SEPA Standardisierungsprojekte und realistische Zeitplanungen. Regine Quentmeier, SRC Security Research & Consulting GmbH Bonn - Wiesbaden

Transkript

1 SEPA Standardisierungsprojekte und realistische Zeitplanungen Regine Quentmeier, SRC Security Research & Consulting GmbH Bonn - Wiesbaden

2 Überblick Ziele der Standardisierung zur SEPA for Cards Standardisierungsinitiativen in Europa Berlin Group CAS CIR ERIDANE/EPAS SEPA-Standardisierung im EPC Migrationsbeispiele und neue Produkte

3 Generelle Ziele der Infrastruktur-Standardisierung Technische Interoperabilität und Kompatibilität Öffnung von Märkten, Wettbewerb von Anbietern Vertrauen in Verfügbarkeit von Infrastrukturen und Förderung der Produktentwicklung auf der Grundlage einer standardisierten Infrastruktur Vermeidung einer Duplication of Efforts

4 Um Wirkung zu entfalten, müssen Standards... relevant für die Zielgruppe sein: Entwicklung unter Berücksichtigung existierender technischer Voraussetzungen Verlässlichkeit des Standards durch geschützte Interoperabilität Verlässlichkeit des Standards durch Top-down geschützte Interoperabilität auf der Basis eines breiten Konsens entwickelt werden, frei zugänglich sein, auf bereits etablierten Standards aufbauen und rechtzeitig sein.

5 Welche Standards sind für ein SEPA for cards erforderlich? EPC SEPA Cards Framework: In order for the objectives of this Framework to be achieved, SEPA-level interoperability must be ensured in the following 4 domains: cardholder to terminal interface, cards to terminal (EMV), terminal to acquirer interface (protocols or minimum requirements), acquirer to issuer interface, including network protocols (authorization and clearing). A common process for the certification of terminals, cards, and network interfaces will be defined in line with the principle described in Chapter Card schemes will engage in mutual recognition for type approval. Any terminal certified for SEPA transactions by a certification body in one SEPA country can be deployed in any SEPA country for acceptance of SEPA cards across all SCF compliant schemes.

6 Card to Terminal Interface Relevante Standards: Governance: Zielarchitektur: aber: Zahlungssystem-spezifische Anforderungen an die Implementierung Unterschiedliche Implementierungen bei Terminal- und Kartenherstellern Interoperabilitäts-Probleme Performance-Probleme

7 Card to Terminal Interface Harmonisierte EMV-Implementierung: Harmonisierung der Anforderungen an EMV- Chipanwendungen Common Implementation Requirements Initiative (CIR) Common Payment Application (CPA) Harmonisierung der Anforderungen an Terminal- Implementierungen Performance-Optimierung Vollständige Spezifikation eines EMV Kernels für Terminals (einschließlich Fehlerbehandlung und Sonderfälle)

8 CIR Technical Working Group Ziele: Vermeidung von Interoperabilitäts-Problemen durch vollständige Beschreibung von Transaktionsabläufen Optimierung des Timings für EMV-Transaktionen: Best Practices für die Parallelisierung und Optimierung von Sub-Prozessen von EMV-Transaktionen auf der Grundlage der vom Karteninhaber beobachteten Transaktionszeit Entwicklung von Benchmarks für Basis-Prozesse Entwicklung eines Sets von Testkarten zur einheitlichen Überprüfung von Benchmarks Voraussichtlicher Abschluss der Arbeiten: Ende 2006

9 Terminal to Acquirer Interface ISO 8583 TCP/IP Standards: Acquirer Governance: Zielarchitektur:?? Es gibt heute keinen technischen Standard für die Kommunikation zwischen Terminal und Acquirer! Vielzahl unterschiedlicher Implementierungen Begrenzte Terminalmärkte Schwierigkeiten in der Umsetzung neuer technischer Anforderungen

10 Terminal to Acquirer Interface ERIDANE/EPAS-Projekt Terminal-Host-Interface (EPAS) Terminal-Kasse-Schnittstelle (EPAS) Terminal-PIN-Pad Schnittstelle (ERIDANE) Terminal-Management-Schnittstelle (EPAS) Standardisierte Sicherheitsarchitektur für Terminals (ERIDANE) Neue Terminalarchitekturen (Applikationsserver) Kostensenkung für Terminals Öffnung von Märkten Einfachere Softwareänderungen (Time to Market für neue Anwendungen) Voraussichtlicher Abschluss der Arbeiten: Mitte 2007

11 Acquirer to Issuer Interface Acquirer ISO 8583 IP VPN Issuer Relevante Standards: Governance: Zielarchitektur:?? Zahlungssystemspezifische Standards, unterschiedliche Implementierungen je Zahlungssystem, obwohl Institute i.d.r. Dual Issuer sind.

12 Acquirer to Issuer Interface

13 Acquirer to Issuer Interface Akzeptanz von Debitkarten in Europa über bilaterale Akzeptanzverträge Processing ist definiert in Autorisierungs- und Clearing-Spezifikation, sowie Anforderungen an das Netzwerk (VPN) Außerhalb der internationalen Zahlungssysteme Pilotierung erfolgt in 2006

14 Komponentenzertifizierung Relevante Standards: Governance: Zielarchitektur: mutual recognition for type approval? Zahlungssystemspezifische Anforderungen Separate Zulassungen pro Zahlungssystem und Land.

15 Komponentenzertifizierung Common Approval Scheme A EUROPEAN INITIATIVE FOR CARD PAYMENTS IN EUROPE Step 1: Step 2: - Common Security Requirements (based on PCI PED Req) - Common Methodology for Security Evaluations Mutual Recognition of Interoperability Certification and Approvals Einbeziehung der PCI PED Requirements als Base Line Offene Kommunikation der Projektergebnisse gegenüber internationalen Zahlungssystemen und Europäischer Kommission Voraussichtlicher Abschluss der Arbeiten: Ende 2006

16 Europäische Standardisierungs- Initiativen im Überblick Issuer Acquirer ERIDANE/EPAS Common Approval Scheme A EUROPEAN INITIATIVE FOR CARD PAYMENTS IN EUROPE CIR Common Implementation Recommendations Common Approval Scheme A EUROPEAN INITIATIVE FOR CARD PAYMENTS IN EUROPE

17 Zusammenarbeit in Europa CIR CAS EPAS Eridane APACS APACS Banksys Banksys Banksys Banksys Cartes Bancaires Cartes Bancaires Cartes Bancaires Cartes Bancaires Cetrel Cetrel Cetrel Cetrel Europay Austria Interpay Europay Austria Interpay Interpay Sermepa Interpay Pan Nordic Card Association Pan Nordic Card Association APACS (observer) MBNA Sermepa Sermepa Thales Pan Nordic Card Association SIBS SIBS Ingenico RBS Sistema 4B Atos MoneyLine Sermepa SSB BP Axalto SIBS ZKA Galitt Group ZKA Sistema 4B Ingenico SSB Integri Telekurs Lyra ZKA MoneyLine RSC SRC Thales Thales Espana Total University of Applied Science Wincor

18 Wie wird die vom EPC SCF geforderte Standardisierung organisiert? Im EPC wurde Konsens über einen Vorschlag zur Nutzung der Arbeit der Initiativen erreicht Um eine koordinierte und koherente Projektplanung zu erreichen Um den freien Zugang und die freie Verwendung der Arbeitsergebnisse zu gewährleisten Um einen Prozess der geregelten Einbringung in die internationale Standardisierungsstruktur zu schaffen Beschlussfassung noch im Mai 2006

19 EMV-Migration von electronic cash Die Migration der Karten bestimmt die Migrationsmöglichkeiten der Terminals Karten ohne electronic cash- EMV-Anwendung electronic cash Spur 3 Spur 2 Karten mit bisheriger electronic cash-anwendung und neuer electronic cash EMV-Anwendung electronic electronic cash cash EMV Spur 2 Spur 3 Karten ohne bisherige electronic cash Chip-Anwendung electronic cash EMV Spur 2 Version 6.0 Voraussetzung für die EMV-Migration des electronic cash-systems

20 EMV-Migration von electronic cash Terminals mit bisheriger Chip-Verarbeitung und Spur 3-Verarbeitung X Spur 3 + Spur 2 electronic cash Spur 3 Terminals mit bisheriger Chip-Verarbeitung und Spur 2-Verarbeitung electronic cash Spur 2 + electronic cash EMV Spur 2 Terminals mit bisheriger Chip- Verarbeitung, electronic cash-emv und Spur 2-Verarbeitung electronic cash EMV electronic cash EMV electronic cashx Spur 2 Terminals nur mit Spur 2- und electronic cash-emv EMV electronic cash EMV Spur 2

21 Neue produktpolitische Möglichkeiten durch Verwendung der Standards Möglichkeiten zur Entwicklung von SCF-compliant Produkten: electronic cash auch in anderen Ländern Allianzen via Berlin Group Co-Branding Domestic Scheme Domestic Scheme Domestic Scheme Domestic Scheme Domestic Scheme Allianzen verbunden durch Berlin Group-Standards Gegenseitige Anerkennung von Zertifizierung durch CAS-Standards Systemschnittstellen gemäß CIR und EPAS/ERIDANE-Standards

22 Vernetzung der Standardisierung im Zahlungsverkehr: eine weitere Rolle für EPC! Bei nationalen Kartentransaktionen erfolgt Clearing und Settlement im Rahmen des klassischen Zahlungsverkehrs Bei grenzüberschreitenden Transaktionen gibt es traditionell eine Differenzierung zwischen Kartengeschäft und klassischem Zahlungsverkehr Der Aufbau einer pan-europäischen Infrastruktur für Clearing und Settlement kann prinzipiell auch für Clearing und Settlement von Kartentransaktionen genutzt werden! Zum Beispiel in zweiter Phase der Berlin Group.

23 Kontakt SRC Security Research & Consulting GmbH Graurheindorfer Str. 149a Bonn Tel. +49-(0) Fax: +49-(0) WWW: