カード決済のセキュリティ的な問題点とその対策、IC チップの決済とその仕組み - カンムテックブログ

エンジニアの佐野です。カンムはカード決済のサービスを提供しています。カード決済にはいくつかの決済手段があり、マグストライプ、IC、IC非接触(俗に言うタッチ決済)、オンライン決済などの機能が提供可能です。iD のようなスマートデバイスにカード情報を入れてスマホでタッチ決済する仕組みもあります。カンムのプロダクトであるバンドルカードはマグストライプとオンライン決済、Pool はマグストライプとオンライン決済に加えて IC接触決済、IC非接触決済(タッチ決済)を提供しています。今日はセキュリティ的な観点から各種決済手段の特徴や問題点とともに、主に IC 決済の仕組みについて小ネタを交えつつ書いていこうと思います。カンムが提供しているカードは Visa カードでありクローズドな仕様や confidential なものについては言及することはできませんが、公開仕様であったり一般的な事柄のみを用いて

[sushinama]

“マグストライプはカード決済の中では最も古い決済手段”カーボンコピーとかあるんじゃない？

[kaorun]

本文中にも少しあるけど、同じ店舗でもICはPIN必要、タッチ決済はPIN不要という現在の基準はセキュリティ面から見るとよくわからない。

[hiro7373]

アメリカは未だにサイン中心なのはなんとかしろ。クレカ普及が早かったが故のイノベーションのジレンマ的なやつだが。日本もSuica普及したせいで非接触クレカ普及しなくて悲しい

[Palantir]

もうマグにCvvは書いてない(固定値)から、Cvvはいわゆる裏面の3-4桁の番号でだいじょうぶ。　/ めっちゃいいまとめだと思いました。手書きでシーケンス書くのめっちゃ分かる

[Dai44]

“このマークがついているのはハードウェアが非接触インターフェイスを備えているという意味であって、ソフトウェアであったり店舗側の業務も対応しているかは別問題です。” 手数料の件でJCBオフにしてたり()

[efcl]

クレジットカードのICチップ、認証周り

[otchy210]

スマホのタッチ決済だったらスマホの生体認証が有効になっていれば PIN 不要になる説明つくけど、物理カードだとなぜタッチの方がセキュリティ弱めていいのか説明つかんよな。

[hiroomi]

“タッチ決済を含むICチップ決済を65535回以上行うとこのカウンタの上限を突破します。カードの有効期限を5年とした場合、IC を使った決済を毎日36回やり続けると5年以内にこれに到達する計算になります。”

[hide_nico]

“ATC の存在を書きましたがこれは2バイトのキャパシティがあり上限は 0xFFFF = 65535 です。つまりタッチ決済を含むICチップ決済を65535回以上行うとこのカウンタの上限を突破します”

[Guro]

“マグストライプはカード決済の中では最も古い決済手段で”それ以前に非電算、カードエンボスをカーボン読み取り（「インプリンタ」っていうのか）して紙の請求を送る時代、というのはなかったんだっけ？

[t_f_m]

2023年6月の記事 / "ICチップ決済を65535回以上行うとこのカウンタの上限を突破します。これを超えるとたぶんそのカードでの IC 決済は不可能になります"

[sotarok]

この内容がブログに書かれるの凄すぎる…

[madridNewyork]

“個人的には今は泥臭い不正対策で頑張っている”大変そうだな、頑張ってください

[circled]

磁気カードはコピー可能 → 問題じゃね？ → カード情報を本人確認した上で、決済に必要なトークンを発行して、生体認証が必要な領域に暗号化し保存すれば安全じゃね？無くしても再発行出来るし？ → Apple Pay

[ext3]

最初の図で挫折

[uva]

「状況によって求められる本人認証方法が変わるのがこのフェーズの特徴です」これ面白いなー

[barycom]

勉強になる

[hatest]

わかりやすくするための画像なんで、字は丁寧に書いたほうがいいと思う

[mugi_sisyou]

タッチ決済の上限金額 https://www.watch.impress.co.jp/docs/series/suzukij/1400301.html

[ya--mada]

皆さま向けにクレカの仕組みが如何にアレかを整理してくださるの有り難き。

[TakamoriTarou]

物理カードの非接触だと1万円までだが、スマホだと画面をロック解除で3万とか5万まで行けるとかあって、一体どうやってんだろうと思ったが、その設定はカード側にあるのか。なるほど。

[tkysktmt]

おもしろい

[OkadaHiroshi]

物理カードは非接触ICで安産性が増したと思うが、カード番号は有効桁数9桁ぐらいだしCVCが3桁というのはオンラインではどう見てもセキュリティー的に脆弱であるように感じる。(下2桁程度を保存している業者も多い)

[k_enoki]

“Authorization”