EMVco : RSA ile birlikte ECC (Elliptic Curve Cryptography) Algoritmasının Kullanılmaya Başlanması

EMVco tarafından yakın zamanda duyurulan düzenlemelerden bir tanesi de mevcutta kullanılan RSA açık anahtar algoritmasının yanında ECC (Elliptic Curve) açık anahtar algoritmasının da 2023 yılından itibaren desteklenmesinin zorunlu olmasıdır.

Mevcut RSA Anahtar Yapısı

Mevcutta kullanılan RSA asimetrik anahtar algoritması için 1984 bit anahtarların öngörülen kullanım vadesi 2031 olarak ilan adilmiş durumda. Buna göre 2026'dan itibaren 5 yıl vadeli EMV kart basılabilmesi için :

• Standart koyucuların önerdikleri vadeden (2031) daha uzun bir vadeyi insiyatif alarak kullanmak
• Daha uzun bir anahtar kullanmak (2048, 3072, 4096 ,8192 vb )

alternatiflerinden biri ile ilerlemek gerekiyor. Yapılan değerlendirmelere istinaden 1984 bit anahtarın vadesinin EMVco tarafından uzatılması da mümkün, fakat genellikle birer yıl olarak yapılan bu uzatımlar birkaç sene tekrarlandıktan sonra sınırlandırılıyor ve sabit kalıyor. EMVco burada mevcut gelişmekte olan bilgisayar ve hesaplama teknolojilerini dikkate alarak anahtarların kırılabilme olasılığına karşılık tahmini bir vade belirliyor. Quantum bilgisayarlarının kullanılmaya başlandığı bir dönem için ileriye dönük tarih belirlenirken ihtiyat payı devreye giriyor.

1984 Bit Sınırı

Mevcut EMV protokolüne göre 1984 bit anahtardan daha uzun bir anahtar kullanılması standart protokolün dışına çıkılması anlamına geliyor. Mevcut RSA algoritmasına göre daha uzun anahtar kullanılmasının önündeki engellerden bir tanesi ve belki en önemlisi bu.

EMV 4.3 Book 2

Mevcut terminal donanımları ile RSA algoritmasına göre uzun anahtarların işlemler için kullanılması işlem sürelerinin uzaması anlamına geliyor.

Ek olarak sahada kullanılan bütün terminal ve kart donanımlarının yüksek uzunluklardaki anahtarlar ile kriptografik işlem yapma kabiliyeti bulunmuyor.

Çevrimdışı Kart Doğrulaması (Offline Data Authentication)

Mevcut EMV Spesifikasyonlarına göre RSA anahtar algoritması ile Static Data Authentication , Dynamic Data Authentication ve Offline PIN verification akışları işletiliyor. Mevcut Dynamic Data Authentication akışlarına ek olarak XDA (Extended Data Authentication) akışı tanımlanarak yayınlanmış oldu.

EMVco

1152 bit keyler 2017 itibari ile kullanımdan kaldırıldı. Mevcutta kullanılmaya devam edilen 1408, 1984 bit keyler sırasıyla 31 Aralık 2027 ve 31 aralık 2031 son kullanım tarihlerine sahip.

Amaç

ECC algoritması, mevcutta kullanılan RSA’ya kıyasla daha küçük boyutlardaki anahtarlar ile daha hızlı ve güvenli bir şifreleme olanağı sağlıyor. Aşağıda NIST’in yayınladığı tabloya göre 256 bit simetrik bir anahtar 15360 bit RSA algoritması ile kullanılan anahtar ile aynı güven seviyesinde iken ECC için bu uzunluk 521 bit.

NIST

PCI

2020 yılında yayınlanan PCI PTS 6.0 dokümanı ile PCI SSC de, EMV kart kabul eden terminallerin ECC desteği olması gerektiğini duyurmuştu.

PCI yaptığı güçlü şifreleme tanımlamasına göre aşağıdaki yöntem ve ilgili uzunlukları güçlü kategorisine alıyor.

Konuyla ilgili farklı bir okuman yapmak isteyenler için TROY teknoloji direktörü çalışma arkadaşım sami özen’in yazısına ait linki buraya bırakıyorum.

Kaynaklar :

https://www.emvco.com/document-search/?action=search_documents&publish_date=&emvco_document_version=&emvco_document_book=&px_search=Elliptic

https://www.pcisecuritystandards.org/

https://blog.pcisecuritystandards.org/just-updated-pts-poi-standard

https://csrc.nist.gov/projects/elliptic-curve-cryptography

https://www.secg.org/