O Processo de Avaliação de Segurança da EMVCo é a forma pela qual o setor de pagamentos comprova que o chip subjacente a uma transação resiste a um invasor determinado. A EMVCo trabalha com laboratórios independentes reconhecidos desde 2005 para avaliar produtos como Circuitos Integrados (IC) EMV, plataformas e Cartões com Circuito Integrado (ICC), e, desde então, ampliou o escopo para incluir Elementos Seguros Incorporados (eSE), Sistemas em Chip (SoC) e hardware de pagamento para a Internet das Coisas (IoT). A avaliação é, por definição, adversária: um laboratório estuda seu projeto e sua implementação, elabora uma análise de vulnerabilidades e, em seguida, executa uma campanha de testes de penetração para determinar se o produto resiste a um invasor com alto potencial de ataque. O relatório é enviado à EMVCo, que emite um ICCN para um produto de CI ou um PCN para uma plataforma.
A Keysight conduz esse processo de ponta a ponta. Somos credenciados para realizar avaliações de circuitos integrados (IC) e plataformas, bem como análises de bibliotecas criptográficas, e todos os principais sistemas de pagamento — Visa, Mastercard, American Express e Cartes Bancaires — nos credenciam para conduzir avaliações de ICC. Acompanhamos você desde a definição do escopo e a pré-avaliação até a campanha formal e o relatório exigido pela EMVCo para a certificação.
- Definição do escopo e registro
- Revisão do projeto e da documentação
- Análise de vulnerabilidade
- Testes de penetração
- Relatórios e Certificação
- Manutenção e renovação
Análise e Definição do Escopo
Determinamos qual avaliação se aplica ao que você desenvolveu — IC, Plataforma ou ICC — e onde fica o limite do alvo. Os produtos compostos herdam os resultados da camada abaixo deles; portanto, definir corretamente esse limite é o que determina se você estará testando novamente o chip ou reutilizando seu certificado.
Revisão do projeto e da documentação
Sua documentação de projeto, arquitetura de segurança e documentos de orientação são os fundamentos sobre os quais a avaliação é conduzida. Nós os analisamos logo no início, enquanto uma constatação ainda representa uma alteração no projeto, e não a necessidade de refazer todo o trabalho. No caso de avaliações compostas, é também nessa etapa que verificamos se vocês estão atendendo às condições estabelecidas nos documentos de orientação do certificado subjacente, o que costuma ser uma fonte comum de surpresas de última hora.
Análise de vulnerabilidade
Nossos avaliadores analisam as informações sobre o projeto e a implementação e elaboram uma análise estruturada dos pontos em que o produto provavelmente está vulnerável a ataques. Isso orienta todas as etapas subsequentes: o resultado é uma seleção priorizada de testes para a campanha de penetração, e não uma lista de verificação genérica. É também nesta fase que uma pré-avaliação agrega mais valor, pois as medidas necessárias para corrigir as falhas identificadas aqui têm um custo baixo.
Testes de penetração
A própria campanha de ataques, realizada em nosso laboratório contra um perfil de invasor com alto potencial de ataque. Análise de canal lateral, injeção de falhas, técnicas invasivas e semi-invasivas, além de ataques lógicos à plataforma e aos aplicativos, calibrados de acordo com os métodos de ataque e as escalas de classificação atualmente reconhecidas pela EMVCo.
Relatórios e Certificação
Elaboramos o relatório de avaliação e o enviamos à EMVCo; em seguida, esclarecemos todas as dúvidas levantadas durante a análise até que o relatório atenda aos requisitos e a EMVCo emita seu ICCN ou PCN. Você conta com um único ponto de contato para o envio, em vez de ter que gerenciar a troca de informações por conta própria.
Manutenção e renovação
Os certificados têm datas de validade, e as mudanças nos produtos, novos derivativos e novas revisões de máscaras têm implicações sobre o que você detém. Planejamos o cronograma de manutenção desde o início — incluindo avaliações de derivativos e delta — para que a renovação seja uma atividade programada, em vez de uma correria contra o prazo de lançamento.
Níveis de avaliação da EMVCo
A avaliação do IC abrange o hardware do chip, juntamente com quaisquer bibliotecas de criptografia de software residentes no chip, e resulta na atribuição de um ICCN. Muitos fornecedores de chips realizam essa etapa como uma avaliação dos Critérios Comuns (CC), em vez de uma avaliação dedicada do IC pela EMVCo, pois o mesmo silício normalmente também atende aos setores governamental, de identidade e outros domínios regulamentados que exigem a certificação CC. A EMVCo reconhece os resultados dos Critérios Comuns em seu processo de certificação de ICs, de modo que ambos podem ser conduzidos em conjunto com o mínimo de esforço duplicado. Se você é um fornecedor de chips que atua em mais de um mercado, essa é geralmente a decisão que vale a pena tomar primeiro.
A avaliação da plataforma abrange o sistema operacional em execução em um chip já avaliado e resulta em um PCN. Trata-se de uma avaliação composta: ela se baseia nos resultados do IC, em vez de repeti-los, e seu escopo abrange a camada de software genérica — algoritmos criptográficos, gerenciamento de memória e ciclo de vida, isolamento de applets e os mecanismos de segurança próprios da plataforma. A avaliação composta só é eficiente se a plataforma cumprir corretamente as orientações anexadas ao certificado de IC, e é nesse ponto que essas campanhas costumam perder tempo.
A avaliação da ICC abrange o produto completo: a plataforma e todos os aplicativos nela contidos, tal como será efetivamente emitido. Ela reutiliza a avaliação do chip e, quando houver, a avaliação da plataforma. Esse é o nível que os esquemas de pagamento levam em consideração para um produto emitido, e a lista de laboratórios reconhecidos pela EMVCo indica que a Keysight está habilitada a realizá-la.
A certificação abrange o escopo definido pela EMVCo. Alguns fornecedores também desejam uma visão dos riscos de segurança dos produtos fora desse escopo, e oferecemos serviços de avaliação específicos para isso. Esses serviços analisam onde estão surgindo potenciais de ataque e ameaças no campo, em vez de se limitarem apenas aos requisitos atuais, o que algumas equipes consideram útil para o planejamento do roteiro de produtos com longa vida útil em campo.
Trabalhando com a Keysight
Concentre-se no desenvolvimento do seu produto enquanto a Keysight o orienta na preparação e avaliação para a certificação EMVCo.
Um laboratório para cada nível
A EMVCo nos reconhece em todos os três níveis de hardware — abrangendo o chip, a plataforma e o cartão acabado —, bem como no pagamento móvel baseado em software. Assim, um único laboratório pode avaliar seu produto atual, o próximo da sua linha de desenvolvimento e a solução móvel associada a ele.
Chegar pronto para a avaliação
A maioria dos atrasos nas campanhas da EMVCo decorre de documentação de projeto incompleta ou de orientações genéricas que a plataforma não implementa integralmente. Nossa pré-avaliação identifica essas lacunas antecipadamente, enquanto sua equipe ainda pode corrigi-las por meio de alterações no projeto.
Reutilize as evidências
Planejamos seu trabalho com a EMVCo em conjunto com os outros esquemas previstos em seu plano de ação, incluindo os Critérios Comuns e os programas de pagamento. Assim, uma única campanha abrange vários componentes e variantes de produto, e a certificação de cada novo derivado custa menos do que a do anterior.
Conteúdos didáticos
Blogs em destaque
Nossos especialistas compartilham regularmente dicas práticas em nosso blog. Conheça as últimas novidades em segurança de dispositivos.
Perguntas frequentes
É o processo que o setor de pagamentos utiliza para comprovar que os produtos de pagamento baseados em chip resistem a ataques realistas. Um laboratório independente reconhecido realiza uma análise de vulnerabilidades e uma campanha de testes de penetração no produto e, em seguida, envia um relatório de avaliação à EMVCo. A EMVCo analisa o relatório e, se este for satisfatório, emite um certificado de produto: um ICCN para um produto com chip integrado (IC) ou um PCN para um produto de plataforma.
Produtos de pagamento baseados em chip, incluindo cartões de pagamento com e sem contato, e os elementos de segurança por trás dos pagamentos por dispositivos móveis e wearables em qualquer formato — SIM, eSE, iSE, SoC e outros. Na prática, os esquemas de pagamento exigem que o chip subjacente a um aplicativo de pagamento possua uma avaliação de segurança da EMVCo; portanto, se você é um fornecedor de semicondutores, plataformas ou cartões que atua no setor de pagamentos, o processo se aplica a você em algum ponto da sua pilha de tecnologia. O nível específico que se aplica a você depende da sua posição nessa pilha.
A avaliação do IC abrange o hardware do chip e suas bibliotecas de criptografia integradas. A avaliação da plataforma abrange o sistema operacional executado no chip avaliado. A avaliação do ICC abrange o produto completo do cartão, ou seja, a plataforma e os aplicativos, conforme fornecido. As avaliações da plataforma e do ICC são compostas: elas se baseiam nos resultados das etapas anteriores, em vez de partirem do zero.
Sim, e para os fornecedores de circuitos integrados, esse costuma ser o caminho mais eficiente. A maioria dos chips de cartões inteligentes também é vendida para setores como o governamental e o de identidade, que exigem os Critérios Comuns, e a EMVCo reconhece os resultados dos Critérios Comuns em seu processo de certificação de circuitos integrados. Realizar os dois processos simultaneamente elimina grande parte do trabalho duplicado. Também podemos incorporar outros esquemas que vocês estejam buscando.
Uma pré-avaliação consiste na análise de vulnerabilidades e nos testes realizados antes do início da campanha formal, com o objetivo específico de identificar problemas enquanto ainda é possível corrigi-los com baixo custo. Ela não é obrigatória, mas é a maneira mais confiável que conhecemos para manter o cronograma de certificação dentro do previsto. Podemos separar totalmente a pré-avaliação do trabalho de certificação, de modo que os dois sejam realizados em cronogramas distintos.
É com base no perfil do invasor que a avaliação é calibrada: um adversário com recursos e informações abundantes, com acesso a equipamentos especializados e tempo para utilizá-los. Na prática, isso significa que a campanha inclui ataques físicos invasivos e semi-invasivos, análise avançada de canais laterais e injeção de falhas, e não apenas os ataques que um adversário casual poderia lançar.
Isso depende do nível, da complexidade do alvo e do grau de completude da sua documentação desde o início. A prontidão da documentação é, consistentemente, a variável mais importante. Para avaliações compostas, o segundo fator mais importante é se as orientações do certificado subjacente foram implementadas corretamente.
Sim. Os certificados têm uma data de validade, e alterações no produto, novos derivados ou novas versões de hardware podem exigir um trabalho adicional de avaliação. A EMVCo documenta isso em seu “Processo de Emissão, Renovação e Extensão de Certificados”. Planejamos a renovação e o caminho para os derivados como parte do compromisso inicial, para que isso se encaixe no seu plano de ação, em vez de sobrepor-se a um lançamento.
São duas coisas, ambas da sua responsabilidade e que vale a pena iniciar com antecedência. Você deve estar registrado como fornecedor da EMVCo por meio do processo de registro de aprovação de cartões e dispositivos móveis, e deve ter assinado um Acordo de Avaliação de Segurança com o Grupo de Trabalho de Avaliação de Segurança da EMVCo. As equipes que deixam essas etapas para quando o produto já está pronto para ser testado perdem semanas com a burocracia que poderiam ter resolvido meses antes.
As instalações de desenvolvimento e produção também estão incluídas no escopo da aprovação de produtos pela EMVCo, e podem ser necessárias auditorias de acordo com as diretrizes de auditoria de instalações da EMVCo. Se o seu produto for fabricado ou personalizado em vários locais, leve isso em consideração ao planejar a campanha, em vez de descobrir isso tarde demais.
Existem dois custos distintos. A avaliação em si é avaliada e orçada pelo laboratório, e a EMVCo cobra sua própria taxa de registro por solicitação — seja para novos produtos, renovações, atualizações ou prorrogações de certificados vencidos.
Normalmente, o arquiteto de segurança de hardware, o líder do sistema operacional ou da plataforma, quem for responsável pela implementação criptográfica e alguém responsável pela documentação. Designar um responsável pela documentação logo no início é a medida mais econômica que você pode tomar para proteger o cronograma.
Sim. A Keysight também administra o programa de Pagamento Móvel Baseado em Software (SBMP) da EMVCo, que abrange ferramentas de proteção de software, aplicativos HCE e SDKs, ambientes de execução confiáveis, CDCVM e soluções de pagamento para fabricantes de equipamentos originais (OEM).
Sim. Oferecemos serviços de avaliação de segurança para riscos de produtos fora do escopo obrigatório da EMVCo, antecipando evoluções no potencial de ataque e nas ameaças reais, para que você possa planejar seu roteiro com base nas tendências dos invasores, em vez de se limitar aos requisitos atuais.