为什么我的借记卡有条纹和芯片?

信息安全 智能卡 磁条卡
2021-09-06 20:05:35

最近我收到了一张既有磁条又有芯片的新借记卡(就像我以前的卡一样)。

我知道磁条可以很容易地被复制,而芯片系统还没有受到损害(还没有?)。我想条纹仍然存在用于遗留目的,尽管在过去几年中我没有见过也没有听说过不接受芯片支付的终端或 ATM。

就我而言,这就像为你的前门买一把新的花哨的锁,而后门却没有上锁。这个类比是否正确,即带有条纹和芯片的卡并不比只有条纹的卡更安全?如果是这样,为什么我的银行会允许这样的安全风险?为什么不完全摆脱条纹?

Ps:如果重要的话,我住在荷兰。

编辑:为清楚起见,我最关心以下情况:

小偷在 ATM 上掠过(可能(?)芯片支付),但仍然可以得到条纹,因为卡进入 ATM。假设他也读了我的 PIN。然后他伪造了一张新卡并清空了我的银行账户。

4个回答

详细信息取决于银行、卡类型和国家/地区,因此差异很大,但通用模型如下:

  • 磁条主要包含卡上浮雕信息的计算机可读副本:帐号、持有人姓名、有效期。
  • 该芯片包含一个密钥,用于“签署”(不一定是真正的签名;通常是MAC)交易。
  • 芯片知道 PIN 码并在 PIN 码出现之前拒绝工作;如果提供太多错误的 PIN 码,它也会自行锁定。

支付终端使用磁条时,必须与银行通话,与银行建立安​​全隧道,发送用户输入的 PIN 码,并验证所有者账户上是否有足够的钱。

另一方面,当支付终端使用芯片时,PIN码只发送到芯片,根本不需要与银行交谈。整个交易可以离线进行。当然,对于大额金额,与银行交谈以了解买方帐户是否存在这笔钱仍然是一个好主意,但小额交易可以在根本没有网络的情况下有效地完成。

因此,磁条和芯片有两种不同的使用方式,两者兼有并不意味着安全性降低到两者中较弱者的安全性。从银行的角度来看,芯片更好,因为它们更高效(无需处理网络呼叫)且更难克隆(统计数据显示欺诈率除以 10 左右)。这通常转化为向改用芯片感知终端的商家授予的财务优势。


以上所有内容都可能存在变体。例如,某些卡在磁条中包含 PIN 码的加密版本——但不会在支付终端中验证。相反,终端必须与知道解密密钥并可以进行验证的区域掩体化服务器通信。对于其他一些卡类型,很明显磁条对 PIN 码一无所知,例如无芯片的美国运通卡(几年前),您可以通过打电话给银行来更改您的 PIN 码。

在任何情况下,借记卡或信用卡的所有安全功能都不是为了保护他们保护银行从银行的角度来看,你是敌人(不管他们在广告中声称什么)。

这是一个责任问题:

  • 如果商家使用芯片和密码,并且交易被证明是欺诈,则发卡机构为欺诈支付费用(假设商家没有疏忽)。
  • 如果商家使用磁条,而交易被证明是欺诈,则商家为欺诈支付费用。

首次引入芯片和密码时,理论上商家可以做出不为新卡终端付费的商业决定,而只是承担欺诈责任。在实践中,每个人都决定转向芯片和引脚,这正是卡片计划想要的。

它们具有向后兼容的磁条。一些卡片数字的凸起表面确保即使是传统的手动刷卡系统也能在断电时工作。

取决于银行、卡类型,卡上存在磁条可能有多种原因:

  • 向后兼容:有老终端不能接受芯片。此外,芯片卡处理还没有像磁条卡处理那样标准化,而且也更复杂,因此终端可能只能接受某些类型的芯片。

  • 磁条可以用作备份,以防芯片出现故障。细节因银行而异,有些银行可能会限制以这种方式使用卡的金额、频率,甚至完全不允许这样做。通常程序要求必须先尝试芯片,只有无法处理时才能使用磁条。银行政策可能要求持卡人报告此类情况或承担责任。


至于您对从磁条读取 PIN 的担忧,通常任何形式的 PIN 都不包含在磁条中。PIN 的主要用途是对持卡人进行身份验证,即只有持卡人知道 PIN 并可以进行交易(PIN 也由银行安全存储,并且应该无法找回)。如果 PIN 码包含在磁条上,任何拥有适当设备的人都可以读取/浏览磁条并获取它。