EMV QR Hakkında...

QR formatında ortak bir standardının kullanımı için EMVCo firması tarafından bazı çalışmalar yapılıyor. İlki 2017 yılında yapıldı, 2018 yılında da müşteri ve terminaller için yeni güncellemeler geldi. 

Burada EMVCo’nun amacı QR konusunda ortak standartlar oluşturmak. QR kod yapısında TLV (Tag-Length-Value) formatında bir dizin mevcut, sonunda da CRC doğrulama değeri var.

 

Aşağıda bizim de devamlı ilgilendiğimiz EMV alanları var, aşina olmanız için paylaşıyorum;

 

Örneğin: 

 

·        Payload Format Indicator: QR versiyon vb. ID bilgilerini tutuyor.

·        Merchant Category Code (MCC): Üye işyeri kodu

·        Country Code: Ülke kodu

·        Merchant Name: İş yeri adı

·        CRC: Doğrulama değeri. EMV dokümanına göre ISO standartı baz alınarak doğrulama değeri oluşturuluyor.

EMV QR Hakkında...

Koli Barkod Hakkında

Bankalar bazen kartları koli halinde toplu gönderebiliyor. Koli barkod, kartların ayrı bir koli ile gönderilmesi için kullanılan bir barkod numarası.

 

Bu kullanılan numaralar “EAN-13” standartlarına yani Avrupa Article Birliğine uygun olarak üretiliyor. Buradaki EAN kodunu, belirli standartlara göre ülkemizde TOBB organize ediyor. Yani belirli bir standartları var, kafanıza göre bu numaraları üretemezsiniz.

 

Koli Barkodda toplam 13 hane var, şöyle sıralanıyor:

Ø  Ülke Kodu        3 Hane

Ø  Firma Kodu      4 Hane

Ø  Ürün Kodu       5 Hane  

Ø  Kontrol Hanesi  1 Hane

 

Daha kolay anlaşılması için aşağıda dosya formatında anlattım;

 

Giden Kurye Dosyasında; Koli barkod numarası ve barkod numarası bilgileri aşağıdaki formata benzer şekilde yer alıyor. Kurye firması, koli barkod alanı dolu olan kayıtları ayrı bir koli ile teslimatını yapıyor.

 

Koli Barkod No	Barkod No	Şube
1111111111111	1111111111111	Merkez

 

Kurye Gelen dosyasında; Firma, banka tarafından iletilen koli barkod numarası ve altındaki tüm barkodlar için ayrı ayrı dağıtım bilgilerini banka ile paylaşıyor.

 

Koli Barkod No	Barkod No	Şube	Dağıtım Durumu
1111111111111	1111111111111	Merkez	Şube Yetkilisine Teslim

 

Bu yapının bankaya ne tür avantajı ya da katkısı var?

-      Banka, X şubesine gönderilecek 100 adet kart için gönderi başına örneğin 2 TL ödediğini düşünürseniz 2X100= 200 TL bir maliyeti oluyor.

 

-      Koli barkod yapısında ise kurye firması koli bazında gönderi ücreti alıyor. Dolayısıyla banka, 1 koli gönderim ücreti 50 TL ise burada toplu gönderim yaparak 100 adetlik kart gönderiminden 150 TL tasarruf etmiş oluyor.

Koli Barkod Hakkında

Barkod Üretimi Hakkında

Ödeme sistemleri dünyasında, barkod numarası bir çok alanda (Kredi kartı Ekstresi, Kurye ile Kart dağıtımı vb.) kullanılıyor. Bugün bizde kurye ve barkod mantığı nasıl ilerliyor onu anlatmak istedim. 

 

Ayrıca ekte gönderdiğim “Koli Barkod Neden Kullanılır?” mailime de bakabilirsiniz. 

 

Bir kart için basım / barkod üretim / kurye süreçleri aşağıdaki gibi oluşuyor:

-        Kart Başvurusu girilerek kart numarası üretilir. 

-        Kart basım dosyası oluşturma aşamasında dağıtım için kullanılacak barkod numarası üretilerek basım dosyasına eklenir.

-        Basım firmasına basım talebi iletilir.

-        Kart tutucusunun üzerine barkod numarası basılarak kartın fiziki basımı yapılır. Fiziki basılan kart, “Kurye” firmasına iletilir.

-        Banka tarafından “Kurye dosyası” oluşturularak (ya da web servisle, bizde şu an web servisle ilerliyoruz) barkod numarası bazında kurye için gerekli bilgiler “Kurye firmasına” iletilir.

-        Kurye tarafından fiziki iletilen kart bilgileri ile Kurye dosyası ya da web servisle iletilen bilgiler karşılaştırılarak mutabakat yapılır. 

-        Dağıtım sonucu barkod numarası bazında “Kurye firması” tarafından bankaya iletilir.

-        Dağıtım ve mutabakat işlemleri “barkod numarası” üzerinden yapılır.

 

Kısacası Barkod Numarası, kartların kurye ile dağıtımı için olmazsa olmaz bir değerdir. Bir karta ait n adet barkod üretilmiş olabilir, fakat 1 barkod, 1 karta ait olmalıdır.

 

Not: Kartın dağıtım adedince barkod numarası üretilir. Örneğin; bir kart 3 kez Vade yenileme, Emboss yenileme vs. nedenleri ile yenilenmişse aynı kart numarası altında 3 farklı barkod numarası üretilmiş olabilir.

 

Örnek bir Barkod:

Barkod Üretimi Hakkında

ARPC - ARQC Hakkında...

Chipli işlemlerde terminal, kredi kartını veya kart sahibini işlem anında doğrulamak zorunda ve EMV mantığına göre de 2 şekilde doğrulanabiliyor;

1. Offline (DDA, CDA): Kart ile terminal arasında gerçekleşir.

2. Online (ARQC, ARPC): Kart ile banka arasında gerçekleşir.

Benim anlatacağım kısım 2. Madde, 1. Maddeyi başka bir gün anlatırım.

ARQC-ARPC Nedir / Nasıl Hesaplanır?

Online tarafta, aşağıda anlattığım adımlar yani “kart-host banka” doğrulaması başarısız olursa maalesef bu hatayı alıyoruz.

İşlem, otorizasyon için Online’a çıkarsa, işte burada ARQC ve ARPC’nin önemi ortaya çıkıyor. Bu döngü 2 adımda gerçekleşiyor;

1.Adım - (ARQC- Application Request Cryptogram): Bu adımda; Issuer banka, kartın gerçekliğini yani doğru değerlerle basılıp basılmadığını, sahte olup olmadığı vb. adımları doğruluyor. Kart tarafından bazı değerler (Kart Numarası, İşlem Datası, Master Key) işlem anında hesaplanıp gönderiliyor. Her işlemde bu değer farklılaşıyor.

ARQC hesaplamasında genelde aşağıdaki EMV tag’ler kullanılıyor. “ICC” yazanlar karttan giden değerler olarak düşünebilirsiniz. Örneğin her işlemde ATC, Unpredictable vb. tag değerleri artırılıp, değiştirilip gönderiliyor. Ayrıca yine kontrol için “9F10 (Issuer Application Data) ve 9F26 (Application Cryptogram)” taglerini de problem durumlarında teşhis için kullanıyoruz. Piyasada, internette bir çok ARQC calculatorlar da mevcut. Siz bu değerleri girdiğinizde, otomatik hesaplıyor.

2. Adım - (ARPC- Application Response Cryptogram): Bu adımda, Online’dan gelen cevaba göre kartın, bankayı doğrulaması adımı yapılıyor. Bankanın kartı doğruladığı gibi kart da bankayı doğrulayabilir. Banka, ARQC değerini doğruladıktan sonra, ARQC değerini de kullanarak ARPC değerini oluşturur ve karta gönderiyor. ARPC değeri yanlış gelirse veya gelmezse işlem “079-ARQC Hatası” ile reddedilir. İki değerinde uyumlu olması durumunda “online kriptogram” doğrulaması başarılı olur, provizyondan “00-Başarılı” koduyla onay alınır, müşterinin POS ve ATM’den slipi basılıp, işlem sonlandırılıyor.

Örnek bir Visa ARQC-ARPC işlem akışı:

Olayın anlaşılması için aşağıdaki şekli paylaştım. Şekle dikkat ederseniz Online tarafa geçtiği anda ARQC-ARPC akışı, Issuer Banka ve Kart arasında başlıyor.

ARPC - ARQC Hakkında...

HSM Hakkında...

HSM (Hardware Security Module), hassas ve önemli kriptografik key’leri fiziksel ortamda saklamak ve güvenli şekilde işlem gerçekleştirmek için üretilmiş özel güvenlik cihazları. Genelde piyasada “Thales ve Safenet” HSM’leri mevcut.

Thales /Safenet dışında kullanılan HSM markaları da var:

-Atos Trustway ürünü var.

-IBM’in HSM’leri var. Genel de PCI kart tipi ürünler üretiyor.

-MTG’nin Ultimaco ürünü var.

-Procenne yerli firma, ProCrypt ürünü var.

- Tübitak’ın ortak ürettiği Dirak HSM’leri var.

HSM kullanılan sektörler:

-Bankalar/Ödeme Sistemleri (Kredi ve banka kartı işlemleri, POS, ATM, IVR, Mobil, İnternet Bankacılık vb. her türlü otorizasyon işleminde kullanılıyor.)

-Kripto Anahtar Yönetimi Desteği Veren Firmalar  (Firmalara simetrik ve asimetrik key oluşturma vb. danışmanlık veriliyor. Örneğin ZMK, KEK key paylaşımı vb.)

-Blok Zincir veya Kripto Para (Kripto para cüzdanlarının oluşturulması ve korunması HSM ile yapılıyor.)

-Elektronik İmza (Türk Trust gibi dijital sertifika firmaları; E-Fatura, Mali Mühür vb. uygulamalarda da kullanılıyor.)

HSM kullanımında ana kurallar:

Bu kurallar genel de yazılı olan, çok dikkat edilmesi gereken kurallar. Literatürde böyle maddeler var. Genel de 2. Ve 3. kurala hiç uymazlar :)

-İkili ya da Üçlü Kontrol Kuralı: Key parçalarının oluşturulması, saklanması ve yüklenmesi işlemleri en az 2 ya 3 da görevlinin birlikte çalışması gerekiyor. Bunu uygulamak için HSM’in bulunduğu kabinin de ikili kontrol sistemi ile açılıyor olması gerekiyor. Yani HSM’in bulunduğu kabinin ön anahtarı bir kişi de arka kapak anahtarı da başka bir kişi de olması gerekiyor. Bir de HSM ekranları, güvenlik kameraları tarafından görüntülenemeyecek şekilde olmak zorunda.

HSM kabin içine varsa rack kitleri veya raf üzerine “sarsıntıya” duyarlı şekilde monte edilmeleri gerekiyor. HSM donanımın yönetimi için kullanılan laptop veya bilgisayar sadece bu iş için kullanılacak ve HSM kabinlerinin içinde olması gerekiyor. Üzerinde herhangi bir ek yazılım olmaması tavsiye ediliyor.

-Key Yönetim Kuralı: HSM, hizmet verdiği tüm key’leri şifrelemek için kendi üzerlerinde kök veya master key tutar. Bu key’leri şifrelemek için kullandığı en hassas ve en gizli key, LMK (Local Master Key) ana şifreleme key’i olarak kullanılıyor.

En kritik olan, HSM ile üreticiden gelen smart kartlara istenilen adette parçalara bölünür. Genelde 3 adet key parçasından ana key’in elde edilmesi yeterli oluyor. Oluşturulan key parçaları kurumlarda AGG  (Anahtar Güvenlik Görevlisi) teslim edilmeli ve fiziksel güvenliklerinin sağlanması gerekiyor.

-Bilginin Bölüştürülmesi Kuralı: Hiç kimsenin AGG (Key Giriş Görevlisi veya Key Officer)’nin key parçalarının üçünü birden bilmemesi ya da key parçalarının saklandığı kasaların her üçüne birden erişim yetkisinin olmaması gerekiyor.

AGG’lere teslim edilen key’ler, açık formları ve smart kartlar güvenli kasalara, bir defa açıldığında tekrar kullanılamayan seri numaralı özel zarflara konulması gerekiyor. Kasaların anahtarları 2 farklı kişide olması gerekiyor. Yani AGG’ler kasalara direkt erişimi istenmiyor. Kasalardaki her türlü key bilgisini tutan smart card, form vb. işlemleri (Kasadan alınması, Kasaya konulması) form ile kayıt altına alınması gerekiyor.

HSM Hakkında...

Taksit Turlarında Kuruşluk Fazlalıklar...

Taksit turlarında neden 0.1 TL lik fazla tutarlar oluşur?

Örneğin; 1000 TL lik, 5 taksitli bir işlem için, taksit tutarı 200 TL hesaplanıyor.

Diğer bir örnek; 1000TL lik 3 taksitli bir işlem için, taksit tutarları nedir;  333.34 — 333.33 — 333.33 tür.

1000 TL 3’ e eşit bölünemediği için;

-Eşit taksit tutarı önce hesaplanır.  Bu 333.3333333333333 TL dir. Virgülden sonraki 2 hane alınır. Bu da 333.33 TL dir.

-Eşit taksit tutarı ile, taksit adedi çarpılır. 333.33 * 3 = 999.99 TL yapıyor. Burada 0.01 TL’lik bir miktar artmaktadır. Bu da genelde ilk takside eklenir.

-Bu durumda ilk taksit 333.33 TL + 0.01 TL = 333.34 TL yapar.

Taksit Turlarında Kuruşluk Fazlalıklar...

POS Bankası Kart Bankası Farklı Olursa...

Takasta “geri ödeme değerleri (reimbersment) ” denen bir kavram vardır.

A bankasının POS’undan B bankasının Kredi Kartıyla bir işlem gerçekleştiğinde, bu işlem bu iki banka arasında bir para alışverişine sebebiyet vermektedir.

Örneğin;

A bankasının POS’undan 1000 TL’lik B bankasının bir kartı ile işlem geçirilsin.

Takaslaşma anında ( genelde bir sonraki gün) B bankası ( Kart sahibi banka) , A bankasına ( POS sahibi bankasına )  kabaca 1000 TL lik işlemi 960 TL olarak gönderir. ( Türkiye için arada BKM’nin, yurt dışı işlemlerde VISA ya da MC’nin komisyonu da vardır). Buradaki kesintiye takas komisyonu denmektedir.

Kart sahibi banka ( B bankası) , kendi kartının başka banka POS’larından kullanılmasından kazançlı çıkar.

Burada A bankasının kar/zarar dengesi kendi işyeri ile arasındaki anlaşmaya göre farklı şekiller kazanabilir.

A bankası, başka banka kartları ile yapılan işlem bedellerini bir sonraki gün kendi hesabına ( tam olarak olmasa da ) alır ve işyeri ile anlaşmasına göre bu parayı 30-40 gün blokeli kullanabilir ya da 920 TL gibi bir rakam ile işyerine öder ve 40 TL kazanır.

POS Bankası Kart Bankası Farklı Olursa...