Si tratta della procedura utilizzata dal settore dei pagamenti per verificare che i prodotti di pagamento basati su chip resistano ad attacchi realistici. Un laboratorio indipendente riconosciuto esegue un’analisi delle vulnerabilità e una serie di test di penetrazione sul prodotto, per poi presentare un rapporto di valutazione a EMVCo. EMVCo esamina il rapporto e, se lo ritiene soddisfacente, rilascia un certificato di prodotto: un ICCN per un prodotto IC o un PCN per un prodotto di piattaforma.

Prodotti di pagamento basati su chip, comprese le carte di pagamento con e senza contatto, e gli elementi di sicurezza alla base dei pagamenti tramite dispositivi mobili e indossabili in qualsiasi formato: SIM, eSE, iSE, SoC e altri. In pratica, gli schemi di pagamento prevedono che il chip alla base di un’applicazione di pagamento sia in possesso di una certificazione di sicurezza EMVCo; pertanto, se siete un fornitore di chip, piattaforme o carte che opera nel settore dei pagamenti, il processo si applica a voi in qualche punto della vostra catena di fornitura. Il livello specifico a cui si applica dipende dalla vostra posizione all’interno di essa.

La valutazione del circuito integrato (IC) riguarda l’hardware del chip e le relative librerie crittografiche integrate. La valutazione della piattaforma riguarda il sistema operativo installato sul chip oggetto di valutazione. La valutazione dell’ICC riguarda il prodotto completo della carta, ovvero la piattaforma e le applicazioni, così come viene emesso. Le valutazioni della piattaforma e dell’ICC sono composite: si basano sui risultati delle valutazioni precedenti anziché partire da zero.

Sì, e per i fornitori di circuiti integrati questa è solitamente la strada più efficiente. La maggior parte dei chip per smart card viene venduta anche in settori come quello governativo e dell’identità, che richiedono i Common Criteria, ed EMVCo riconosce i risultati dei Common Criteria nel proprio processo di certificazione dei circuiti integrati. Eseguire entrambe le procedure contemporaneamente elimina gran parte del lavoro duplicato. Possiamo anche integrare altri schemi che state perseguendo.

Una pre-valutazione consiste nell'analisi delle vulnerabilità e nelle attività di test condotte prima dell'avvio della campagna formale, con l'obiettivo specifico di individuare eventuali problemi quando è ancora possibile risolverli a costi contenuti. Non è obbligatoria, ma rappresenta il metodo più affidabile che conosciamo per garantire il rispetto delle tempistiche previste per la certificazione. Possiamo separare completamente la pre-valutazione dalle attività di certificazione, in modo che le due procedure seguano tempistiche diverse.

È proprio il profilo dell’aggressore a costituire il punto di riferimento per la valutazione: un avversario dotato di risorse e informazioni adeguate, con accesso ad attrezzature specialistiche e il tempo necessario per utilizzarle. In pratica, ciò significa che la campagna comprende attacchi fisici invasivi e semi-invasivi, analisi avanzate dei canali laterali e iniezione di errori, e non solo gli attacchi che un avversario occasionale potrebbe sferrare.

Dipende dal livello, dalla complessità dell’obiettivo e da quanto sia completa la documentazione fin dal primo giorno. La disponibilità della documentazione è sempre la variabile più importante. Per le valutazioni composite, il secondo fattore più importante è verificare se le linee guida del certificato di riferimento siano state correttamente implementate.

Sì. I certificati hanno una data di scadenza e le modifiche al prodotto, i nuovi derivati o le nuove revisioni hardware possono richiedere ulteriori attività di valutazione. EMVCo documenta tutto ciò nel proprio “Processo di emissione, rinnovo ed estensione dei certificati”. Pianifichiamo il percorso di rinnovo e dei derivati nell’ambito dell’accordo iniziale, in modo che si inserisca nella vostra roadmap anziché sovrapporsi al lancio.

Due cose, entrambe di vostra competenza e che vale la pena avviare per tempo. Dovete essere registrati come fornitori EMVCo attraverso il processo di registrazione “Card and Mobile Type Approval” e dovete aver firmato un accordo di valutazione della sicurezza con il gruppo di lavoro sulla valutazione della sicurezza di EMVCo. I team che rimandano queste operazioni fino a quando il prodotto è pronto per essere testato perdono settimane in pratiche burocratiche che avrebbero potuto sbrigare mesi prima.

Anche i siti di sviluppo e produzione rientrano nell’ambito dell’approvazione dei prodotti da parte di EMVCo e potrebbero essere richiesti audit in base alle linee guida di EMVCo in materia. Se il vostro prodotto viene fabbricato o personalizzato in più sedi, tenetene conto nella pianificazione della campagna, piuttosto che scoprirlo troppo tardi.

I costi sono due distinti. La valutazione vera e propria viene definita e preventivata dal laboratorio, mentre EMVCo addebita una propria quota di registrazione per ogni richiesta presentata — sia che si tratti di nuovi prodotti, rinnovi, aggiornamenti o proroghe di certificati scaduti.

In genere si tratta dell’architetto della sicurezza hardware, del responsabile del sistema operativo o della piattaforma, di chi si occupa dell’implementazione crittografica e di qualcuno incaricato della documentazione. Designare fin dall’inizio un responsabile della documentazione è la misura più economica che si possa adottare per garantire il rispetto delle tempistiche.

Sì. Keysight gestisce anche il programma EMVCo Software Based Mobile Payment (SBMP), che comprende strumenti di protezione del software, applicazioni HCE e SDK, ambienti di esecuzione affidabili, CDCVM e soluzioni di pagamento OEM. 

Sì. Forniamo servizi di valutazione della sicurezza relativi ai rischi dei prodotti che esulano dall’ambito previsto dalle specifiche EMVCo, anticipando gli sviluppi in termini di potenziale di attacco e minacce sul campo, in modo che possiate pianificare la vostra strategia tenendo conto delle future mosse degli aggressori piuttosto che dei requisiti attualmente in vigore.