ソフトウェアベースのモバイル決済では、ハードウェア・セキュア・エレメントが不要となり、ソフトウェアに同じ資産の保護が求められます。このアプリケーションは、ベンダーが管理していない消費者向けデバイス上で、信頼できないアプリと並んで、ルート化やジェイルブレイクされている可能性のあるオペレーティングシステム上で動作します。 EMVCoは、この多層防御を評価するための一貫した方法を業界に提供することを目的として、2018年に「SBMPセキュリティ評価プロセス」を導入しました。このプロセスではコンポーネントおよび統合モデルを採用しているため、信頼できる実行環境、生体認証装置、ソフトウェア保護ツール、あるいは決済用SDKをそれぞれ個別に評価することができ、その結果を基に、それらを組み合わせて構築されたソリューション全体の評価を行うことができます。
キーサイトは、EMVCo認定のセキュリティ評価機関であり、IC、プラットフォーム、ICCに加え、フルSBMPの認定範囲も有しています。当社の評価担当者は、お客様の文書やソースコードを精査し、脆弱性分析を実施するとともに、実際の攻撃者が用いる手法を用いて製品のテストを行います。その後、EMVCoが認証書を発行するために必要な評価報告書をお客様に提出いたします。
- 範囲の定義
- 登録
- ドキュメントとコードレビュー
- 脆弱性分析とテスト
- 報告および認証
- 保守と再利用
範囲の定義
お客様が何を認証対象とするか、またそれをどのように評価するかを決定します。単一のコンポーネントを評価することも、複数のコンポーネントを評価してその結果を統合することも、あるいはソリューション全体を1つの製品として評価することも可能です。この決定は、コストやスケジュール、そして後でどの程度の作業を再利用できるかに影響するため、最初にこれを明確にしておくのです。
登録および利用規約
EMVCoベンダーとして登録した後、EMVCoのセキュリティ評価ワーキンググループと「セキュリティ評価契約」を締結します。次に、SBMP登録アンケート提出し、EMVCoからの請求書を支払います。アンケートで確定する評価範囲の選定については、当社がアドバイスいたします。
ドキュメントとコードレビュー
SBMPの評価はホワイトボックス評価です。当社の評価担当者は、お客様の設計文書およびソースコードを精査し、製品が保存中、使用中、および転送中の鍵、コード、データをどのように保護しているかを把握します。モバイル製品の実質的なセキュリティ態勢は、文書だけでは明らかにならない実装の詳細に大きく依存するため、この段階を過小評価しがちです。
脆弱性分析とテスト
製品のどの部分が攻撃の対象となり得るかを体系的に分析した上で、テストを実施します。このテストキャンペーンでは、静的解析および動的解析、リバースエンジニアリング、フッキングおよびインストルメンテーション、改ざんおよび再パッケージ化、ルート化およびジェイルブレイクされたデバイスのシナリオ、ならびにホワイトボックス暗号を含む暗号実装に対する攻撃を網羅しています。
報告および認証
登録料金のお支払いが確認でき次第、弊社にて評価報告書を作成し、EMVCoへ送付いたします。EMVCoは報告書を審査し、SECN番号を付与したセキュリティ評価証明書を発行します。報告書が要件を満たすようになるまで、審査中に提起された質問については弊社が対応いたします。
保守と再利用
モバイル製品は、認証プロセスがそのペースに追いつかなければならないリリースサイクルで提供されます。私たちは、アップデートや新バージョン、追加の決済スキームの申請を最初から計画に組み込み、コンポーネントの評価は、その結果がそれらを基盤として構築されるソリューションに反映されるよう構成しています。
EMVCoのSBMP評価ルート
ソリューションの評価では、ユーザーに提供されるモバイル決済製品全体を対象とします。ソリューションにすでに認証を取得済みのコンポーネントが含まれている場合、評価ではそれらの結果を参照し、重複した検証は行いません。このアプローチは、ウォレットプロバイダー、発行者、およびOEMに適しています。効率性は、統合作業において各コンポーネントの認証に付随する条件をどれだけ適切に満たせるかにかかっており、これが回避可能な作業が発生する最も一般的な原因となっています。
EMVCoのSBMP認証と決済スキームの承認は関連していますが、別個のものです。Visa、Mastercard、American Express、Discover、JCB、Cartes Bancaires、Bancontact Payconiq、MIRなどの各スキームは、ソフトウェアベースのモバイル決済に関してそれぞれ独自の要件を設けています。当社は、EMVCoのSBMP要件と各スキームのプログラム要件を合わせて評価を行うため、お客様のスケジュールから重複するテストを排除することができます。
認証の対象範囲は、EMVCoが定義する範囲に準拠しています。一部のベンダーからは、その範囲外のリスク、例えばバックエンドやプロビジョニングのセキュリティ、あるいは認証済みコンポーネントでは対応できない不正利用経路などについても把握したいという要望があり、当社ではそれらについて別途評価サービスを提供しています。これは認証とは別のオプションとして提供されるものであり、お客様の認証書には一切影響しません。
決済アプリがEMVCo認証を取得する必要がある3つの理由
モバイル決済アプリは、プロバイダーが管理できない環境下で、ルート化されていたりセキュリティ侵害を受けていたりする可能性のある消費者の端末上で動作しており、その一方で攻撃者は攻撃ツールを絶えず洗練させ続けています。本記事はPromonとの共同執筆によるもので、プロバイダーが自社のソリューションをEMVCo SBMP認証に申請する3つの理由と、選択するソフトウェア保護ツールがそのプロセスの進め方にどのような影響を与えるかを解説しています。
キーサイトとの協業
キーサイトがSBMPの準備と評価を全面的にサポートしますので、お客様は製品の開発に専念していただけます。
スタック全体にわたって評価する
当社は、ソフトウェアベースのモバイル決済ソリューションのあらゆる層――ソフトウェア保護ツールやTEEから、CDCVMやアテステーションを経て、ウォレット全体に至るまで――を評価します。したがって、1つの試験所において、本日はお客様のコンポーネントを、明日はそれを統合したソリューションを評価することが可能です。
評価の準備を万全に
SBMPプロジェクトにおける遅延の多くは、審査に耐えられない保護メカニズム、あるいはコンポーネント認証で課された統合条件にソリューションが適合していなかったことに起因しています。当社のトレーニングおよび認証前テストでは、お客様のチームが通常のリリースサイクル内で対応できる段階で、こうした課題を明らかにします。
証拠を再利用する
弊社では、お客様のロードマップに盛り込まれた決済スキームプログラムやその他のスキームと並行して、EMVCo対応の計画を策定いたします。これにより、1つのキャンペーンで複数の構成要素や製品バージョンを網羅でき、新規の提出にかかるコストは前回よりも低くなります。
リソースを学ぶ
よくあるご質問
SBMPは、ソフトウェアベースのモバイル決済製品を対象としたEMVCoのセキュリティ評価プロセスです。EMVCoは2018年にこのプロセスを導入し、ハードウェア・セキュア・エレメントではなくソフトウェア上で決済資産を保護するモバイル決済ソリューションを、業界全体で統一された基準に基づいて評価できるようにしました。認定試験機関が製品を評価して報告書を提出すると、EMVCoはセキュリティ評価証明書を発行します。
コンポーネントおよび包括的なソリューション。コンポーネントには、ソフトウェア開発キット（SDK）、信頼できる実行環境（TEE）、生体認証や認証デバイスなどの消費者向けデバイスにおけるカード所有者確認手法、アテステーションメカニズム、およびソフトウェア保護ツールが含まれます。これらの構成要素を組み合わせて構築されたモバイル決済アプリケーション全体についても評価が可能です。
コンポーネント評価は、多層防御の一部分を単独で対象とします。一方、統合評価やソリューション評価は、その構成要素が保有する認証を基に、製品全体を対象とします。テクノロジーベンダーは通常、前者のアプローチを採用し、ウォレットプロバイダーやOEMは通常、後者のアプローチを採用します。
各スキームは独自の承認要件を設けており、ベンダーは通常、EMVCoのSBMP認証を取得することで、各スキームに対してセキュリティを証明しています。実際には、ウォレットプロバイダーや発行機関に製品を販売するベンダーにとって、特定の市場において特定のスキームが認証を義務付けているかどうかにかかわらず、商業的な観点から認証取得が求められているのが実情です。
EMVCoのベンダーとして登録されている必要があります。また、EMVCoのセキュリティ評価ワーキンググループと「セキュリティ評価契約」を締結している必要があります。この契約は、SBMPセキュリティ評価事務局に連絡することで発効します。その後、SBMP登録質問票を事務局に提出し、EMVCoから発行される請求書を支払います。
ドキュメントレビュー、ソースコードレビュー、脆弱性分析、および侵入テスト。テストの範囲には、静的解析および動的解析、リバースエンジニアリング、フックおよびインストルメンテーション、改ざんおよび再パッケージ化、ルート化およびジェイルブレイクされたデバイスのシナリオ、ならびにホワイトボックス暗号を含む暗号実装に対する攻撃が含まれます。
ホワイトボックス実装は、モバイル決済製品において一般的な保護手段であると同時に、脆弱性が発見される主な原因でもあります。当チームは、難読化された暗号に対する実用的な攻撃について数多くの論文を発表しており、評価にあたっては、単にホワイトボックス実装の存在を確認するだけでなく、それが鍵の抽出に耐えられるかどうかのテストも行っています。
これは、選択する範囲、製品の複雑さ、およびドキュメントやソースコードの準備状況によって異なります。コンポーネントの評価は、通常、ソリューション全体の評価に比べて期間が短く、所要時間も予測しやすい傾向にあります。認証取得前のテストは、正式な認証取得プロセスをスケジュール通りに進める上で最も確実な方法です。
費用は2種類あります。評価そのものの範囲と見積もりは試験所が設定・提示しますが、EMVCoは申請1件ごとに独自の登録料を請求しており、これには新製品の登録、証明書の更新、および更新が含まれます。
はい。キーサイトは、IC、プラットフォーム、ICCの評価に加え、SBMPについてもEMVCoの認定を受けています。EMVCoのスマートカード認証ページをご覧ください。