Chirkov.net: блог

На прошлой неделе присутствовал на демонстрации оптического DPA/CAP ридера от Gemalto и даже разжился таким устройством. Суть технологии заключается в том, что в приложение интернет-банка встраивается специальный виджет от Gemalto, который представляет из себя мигающую полоску. Это полоска на конкретном экране масштабируется под размеры считывающих датчиков ридера и миганием передает параметры подписываемой операции: номер счета, сумму и т.п. Ридер, который подносится к экрану считывает это мигание и транслирует параметры операции на экран ридера. Параметры прокручиваются пользователем, правда в неудобоваримом виде DATA1=NNNNNNNNNNNN, DATA2=MMMM.MM и так далее и подписываются PIN-кодом карты. Ридер на основе загруженных в него параметров транзакции и ключей карты генерит криптограмму, которая проверяется хостом.

Отличие от реализованного DPA/CAP на основе генерируемого хостом челленджа заключается в том, что пользователь вроде бы контролирует параметры подписываемой транзакции и исключается гипотетическая угроза “человек в середине” (мошенник который подменяет реальные параметры операции пользователя). Утверждать, что технология юзабельнее для пользователя я бы не стал, потому что ввести челлендж в ридер совсем не сложно – гораздо сложнее прочитать сгенерированную криптограмму с экрана ридера (для VISA это 10 цифр а для MC аж 12). Считать эту последовательность с экранчика ридера не так уж и просто, гораздо сложнее, чем ввести на клавиатуре устройства челлендж, так что пользования технологией это практически не облегчает, а вот безопасность повышает.

Описание технологии на сайте Gemalto.