Po několika letech diskusí přijala International Standard Organisation (ISO) v roce 1987 mezinárodní normu ISO 7816-1. O rok později vydala normu ISO 7816-2 definující účel a umístění kontaktů čipových karet.
K překvapení Francouzů definovala umístění čipu jinak, než se rozhodly francouzské banky. V roce 1990 řekl generální ředitel Société Générale Marc Viénot, že vhodnost vybudování systému bankovních karet ve Francii musí být znovu analyzována, a to ze tří důvodů:
1. Úspory nákladů nebyly přesvědčující a náklady na provoz systému platebních karet byly vyšší než plánované.
2. Je třeba řešit technické problémy, zejména tzv. chip killer terminal.
3. MasterCard a VISA se chystaly vyvinout nový systém proti podvodům, který nebude využívat francouzskou technologii čipových karet.
Generální ředitel Société Générale se obával, aby francouzské banky neinvestovaly do systému čipových karet, který kromě nich nebude používat nikdo jiný.
Chytré karty a bankovní asociace
Bankovní asociace Eurocard, MasterCard a VISA pozorně sledovaly vývoj a testování čipových karet. Již v roce 1984 si MasterCard objednal od poradenské společnosti Arthur D. Little studii o vhodnosti a možnosti použití francouzských paměťových karet v oblasti platebních karet. O rok později, v roce 1985, podepsal generální ředitel MasterCard International Russel E. Hoog smlouvu se společností MCTI, která byla americkou pobočkou Bull CP8, o provedení testovacího projektu paměťových karet ve Spojených státech. Stejnou smlouvu MasterCard uzavřel také s japonskou společností Casio Microcard. VISA International oznámila zahájení vývoje tzv. Super Smart Card – čipové platební karty s miniaturní klávesnicí a displejem.
Bull CP8 dodal v březnu 1986 14 000 platebních karet MasterCard Bank of Virginia a Maryland National Bank. Dalších 50 000 karet od firmy Casio, určených pro výběry hotovosti z bankomatů, bylo vydáno klientům First National Palm Beach Bank a Mall Bank. V následujícím roce MasterCard provedl vyhodnocení testů. Řídící výbor se 18. ledna 1987 usnesl, že testy přinesly dobré výsledky, ale některé technické otázky musí být více analyzovány.
| Jaké změny prodělal či ještě prodělá sazebník vaší banky? Kolik vás na poplatcích stojí úvěr? Umíte číst ve výpisu? Přečtěte si naše aktuální téma. |
EMV – bankovní čipové karty
V roce 1999 dosáhla úroveň podvodů s platebními kartami 4 miliard USD. Do roku 2005 se má tato částka zvýšit na 10 miliard USD. Protože karta s magnetickým proužkem již svůj potenciál vyčerpala, rozhodly se bankovní platební systémy v polovině 90. let vytvořit potřebnou infrastrukturu pro zavedení čipových karet. Banky však váhaly, zda novou technologii zavést, protože některé analýzy ukazovaly, že řídit riziko zneužití platebních karet lze efektivně i bez čipu a náklady na jejich celosvětové zavedení se odhadovaly až na 40 miliard USD.
V bankovnictví se vytvořily dvě skupiny bank: evropské banky prosazovaly zavedení čipových karet z bezpečnostních, ekonomických a marketingových důvodů (viz dále), zatímco americké banky zastávaly opačný názor. Situace ve Spojených státech totiž byla odlišná od Evropy. Byly zde kvalitní, dostupné a levné telekomunikační služby, které umožnily autorizovat on-line všechny transakce. Americké banky také vybudovaly moderní autorizační centra, která byla schopna analyzovat prováděné transakce a detekovat ty, u kterých bylo podezření na podvod, a ihned kontaktovat klienta.
V polovině 90. let Europay International zveřejnil výsledky své studie o čipových kartách, která přinesla tyto důvody pro jejich zavedení v bankovnictví:
1. Úspora provozních nákladů – významnou položkou provozních nákladů u magnetických karet jsou telekomunikační a autorizační náklady na ověření transakcí. Čipové karty umožní bezpečně uložit důvěrná data přímo v paměti mikroprocesoru a tím snížit potřebu on-line autorizací a s nimi spojených telekomunikačních poplatků o cca 80–90 %. Roční úspora by měla činit např. u systému Europay cca 500 mil. ECU ročně.
2. Ochrana proti podvodům – čipové karty nabízejí díky svému technickému řešení zvýšenou aktivní i pasivní ochranu proti zneužití karty neoprávněnou osobou, podvodným duplicitním transakcím a proti výrobě padělků. V paměti karty může být bezpečně uložen PIN klienta nebo jeho digitalizovaný podpis, fotografie apod.
3. Úvěrový management – vydavatel karty může zanést do paměti čipové karty finanční limity transakcí, které mohou býtověřeny off-line. Tyto limity je možné kdykoli změnit, během on-line transakce (např. v bankomatu), podle vývoje finanční
situace klienta. Transakce se autorizují on-line jen u překročení stanovených parametrů, náhodně vybrané platby a podezřelé transakce (z podnětu obchodníka).
4. Doplňkové služby – mohou přinést vyšší užitnou hodnotu bankám (Value Added Services) i uživatelům platebních karet. Paměť čipové karty umožní její souběžné použití pro bankovní i nebankovní aplikace (např. věrnostní programy obchodních domů, identi. kace zdravotních pojišťoven apod.).
5. Dálková změna aplikací – možnost dodatečně doplňovat, měnit, aktivovat a zmrazovat jednotlivé aplikace karty.
STANDARD EMV
Pilotní projekt francouzských bank ukázal, že čipové karty s mikroprocesorem přinášejí nepřehlédnutelné výhody a bylo třeba se na mezinárodní úrovni dohodnout na standardu, který budou banky používat. Nejprve VISA, Europay a MasterCard založily v roce 1994 společnou pracovní skupinu pro vytvoření norem pro čipové bankovní platební karty nazvanou EMV Group. Tato skupina vydala v roce 1996 první specifikaci zahrnující jednotlivé technické a provozní oblasti čipových karet. Postupně se k nim přidaly i American Express, Diners Club a JCB. Poslední verzi standardu EMV 4.0 vydala specializovaná organizace EMV v lednu 2001 a zohledňuje již i m-commerce.
EMV specifikuje požadavky na interoperabilitu mezi více aplikacemi čipu a interoperabilitu mezi čipem a terminálem. Tato interoperabilita je základem pro globální rozšíření čipových karet. Standard EMV má celkem 3 úrovně:
1. úroveň – elektromechanické charakteristiky, interface a přenosový protokol,
2. úroveň – výběr aplikace čipu (de. nují jednotlivé systémy) – brand,
3. úroveň – speci. kace pro implementaci v jednotlivých bankách nebo zemích.
Standardy EMV ´96 jsou sice uznávány jako celosvětový základ pro čipové aplikace na bankovních kartách, ale samy o sobě nejsou dostačující. Jednotlivé platební systémy (VISA, MasterCard ad.) pak na základě EMV de. nují podmínky pro své vlastní produkty. Produktovou speci. kaci vydaly asociace v roce 1999. Standardy MasterCard M/Chip a Open Platform VISA definují podmínky, které je třeba splnit, aby čipová karta i koncové zařízení (bankomat, platební terminál apod.) mohly pracovat s jednotlivými produkty VISA a MasterCard.
Podíváme-li se do standardů asociací, zjistíme, že plošně definují:
• dynamický záznam a mazání aplikací,
• bezpečné komunikační kanály mezi vydavatelem karty a kartou nebo jednotlivými aplikacemi,
• globální PIN, který může být bezpečně sdílen všemi aplikacemi.
Banky mohou velmi snadno zavést čipové karty pro debetní nebo kreditní karty (cena okolo 2,5 EUR). Některé z nich ale dávají přednost multifunkčním nebo multiaplikačním kartám, zejména ve střednědobé budoucnosti. Jejich cena se však pohybuje od 5 USD výše.Standard EMV de. nuje dvě metody ověření pravosti karty (CAM – Card Authentication Metod): statickou SDA (Static Data Authentication) a dynamickou DDA (Dynamic Data Authentication). U metody SDA terminál nebo bankomat ověří pravost karty kontrolou digitálního podpisu, který byl jednorázově vytvořen při personalizaci karty a bezpečně uložen do její paměti.
U metody DDA musí být karta vybavena kryptokoprocesorem, protože digitální podpis počítá při každém použití karty s použitím asymetrického algoritmu a privátního klíče. Bankomaty a platební terminály ověří pravost digitálních podpisů pomocí tzv. veřejného klíče.
MULTIAPLIKAČNÍ ČIPOVÉ KARTY
Čipové karty přinášejí možnost, aby byl čip sdílen i dalšími aplikacemi, které nejen zlevní investici do čipu, ale umožní nabídnout zákazníkům další služby. Typickým příkladem jsou věrnostní programy, on-line banking nebo PKI. Jak však zajistit, aby tyto aplikace mohly vedle sebe bezpečně a bez provozních problémů existovat? Jak zajistit, aby mohly být dodatečně měněny parametry aplikací, aby mohly být aplikace mazány a přidávány nové? Na to všechno již existují řešení.
Provozní prostředí každé multiaplikační čipové karty se skládá ze tří základních oblastí:
• operačního systému,
• Virtual Machine,
• Aplication Programming Interface (API).
NEBO
1. Operační systém čipové karty umožňuje používat programy vyvinuté jednotlivými výrobci. To zvyšuje možnost konkurence na trhu.
2. Virtual Machine slouží jako překladač mezi jazykem výrobce operačního systému a jazykem jednotlivých používaných
aplikací.
3. API je sada nástrojů nebo služeb, které jsou používány všemi aplikacemi. Slouží k tomu, aby jednotlivé aplikace (debetní karta, věrnostní program apod.) měly přístup k paměti karty, komunikaci a bezpečnostním prvkům.
Z tohoto vyplývá, že všechny aplikace mohou být vytvořeny a používány standardizovaným způsobem, což je důležité zejména pro zajištění bezpečnosti a interoperability karty. Tato jednotnost umožňuje vložit do karty aplikace i po jejím vydání (dálkově), takže vydavatel získává pružnost a přitom i kontrolu nad provozovanými aplikacemi. Např. zde existují procedury, které:
• otvírají bezpečnou komunikaci karty s okolím,
• uzavírají kartu, pokud je identi. kováno nebezpečí,
• veri. kují elektronické klíče ještě před tím, než jsou uloženy do paměti.
Důležitou součástí čipové karty je tzv. Card Manager, který zajišťuje konečnou kontrolu nad kartou a jejím obsahem. Podporuje celkem 4 funkce:
1. Distribuci povelů – přijímá a po verifikaci předává všechny povely příslušným aplikacím.
2. Řízení funkcí karty – kontroluje a řídí obsah karty (aplikace) podle požadavků vydavatele.
3. Řízení bezpečnosti – řídí všechny kontrolní bezpečnostní mechanismy karty (senzory teploty, četnosti transakcí, hesla mezi aplikacemi apod.).
4. Security Domain – slouží pro komunikaci a provádění operací typu loading, removal, iniciace a personalizace karty.
Aplikace – představuje služby, které vydavatel prostřednictvím karty nabízí (vlastní i cizí). U některých typů karet (Java Card, Mondex) je možné je změnit i po vydání karty. Aplikace mohou být v kartě personalizovány při jejím vydání, nebo mohou být jen zaznamenány ve „zmrazeném“ stavu s pozdější aktivací. Tento blokovaný stav je reverzibilní. U nižších typů karet nelze aplikace měnit a musí být dopředu do paměti karty nahrány s tím, že mohou být neaktivní až do obdržení povelu.
Provider Security Domain – mimo bezpečnostní doménu vydavatele karty mohou být vytvořeny separátní bezpečnostní domény pro každou aplikaci nebo skupinu aplikací. To umožňuje dalším dodavatelům služeb sdílet jednu čipovou kartu bez rizika ohrožení bezpečnosti svých aplikací (věrnostní program apod.). Vydavatel karty (banka) pak nemusí nést odpovědnost za monitoring a komunikaci „cizích“ aplikací a nemusí s nimi sdílet své vlastní klíče. Aby operační systém fungoval, musí bý stejné podmínky vytvořeny i na straně koncových zařízení (platební terminály, mobilní telefony apod.). Proto standardy asociací zahrnují také specifikace pro programy terminálů. V současné době existují 3 operační systémy používané pro bankovní čipové karty: MULTOS, Java Card a Windows for Smart Card.
reklama
Úryvek je z knihy "Encyklopedie platebních karet" vydané nakladatelstvím Grada Publishing, které vydává další publikace v edici FINANCE jako např:
Naučte se investovat, 2. rozšířené vydání
Investování pro začátečníky
Finanční matematika pro každého, 5.vydání
