Seleccionando una tarjeta EMV: Método de autenticación

El flujo de datos hacia y desde una tarjeta con chip se cifra de manera que no puede ser interceptada o manipulada en tránsito por terceros no autorizados. Hay tres métodos de autenticación que pueden ser utilizados por las partes que procesan las transacciones de tarjetas con chip: con datos estáticos SDA (Static Data Authentication), de forma dinámica DDA (Dynamic Data Authentication) y combinada CDA(Combined Data Authentication).

SDA utiliza la infraestructura de clave pública (PKI) para verificar que el contenido de una tarjeta con chip sea original, una debilidad de la SDA es que no pueden identificar la falsificación de tarjetas EMV que tengan todos los datos de de la tarjeta original copiados en la tarjeta falsificada.

Igual que SDA, DDA verifica el contenido de los elementos de las tarjeta EMV y además también detecta si la tarjeta EMV ha sido copiada y/o falsificado al forzar a la tarjeta a responder correctamente a una prueba específica. Las tarjetas DDA requieren un procesador criptográfico adicional y por lo tanto son más caras.

CDA es el tipo más avanzado y seguro de autenticación. CDA es similar a DDA con la funcionalidad adicional de que la verificación de la autenticidad se realiza mediante el uso de un criptograma. Como las tarjetas de CDA son más caros que las tarjetas DDA y proporcionan un nivel de seguridad que excede los requisitos de la mayoría de las aplicaciones pocos emisores han optado por implementar esta tecnología.

Visa, MasterCard y American Express exigen sus emisores utilizar como mínimo SDA para las transacciones EMV, sin embargo en todos aquellos terminales que aceptan transacciones fuere de línea es recomendable usar DDA.

Alternativas de tarjetas EMV

1) Especificaciones EMV según las marcas.- Hoy en día las instituciones financieras emisoras de tarjetas de todo el mundo, si aún no lo han realizado, se encuentran en el proceso de ejecución o de planificación de la migración a EMV.

En el caso de los miembros de MasterCard, las especificaciones EMV que deben cumplir es M/Chip, en el caso de VISA se llama Visa Smart Debit Credit (VSDC). Además, tanto American Express y JCB también han definido su propias versiones de EMV a utilizar. En el caso de JCB esto se llama "J-Smart".

2) Static vs Dynamic Data Authentication (SDA vs DDA).- Los terminales EMV deben ser capaces de autenticar que los datos generados por una transacción EMV proceden de una tarjeta original. Esto se puede realizar sin necesidad de que la terminal este en línea tanto con SDA como con DDA.

En el caso de SDA, la misma firma digital es usada por la tarjeta para autenticarse asimismo cada vez que se realiza una transacción fuera de línea, esto significa de que puede ser posible copiar los datos de la tarjeta, y crear un duplicado de la tarjeta usando tarjetas inteligentes programables.

Tarjetas SDA clonadas no pueden ser bloqueada si se utilizan en terminales fuera de línea, pero puede ser detectado tan pronto como la terminal ejecute una transacción en línea. Sin embargo
esta amenaza de clonación de las tarjetas SDA se considera una amenaza menor que la que actualmente se da con la tecnología de banda magnética.

A la fecha el uso de tarjetas SDA como tarjetas inteligentes EMV es lo más común ya que no requieren del co-procesador criptográfico RSA en el chip lo que hacen a las tarjetas mas costosas que una simple tarjeta SDA.

La solución recomendada para una mayor seguridad es usar DDA, porque protege contra la clonación, esto debido a que los terminales DDA pueden dinámicamente autenticar la tarjeta fuera de línea mediante el uso de co-procesador criptográfico RSA.

La desventaja de las DDA es que la exigencia de un co-procesador de RSA hace la tarjeta inteligente más cara que una tarjeta de SDA.

En todo caso MasterCard y VISA han definido las opciones de tarjetas inteligentes EMV de aplicación para SDA y DDA.