CSC - מה זה? על הטכנולוגיה, הפונקציות והתכונות שלה

2024 מְחַבֵּר: Howard Calhoun | [email protected]. שונה לאחרונה: 2023-12-17 10:27

תשלום עבור סחורות או שירותים דרך האינטרנט עלול לגרום לקשיים למשתמשים חסרי ניסיון. לדוגמה, לצורך השלמת רכישה, האתר בדרך כלל מבקש ממך להזין פרטי כרטיס תשלום עבור תשלומים ללא מזומן: מספר כרטיס, תאריך תפוגה, שם פרטי ושם משפחה של המחזיק וקוד CVV/CVC. אם הנקודות הראשונות פחות או יותר ברורות, אז הדרישה האחרונה יכולה לבלבל רבים וייקח הרבה זמן להבין אותה. מאמר זה יעזור לך להבין ולענות על שאלות כגון CSC - מהו הקוד הזה, היכן למצוא אותו ולמה הוא מיועד.

אודות הטכנולוגיה

CSC (קוד אבטחת כרטיס - "קוד אבטחת כרטיס") - מנגנון הגנה שנועד למנוע הונאה בכרטיסי בנק. ישנם גם ייעודים קשורים אחרים של מונח זה: CVD, CVV, CVC, SPC ו-V-code. CSC מיועד לשימוש במקרים בהם לא ניתן להציג את הכרטיס פיזית - לתשלומים מקוונים. הטכנולוגיה חייבת את המראה שלהאור לעובד הבריטי של Equifax מייקל סטון. בתחילה, הקוד היה שילוב של 11 אותיות ומספרים. לאחר מכן, סוכנויות פרטיות ובנקים הבינו ש-CSC הוא המבשר של עידן חדש של אבטחת מידע. הקוד הושלם וקיבל את צורתו המודרנית, המורכבת מ-3 ספרות. בעקבות המסחר האלקטרוני המשגשג בסוף המאה ה-20, מערכות תשלום מובילות כמו מאסטרקארד, ויזה ואמריקן אקספרס קלטו במהירות את הטכנולוגיה הזו.

יש כמה סוגים של קוד סודי:

• CVC1 או CVV1 - שילוב מוצפן של תווים, שמיקומם הפיזי הוא פס מגנטי בגב הכרטיס. משמש לתשלומים בכרטיס לא מקוון. הקוד מזוהה על ידי מכשיר התשלום במהלך תהליך הרכישה ונשלח לאימות לשרת האימות של הבנק המנפיק. הגנה כזו עוקפת על ידי יצירת כרטיס תשלום כפול והעתקת הסרט המגנטי.
• CVV2 או CVC2. נועד להגן על הקונה במהלך עסקאות דרך האינטרנט. זוהי שיטת האימות המתקדמת ביותר. בחלק ממדינות אירופה, מערכות התשלום דורשות מסוחרים ועסקים לאמת קוד זה בעת ביצוע עסקאות מקוונות.
• iCVV או CVV דינמי. משמש לתשלום ללא מגע.

CSC - מה זה? מאסטרקארד וויזה

מבחינת השימוש והמיקום שלו, קוד האבטחה של הכרטיס זהה לחלוטין עבור שתי מערכות התשלום, למעט השם. CSC על כרטיס ויזהנקרא CVV2, עבור כרטיסי מאסטרקארד - CVC2. השילוב הדיגיטלי של הקוד ממוקם בצדו האחורי של הכרטיס, באזור רצועת החתימה של המחזיק או בקרבתו. מיקום זה מקשה על התוקפים לרגל אחר המספרים כדי לגנוב כסף במקומות ציבוריים או מסרטון. שיטות החלת קוד CSC ומספר הכרטיס שונות: עבור שילוב אבטחה, נעשה שימוש בחותם זיהוי או הבלטה. ייתכן שאלמנט אבטחה זה אינו קיים פיזית בכרטיס כלל, אך ניתן להפיק אותו כאשר הוא מונפק. אפשרות זו טבועה בכרטיסים וירטואליים או בפלסטיק מהמעמד הראשוני: Visa Electron, Mastercard Maestro ואחרים.

קוד אבטחה במערכות תשלום אחרות

ישנן וריאציות אחרות של CVC:

• CID (מספר זיהוי כרטיס - "מספר זיהוי כרטיס") - על אמצעי תשלום של אמריקן אקספרס. יש לו תכונה הבחנה מרכזית: קוד אבטחה בן 4 ספרות ממוקם מעל מספר הכרטיס בצד ימין של הצד הקדמי.
• CVD (נתוני אימות כרטיס - "נתוני אימות כרטיס") - אלמנט אבטחה של כרטיסי אשראי אמריקן Discover.
• CVE (קוד אימות Elo). שילוב אבטחה של מספרים בכרטיסי חיוב ואשראי ברזילאים.
• CVN2 (מספר אימות כרטיס - "מספר אישור כרטיס") - קוד האבטחה בכרטיסים של מערכת התשלומים הסינית Union Pay.

כמה אמין המנגנון הזה?

בנקים מנפיקים אוסרים מסחר ושירותחברות לאחסן במסד הנתונים את סיסמאות ה-CSC שהושגו במהלך העסקה. הדבר מגביר את האבטחה של מחזיקי כרטיסי תשלום: במקרה של פריצה וגניבה של נתונים משרתי החברה, נתוני כרטיס הלקוח שנפגעו כמעט חסרי תועלת ללא קוד אבטחה. למרות זאת, לטובת העובדה ש-CSC רחוקה מלהיות המנגנון המאובטח ביותר, קיימות הראיות הבאות:

• חסר כוח על קישורי דיוג. קוד האבטחה אינו מסוגל למנוע גניבת נתונים כאשר מרמים משתמש להיכנס לדף תשלום מזויף שנוצר על ידי רמאים. בדרך כלל, הממשק של משאב כזה אינו ניתן להבחין או קרוב ככל האפשר לתוכן של עמוד רגיל, מה שמטעה את הקונה ומנחה אותו להזין נתוני כרטיס תשלום, כולל CSC. לפיכך, לתוקפים יש גישה מלאה לפרטי כרטיס, מה שמאפשר עסקאות לא חוקיות.
• קלט אופציונלי. חלק ממקומות השוק המקוונים אינם דורשים מהקונים לספק CSC. זה משחק לידיים של תוקפים שיודעים רק את הנתונים שנפגעו מחזית הכרטיס: מספר ותאריך תפוגה.
• פריצה. ישנם מקרים שבהם רמאים ניחשו CSC קצר בן שלוש ספרות באמצעות טריקים של האקרים והתקפות DDoS מאורגנות.

אילו עוד טכנולוגיות אבטחת כרטיסים קיימות?

כפי שניתן לראות מהפסקה הקודמת, למנגנון CVC יש פגמים המאיימים על אבטחת מחזיקי הכרטיס. מערכות תשלום לקחו בחשבון ש-CSC היא טכנולוגיה שישליקויים חמורים, והציגה מערכת הגנה נוספת לכרטיסי תשלום בשם 3D-Secure. מנגנון זה מוסיף שלב בתהליך העסקה המקוונת - אימות משתמש בשרת של הבנק המנפיק. זה עשוי לכלול הזנת קוד קבוע, שילוב שנוצר באופן דינמי של מספרים מהודעת SMS, או שימוש בסיסמה מרשימת מפתחות.