Segurança em Transações Eletrônicas - owasp.org§a_em_Transações... · Criptograma Decifragem...

Segurança em Transações Eletrônicas A criptografia e o gerenciamento de chaves em terminais POS

Eu: Moisés Guimarães de Medeiros

  Especialista em Segurança da Informação – FATEC JP;

  Tecnólogo em Sistemas para Internet – IFPB;

 Desenvolvedor C na Phoebus Tecnologia desde 2006;

  Fascinado por criptografia;

 Músico, Atleta e N3rd.

Terminais POS

 Aprox. de 512KB a 16MB de RAM

  Impressora Térmica

 Display LCD

  Teclado integrado com PinPad

 Comunicação:   Ethernet

  GPRS

  Dial

  Lê cartões magnéticos e com chip

Cenário

 Recursos limitados   Baixa capacidade de processamento.

  Pouca quantidade de RAM disponível.

  Conectividade precária ou limitada.

  Tempo de resposta é crucial   O consumidor quer pagar e ir embora.

  O lojistas quer atender mais consumidores/min.

  O nosso cliente quer a transação aprovada em segundos.

  Segurança   Os dados do consumidor devem ser preservados.

Comunicação Segura

  Sigilo

Comunicação Segura

 Autenticidade

Comunicação Segura

  Integridade

Criptografia Simétrica

Mensagem Original Cifragem Criptograma

Chave

Criptograma Decifragem Mensagem

Original

Criptografia Assimétrica

Mensagem Original Cifragem Criptograma

Chave Pública

Criptograma Decifragem Mensagem

Original

Chave Privada

Servidor

POS

Master Session

Session Key Cifragem Working Key

Master Key

Working Key Decifragem Session Key

Servidor

POS

Master Session

SK (1..n) Cifra WK (1..n)

MK

WK (1..n) Decifra SK (1..n)

MK

WK(n) WK(n) WK(n)

Servidor

POS

Master Session

Dados Decifra &

SK

Dados Cifra &

SK

&

Master Session

  State of the Art (1980);

DUKPT - Derived Unique Key Per Transaction

  BDK – Base Derivation Key

  IPEK – Initial PIN Encryption Key

  KSN – Key Serial Number

BDK IPEK SK + KSN

Servidor

POS

DUKPT

Dados Decifra &

IPEK SK

BDK

Dados Cifra &

SK IPEK

&

KSN

Perguntas

Contato

 @moisesguimaraes