EMVCoのセキュリティ評価プロセスは、決済業界が、取引の基盤となる半導体チップが執拗な攻撃者に対して耐性を有していることを確認するための仕組みです。EMVCoは2005年より、認定を受けた独立系試験機関と連携して、EMV集積回路（IC）、プラットフォーム、および集積回路カード（ICC）製品の評価を行ってきましたが、その後、その対象範囲を組み込み型セキュアエレメント（eSE）、システムオンチップ（SoC）、およびIoT決済ハードウェアへと拡大しています。 この評価は、その設計上、敵対的なアプローチを採用しています。つまり、試験機関がお客様の設計と実装を調査し、脆弱性分析を行った上で、侵入テストを実施し、その製品が高い攻撃能力を持つ攻撃者に対して耐性があるかどうかを判断します。評価報告書はEMVCoに提出され、EMVCoはIC製品に対してICCNを、プラットフォームに対してPCNを発行します。
キーサイトは、このプロセスを最初から最後まで一貫して担当します。当社は、ICおよびプラットフォームの評価、ならびに暗号ライブラリの評価を行う認定を受けており、Visa、Mastercard、American Express、Cartes Bancairesといった主要な決済システムすべてから、ICC評価の実施に関する認定を受けています。スコープの定義や事前評価から、正式な評価キャンペーン、そしてEMVCoによる認証に必要な報告書の作成に至るまで、一貫してサポートいたします。
- 範囲の特定と登録
- 設計とドキュメントのレビュー
- 脆弱性解析
- 侵入テスト
- 報告および認証
- 保守・更新
発見とスコープ設定
構築された対象（IC、プラットフォーム、またはICC）にどの評価が適用されるか、また対象の境界がどこにあるかを明確にします。複合製品は下位のレイヤーからの結果を継承するため、境界を正しく設定できるかどうかが、チップを再テストするか、その認証書を再利用するかを決める要因となります。
設計とドキュメントのレビュー
評価は、お客様の設計文書、セキュリティアーキテクチャ、およびガイダンス文書に基づいて行われます。弊社では、指摘事項が再設計ではなく設計変更の段階にあるうちに、早い段階でこれらを精査します。複合評価の場合、この段階で、基礎となる証明書のガイダンス文書に定められた条件を満たしているかどうかも確認します。これは、評価の終盤になって初めて判明する問題のよくある原因となっています。
脆弱性解析
当社の評価担当者は、お客様の設計および実装に関する情報を精査し、製品が攻撃を受けやすい可能性のある箇所について体系的な分析を行います。この分析結果は、その後のすべての工程の指針となります。その成果物は、単なる一般的なチェックリストではなく、侵入テストキャンペーン向けに優先順位付けされたテスト項目のリストです。また、この段階こそが事前評価が最大の価値を発揮する場面でもあります。なぜなら、ここで得られた知見に基づいて対策を講じるコストが比較的低いからです。
侵入テスト
この攻撃キャンペーンは、当研究所において、攻撃の可能性が高いと見なされる攻撃者プロファイルを対象に実施されたものです。サイドチャネル解析、フォールトインジェクション、侵入型および半侵入型の手法、ならびにプラットフォームやアプリケーションに対する論理的攻撃などを行い、これらはEMVCoが現在認定している攻撃手法および評価尺度に合わせて調整されています。
報告および認証
弊社では評価報告書を作成し、EMVCoに提出します。その後、審査の過程で提起された質問点について対応を重ね、報告書が要件を満たし、EMVCoからICCNまたはPCNが発行されるまでサポートいたします。お客様は、ご自身でやり取りを管理する必要がなく、提出に関する窓口は1か所となります。
保守・更新
証明書には有効期限があり、製品の変更、新しいデリバティブ、マスクの改訂などはすべて、お客様が保有する証明書に影響を及ぼします。当社は当初から、デリバティブやデルタの評価を含めたメンテナンスの進め方を計画しているため、更新作業はリリース日に追われるような慌ただしい対応ではなく、予定通りに実施されるものとなります。
EMVCoの評価レベル
IC評価では、チップのハードウェアに加え、チップ上に搭載されたソフトウェア暗号ライブラリも対象となり、その結果としてICCNが発行されます。多くのチップベンダーは、この段階を専用のEMVCo IC評価ではなく、コモン・クライテリア（CC）評価として実施しています。これは、通常、同じシリコンが、CCを要件とする政府機関、ID管理、その他の規制対象分野でも使用されるためです。 EMVCoは、自社のIC認証プロセスにおいてCCの評価結果を承認しているため、両方の評価を並行して実施することで、重複する作業を最小限に抑えることができます。複数の市場に製品を販売している半導体ベンダーの場合、通常、まずこの決定を行うことが賢明です。
プラットフォーム評価は、すでに評価済みのチップ上で動作するオペレーティングシステムを対象とし、その結果としてPCNが発行されます。これは複合評価であり、IC評価の結果を繰り返し行うのではなく、それを基盤として行われ、その範囲は汎用ソフトウェア層（暗号アルゴリズム、メモリおよびライフサイクル管理、アプレットの分離、およびプラットフォーム固有のセキュリティメカニズム）を網羅しています。 複合評価が効率的となるのは、プラットフォームがIC証明書に添付されたガイダンスを正しく遵守している場合に限られます。しかし、こうしたキャンペーンでは、この点で最も頻繁に時間を浪費してしまうのです。
ICC評価の対象は、実際に発行される製品全体、すなわちプラットフォームおよびその上のすべてのアプリケーションを網羅しています。この評価では、チップ評価の結果を流用し、プラットフォーム評価が存在する場合はその結果も流用します。これは、決済スキームが発行済み製品に対して重視するレベルであり、EMVCoの認定試験所リストには、キーサイトがこの評価を実施する資格を有する機関として掲載されています。
認証の対象範囲は、EMVCoが定義する範囲に限定されます。一部のベンダーからは、その範囲外の製品セキュリティリスクについても把握したいという要望があり、当社ではそれに対する評価業務を別途提供しています。この評価では、現在の要件のみにとどまらず、攻撃の可能性や実運用環境における脅威がどこで発生しつつあるかを検証します。製品の実運用期間が長い場合、ロードマップの策定において、この評価が役立つと考えるチームもあります。
キーサイトとの協業
キーサイトがEMVCoへの対応準備と評価を全面的にサポートしますので、お客様は製品開発に専念していただけます。
あらゆるレベルに対応したラボ
EMVCoは、チップ、プラットフォーム、完成カードという3つのハードウェアレベルすべて、およびソフトウェアベースのモバイル決済において、当社を認定しています。したがって、1つの試験所において、お客様の現行製品、ロードマップ上の次期製品、およびそれらと併せてモバイルソリューションの評価を行うことが可能です。
評価の準備を万全に
EMVCoキャンペーンにおける遅延の多くは、設計ドキュメントの不備、あるいはプラットフォームが完全に実装していない統合ガイダンスに起因しています。当社の事前評価では、こうした課題を早期に洗い出し、お客様のチームが設計変更として対応できる段階で問題点を特定します。
証拠を再利用する
弊社では、お客様のロードマップに盛り込まれているコモン・クライテリアや決済プログラムなどの他のスキームと並行して、EMVCo対応の計画を策定いたします。これにより、1回の認証キャンペーンで複数のコンポーネントや製品バリエーションを網羅することができ、新しい派生製品の認証にかかるコストは、前回よりも低くなります。
リソースを学ぶ
注目のブログ
当社の専門家がブログで定期的に実践的なインサイトを共有しています。デバイスセキュリティの最新動向をご覧ください。
よくあるご質問
これは、決済業界が、チップ搭載型決済製品が現実的な攻撃に耐えられることを確認するために用いるプロセスです。認定を受けた独立系試験機関が、当該製品に対して脆弱性分析および侵入テストを実施し、その評価報告書をEMVCoに提出します。EMVCoは報告書を審査し、内容が適切であると判断された場合、製品認証（IC製品の場合はICCN、プラットフォーム製品の場合はPCN）を発行します。
接触型および非接触型の決済カードを含むチップベースの決済製品、ならびにSIM、eSE、iSE、SoCなど、あらゆるフォームファクタにおけるモバイル決済やウェアラブル決済を支えるセキュアエレメント。 実際には、決済スキームでは、決済アプリケーションの下層にあるチップがEMVCoのセキュリティ評価を取得していることが求められます。したがって、決済分野向けに製品を販売する半導体、プラットフォーム、またはカードベンダーである場合、このプロセスはスタックのどこかで適用されます。どのレベルが該当するかは、そのスタック内のどの位置に自社が位置するかによって異なります。
IC評価では、チップのハードウェアおよびそのオンチップ暗号ライブラリを対象とします。プラットフォーム評価では、評価対象のチップ上で動作するオペレーティングシステムを対象とします。ICC評価では、出荷時の状態におけるカード製品全体（プラットフォームおよびアプリケーションを含む）を対象とします。プラットフォーム評価およびICC評価は複合的な評価であり、一から始めるのではなく、下位レベルの評価結果を基盤としています。
その通りです。ICベンダーにとっては、通常、これが最も効率的な方法です。また、スマートカード用チップの多くは、コモン・クライテリア（CC）の適合が求められる政府機関やID管理などの分野にも販売されており、EMVCoはIC認証プロセスにおいてCCの評価結果を認定しています。両方を並行して進めることで、重複する作業の大部分を削減できます。さらに、貴社が取り組んでいる他のスキームも組み込むことが可能です。
事前評価とは、正式なキャンペーンに先立って実施される脆弱性分析およびテスト作業のことで、まだ低コストで修正可能な段階で問題を発見することを具体的な目的としています。これは必須ではありませんが、認証スケジュールを確実に守るために、私たちが知る限り最も信頼できる方法です。事前評価と認証作業は完全に分離して、それぞれ異なるスケジュールで進めることが可能です。
評価の基準となるのは、攻撃者のプロファイルです。つまり、十分なリソースと情報を持ち、専門的な機器を利用でき、それを使用する時間も確保している攻撃者を想定しています。実際には、このキャンペーンには、単なる素人レベルの攻撃者でも仕掛けられるような攻撃だけでなく、侵入型および準侵入型の物理的攻撃、高度なサイドチャネル解析、およびフォールトインジェクションが含まれます。
これは、レベルや対象の複雑さ、そして初日時点でのドキュメントの完成度によって異なります。ドキュメントの準備状況は、常に最大の変動要因となります。複合評価の場合、基礎となる証明書のガイダンスが正しく実装されているかどうかが、2番目に大きな要因となります。
はい。証明書には有効期限があり、製品の変更、派生製品の登場、あるいはハードウェアの新しいリビジョンが登場した場合、追加の評価作業が必要になることがあります。EMVCoは、これを「証明書の発行、更新、および延長プロセス」に明記しています。弊社では、初期の契約段階において更新や派生製品の展開計画を策定し、製品リリースの直前に急遽対応することなく、お客様のロードマップに組み込まれるようにしています。
2つの点があります。いずれも貴社側で対応すべき事項であり、早めに着手する価値があります。1つ目は、カードおよびモバイルの型式承認登録プロセスを通じてEMVCoのベンダーとして登録されていること、2つ目は、EMVCoのセキュリティ評価ワーキンググループと「セキュリティ評価契約」を締結していることです。これらの手続きを製品のテスト準備が整うまで先延ばしにしてしまうと、本来なら数ヶ月前に済ませておけた事務手続きに数週間も費やすことになってしまいます。
EMVCoによる製品承認の対象には、開発・生産拠点も含まれており、EMVCoの拠点監査ガイドラインに基づく監査が必要となる場合があります。製品が複数の拠点で製造またはパーソナライズされている場合は、後になって気づくことのないよう、キャンペーンを計画する際にこの点を考慮に入れてください。
費用は2種類あります。評価そのものについては、試験所が範囲を定め、見積もりを提示します。一方、EMVCoは、新規製品、更新、改訂、および有効期限が切れた証明書の延長を問わず、提出件ごとに独自の登録料を請求します。
通常は、ハードウェアセキュリティアーキテクト、OSまたはプラットフォームの責任者、暗号実装の担当責任者、そしてドキュメントの担当責任者です。プロジェクトの初期段階でドキュメントの担当責任者を明確にしておくことは、スケジュールを守るためにできる最もコストのかからない対策です。
はい。キーサイトは、EMVCoの「ソフトウェアベースのモバイル決済（SBMP）」プログラムも運営しており、その対象には、ソフトウェア保護ツール、HCEアプリケーションおよびSDK、信頼実行環境（TEE）、CDCVM、OEM向け決済ソリューションなどが含まれます。
はい。弊社では、EMVCoの規定範囲外の製品リスクに対するセキュリティ評価サービスを提供しています。攻撃の可能性や実環境における脅威の動向を先読みすることで、お客様が現在の要件ではなく、攻撃者が今後どのような方向に向かうかを踏まえた上で、ロードマップを策定できるよう支援いたします。