모바일 결재를 위한 호스트 카드 에뮬레이션 : 오늘날의 과제

카드 에뮬레이션 (HCE)를 호스트하는 것이 중요 지불 자격 증명이 아니라 전화 내부 보안 요소에 비해 저장소 공유 보안에 저장된 모바일 결제 보안에 대한 새로운 대안 접근 방식입니다. HCE 생태계의 탈레스 HSM을의 역할 요약 아래에서 찾을 수 있습니다.

HCE 콜 아웃

전체 생태계를 참조 이미지를 클릭

모바일폰을 이용해 실제 POS에서 신용 또는 직불카드 거래를 안전하게 처리하는 것은 도전이다. 마그네틱 스트라이프 카드기반의 지불 결재 시스템은 EMV 칩카드로 진화했고, 다음은 모바일폼 안에 SE(Secure Element)라는 보안 하드웨어가 탑재되어 사용자 결재 정보와 암호화키와 같은 지불 결재 관련 프로그램이 실행됩니다.

하지만 이 방법은 다양한 이유로인해 대규모 적용 테스트가 어렵다. - 부족한 모바일폰 표준, 복잡한 인증 요구사항, 무엇보다도 은행이 신뢰할 수 있는 제 3자에게 많은 통제들을 이관해야하는 것에 대한 저항이 많습니다. TSM 모델에서 은행은 일반적으로 모바일 네트워크 사업자 (MNO) 또는 휴대폰 제조 업체에 의해 제어되는 보안 요소에 '임대 공간'을 지급합니다. 이러한 문제점을 극복하고 신속하게 지원을 받기 위한 방안이 호스트 카드 에뮬레이션 (HCE) 입니다. HCE에서는 중요한 지급 자격 증명이 보안 공유 저장소 (발행자의 데이터 센터나 프라이빗 클라우드)에 저장됩니다. 제한된 사용 자격 증명은 비접촉 트랜잭션을 사용하기 위해 사전에 전화로 전달됩니다. 이 TSMs과 변화가 은행에 다시 제어에 대한 필요성을 제거하지만, 그것으로 보안 및 위험 문제의 다른 세트를 제공합니다. 우리의 HCE 백서를 다운로드합니다.

자세한 내용

호스트 카드 에뮬레이션에 대한 상세 설명

호스트 카드 에뮬레이션은 구글이 2013 년에 발표한 안드로이드 4.4 운영 시스템 (OS) , 코드명 KitKat 부터 시작되었습니다. NFC 컨트롤러와 비접촉 POS 단말기와 상호 작용을 위해 모바일폰의 프로그램을 활성화 합니다. 이 혁신 이전에는, NFC통신은 MNO 통제하의 SE(Secure Element)가 관여 하였습니다. 중요한 변화는 MNO와 비즈니스 관계가 필요없이 은행이 직접 최신의 안드로이드 폰에 비접촉식 모바일 결제 응용 프로그램을 제공 할 수 있습니다. 2014 년 2월 마스터 카드와 비자는 공식적으로 HCE 개념을 승인하였고 관련 사양에 대한 계획을 발표 하였습니다. HCE의 초기 (표준 및 인증이 개발 될 때)이 위험 축소를 위해 트랜잭션의 가치가 작겠지만, 가치를 증가시키기 위해서는 시스템 보안이 지원되어져야 합니다. 문제는 바로 보안, 위험과 사용자 경험의 품질 사이의 균형을 얻을 수있을 것입니다.

섹션 숨기기

호스트 카드 에뮬레이션과 관련된 위험 요소

  • 중앙 집중화 된 서비스의 설립은 지불 자격 증명의 수백만을 저장하기 때문에 공격의 명백한 지점을 만듭니다. 그래서 한 번 사용하는 자격 증명을 만들 수 있습니다. 은행이 수년 동안 카드를 발급한 거대한 오프라인 시스템이지만, 결재 토큰은 Round-the-Cloud를 요구하지 않습니다. 호스트 카드 에뮬레이션은 개별적인 결재 트랜젝션 때문에 실시간으로 온라인 접속이 가능해야 합니다. 이러한 서비스 플랫폼을 보호하지 않으면 발급 절차가 상당히 위험할 수 있습니다.
  • 전화가 더 이상 지급 자격 증명 저장소 역할을하지 않지만 여전히세가지 중요한 보안 역할을 담당합니다. 세 가지 자격 증명은 거래 정보의 도난 또는 교체의 기회를 만들 수 있습니다.
    1. HCE 서비스 카드에 저장된 데이터를 요청하는 응용 프로그램을 제공한다.
    2. 그것은 사용자가 인증하는 방법이며 결제 인증 정보를 제공하는 서비스입니다.
    3. 결제 POS 단말에 전달되는 동안 통신 채널을 제공한다
  • 모든 모바일 결제 방식은 기존의 카드 결제보다 더 복잡하고 아직 스마트폰 사용자의 기대는 매우 높습니다. 좋지 않은 모바일 네트워크 커버리지는 HCE 서비스에 액세스 할 수없도록 복잡한 인증 체계가 정지에 이르기까지 모든 것을 가져올 수있는 오류 및 소프트웨어 또는 하드웨어 비 호환성으로 이어질 수 있습니다. 유연한 접근 방식이 필요합니다. 자격 증명 캐시 및 위험기반 승인 표준이 성숙될 것이고, 인증의 필요성이 대두될 것 입니다.

모바일 결재 호스트 카드 에뮬레이션 : Thales e-Security 솔루션

Thales e-Security의 하드웨어 보안 모듈 (HSM), nShield 및 payShield는 HCE 기반 솔루션의 보안에 도움이 될 것 입니다. 지불 인증 정보는 얼마나 많은 키가 모바일폰안에 저장되어져야 하는지 유연성을 결정하는 발급자에 의해 HSM을 사용해 중앙에 저장됩니다. 따라서 오프라인 인증이 발행 위험 결정의 일환으로 지원되는 상황을 커버합니다. 온라인 인증 상황에서 발급자 비접촉식 모바일 결제 거래의 일부로서 실시간으로 전화 애플리케이션에 의해 생성 된 암호문을 확인하기 위해 HSM을 사용 (HCE 솔루션 일반적인 전개 모드) 합니다. 이 경우, 전화 애플리케이션의 보안 설계는 키와 중요한 데이터가 악의적인 공격에 의한 위험을 제한하도록 모바일폰 내부의 프로세스가 보장되어야 한다. 카드 제도는 은행이 HCE 서비스를 생중계하기 전에 (HSM을 포함 발행자에 대한 인터페이스를 포함한다) 모바일 결제 응용 프로그램 보안의 광범위한 유효성 검사를 실시하고 있습니다.

기대 효과

  • HCE를 위해 사용되는 Thales HSM은 EMV 카드 결제, 승인 그리고 발급에 사용 동일 HSM이다.
  • 검증된 HCE 기반 솔루션 사용을 위해 탈레스 파트너 에코 시스템을 사용가능하고, 자동으로 최신 카드 표준 호환이 가능합니다.
  • 신임 로딩 과정 중간자 공격을 제거, 발행 시스템과 전화기 사이의 하드웨어 기반 보안 세션을 만들기 위해 탈레스 HSM을 이용해 암호화 알고리즘 및 키 관리 체계의 범위에서 선택할수 있음
  • 기존 HSM 인증을 활용, FIPS 140 - 2 레벨 3 및 / 또는 PCI의 HSM, 감사 규정 준수를 단순화하고 최상의 키 생성/배포를 보장