部落格

EMV(Euro Pay, MasterCard, Visa)

三種卡片認證方法(SDA, DDA, CDA)

五種卡片擁有者驗證方法(online PIN, offline plaintext PIN, offline encrypted PIN, handwritten signature, no card holder verification)

兩種交易方法(offline, online)

Phases

1.Initialization

把卡片插進去讀卡機，讀卡機會告訴卡片現在要做什麼事(刷卡、提款)，並向卡片要要卡片資訊。

2.Card Authentication

他是一步一步演進的。

一開始是SDA(Static Data Authentication)，他的做法是講卡片的號碼、到期日子等等一起由發行者進行數位簽章。

weakness：can be replayed, so card can be cloned，若卡片被複製則離線驗證可以一直成功。

接著發表DDA(Dynamic Data Authentication)，除了有SDA的功能又多了一項新的方式-他將challenge-response用卡片的非對稱是鑰匙進行數位簽章。

T → C: INTERNAL_AUTHENTICATE(data specified by DDOL)
C → T: sign_SIC( ICC Dynamic Data;H(ICC Dynamic Data, data specified by DDOL) )

weakness：card authenticated, but not the transaction，因為交易資訊完全沒有受到保護的機制。

最後是CDA(Combined Data Authentication)，擁有以上兩項之外，他將交易資訊也放入簽章裡面。

SDAD = sign_SIC ( nonce_IC, CID, AC, TDHC,H(nonce_IC, CID, AC, TDHC, nonce_Terminal) )

3.Cardholder Verification

PIN：online/offline(Unencrypted、Encrypted)

Handwritten signature

Nothing

4.Transaction

online：傳ARQC(Authorisation Request Cryptogram)給銀行for approval，銀行傳回TC(Transaction Certicate)來確認交易；若是拒絕則回傳ACC(Application Authentication Cryptogram)。

offline：沒傳ARQC，僅傳TC或ACC。