ARPC - ARQC Hakkında...

Chipli işlemlerde terminal, kredi kartını veya kart sahibini işlem anında doğrulamak zorunda ve EMV mantığına göre de 2 şekilde doğrulanabiliyor;

1. Offline (DDA, CDA): Kart ile terminal arasında gerçekleşir.

2. Online (ARQC, ARPC): Kart ile banka arasında gerçekleşir.

Benim anlatacağım kısım 2. Madde, 1. Maddeyi başka bir gün anlatırım.

ARQC-ARPC Nedir / Nasıl Hesaplanır?

Online tarafta, aşağıda anlattığım adımlar yani “kart-host banka” doğrulaması başarısız olursa maalesef bu hatayı alıyoruz.

İşlem, otorizasyon için Online’a çıkarsa, işte burada ARQC ve ARPC’nin önemi ortaya çıkıyor. Bu döngü 2 adımda gerçekleşiyor;

1.Adım - (ARQC- Application Request Cryptogram): Bu adımda; Issuer banka, kartın gerçekliğini yani doğru değerlerle basılıp basılmadığını, sahte olup olmadığı vb. adımları doğruluyor. Kart tarafından bazı değerler (Kart Numarası, İşlem Datası, Master Key) işlem anında hesaplanıp gönderiliyor. Her işlemde bu değer farklılaşıyor.

ARQC hesaplamasında genelde aşağıdaki EMV tag’ler kullanılıyor. “ICC” yazanlar karttan giden değerler olarak düşünebilirsiniz. Örneğin her işlemde ATC, Unpredictable vb. tag değerleri artırılıp, değiştirilip gönderiliyor. Ayrıca yine kontrol için “9F10 (Issuer Application Data) ve 9F26 (Application Cryptogram)” taglerini de problem durumlarında teşhis için kullanıyoruz. Piyasada, internette bir çok ARQC calculatorlar da mevcut. Siz bu değerleri girdiğinizde, otomatik hesaplıyor.

2. Adım - (ARPC- Application Response Cryptogram): Bu adımda, Online’dan gelen cevaba göre kartın, bankayı doğrulaması adımı yapılıyor. Bankanın kartı doğruladığı gibi kart da bankayı doğrulayabilir. Banka, ARQC değerini doğruladıktan sonra, ARQC değerini de kullanarak ARPC değerini oluşturur ve karta gönderiyor. ARPC değeri yanlış gelirse veya gelmezse işlem “079-ARQC Hatası” ile reddedilir. İki değerinde uyumlu olması durumunda “online kriptogram” doğrulaması başarılı olur, provizyondan “00-Başarılı” koduyla onay alınır, müşterinin POS ve ATM’den slipi basılıp, işlem sonlandırılıyor.

Örnek bir Visa ARQC-ARPC işlem akışı:

Olayın anlaşılması için aşağıdaki şekli paylaştım. Şekle dikkat ederseniz Online tarafa geçtiği anda ARQC-ARPC akışı, Issuer Banka ve Kart arasında başlıyor.

ARPC - ARQC Hakkında...

HSM Hakkında...

HSM (Hardware Security Module), hassas ve önemli kriptografik key’leri fiziksel ortamda saklamak ve güvenli şekilde işlem gerçekleştirmek için üretilmiş özel güvenlik cihazları. Genelde piyasada “Thales ve Safenet” HSM’leri mevcut.

Thales /Safenet dışında kullanılan HSM markaları da var:

-Atos Trustway ürünü var.

-IBM’in HSM’leri var. Genel de PCI kart tipi ürünler üretiyor.

-MTG’nin Ultimaco ürünü var.

-Procenne yerli firma, ProCrypt ürünü var.

- Tübitak’ın ortak ürettiği Dirak HSM’leri var.

HSM kullanılan sektörler:

-Bankalar/Ödeme Sistemleri (Kredi ve banka kartı işlemleri, POS, ATM, IVR, Mobil, İnternet Bankacılık vb. her türlü otorizasyon işleminde kullanılıyor.)

-Kripto Anahtar Yönetimi Desteği Veren Firmalar  (Firmalara simetrik ve asimetrik key oluşturma vb. danışmanlık veriliyor. Örneğin ZMK, KEK key paylaşımı vb.)

-Blok Zincir veya Kripto Para (Kripto para cüzdanlarının oluşturulması ve korunması HSM ile yapılıyor.)

-Elektronik İmza (Türk Trust gibi dijital sertifika firmaları; E-Fatura, Mali Mühür vb. uygulamalarda da kullanılıyor.)

HSM kullanımında ana kurallar:

Bu kurallar genel de yazılı olan, çok dikkat edilmesi gereken kurallar. Literatürde böyle maddeler var. Genel de 2. Ve 3. kurala hiç uymazlar :)

-İkili ya da Üçlü Kontrol Kuralı: Key parçalarının oluşturulması, saklanması ve yüklenmesi işlemleri en az 2 ya 3 da görevlinin birlikte çalışması gerekiyor. Bunu uygulamak için HSM’in bulunduğu kabinin de ikili kontrol sistemi ile açılıyor olması gerekiyor. Yani HSM’in bulunduğu kabinin ön anahtarı bir kişi de arka kapak anahtarı da başka bir kişi de olması gerekiyor. Bir de HSM ekranları, güvenlik kameraları tarafından görüntülenemeyecek şekilde olmak zorunda.

HSM kabin içine varsa rack kitleri veya raf üzerine “sarsıntıya” duyarlı şekilde monte edilmeleri gerekiyor. HSM donanımın yönetimi için kullanılan laptop veya bilgisayar sadece bu iş için kullanılacak ve HSM kabinlerinin içinde olması gerekiyor. Üzerinde herhangi bir ek yazılım olmaması tavsiye ediliyor.

-Key Yönetim Kuralı: HSM, hizmet verdiği tüm key’leri şifrelemek için kendi üzerlerinde kök veya master key tutar. Bu key’leri şifrelemek için kullandığı en hassas ve en gizli key, LMK (Local Master Key) ana şifreleme key’i olarak kullanılıyor.

En kritik olan, HSM ile üreticiden gelen smart kartlara istenilen adette parçalara bölünür. Genelde 3 adet key parçasından ana key’in elde edilmesi yeterli oluyor. Oluşturulan key parçaları kurumlarda AGG  (Anahtar Güvenlik Görevlisi) teslim edilmeli ve fiziksel güvenliklerinin sağlanması gerekiyor.

-Bilginin Bölüştürülmesi Kuralı: Hiç kimsenin AGG (Key Giriş Görevlisi veya Key Officer)’nin key parçalarının üçünü birden bilmemesi ya da key parçalarının saklandığı kasaların her üçüne birden erişim yetkisinin olmaması gerekiyor.

AGG’lere teslim edilen key’ler, açık formları ve smart kartlar güvenli kasalara, bir defa açıldığında tekrar kullanılamayan seri numaralı özel zarflara konulması gerekiyor. Kasaların anahtarları 2 farklı kişide olması gerekiyor. Yani AGG’ler kasalara direkt erişimi istenmiyor. Kasalardaki her türlü key bilgisini tutan smart card, form vb. işlemleri (Kasadan alınması, Kasaya konulması) form ile kayıt altına alınması gerekiyor.

HSM Hakkında...