Der EMVCo-Sicherheitsbewertungsprozess dient der Zahlungsbranche dazu, die Sicherheit der zugrundeliegenden Chiptechnologie gegenüber einem entschlossenen Angreifer zu gewährleisten. EMVCo arbeitet seit 2005 mit anerkannten unabhängigen Laboren zusammen, um EMV-integrierte Schaltkreise (ICs), Plattformen und integrierte Schaltkreiskarten (ICCs) zu evaluieren. Inzwischen wurde der Umfang auf eingebettete Secure Elements (eSE), System-on-Chips (SoCs) und IoT-Zahlungshardware erweitert. Die Evaluierung ist bewusst als Angriffssimulation konzipiert: Ein Labor untersucht Design und Implementierung, erstellt eine Schwachstellenanalyse und führt anschließend einen Penetrationstest durch, um die Widerstandsfähigkeit des Produkts gegenüber einem Angreifer mit hohem Angriffspotenzial zu ermitteln. Der Bericht wird an EMVCo weitergeleitet, das daraufhin eine ICCN für ein IC-Produkt oder eine PCN für eine Plattform vergibt.
Keysight begleitet diesen Prozess von Anfang bis Ende. Wir sind für die Durchführung von IC- und Plattformbewertungen sowie Kryptobibliotheksanalysen akkreditiert und werden von allen großen Zahlungssystemen – Visa, Mastercard, American Express und Cartes Bancaires – für die Durchführung von ICC-Bewertungen akkreditiert. Wir unterstützen Sie von der Bedarfsanalyse und Vorbewertung bis hin zur formellen Kampagne und dem Bericht, den EMVCo für die Zertifizierung benötigt.
- Geltungsbereich und Registrierung
- Design- und Dokumentationsprüfung
- Schwachstellenanalyse
- Penetrationstests
- Berichterstattung und Zertifizierung
- Wartung und Erneuerung
Erkundung und Abgrenzung
Wir ermitteln, welche Bewertung für Ihr Produkt – IC, Plattform oder ICC – relevant ist und wo die Zielgrenze liegt. Da zusammengesetzte Produkte die Ergebnisse der darunterliegenden Schicht übernehmen, entscheidet die korrekte Festlegung der Grenze darüber, ob der Chip erneut getestet oder sein Zertifikat wiederverwendet werden muss.
Design- und Dokumentationsprüfung
Die Bewertung basiert auf Ihrer Designdokumentation, Ihrer Sicherheitsarchitektur und Ihren Richtlinien. Wir prüfen diese frühzeitig, solange eine Feststellung noch eine Designänderung und keine bloße Überarbeitung darstellt. Bei Gesamtbewertungen überprüfen wir in diesem Zuge auch, ob Sie die in den Richtlinien des zugrunde liegenden Zertifikats festgelegten Bedingungen erfüllen, was häufig zu unerwarteten Problemen im Nachhinein führt.
Schwachstellenanalyse
Unsere Experten analysieren Ihre Design- und Implementierungsinformationen und erstellen eine strukturierte Analyse potenzieller Schwachstellen Ihres Produkts. Dies bildet die Grundlage für alle weiteren Schritte: Das Ergebnis ist eine priorisierte Auswahl von Tests für die Penetrationskampagne, keine generische Checkliste. Gerade in dieser Phase ist die Vorbewertung besonders wertvoll, da die gewonnenen Erkenntnisse kostengünstig umzusetzen sind.
Penetrationstests
Die Angriffskampagne selbst wurde in unserem Labor gegen ein Angreiferprofil mit hohem Angriffspotenzial durchgeführt. Dabei kamen Seitenkanalanalysen, Fehlereinschleusung, invasive und semi-invasive Techniken sowie logische Angriffe auf die Plattform und die Anwendungen zum Einsatz, kalibriert auf die von EMVCo aktuell anerkannten Angriffsmethoden und Bewertungsskalen.
Berichterstattung und Zertifizierung
Wir erstellen den Evaluierungsbericht und reichen ihn bei EMVCo ein. Anschließend klären wir alle im Rahmen der Prüfung aufgeworfenen Fragen, bis der Bericht den Anforderungen entspricht und EMVCo Ihre ICCN oder PCN ausstellt. Sie haben einen festen Ansprechpartner für die Einreichung und müssen den Austausch nicht selbst verwalten.
Wartung und Erneuerung
Zertifikate haben ein Ablaufdatum, und Produktänderungen, neue Derivate und Maskenrevisionen wirken sich auf Ihre Bestände aus. Wir planen den Wartungsablauf von Anfang an – einschließlich Derivat- und Delta-Bewertungen – sodass die Verlängerung eine planmäßige Aktivität und kein Wettlauf gegen den Starttermin ist.
EMVCo-Bewertungsstufen
Die IC-Evaluierung umfasst die Chiphardware sowie alle darauf befindlichen Software-Kryptobibliotheken und führt zu einer ICCN. Viele Chiphersteller führen diese Phase als Common-Criteria-Evaluierung anstelle einer dedizierten EMVCo-IC-Evaluierung durch, da derselbe Chip typischerweise auch in Behörden, im Identitätsbereich und anderen regulierten Bereichen eingesetzt wird, die Common Criteria erfordern. EMVCo erkennt Common-Criteria-Ergebnisse in seinem IC-Zertifizierungsprozess an, sodass beide Evaluierungen mit minimalem Mehraufwand parallel durchgeführt werden können. Wenn Sie als Chiphersteller in mehreren Märkten tätig sind, sollten Sie diese Entscheidung in der Regel zuerst treffen.
Die Plattformbewertung umfasst das Betriebssystem eines bereits evaluierten Chips und führt zu einem PCN (Professional Certificate Notice). Es handelt sich um eine kombinierte Bewertung: Sie baut auf den IC-Ergebnissen auf, anstatt diese zu wiederholen, und deckt die generische Softwareebene ab – kryptografische Algorithmen, Speicher- und Lebenszyklusmanagement, Applet-Isolation und die eigenen Sicherheitsmechanismen der Plattform. Eine kombinierte Bewertung ist nur dann effizient, wenn die Plattform die mit dem IC-Zertifikat verbundenen Richtlinien korrekt umsetzt. Genau hier verlieren diese Kampagnen am häufigsten Zeit.
Die ICC-Evaluierung umfasst das gesamte Produkt: die Plattform und alle darauf laufenden Anwendungen, so wie es tatsächlich ausgegeben wird. Sie nutzt die Chip-Evaluierung und, falls vorhanden, die Plattform-Evaluierung. Dies ist die Ebene, auf der die Zahlungssysteme bei einem ausgegebenen Produkt Wert legen, und die Liste der von EMVCo anerkannten Labore führt Keysight als berechtigtes Prüfinstitut für diese Evaluierung auf.
Die Zertifizierung deckt den von EMVCo definierten Geltungsbereich ab. Einige Anbieter wünschen sich darüber hinaus eine Betrachtung der Produktsicherheitsrisiken, die über diesen Geltungsbereich hinausgehen. Wir bieten hierfür separate Evaluierungsleistungen an. Dabei wird untersucht, wo sich Angriffspotenzial und Bedrohungen im praktischen Einsatz entwickeln, anstatt sich nur auf die aktuellen Anforderungen zu beschränken. Dies ist für manche Teams hilfreich, um die Produktlebensdauer im Feld zu planen.
Zusammenarbeit mit Keysight
Konzentrieren Sie sich auf die Weiterentwicklung Ihres Produkts, während Keysight Sie bei der EMVCo-Vorbereitung und -Evaluierung unterstützt.
Ein Labor für jedes Niveau
EMVCo erkennt uns auf allen drei Hardwareebenen an – Chip, Plattform und fertige Karte – sowie auf softwarebasierten mobilen Zahlungslösungen. Ein einziges Labor kann daher Ihr aktuelles Produkt, Ihr nächstes Produkt und die dazugehörige mobile Lösung bewerten.
Bereit zur Bewertung eintreffen
Die meisten Verzögerungen bei EMVCo-Kampagnen lassen sich auf unvollständige Designdokumentation oder auf nicht vollständig von der Plattform implementierte Richtlinien zurückführen. Unsere Vorab-Evaluierung deckt diese Lücken frühzeitig auf, sodass Ihr Team sie im Rahmen von Designänderungen noch beheben kann.
Beweise wiederverwenden
Wir planen Ihre EMVCo-Aktivitäten parallel zu den anderen Systemen Ihrer Roadmap, einschließlich Common Criteria und den Zahlungsprogrammen. Eine Kampagne deckt dann mehrere Komponenten und Produktvarianten ab, und die Zertifizierung jedes neuen Derivats ist kostengünstiger als die des vorherigen.
Ressourcen lernen
Empfohlene Blogs
Unsere Experten teilen regelmäßig praktische Einblicke in unserem Blog. Entdecken Sie die neuesten Entwicklungen im Bereich Gerätesicherheit.
Häufig gestellte Fragen
Dies ist das Verfahren, mit dem die Zahlungsbranche nachweist, dass chipbasierte Zahlungsprodukte realistischen Angriffen standhalten. Ein anerkanntes, unabhängiges Labor führt eine Schwachstellenanalyse und einen Penetrationstest des Produkts durch und übermittelt anschließend einen Bewertungsbericht an EMVCo. EMVCo prüft den Bericht und stellt bei positivem Ergebnis ein Produktzertifikat aus: eine ICCN für ein IC-Produkt oder eine PCN für ein Plattformprodukt.
Chipbasierte Zahlungsprodukte, einschließlich kontaktloser und kontaktloser Zahlungskarten, sowie die Sicherheitselemente mobiler und tragbarer Zahlungslösungen in allen Formfaktoren – SIM, eSE, iSE, SoC usw. – unterliegen der EMVCo-Sicherheitsprüfung. Die Zahlungssysteme setzen voraus, dass der Chip einer Zahlungsanwendung eine EMVCo-Sicherheitsbewertung durchführt. Wenn Sie also als Chip-, Plattform- oder Kartenanbieter im Zahlungsverkehr tätig sind, betrifft Sie dieser Prozess an einer bestimmten Stelle Ihrer Wertschöpfungskette. Welche Ebene für Sie relevant ist, hängt von Ihrer Position in diesem Prozess ab.
Die IC-Evaluierung umfasst die Chiphardware und ihre On-Chip-Kryptobibliotheken. Die Plattform-Evaluierung umfasst das Betriebssystem, das auf dem evaluierten Chip aufsetzt. Die ICC-Evaluierung umfasst das komplette Kartenprodukt, die Plattform inklusive der ausgelieferten Anwendungen. Plattform- und ICC-Evaluierungen bauen aufeinander auf: Sie nutzen die Ergebnisse der darunterliegenden Evaluierungen, anstatt bei null anzufangen.
Ja, und für IC-Hersteller ist dies in der Regel der effizienteste Weg. Die meisten Smartcard-Chips werden auch an Bereiche wie Behörden und Identitätsmanagement verkauft, die Common Criteria erfordern, und EMVCo erkennt CC-Ergebnisse in seinem IC-Zertifizierungsprozess an. Die gleichzeitige Anwendung beider Verfahren reduziert den Aufwand erheblich. Wir können auch andere von Ihnen verfolgte Verfahren integrieren.
Eine Vorbewertung ist die Schwachstellenanalyse und die Tests, die vor der eigentlichen Kampagne durchgeführt werden. Ziel ist es, Probleme frühzeitig zu erkennen und kostengünstig zu beheben. Sie ist zwar nicht zwingend erforderlich, aber unserer Erfahrung nach die zuverlässigste Methode, um den Zertifizierungsplan einzuhalten. Vorbewertung und Zertifizierungsarbeiten können vollständig voneinander getrennt werden, sodass beide Prozesse unabhängig voneinander ablaufen.
Die Bewertung basiert auf dem Angreiferprofil: einem gut ausgestatteten und informierten Angreifer mit Zugang zu Spezialausrüstung und ausreichend Zeit für deren Einsatz. Konkret bedeutet dies, dass die Kampagne invasive und semi-invasive physische Angriffe, fortgeschrittene Seitenkanalanalysen und Fehlereinschleusung umfasst – und nicht nur Angriffe, die ein Gelegenheitsangreifer durchführen könnte.
Es hängt vom Niveau, der Komplexität des Ziels und der Vollständigkeit Ihrer Dokumentation zu Beginn ab. Die Dokumentationsbereitschaft ist dabei stets der größte Einflussfaktor. Bei Gesamtbewertungen ist die korrekte Umsetzung der Richtlinien des zugrunde liegenden Zertifikats der zweitwichtigste Faktor.
Ja. Zertifikate haben ein Ablaufdatum, und Produktänderungen, neue Derivate oder neue Hardware-Versionen können zusätzlichen Evaluierungsaufwand erfordern. EMVCo dokumentiert dies in seinem Verfahren zur Zertifikatsausstellung, -erneuerung und -verlängerung. Wir planen die Erneuerung und die Entwicklung von Derivaten bereits im Rahmen der ersten Zusammenarbeit, sodass diese Aspekte in Ihre Roadmap integriert werden und nicht erst bei der Produkteinführung berücksichtigt werden müssen.
Zwei Dinge, die beide für Sie von Vorteil sind und bei denen es sich lohnt, frühzeitig damit zu beginnen: Sie müssen als EMVCo-Anbieter über den Registrierungsprozess für die Karten- und Mobilgerätetypgenehmigung registriert sein und eine Sicherheitsbewertungsvereinbarung mit der Sicherheitsbewertungs-Arbeitsgruppe von EMVCo unterzeichnet haben. Teams, die diese Schritte vernachlässigen, bis das Produkt testbereit ist, verlieren wochenlang durch bürokratische Hürden, die sie bereits Monate zuvor hätten beseitigen können.
Entwicklungs- und Produktionsstätten unterliegen ebenfalls der EMVCo-Produktzulassung, und es können Audits gemäß den EMVCo-Richtlinien für Standortaudits erforderlich sein. Falls Ihr Produkt an mehreren Standorten hergestellt oder personalisiert wird, berücksichtigen Sie dies bei der Kampagnenplanung, anstatt es erst im Nachhinein festzustellen.
Es fallen zwei separate Kosten an. Die Bewertung selbst wird vom Labor festgelegt und kalkuliert, und EMVCo erhebt pro Einreichung eine eigene Registrierungsgebühr – gleichermaßen für neue Produkte, Verlängerungen, Aktualisierungen und Erneuerungen abgelaufener Zertifikate.
In der Regel sind dies Ihr Hardware-Sicherheitsarchitekt, der Verantwortliche für das Betriebssystem oder die Plattform, derjenige, der die kryptografische Implementierung verantwortet, und jemand, der für die Dokumentation zuständig ist. Die Benennung eines Dokumentationsverantwortlichen von Anfang an ist die kostengünstigste Maßnahme, um den Zeitplan einzuhalten.
Ja. Keysight betreibt außerdem das EMVCo Software Based Mobile Payment (SBMP)-Programm, das Software-Schutztools, HCE-Anwendungen und SDKs, Trusted Execution Environments, CDCVM und OEM-Zahlungslösungen umfasst.
Ja. Wir bieten Sicherheitsbewertungsdienste für Produktrisiken außerhalb des vorgeschriebenen EMVCo-Geltungsbereichs an und antizipieren Entwicklungen im Angriffspotenzial und Bedrohungen im Feld, damit Sie Ihre Roadmap an den zukünftigen Angriffsstrategien der Angreifer ausrichten können, anstatt sich an den aktuellen Anforderungen zu orientieren.