Se trata del proceso que utiliza el sector de los pagos para garantizar que los productos de pago con chip resistan ataques realistas. Un laboratorio independiente reconocido lleva a cabo un análisis de vulnerabilidades y una campaña de pruebas de penetración sobre el producto y, a continuación, presenta un informe de evaluación a EMVCo. EMVCo revisa el informe y, si es satisfactorio, expide un certificado de producto: un ICCN para un producto con circuito integrado o un PCN para un producto de plataforma.

Productos de pago basados en chips, incluidas las tarjetas de pago con y sin contacto, así como los elementos de seguridad que sustentan los pagos a través de dispositivos móviles y wearables en cualquier formato: SIM, eSE, iSE, SoC y otros. En la práctica, los sistemas de pago esperan que el chip subyacente a una aplicación de pago cuente con una evaluación de seguridad de EMVCo, por lo que, si eres un proveedor de semiconductores, plataformas o tarjetas que comercializa productos para el sector de los pagos, este proceso te afecta en algún punto de tu cadena de suministro. El nivel que te afecte dependerá de cuál sea tu posición dentro de ella.

La evaluación del circuito integrado (IC) abarca el hardware del chip y sus bibliotecas criptográficas integradas. La evaluación de la plataforma abarca el sistema operativo que se ejecuta sobre el chip evaluado. La evaluación de la tarjeta de seguridad integrada (ICC) abarca el producto completo de la tarjeta, es decir, la plataforma y las aplicaciones, tal y como se suministra. Las evaluaciones de la plataforma y de la ICC son compuestas: se basan en los resultados de las evaluaciones subyacentes, en lugar de partir de cero.

Sí, y para los proveedores de circuitos integrados suele ser la vía más eficaz. La mayoría de los chips para tarjetas inteligentes también se comercializan en sectores como el gubernamental y el de la identidad, que exigen el cumplimiento de los Criterios Comunes, y EMVCo reconoce los resultados de los Criterios Comunes en su proceso de certificación de circuitos integrados. Llevar a cabo ambos procesos a la vez elimina gran parte del trabajo duplicado. También podemos integrar otros esquemas que estéis desarrollando.

Una preevaluación consiste en el análisis de vulnerabilidades y las pruebas que se llevan a cabo antes de la campaña oficial, con el objetivo específico de detectar problemas mientras aún sea posible solucionarlos a un coste reducido. No es obligatorio, pero es la forma más fiable que conocemos de mantener el calendario de certificación sin alteraciones. Podemos separar por completo la preevaluación del proceso de certificación, de modo que ambos se desarrollen según calendarios distintos.

La evaluación se basa en el perfil del atacante: un adversario que cuenta con recursos y está bien informado, y que tiene acceso a equipos especializados y tiempo para utilizarlos. En la práctica, esto significa que la campaña incluye ataques físicos invasivos y semiinvasivos, análisis avanzados de canales laterales e inyección de fallos, y no solo los ataques que podría llevar a cabo un adversario ocasional.

Depende del nivel, de la complejidad del objetivo y de lo completa que esté la documentación desde el primer día. La preparación de la documentación es, sin duda, la variable más importante. En el caso de las evaluaciones compuestas, el segundo factor más importante es si se han aplicado correctamente las directrices del certificado subyacente.

Sí. Los certificados tienen una fecha de caducidad, y los cambios en el producto, los nuevos derivados o las nuevas revisiones de hardware pueden requerir un trabajo de evaluación adicional. EMVCo lo documenta en su «Proceso de emisión, renovación y prórroga de certificados». Planificamos la renovación y la trayectoria de los derivados como parte del compromiso inicial, de modo que se integre en vuestra hoja de ruta en lugar de superponerse a un lanzamiento.

Hay dos cosas, ambas por tu parte y que conviene empezar a hacer cuanto antes. Debes estar registrado como proveedor de EMVCo a través del proceso de registro de homologación de tarjetas y dispositivos móviles, y debes haber firmado un acuerdo de evaluación de seguridad con el Grupo de Trabajo de Evaluación de Seguridad de EMVCo. Los equipos que dejan estas gestiones para cuando el producto ya está listo para las pruebas pierden semanas en trámites burocráticos que podrían haber resuelto meses antes.

Las instalaciones de desarrollo y producción también entran dentro del ámbito de aplicación de la homologación de productos de EMVCo, y es posible que se exijan auditorías conforme a las directrices de auditoría de instalaciones de EMVCo. Si tu producto se fabrica o se personaliza en varias ubicaciones, tenlo en cuenta a la hora de planificar la campaña, en lugar de descubrirlo demasiado tarde.

Hay dos costes distintos. El laboratorio establece el alcance de la evaluación y emite el presupuesto correspondiente, mientras que EMVCo cobra su propia tasa de registro por cada solicitud, ya sea para nuevos productos, renovaciones, actualizaciones o prórrogas de certificados caducados.

Normalmente, el arquitecto de seguridad de hardware, el responsable del sistema operativo o de la plataforma, quien sea el encargado de la implementación criptográfica y alguien que se encargue de la documentación. Designar a un responsable de la documentación desde el principio es la medida más económica que puedes tomar para garantizar el cumplimiento del calendario.

Sí. Keysight también gestiona el programa «Software Based Mobile Payment (SBMP)» de EMVCo, que abarca herramientas de protección de software, aplicaciones HCE y SDK, entornos de ejecución de confianza, CDCVM y soluciones de pago para fabricantes de equipos originales (OEM). 

Sí. Ofrecemos servicios de evaluación de seguridad para riesgos de productos que quedan fuera del ámbito obligatorio de EMVCo, anticipándonos a la evolución de las posibles formas de ataque y las amenazas reales, para que puedas planificar tu estrategia en función de hacia dónde se dirigen los atacantes, en lugar de basarte únicamente en los requisitos actuales.