán ATM thông thường bởi nó hoàn toàn được chấp nhận thanh toán trên ATM) như sau:
Hình 6: Luồng xác thực thông tin thẻ thanh toán
Với việc sử dụng bảo mật đa cấp cho hệ thống đa dịch vụ MULTOS, việc mã hóa thông tin sẽ bao gồm thông tin thẻ (thông tin nhà sản xuất, nhà phân phối), thông tin người sử dụng, dữ liệu chương trình và cả các thông tin điều khiển, cụ thể có thể phân thành 3 loại sau:
1. Mã khóa cho đơn vị phát hành thẻ:
Sử dụng 3DES cho ứng dụng của M/Chip và các thông điệp tải các phần cập nhật sau khi phát hành với 3 loại mã khóa sau:
Mã khóa xác thực trực tuyến Mã khóa xác thực tin nhắn Mã khóa bảo mật dữ liệu
Sử dụng RSA cho các mã khóa có tính xác thực thông tin liên quan đến các tổ chức phát hành hay thống kê (chẳng hạn VISA yêu cầu có
thông tin mã số để theo dõi, MASTER yêu cầu có số SERI chứng nhận xuất sứ…)
2. Mã khóa cho các ứng dụng
Cũng sử dụng cả hai phương thức 3DES và RSA cho mã hóa thông tin ứng dụng đi kèm. Với RSA, sử dụng để xác nhận từng đơn vị phát hành thẻ như một giấy chứng nhận. Ngoài ra có sử dụng thêm các mã khóa cho M/Chip:
Mã khóa động – Dynamic number: Khởi tạo các dãy số ngẫu nhiên khi xác thực dữ liệu thay đổi
Mã khóa xác thực DAC: Sử dụng 2 byte dữ liệu tĩnh do đơn vị phát hành thẻ cung cấp (chỉ áp dụng với các loại thẻ có yêu cầu xác thực dữ liệu nguồn)
3. Mã khóa vận chuyển
Sử dụng 2 loại mã khóa cho bao gồm mã khóa chủ điều khiển vùng và mã khóa PIN. Đối với mã khóa điều khiển vùng sử dụng 3 x 16 bytes cho 3 đơn vị: Đơn vị phát hành thẻ, đơn vị kinh doanh thẻ và đơn vị sử dụng thẻ (thường là ngân hàng). Mỗi đơn vị sử dụng 16 bytes của mình như một chữ ký số rồi gửi cho đơn vị sau để họ đưa vào HSM (Hardware Security Module) như một đầu vào để thực hiện mã hóa và giải mã thông tin.
Việc đưa vào các mã này nhằm mục đích xử lý tranh chấp khi hệ thống có trục trặc gây nên mất mát trong thanh toán thẻ.
2.2.7 Các dịch vụ hiện đại trong hệ thống eBanking 2.2.7.1 Duy trì các chức năng hiện tại