在机器（ATM、PoS）和在线上使用 CC 是有区别的。

在一台机器上，您将通过 CC 编号和 PIN 识别。如果您使用带有磁条的卡 - 它可以轻松克隆。如果您使用的是芯片卡，那就更安全了，因为机器无法读取芯片，它们只能与它交互并要求它验证密码是否正确，芯片只会回答“是”或“否” . 从本质上讲，芯片就像一台小型计算机，专门设计用于防篡改（即使在物理层面上 - 它被封装在特殊的环氧树脂中，并且在不破坏任何东西的情况下拆卸它是非常困难的）。

在线购物时 PIN 不用于识别。其他信息用于验证您的身份，例如信用卡背面的数字、您的全名、账单地址、电话号码、电子邮件地址。

必须在帐户和卡之间进行区分。

在借记卡/信用卡有筹码的国家/地区，在商店或餐厅付款时，情况如下：

• 商家/服务员向顾客展示支付终端。
• 客户将他的卡插入终端。卡的一半仍然突出；仅使用芯片（不读取磁条）。
• 芯片一旦通电，就会向终端宣布它的身份，即（主要是）这张卡所链接的帐号。包含身份的数据包由银行签名（使用RSA 等实际数字签名算法）；这允许终端假定身份确实存在。
• 终端要求输入 PIN。用户输入 PIN。
• 终端向卡发送 PIN 和交易详情（金额、商户 ID）。
• 该卡验证 PIN 码，如果正确，则“签署”交易详情；该“签名”实际上可能是使用银行也知道的密钥计算的MAC。支付终端无法验证这个“签名”；它只是存储它，以便在以后发送到银行。

在这个过程中，隐含着相当大的信任：

• 卡片可“克隆”：假卡发送与真卡相同的“识别包”即可；然后，当假卡应该验证 PIN 并计算交易的 MAC 时，该卡只会说“PIN 是好的”并发送一些随机的乱码。已经创造了“是卡”的表达来描述这样的卡。

  针对这种攻击部署了两种变通方法：其中之一是卡的物理外观。真正的卡片充满了颜色和虹彩图形元素，商家/服务员应该目视检查（这与纸币的方法大致相同）。另一种解决方法是让终端在交易进行时与银行进行在线检查（如果金额超过某个阈值则系统检查；否则随机检查）。近年来，具备WiFi或3G能力的终端让这一过程变得顺畅了许多。

• 客户必须相信终端屏幕上显示的金额确实是发送到卡的金额，同样，终端不会尝试记录 PIN。当前的终端实际上​​是大型智能卡，因为它们是防篡改的，并且可以包含秘密值，如果它们的外壳被打开，它们会主动销毁这些值。

  这种攻击的主要解决方法是经典警察。如果报告涉及特定商店的欺诈行为过多，那么看起来卑鄙的执法人员可能会投资该场所并给商家带来不适。其他变通方法可能意味着一种识别步骤，通过该步骤终端以某种方式证明其作为卡的真正终端的质量。

上述步骤可能会有所不同，具体取决于国家、银行和时间。通常，银行会在其协议中保密。有一点是，很长一段时间以来，智能卡的功能都不足以即时生成真正的签名（例如 RSA）（昂贵的卡已经能够做到这一点已有 20 年了，但银行通常会对这个讨厌的词提出异议，信用卡通常具有更便宜的说服力）。

尽管存在所有缺点，但据说智能卡将欺诈率除以 10 左右，这意味着节省了资金损失，因此银行对此非常满意。北美银行一直渴望这些储蓄，但他们等待相关专利到期（这就是为什么美国和加拿大的银行似乎在 2006 年左右“发现”了智能卡的新技术：核心专利是从 1986 年开始的，而专利持续 20 年）。

重要的一点：所有付款过程都是关于将银行订单发送给银行的。商户希望客户的银行从客户的账户中取出一些钱，并将其发送到商户的银行，以存入商户的账户。智能卡实际上充当了一种 验证设备，用于向客户的银行证明所述订单体现了客户的意愿。

现在让我们看看在网上购物时会发生什么。您在浏览器字段中输入的内容肯定不是芯片；实际上，您只需键入印在卡片表面的一些数字。Web 服务器无法知道人类用户当时是否真的有卡片，只能知道数字本身。这些数字被假定为有些秘密。

这种交易也会产生银行订单。在这种情况下，身份验证协议非常脆弱：通过卡号、持卡人姓名、到期日期和 CVV，商家可以以某种方式向银行证明客户在之前的某个日期涉及；但银行必须信任商家发送真实金额。碰巧大多数商人都是诚实的。欺诈率仍然很高，事实上，如果有办法让卡芯片参与此类交易，银行会更高兴。

对于这里的问题，概念上的点是交易确实是关于银行账户的。卡芯片、卡号和 CVV、带有手工签名的支票……都是银行用来尝试检测大多数欺诈企图的身份验证元素（并收集法律元素以报复欺诈者）。当一笔交易发生时，无论是“一次性”还是“重复”，它确实是银行方面的一组动作；有形卡仅在流程的早期参与，可能以非常间接的方式（例如，当您通过电话或网站发送卡号时，该卡仅用作几位数字的传输媒介），并且仅用于“身份验证”。

卡是银行提出并由银行管理的系统，与卡管理相关的安全系统实际上是为了保护银行，而不是客户或商家。银行很重要，他们从财务角度思考。银行对实现终极安全不感兴趣；银行确实希望在欺诈率和成本之间实现最佳平衡。例如，要使用智能卡进行在线交易，客户端必须有读卡器；最好是包括显示器和密码键盘的阅读器，因为主机可能受到恶意软件的控制（存在恶意软件）。将阅读器分发给每个客户可能会非常昂贵，这解释了为什么银行不这样做。此外，新的协议和流程只有在绝大多数银行和商户同意转换的情况下才能真正应用，并且部署速度不会比客户卡的更新速度更快，因此当事情发生变化时，人们可以期待事情会慢慢发生变化。