Varne SQR (Secure Quick Response): šifrirane 2D črtne kode za varno plačevanje

Varne SQR: šifrirane 2D črtne kode za varno mobilno plačevanje — enkratne, berljive s pametnim telefonom ali čitalcem, brez dodatne strojne opreme.

Varne kode s hitrim odzivom ali kode SQR so varne dvodimenzionalne črtne kode z visoko gostoto podatkov, ki temeljijo na kodah QR.

Varne kode za hitri odziv so varna metoda šifriranja podatkov v črtno kodo, ki jo je nato brez šifrirnega šifra ali ključa zelo težko dekodirati v izvirno navadno besedilo. Tipična izvedba kod SQR je ustvarjanje kode SQR za enkratno uporabo na zaslonu mobilnega telefona za učinkovito ustvarjanje zelo varnega enkratnega šifriranja, na primer številke spletnega računa.

Ker se kode SQR lahko uporabljajo v več sto milijonih telefonov brez dodajanja dodatne strojne opreme, lahko delujejo na podoben način kot telefoni za komunikacijo v bližnjem polju za varno mobilno plačevanje. Tipična izvedba je šifriranje in uporaba predhodnega fizičnega strojno berljivega žetona, kot je identifikacijska številka kartice (CID), zapisana v bralnem pomnilniku (ROM) kartice Secure Digital microSD v mobilnem telefonu, ali celo mednarodna mobilna identifikacijska številka, če ni kartice microSD, kot na primer v telefonu Apple iPhone. Kode SQR je mogoče varno prebrati v maloprodajnem okolju na prodajnem mestu s čitalniki črtnih kod 2D ali celo z nizkocenovno spletno kamero. Kode Secure Quick Response je prvič razvilo podjetje Yodo na Japonskem in so predmet patentne prijave.

Kako delujejo kode SQR

Osnovni princip je naslednji: na strežniku ali v varni aplikaciji se pripravi kriptiran podatkovni paket (npr. identifikator uporabnika, transakcijski ID, znesek, časovna znamka in enkratni nonce). Ta paket se nato pretvori v dvodimenzionalno črtno kodo, ki se prikaže na zaslonu mobilne naprave kot SQR. Prodajno mesto ali bralnik prebere kodo in posreduje vsebino nazaj avtentikacijskemu/procesnemu strežniku, kjer se podatki dešifrirajo in preverijo pristnost ter veljavnost.

Ključne varnostne lastnosti

• Šifriranje: SQR običajno uporablja simetrično (npr. AES) ali asimetrično šifriranje (npr. RSA, ECC) za zaščito vsebine. Brez ustreznega ključa je izvorna vsebina neberljiva.
• Enkratna uporaba (OTP): kode so pogosto veljavne le kratek čas in/ali za eno transakcijo, kar preprečuje ponovljeno zlorabo (replay attack).
• Integriteta: HMAC ali digitalni podpisi zagotavljajo, da podatki v kodi niso bili spremenjeni.
• Tokentizacija: namesto prenosov občutljivih podatkov se prenašajo tokeni, ki brez dostopa do strežniškega ključa ne razkrivajo originalnih podatkov.
• Izvor ključa v strojno varnem elementu: ključ ali referenca lahko prebiva v varnem pomnilniku, Secure Elementu, SIM kartici ali microSD (kot je opisano zgoraj), kar onemogoča enostavno kloniranje.

Uporabe in prednosti

• Varno mobilno plačevanje brez dodatnega NFC-hardware: deluje na obstoječih zaslonih in bralnikih 2D črtnih kod.
• Primeren za enkratne prijave, avtentikacijo dostopa, potrditev naročil ali prenos plačilnih pooblastil brez posredovanja občutljivih številk.
• Združljivost s poceni strojno opremo: maloprodajna okolja lahko uporabijo obstoječe 2D čitalnike ali celo spletne kamere za branje SQR.
• Zmanjšanje tveganja skimmingov in fizičnega kloniranja kartic, ker je v kodi šifriran in pogosto kratkotrajno veljaven token.

Omejitve in tveganja

• Varnost je odvisna od kakovosti implementacije: slabi ključi, pomanjkljiva rotacija ključev ali nezaščiten strežnik zmanjšajo varnost.
• Če naprava uporabnika ni posodobljena ali ima kompromitirano programsko opremo, lahko napadalci prestrežejo ali ponaredijo kode.
• Branje z nizkokakovostnimi kamerami ali pri močni svetlobi lahko povzroči napake pri odčitavanju; zato morajo sistemi vključevati preverjanje veljavnosti in možnost ponovnega izpisa/ponovnega generiranja kode.
• Odvisnost od centralnega strežnika za dešifriranje pomeni potrebo po zanesljivi povezavi ali robustnih mehanizmih za odloženo obdelavo.

Priporočila za varno implementacijo

• Uporabljajte priznane kriptografske algoritme in ustrezno upravljanje ključev (rotacija, zaščita v strojnih varnih okoljih).
• Vključite omejitve veljavnosti (časovne okvire), nonce in povežite transakcijo z dodatnimi kontekstualnimi podatki (lokacija, ID trgovca) za zmanjšanje goljufij.
• Redno testirajte sistem na ranljivosti in izvajajte posodobitve aplikacij in strežnikov.
• Izobražujte uporabnike o varnosti in o tem, naj kode delijo le z zaupanja vrednimi prodajnimi mesti.

Patent in zgodovina

Kode Secure Quick Response je prvič razvilo podjetje Yodo na Japonskem in so predmet patentne prijave. Zaradi patentne zaščite in različnih izvedb se lahko konkretne tehnične podrobnosti razlikujejo med ponudniki — nekateri uporabljajo strežniško generiranje znotraj plačilnih omrežij, drugi vgrajene varne elemente v naprave oziroma kombinacije obojega.

Skupaj predstavljajo kode SQR praktično in varno rešitev za številne scenarije avtentikacije in mobilnega plačevanja, še posebej tam, kjer želimo minimalno dodatno strojno opremo in hiter uporabniški potek. Kljub temu je ključno skrbno načrtovanje kriptografije, upravljanja ključev in postopkov preverjanja, da se zagotovijo obljubljene varnostne koristi.

Vprašanja in odgovori

V: Kaj so varne kode hitrega odzivanja?

V: Kako deluje šifriranje kod SQR?

V: Katera vrsta žetona se običajno uporablja pri izvajanju kode SQR?

V: Kako je mogoče varno prebrati kode SQR?

V: Kdo je razvil varne kode s hitrim odzivom?

V: Ali obstajajo še kakšne druge aplikacije za kode SQR?

Išči po črki