| 银行磁条卡防伪技术及规范使用的实务分析 |
|
| http://www.cnfp.net 时间：2004-6-23来源：中国金融采购网
作者：思诚
|
|
毋庸置疑，磁条卡是成熟和标准化的技术，但是存储容量小(国际标准化组织认可的磁条卡能存储226个字符)、数据保存时间短和易于复制的介质性缺陷也是客观事实。一些年来，磁条卡受到先天技术门槛过低的困扰，仅凭简单的磁条读写设备就可以复制磁条信息，巨额损失引致新应用局限，其生命力受到质疑，甚至被预测将很快退出银行卡的历史舞台。国内流通中的银行卡绝大多数是磁条卡，如何预防和控制伪卡欺诈问题日益引起各方关注。从长远考虑，EMV迁移是根本的解决方式，而成本巨大、工程浩瀚是决策层迟迟未下决心的顾虑所在。结合我国磁条卡运用广泛、数量巨大的实际情况，在诸多已为全球范围内实践采用和尚处在研究阶段的技术分析中，“两利相权取其重”：卡片验证码(C V N，Card Verification Number)仍是目前最为有效的磁条防伪措施，积极推进卡片验证码校验并且规范操作具有实际意义。
一、磁条防伪技术的
历史沿革与发展动态
追根溯源，磁条卡从20世纪60年代开始在伦敦、巴黎、芝加哥的交通系统中使用，到了70年代被大量引用到金融领域。至少在20年前，彩色磁条卡率先在日本流行，主要是由于日本的ATM磁条卡是附着在卡片正面，此后彩色磁条卡很快被介绍到全球其他区域市场中。美国的发卡商每月发行大约500万张彩色的磁条卡，其成本也随着用量的增加而大幅下降。最新进展是在彩色磁条上印制公司徽标，美国运通发行“蓝卡”时即采用了这种方式。
漂亮的磁条是对磁条卡产品的丰富，但其在防止磁性丢失和防范卡片欺诈等重要方面却乏善可陈。磁条卡的继续发展需要技术的进步和革新予以支撑。要使磁条不易受损，主要策略是增加矫磁力，保护磁条的编码数据避免受到工业化社会中普遍存在的磁场干扰，目前已经开始向4000奥斯特的矫磁力发展。防范欺诈的关键是防止对卡片数据的电子复制。20多年来，国际信用卡公司、卡片生产商等参与方在避免磁条被复制方面不遗余力地研发相关技术，并提出相应措施。万事达卡国际组织正在寻找一种防止数据窃取的技术，这种试验阶段的新技术被称为“磁印”，即通过使用一种升级的POS终端，读取每张卡片上不同的数字识别号，然后立即将该信息发送到发卡商处，以确定是否互相匹配。磁产品国际公司(MPIC)正在开发一种新的能够防止窃取数据的读卡器。
与此同时，MPIC正在试图在磁条上使用一种计算机硬盘读取和存储数据的磁致伸缩单元。磁致伸缩设备比目前POS中使用的感应头更加敏感。这样磁致伸缩单元能够更好地读取每个磁条微小变化组成的“跳变序列”。发卡商可以将卡的跳变序列存储在磁条上，这样，即使犯罪分子能够窃取诸如卡号之类的卡片信息，却不能窃取跳变序列信息。装有磁致伸缩单元的POS终端能够拒绝没有跳变序列的卡片，从而使磁条卡获得较强的安全效益。但其实现基础是必须重新以一种新的在磁条卡上存储跳变序列的方式发行。
TSSI公司在20世纪70年代推出的一种水印技术已经应用在7亿张磁条卡上，但是这种安全保密功能应用受到一定限制，因为为了体现水印技术安全特性就必须在终端装备TSSI的技术。可以看到：诸多已为实践采用或尚处在研究阶段的技术，均存在技术附加、替换流通中磁条卡或在磁条读写设备中增加相应功能的条件约束和门槛限制，普遍推广似乎缺乏说服力。
目光聚焦到国内，从一些典型的欺诈案例中惊人地发现，流通中的银行磁条卡的防伪能力普遍偏弱，简单的磁条读写设备、规律性卡号编排规则和写磁格式在受到攻击时显得没有还手能力。可喜的是，银行卡业已经洞察到这种本不该发生的现象并着手实施防范措施，这就是目前普遍使用的卡片验证码技术。
二、卡片验证码校验技术的
原理
实践表明：卡片验证码校验技术虽然仍无法防止“侧录”(skimming)侵害，但防范一般性伪卡欺诈的实施效果还是令人欣慰的。VISA于1989年推出．r卡片校验值(CVV，Card VerificationValue)措施，适用于所有VISA卡产品，规定未实施CVV的会员银行将承担发生的伪卡欺诈损失。MasterCard、JCB等也推出了类似技术，分别命名为C V C和CAV，其校验原理近似，防范伪造欺诈的实施效果显著。
卡片校验值校验的一般原理是：由银行卡卡号、有效期、服务代码、机构编码及密钥通过DEA(Data Encryption Algorithm)算法生成的一个3位数值，保存在磁条卡磁道中。完整的、未变更的磁条内容的读取与上送是CVV校验的必要条件。在联机交易时，收单行上送磁道数据，当转接方服务器收到收单行的授权请求时，首先检查收单行和发卡行处理器的参与标记(Participation Flag)，接着检测BIN号是否有效及处理器连线是否正常，然后比较卡的失效日期与发卡行提供的CVV启动日期，以确定是否进行CVV校验及应使用哪个CVV密钥。进行上述判断后，当满足收单行与发卡行BIN号有效、处理器工作正常、且上送的磁条内容完整、未变更等条件时才予以校验。授权方根据接收到的磁条数据重新计算CVV，并与接收到的CVV值进行匹配，据此判断持卡人使用卡片的真实性。一般转接方提供两种校验方式供会员选择：一种是转接方对所有合法交易进行CVV校验，并将交易发送给发卡行处理
器以供进一步校验；另外一种是发卡行选择由转接方对所有合法的交易进行CVV校验，并由转接方对CVV校验失败进行应答。
三、卡片验证码技术在国内的应用现状及问题解析
(一)实施现状
受国际银行磁条卡防伪技术实现效果的影响，为防范和控制近年来磁条信息被盗用事件屡有发生并造成较大额度损失的业务风险，国内各行大多从2001年前后开始采取了CVV或类似的磁条防伪措施。一些具体实施情况如表1所示。[[p align=center]][[image2]][[/p]]
从校验原理来看：有的行采用在第2、3磁道中分别写入卡片校验值；有的行采取了5位随机数，写入第3磁道的方式；有的行采取了在第3磁道写入6位加密校验值的方式。在无统一技术标准可参照的情况下，校验过程有一定差别。
从实现方式来看，实现磁条防伪功能的方式分为：对“老卡”(流通中的银行卡，下同)补写磁或换发新卡两种情况，其中对“老卡”补写磁又分为柜面补写或在ATM端补写，如表2所示。
无论哪种方式，系统改造均是实现基础，不同程度地涉及后台(主机、前置机)系统、终端机具的硬件改造和软件升级。在后台系统增加CVV信息校验功能模块，控制写磁次数以及判断写磁是否成功；在终端要更改ATM写磁和磁条读写驱动程序，更改POS驱动程序确保其完整读取、上送并处理磁道信息、和应答信息。
(二)实施中存在的问题解析
不可辩驳，卡片验证码及类似技术的应用与推广都将有效地防范欺诈风险，对民族银行卡产业的健康发展功不可没。而规范实施CVN技术是一项系统工程，涉及管理层的风险认知与重视程度、相关业务及技术部门的支持和配合、应用系统改造和软件升级、临柜人员培训和正确受理、对持卡人的适度宣传与解释等多个方面，需要人力、物力和财力投入。从整个银行卡产业健康发展的高度看，尽管多数成员机构已采取CVV或类似的技术措施，但仍存在诸多问题，简要归纳为：一是磁条校验措施缺乏统一规范，由于写入磁条位置不同、长度不等导致跨行交易无法正确校验或交易不成功。二是实施进度快慢不一。国有商业银行目前已经或已近完全实施。股份制商业银行实施进度快慢不一、比例不等，离全面实施还有距离。三是安全强度不足。多数成员机构采取的3位数值的卡片校验码，采用穷举法尝试XXX次即可破解。四是一些发卡机构未实施或在近期考虑实施。据抽样调查，城市商业银行、农村信用合作社等规模偏小的成员机构受经验不足或技术制约，卡片验证码在跨行交易中的校验效果仍需不断改进。
四、进一步推进卡片验证码
校验技术措施的几项建议
(一)尽快颁布相关技术标准
银行卡磁条信息格式的现行标准是《银行卡磁条信息格式和使用规范》(金融行业标准JR／T0009-2000)，该标准未对磁条信息校验做出规定。据了解，目前金融标准化技术委员会正在组织修订，提出我国自己定义的磁条防伪校验技术(CVN)，补充了“卡片验证码(CVN)使用、CVN算法、PIN校验码(PVN)使用”等内容，其原理与CVV、CVC近似，存放于第2磁道。金融终端处理银行卡交易时，必须同时读入并上送第2、3磁道信息。第2磁道作为交换磁道，各发卡机构在进行识别和信息交换时以第2磁道为准。据悉，修订版本正进一步论证，提交国家技术监督局审批作为国家标准发布实施。
表2部分成员机构卡片验证码实现方式一览表
[[p align=center]][[image3]][[/p]]
(二)银行卡监管机构牵头组织推进
技术标准的颁布为卡片验证码校验技术的规范实施指明了方向，而由于这一技术涉及应用系统改造，确保规范实施需要强化协调与组织，因此银行卡监管机构牵头组织推进将对实施效果产生直接影响。
1、下发有关推进卡片验证码校验措施的实施意见。银监会近期下发《中国银行业监督管理委员会关于加强银行卡安全管理有关问题的通知》的指导性文件，提出“各商业银行应采取卡片验证吗校验措施，提高磁条卡的安全陛。”在此基础上应进一步明确卡片验证码技术的推进期限和评估、检查要求，明确规定国内银行卡应全部过渡到《银行卡磁条信息恪式和使用规范》(修订稿)要求的截至期限；对至截至期限未达标准的银行卡一律停止受理，退出流通；要求收单行按照规定上送磁条信息，并正确识别应答信息；同时以适当方式向持卡人做好宣传解释工作，督促其在规定时间内到指定网点柜面补写卡片验证码。
2、组织专项检查。成立由监管机构、银行卡同业组织与国有商业银行业务、技术人员组成的评估检查小组，对磁条防伪措施，包括CVN、卡号屏蔽等内容进行检测、评估，并公布评估结果。对已采取CVN或类似卡片校验值校验技术的安全性或规范性进行评估，对未达到或与相关国家标准不一致的，应要求其在规定限期前予以规范；对未采用磁条验证码的，要求其在规定限期前完成对“老卡”补写磁或换发新卡工怍；对未正确上送磁条信息或没有正确识别应答的，要求其改进眼行卡受理系统(含终端机具)功耗，以此督促成员机构尽快规范
夹施。
3、制定相应的业务风险承担规则。主要内容为：一是在规定期限后发生的借记卡欺诈损失，由未增加CVN(或类似卡片验证码校验措施)的机构承担。二是因未正确上送或识别磁条卡信息，给发卡银行造成不良影响或严重影响跨行交易成功率的，按照不成功交易的笔数征收管理费用。三是对在规定期限前完成CVN改造的成员机构给予相应奖励。四是在境外联网项目中明确有关卡片验证码校验技术要求，风险承担规则比照前两条实施。
(三)CVN项目系统改造
目前未采用磁条验证码的发卡银行，主要是部分城市商业银行、农村信用社等发卡机构，需要进行CVN项目系统改造，主要包括后台(主机、前置机系统)、写磁设备和终端设备的改造和软件升级，其中，终端设备指ATM、POS、磁条读写器等受理终端，如图l所示。
l、后台系统改造或软件升级。主要概括为以下几方面工作：
一是发卡行后台系统应严格控制卡片补写磁，正确判断联机交易时银行卡是否已经写入卡片验证码，对每张卡进行补写磁操作后应在后台系统中将其标识为“不可写”，并立即对卡进行测试，若测试中出错且提示为“卡片未更新”，则在后台系统中将其重新标为“可写”。二是应用软件升级，增加正确读取上送的含卡片验证码的第2磁道信息并正确校验的功能。三是配置硬件加密设备，支持CVN校验功能。
2、终端设备改造或软件升级。
图1 CVN项目系统改造[[p align=center]][[image4]][[/p]]
在营业网点柜面添置写卡设备(或在现有磁条阅读器上增加写磁功能)，添加数量根据需补写磁的卡量和网点数量而定，一般情况下单个营业网点需要2台左右。根据实地抽样调查，营业员经专门培训讲解后，一般能保证读、写卡器的写磁成功率约为94％。整个补写磁道信息工作完成后，可将写卡器“写卡”功能屏蔽，当作读卡器用。若ATM具有写磁功能，则仅需机具供应商对运行软件进行升级。当ATM读不到CVN信息时，就会自动补写CVN。实际情况是：ATM补写磁道信息的稳定性较好，出错率较低，但改造后必须严格测试，防止写磁时出现交易中断。如果ATM或者POS机具不能正确上送第2磁道信息，就需要对ATM、POS进行改造；如果ATM、POS可以正确上送第2磁道信息，驱动程序中也应增加有关CVN磁道信息的参数。
3、建议采用换发新卡的实现方式。选择换发新卡实现方式应根据((银行卡磁条信息格式和使用规范》所规定的标准计算CVN，在打卡程序中增加将cVN写入第2磁道的功能，CVN在附加数据域的位置由发卡行自行规定。在实施进程中，可以考虑将“6”字头BIN号银联标识卡推广与CVN校验、卡号屏蔽等卡片安全防伪措施结合起来，将CVN作为“6”字头BIN号银联磁条卡的必备内容，同步推进。
还可以采用转接方代为提供的授权服务功能实现。由转接方对所有合法交易代校验CVN，并对校验失败进行应答。转接方对所有合法交易进行CVN校验，并将交易发送给发卡行进一步校验。
当转接方发现无效CVN并用发卡行无效cVN响应码回复收单行时，系统将产生包含无效CVN交易的通知报文，发卡行必须有能力接收并读取报文。被校验CVN无效或者发卡行处理器不正常时，要发出无效CVN响应码。
此外，如果银行卡发卡系统主机托管给第三方处理商管理，监管机构可以要求对技术开发和维护费用给予一定的优惠。
(四)相关安全管理建议
CVN项目实施中的相关安全问题，可从几个方面考虑：一是发卡行应严格管理包括密钥、CVN算法及写磁格式等内容；选择柜面补写CVN时应进行监控，在对磁条信息合法性验证的基础上，设置参数防范磁道信息被擅自复制。若CVN或密码校验累计发生一定次数以上的错误时，系统立即冻结该账户，防止推测行为，具体次数由各行自行规定；自动统计CVN或密码校验累计发生一定次数以上错误的可疑交易的功能，打印交易报表。发卡行据此及时联系持卡人并视情况更换卡片。二是防范添加CVN步骤中的管理风险。后台系统应对ATM补写成功有相应记录；对于在网点柜面补写的，应指定窗口柜台，设定一定级别的操作权限，并实施监控；
对于已经补写磁的银行卡终端机具也应有相应提示；对换发新卡的成员机构，应制定换卡方案，注意对回收卡的处理，确保未采取CVN措施的银行卡及时、安全地退出流通领域。
文中涉及的有关技术性表述也许有失严谨，但规范磁条防伪校验技术应用和提请有关机构推进CVN项目实施、防范欺诈风险是本文实务分析的初衷所在。正如开篇所述，随着磁条技术、特别是防伪技术的不断研发与应用，希望通过同业的共同努力使伪卡欺诈早日淡出我们的视线。
|
|
|
|
|
企业认证 | 
供应商会员服务 | 金融机构服务 | 操作帮助
资讯搜索
一周热点新闻排行