EMV Kriptografisinin Mevcut Durumu
EMV standardının şu anki versiyonu, POS terminallerinde ve kartlarda Açık Anahtar Altyapı kullanımını zorunlu kılmaktadır. EMV, yirmi yıl önce sunulduğundan beri, RSA, her ödeme ağının EMV uygulamasında Açık Anahtar Şifreleme algoritması olarak seçilmiştir. Her ödeme ağı bugün, Sertifika Otoritesi olarak görev yapar ve standartlaştırılmış EMV Açık Anahtar altyapısını desteklemek için kendi Açık Anahtar hiyerarşisini kurar ve korur.
EMV Anahtar Boyut Kısıtı
Açık Anahtar Şifreleme algoritmasının gücü, temel anahtar boyutuna doğrudan bağlıdır. Anahtar çiftler ne kadar uzun olursa, dolandırıcıların kripto düzenini “kırması”, yani “özel anahtar” ı, ilgili “ortak anahtar” bilgisine dayanarak hesaplaması daha zor ve karmaşık bir hal alır. Beklenen mali kazanca kıyasla, bu “hesaplama” süresinin, pratik olarak uzun ve pahalı olduğu kanıtlandığı sürece, güvenlik kabul edilebilir varsayılır, yani temel ödeme sisteminin güvenli olduğu beyan edilebilir.
Son 10 yılda bilgisayarların hesaplama gücünde artışlar, temelde GPU’ların çoğalmasıyla (geleneksel CPU’lardan daha fazla paralel işlem yapma özelliğine izin vererek) ve faktorizasyon tekniklerindeki artışlar gibi gelişmeler ile birlikte, 1408-bit’den daha kısa RSA anahtarların kullanımı artık güvensiz kabul edilmeye başlanıyor. Tüm ödeme şemaları, kart ihraç edenler ve kart kabul edenler kartların ve POS terminallerinin RSA anahtar boyutlarını 1408-bit olacak şekilde Ocak 2018'e kadar yükseltmesi gerektiğini bildirdiler. Daha sonra, 2025'ten itibaren, 1408-bit RSA anahtar boyutunun hizmet dışı bırakılması gerekecektir ve 1984 bit anahtarlar ile değiştirilecek. RSA 1984 bit anahtar boyutunun beklenen ömrü yalnızca 2027 yılının sonuna kadar olacaktır.
EMV’nin RSA kriptografisi ile yaptığı yolculuk bu noktada sona erecek, çünkü RSA anahtar boyutlarının 1984-bit’in ötesine geçmeye çalışılması, EMV standart komutunun izin verilen maksimum boyutunu ve yanıt mesajlarını geçecek ve protokol ile komut / yanıtın tam olarak yeniden tasarlanmasını gerektirecektir. Önümüzdeki on yıl boyunca, mevcut EMV mesajının temel yapısını korumak ve EMV standardının tasarımına yapılan büyük yatırımları tehlikeye atmamak için bir şeyler yapılmalıdır.
Yeni Nesil EMV RSA’dan Uzaklaşacak
Yeni nesil EMV, sürekli gelişen çipler ve POS donanımlarının artan işlem kabiliyetinden faydalanacak ve RSA’dan daha kısa bir büyüklükte ve çok daha verimli ECC algoritması (Elliptic Curve Cryptography) kullanılmaya başlanacak. Bu yaklaşım EMV mesaj yapılarının yeniden tasarlanması ihtiyacını tamamen ortadan kaldıracak ve mevcut EMV protokolünün temellerini koruyacaktır.
ECC’ye yönelik önerilen EMVCo değişimi, POS terminalleri ile ECC uyumlu EMV kartı arasında, POS cihazlarında saldırıları önleyecek güvenli kanal kurma aşaması da içerecektir. Şu anda çeşitli tiplerde güvenlik testleri yapılmaktadır.
“Y2K benzeri” EMV Yükseltmesi İçin Planlama
On yıl kısa bir süre. Ödemeler endüstrisi, tüm ihraç edilmiş EMV kartlarını yeni nesil kartlarla tamamen değiştirmelidir ve tüm EMV uyumlu POS terminallerindeki yazılımı 2027'ye kadar ECC gereksinimlerini tam olarak destekleyecek şekilde güncellemelidir. Bu, EMV’nin büyük “Y2K anı” dır. EMV mesaj yapısı ve temel protokol korunabilse de, ECC dijital imza ve şifreleme algoritmalarının RSA eşdeğerlerinden çok farklı olması, göçün bir parçası olarak önemli ve planlanması gereken bir değişimdir. Bu, dikkatlice planlanması ve yürütülmesi gereken bir büyük projedir.
