WO2007131956A1 - Method to secure a chip card transaction, write terminal to secure such a transaction, and secure chip card - Google Patents

Method to secure a chip card transaction, write terminal to secure such a transaction, and secure chip card Download PDF

Info

Publication number
WO2007131956A1
WO2007131956A1 PCT/EP2007/054571 EP2007054571W WO2007131956A1 WO 2007131956 A1 WO2007131956 A1 WO 2007131956A1 EP 2007054571 W EP2007054571 W EP 2007054571W WO 2007131956 A1 WO2007131956 A1 WO 2007131956A1
Authority
WO
WIPO (PCT)
Prior art keywords
cryptogram
payment
magnetic tape
transaction
terminal
Prior art date
Application number
PCT/EP2007/054571
Other languages
French (fr)
Inventor
Jérôme AJDENBAUM
Original Assignee
Gemplus
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Gemplus filed Critical Gemplus
Publication of WO2007131956A1 publication Critical patent/WO2007131956A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/385—Payment protocols; Details thereof using an alias or single-use codes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • G06Q20/40975—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners using encryption therefor
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Definitions

  • the present invention relates to a method of securing transactions, particularly in the context of a credit card transaction.
  • the invention also relates to a means of payment, including a bank card.
  • the invention also relates to a writing terminal adapted to be associated with a means of payment.
  • the chip during the execution of a transaction and when the chip card is inserted into an electronic chip reader, the chip generates a cryptogram associated with the transaction, in particular according to an identifier of the chip. transaction .
  • the cryptogram generated is therefore unique for the transaction to be performed.
  • This cryptogram is for example generated using an application "Generate Application Cryptogram” in English, or "Generate an application cryptogram” in French known EMV standard.
  • the smart card reader then sends this cryptogram to a payment institution, for example a bank.
  • the bank verifies the cryptogram received and then authorizes the transaction.
  • a transaction terminal comprising an electronic chip reader issues a request to the generation means for generating a cryptogram, and this cryptogram is transmitted to a payment institution for authentication.
  • a number of transaction terminals are not equipped with a chip reader, and therefore can not issue a request to the generation means for generating a cryptogram.
  • the data stored in this chip, or the calculation capabilities of a chip can not be used advantageously.
  • the methods of securing transaction by cryptogram generation uniquely associated with a transaction are therefore not usable when the terminals transaction do not allow the reading of a chip of the means of payment.
  • An object of the invention is therefore to secure transactions when the transaction terminals are not equipped with a chip reader.
  • Another object of the invention is to avoid the need to set up new transaction terminals equipped with EMV compatible smart card readers, while maintaining a good level of transaction security.
  • the invention can indeed be used in an existing banking infrastructure, whether or not it is equipped with a smart card reader.
  • terminals read a bank card via a magnetic stripe including data relating to the official holder of the bank card.
  • the magnetic tape is an area that is not protected in reading, and the data of this area are easily accessible to fraudsters, for example by copying data from the tape which can then duplicate the card and use its clone to perform transactions.
  • Methods are known for securing magnetic tape transactions. These processes are based on an apprenticeship of the purchasing habits of the owner of the map, for example by mathematical and statistical methods involving neural networks. According to these known methods, if a purchase not provided by the network is made using the magnetic stripe, the bank will refuse to authorize the transaction or will make a phone call to the mobile of the card holder to ask him agreement.
  • the invention aims to overcome the disadvantages of the prior art in terms of securing transactions.
  • An object of the invention is to provide an alternative to the methods of securing transactions by magnetic strips, while leaving a perfect freedom of transaction to the owner of the magnetic stripe card.
  • Another object of the invention is to improve the level of security in transactions involving a magnetic stripe reader and a magnetic stripe of a means of payment and in particular a credit card without requiring hardware update. infrastructure.
  • Another object of the invention is to improve the level of security in transactions involving a bank card comprising a magnetic stripe and at least one electronic chip, while allowing the realization of the transaction using a magnetic stripe terminal.
  • Another object of the invention is to reduce fraud related to the use of magnetic tapes of payment means and in particular bank cards.
  • At least one of these objects is achieved according to the present invention which relates to a method for securing a payment by means of a payment means, said payment means comprising generation means capable of generating cryptograms, and a band magnetic field, said method comprising steps of:
  • the means of payment is in particular a smart card and the generation means are for example an electronic chip including a processor capable of performing calculations, and a data memory.
  • a cryptogram generated by the generation means is encoded on the magnetic strip of the card.
  • This cryptogram encoded on the magnetic tape corresponds to a unique identifier of the transaction made and guarantees the security of this transaction.
  • the cryptogram encoded on the magnetic tape can be transmitted to a payment institution, for example a bank. Authentication of the cryptogram received by the bank is then performed by performing the same calculations and transformations as those that allowed the generation and encoding of the cryptogram on the magnetic tape.
  • the level of security of payments is thus improved by the invention.
  • a fraudster manages to copy the magnetic stripe of the smart card on which the cryptogram is encoded, he can not use the card to perform other transactions because the cryptogram encoded on the magnetic stripe is a unique identifier of the transaction and it can therefore be used only once, in the manner of OTP ("one time password") codes.
  • said method can also be implemented using a write terminal able to communicate with said payment means and said method can comprise steps in which: - said write terminal generates a request to said generating means;
  • said generating means generates said cryptogram in response to said request
  • said writing terminal encoded said cryptogram on said magnetic tape.
  • a user in possession of the writing terminal for example portable, can perform himself his registration at the magnetic stripe of the smart card, without the transaction terminal at which the transaction is made be equipped with a smart card reader.
  • the writing terminal may also be available from a merchant at whom the transaction is made. In this case, the card holder uses the writing terminal to encode the cryptogram on the magnetic strip of his smart card.
  • the transaction terminal intended to transmit a transaction authorization request to a payment institution can read the encrypted cryptogram on the magnetic strip of the payment means without modifying the existing transaction terminals
  • said transaction is carried out at using a transaction terminal to a payment institution, said transaction terminal comprising a magnetic stripe reader capable of reading data from said magnetic stripe, and wherein said method may comprise steps in which: said magnetic tape reader reads said cryptogram encoded on said magnetic tape;
  • said encoded cryptogram is transmitted to said payment institution by said transaction terminal.
  • the card is used as a magnetic stripe card known at the time of the transaction itself. same, and the new data of the magnetic tape corresponding to the encoded cryptogram can be transmitted in a known manner by the transaction terminal to the payment institution.
  • the encoding step may comprise steps consisting of:
  • the formatted cryptogram on the magnetic tape respects the constraints of this magnetic tape, especially in terms of data size.
  • the cryptogram thus encoded can then be read by known magnetic tape readers.
  • said magnetic tape comprises a writing zone reserved for a payment institution, and said cryptogram can be encoded on said magnetic tape. in said writing area reserved for a payment institution.
  • a payment institution reserved area, any area of the magnetic stripe reserved for data. owners of the means of payment issuer. This zone is known to those skilled in the art under the name "Issuer Proprietary Data” or proprietary data of the issuer in French.
  • the cryptogram can be read by existing readers, transmitted over existing networks and interpreted by a payment institution receiving the cryptogram.
  • the inscription on a writing area reserved for a payment institution makes it possible not to alter the processing of the payment using the data contained in the magnetic strip according to the prior art.
  • the invention also relates to a payment means comprising generating means capable of generating a cryptogram, said cryptogram being uniquely associated with a transaction, characterized in that said payment means comprises a magnetic tape on which said cryptogram is encoded.
  • Such a means of payment can therefore be read by a known magnetic tape reader so as to transmit the cryptogram encoded on the magnetic tape to a payment institution to perform the authentication of the transaction.
  • the payment means may comprise first formatting means able to format said cryptogram according to a data format of said magnetic tape in one form. formatted cryptogram, and said formatted cryptogram may be inscribed on said magnetic tape.
  • the payment means is for example a bank card and said generation means comprise for example an electronic chip, said electronic chip comprising at least one processor and data storage memories.
  • the invention also relates to a writing terminal adapted to be associated with a payment means, said payment means comprising generation means capable of generating cryptograms, and a magnetic tape, said writing terminal comprising: - means command capable of triggering a generation of a cryptogram by said generating means;
  • encoding means able to encode said cryptogram on said magnetic tape.
  • said encoding means may comprise second formatting means able to format said cryptogram according to a data format of said magnetic tape so as to generate a formatted cryptogram, and means of inscription adapted to inscribe said cryptogram formatted on said magnetic tape.
  • said magnetic tape includes a writing zone reserved for a payment institution, and said enrollment means can be arranged to write said encrypted form on said magnetic tape in said writing area reserved for a payment institution.
  • FIG. 1 illustrates a bank card for implementing the method according to the invention
  • FIG. 2 is an example of the main elements of the chip of a bank card as illustrated in FIG. 1;
  • FIG. 3 illustrates a write terminal according to the invention;
  • FIG. 4 illustrates a method for securing a payment according to the invention;
  • FIG. 5 illustrates a detailed architecture of the terminal of FIG. 3, in association with the map of FIG. 1.
  • a payment means 1 may be a smart card 1.
  • the smart card 1 comprises at least one chip 3 and a magnetic strip 2. It is for example compliant with the ISO 7816 standard for a contact card.
  • the smart card 1 has been issued by a payment institution to which the card 1 requests payment authorizations to make payments.
  • the magnetic tape 2 may comprise authentication data of the legitimate user of the smart card 1.
  • the data is for example stored on the tape magnetic 2 according to ISO / I EC 781 1 on three magnetic tracks of the magnetic tape 2.
  • the chip 3 comprises, in a manner known per se, data memories and at least one processor able to perform calculations on the stored data.
  • FIG. 2 illustrates an example of an electronic chip structure in a smart card 1.
  • the chip 3 comprises, for example, a central processing unit or processor 12 operably connected to a set of memories including:
  • a memory 13 accessible in read-only mode in the example of the ROM mask type, also known under the name “mask Read-Only Memory” or “mask ROM”,
  • an electrically reprogrammable memory 14 in the example of the EEPROM type (of the English “Electrically Erasable Programmable ROM”), and a working memory 15 accessible for reading and writing, in the example of the RAM type (of the English “random access memory”).
  • This memory 15 comprises in particular the registers used by the chip 3.
  • the executable code corresponding to the calculation algorithms produced by chip 3 using processor 12 is in program memory. This code may in practice be contained in memory 13, accessible in read only, and / or in memory 14, rewritable.
  • An encryption key for the implementation of Calculation algorithms within the chip 3 can also be stored in the memories as previously described.
  • the central unit 12 is connected to a communication interface 16 which ensures the exchange of signals vis-à-vis the outside and the supply of the chip.
  • This interface may include pins on the card for a so-called contact connection with a reader, and / or an antenna in the case of a so-called contactless card.
  • a smart card 1 is inserted in a write terminal 4 in the example of a contact card.
  • the writing terminal 4 is described in more detail in FIG. 3 and FIG.
  • the writing terminal 4 has for example been given to the card holder 1 by the payment institution issuing the card 1. It includes in particular a card reader 5 to which the card can be associated for a transaction, for example in which the smart card 1 can be introduced. It may also include a screen 6, and / or an alphanumeric keyboard 7. Illustrated in FIG. 5, the write terminal 4 is represented in particular when a smart card 1 is inserted in this write terminal 4 at the reader 5.
  • the writing terminal comprises feed means 17 adapted to supplying the chip 3 when the card 1 is inserted in the writing terminal 4. It also comprises reading means 18 able to read data stored in one of the readable memories of the chip 3.
  • the term of reading data in the chip 3 means in a manner known per se for the skilled person a double request step received by the chip 3 and data transmission according to the request. It also includes formatting means 19 capable of formatting data read by the reading means 18. The formatting performed in the context of the present invention will be discussed in more detail below. It finally comprises registration means 20 able to write data formatted by the formatting means 19, on the magnetic strip 2 of the card 1.
  • the inscription means 20 comprise, for example, a magnetic field generator for orienting the magnetic strips of the magnetic strip 2 in a writing zone of the magnetic strip 2.
  • the inscription means 20, the formatting means 19 and the reading means 18 form encoding means capable of encoding data of the chip 3 of the card 1 on the magnetic tape 2.
  • the supply means 17 feed the chip 3, for example according to the ISO 7816 standard.
  • the chip 3 initiates an initialization phase, then the transaction is started.
  • the reading means 18 then read data from the chip 3 to determine whether verification modes of the card holder 1 are supported by the chip 3.
  • a verification mode is for example the authentication of the carrier by PI code N. If this verification by PI code N is supported by the chip 3, the terminal 4 generates a PI N code request to the user via the screen 6. The user can then enter his code PI N for example using the keyboard 7.
  • control means 21 then command the chip 3 to generate a cryptogram uniquely associated with the transaction.
  • This request is for example performed according to the EMV standard by the function "Generate Application Cryptogram” in English, or “Generate an application cryptogram” in French.
  • the cryptogram generated according to the invention may be a cryptogram based on a time synchronization between a clock of the terminal 4 and a clock of a bank authorizing or not the payment. It can also be a cryptogram based on a counter located in a memory of the card 1 and synchronized with the bank.
  • the different types of methods for generating a cryptogram uniquely associated with a transaction are known and will not be described in more detail in the present patent application.
  • the chip 3 implements, in a manner known per se, cryptographic algorithms using a cryptographic device, for example according to the EMV standard.
  • the read means 18 of the write terminal 4 then read this cryptogram stored in memory of the chip 3.
  • the formatting means 19 of the terminal 4 then format this cryptogram so that it can be written on the magnetic strip 2 of the card 1.
  • the formatting performed is in accordance with the standards used for magnetic tape data in the banking sector.
  • Such a format is for example in accordance with the ISO / I EC 781 1 standard.
  • the formatting of the cryptogram is performed in accordance with the constraints of the magnetic tape 2, and in particular according to the data size constraints. For example, if the cryptogram has a size of about eight bytes and the available size on the magnetic tape is only one byte, the formatting means 19 truncate the cryptogram so as to generate a formatted cryptogram. This formatted cryptogram corresponds to a unique identifier of the transaction. It is understood that if the magnetic tape can contain the entire cryptogram without limitation on the size of the cryptogram, it can be directly inscribed on the magnetic tape 2 without prior truncation.
  • the means of inscription 20 inscribe this cryptogram formatted on the magnetic strip 2 of the card 1.
  • This inscription is carried out in a manner known per se by generating a magnetic field capable of polarizing magnetic strips of the magnetic tape according to the data to be entered, for example on three tracks.
  • the formatted cryptogram is for example written on a writing zone of the magnetic strip 2 reserved for the card issuer's payment institution 1 corresponding to a zone reserved for the proprietary data of the issuer of the means of payment.
  • This zone is known to those skilled in the art under the name "Issuer Proprietary Data" or proprietary data of the issuer.
  • the formatting described above is adapted to such a writing area, especially in terms of data size.
  • the registration means 20 are then positioned in the terminal 4 so as to perform the registration in this writing area of the magnetic tape 2 reserved for the payment institution. Once the encoding is carried out in the writing area reserved for the payment institution of the magnetic strip 2 of the smart card 1, the terminal 4 for example sends an end-of-registration message via the screen 6 to the user.
  • the terminal 4 thus makes it possible to encode a cryptogram 8 on the magnetic strip 2 of the card 1 during an encoding step 20.
  • this encoding comprises a step of formatting the cryptogram to respect the constraints of the magnetic tape 2, and a step of writing this cryptogram formatted on the magnetic tape 2.
  • the transaction terminal 9 is a standard tape drive terminal connected to a standard network.
  • the card 1 is thus slid in a manner known per se at the level of the magnetic tape drive 2, and the data of the magnetic tape 2 are transferred to the banking institution 1 1 in a step 40.
  • the cryptogram 8 since the cryptogram 8 has been formatted in accordance with the data standard of the magnetic stripe, the magnetic stripe reader can correctly interpret the data of the magnetic stripe 2, and no reading error will be induced by the addition of the cryptogram 8.
  • the banking institution 1 1 therefore receives the data from the magnetic tape 2 and a request for authorization from the transaction terminal 9.
  • the authorization server In addition to the checks carried out in a known manner as part of a transaction authorization request. and performed at an authorization server of the banking institution 1 1, the authorization server also checks the cryptogram received through a symmetrical reconstruction to what has been done in the card.
  • the authentication server can then decide to authorize or not the transaction in a step 50 according to predetermined criteria by each institution. In particular, if the received cryptogram is authenticated, the authentication server authorizes the transaction.
  • the bank calculates the value expected for the cryptogram associated with the transaction, optionally performs a formatting and compares this expected value with the value received from the card. magnetic reader. If the two values match, she can authorize the transaction.
  • the terminal 4 does not require authentication by PI code N, and in this case, the control means 21 command the chip 3 to generate the cryptogram as soon as the card 1 is associated with the terminal. writing 4.
  • the cryptographic algorithms implemented at chip 3 may be such that the cryptogram comprises a part representative of a prior verification or not by PI code N and possibly a part representative of the success or otherwise of the prior verification.
  • the bank 11 may authorize the transaction even if the cryptogram received contains a data representative of the absence of verification by PI code N, or on the contrary, the bank 11 may refuse the transaction if the cryptogram received does not contain a piece of data representative of a PI N code check.
  • the magnetic strip 2 in order to facilitate the processing of the authorization server of the banking institution 11, it is also possible to write on the magnetic strip 2 other data, for example a counter, in addition to the cryptogram 8.
  • the invention has been described in the context of a bank card, but it is understood that the invention relates to any card capable of enabling a transaction and comprising an electronic chip and a magnetic strip, such as a loyalty card. , a private card, or a tanker card.

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Finance (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Signal Processing (AREA)
  • Credit Cards Or The Like (AREA)

Abstract

The invention relates to a method to secure a transaction using a payment means (1), said payment means comprising generation means (3) suitable for generating cryptograms, and a magnetic strip (2), said method comprising steps consisting of: generating, using said generation means (3), a cryptogram, said cryptogram being associated in a unique manner with said transaction; encoding said cryptogram (8) on said magnetic strip (2).

Description

PROCÉDÉ POUR SÉCURISER UNE TRANSACTION PAR CARTE À PUCE, TERMINAL D'ÉCRITURE POUR SÉCURISER UNE TELLE TRANSACTION, ET CARTE À PUCE SÉCURISÉE METHOD FOR SECURING A CHIP CARD TRANSACTION, WRITE TERMINAL FOR SECURING SUCH TRANSACTION, AND SECURE CHIP CARD
La présente invention concerne un procédé de sécurisation des transactions, notamment dans le cadre d'une transaction par carte bancaire.The present invention relates to a method of securing transactions, particularly in the context of a credit card transaction.
L'invention concerne également un moyen de paiement, notamment une carte bancaire.The invention also relates to a means of payment, including a bank card.
L'invention concerne également un terminal d'écriture apte à être associé à un moyen de paiement.The invention also relates to a writing terminal adapted to be associated with a means of payment.
On connaît des procédés de sécurisation des transactions à l'aide d'un moyen de paiement, par exemple une carte bancaire comprenant une puce électronique. De tels procédés de sécurisation sont par exemple basés sur le standard EMV.There are known methods for securing transactions using a payment means, for example a bank card comprising an electronic chip. Such security methods are for example based on the EMV standard.
Selon le standard EMV, au cours de la réalisation d'une transaction et lors de l'insertion de la carte à puce dans un lecteur de puce électronique, la puce génère un cryptogramme associé à la transaction en fonction notamment d'un identifiant de la transaction . Le cryptogramme généré est donc unique pour la transaction à réaliser. Ce cryptogramme est par exemple généré à l'aide d'une application « Generate Application Cryptogram » en langue anglaise, ou « Générer un cryptogramme applicatif » en langue française connue du standard EMV. Le lecteur de carte à puce envoie ensuite ce cryptogramme à une institution de paiement, par exemple une banque. La banque vérifie le cryptogramme reçu et autorise alors la transaction .According to the EMV standard, during the execution of a transaction and when the chip card is inserted into an electronic chip reader, the chip generates a cryptogram associated with the transaction, in particular according to an identifier of the chip. transaction . The cryptogram generated is therefore unique for the transaction to be performed. This cryptogram is for example generated using an application "Generate Application Cryptogram" in English, or "Generate an application cryptogram" in French known EMV standard. The smart card reader then sends this cryptogram to a payment institution, for example a bank. The bank verifies the cryptogram received and then authorizes the transaction.
On connaît donc des procédés pour sécuriser une transaction à l'aide d'un moyen de paiement, ledit moyen de paiement comprenant des moyens de génération aptes à générer des cryptogrammes, ledit procédé comprenant des étapes consistant à :Methods are thus known for securing a transaction using a payment means, said payment means comprising generating means capable of generating cryptograms, said method comprising the steps of:
- générer, à l'aide desdits moyens de génération, un cryptogramme, ledit cryptogramme étant associé de façon unique à ladite transaction .generating, using said generation means, a cryptogram, said cryptogram being uniquely associated with said transaction.
Dans les procédés connus notamment du standardIn the known processes including the standard
EMV, un terminal de transaction comprenant un lecteur de puce électronique émet une requête aux moyens de génération pour qu'ils génèrent un cryptogramme, et ce cryptogramme est transmis à une institution de paiement pour authentification .EMV, a transaction terminal comprising an electronic chip reader issues a request to the generation means for generating a cryptogram, and this cryptogram is transmitted to a payment institution for authentication.
Toutefois, un certain nombre de terminaux de transaction ne sont pas équipés de lecteur de puce, et ne peuvent donc pas émettre une requête aux moyens de génération pour qu'ils génèrent un cryptogramme. Pour ces terminaux de transaction dépourvus de lecteur de puce, les données stockées dans cette puce, ou les capacités de calcul d'une puce ne peuvent donc être utilisées avantageusement.However, a number of transaction terminals are not equipped with a chip reader, and therefore can not issue a request to the generation means for generating a cryptogram. For these transaction terminals without a chip reader, the data stored in this chip, or the calculation capabilities of a chip can not be used advantageously.
Les procédés de sécurisation des transactions par génération de cryptogramme associé de façon unique à une transaction ne sont donc pas utilisables lorsque les terminaux de transaction ne permettent pas la lecture d'une puce du moyen de paiement.The methods of securing transaction by cryptogram generation uniquely associated with a transaction are therefore not usable when the terminals transaction do not allow the reading of a chip of the means of payment.
Un but de l'invention est donc de sécuriser des transactions lorsque les terminaux de transaction ne sont pas équipés de lecteur de puce électronique.An object of the invention is therefore to secure transactions when the transaction terminals are not equipped with a chip reader.
Un autre but de l'invention est d'éviter la nécessité de mettre en place de nouveaux terminaux de transaction équipés de lecteurs de cartes à puce compatibles au format EMV, tout en maintenant un bon niveau de sécurité des transactions. L'invention peut en effet être utilisée dans une infrastructure bancaire existante, que celle-ci soit équipée ou non de lecteur de cartes à puce.Another object of the invention is to avoid the need to set up new transaction terminals equipped with EMV compatible smart card readers, while maintaining a good level of transaction security. The invention can indeed be used in an existing banking infrastructure, whether or not it is equipped with a smart card reader.
Par ailleurs, pour recevoir des paiements, des terminaux lisent une carte bancaire par l'intermédiaire d'une bande magnétique comprenant des données relatives au détenteur officiel de la carte bancaire.In addition, to receive payments, terminals read a bank card via a magnetic stripe including data relating to the official holder of the bank card.
Cependant, les transactions par l'intermédiaire de cette seule bande magnétique sont peu sécurisées. En effet, la bande magnétique est une zone qui n'est pas protégée en lecture, et les données de cette zone sont facilement accessibles aux fraudeurs, par exemple par recopie des données de la bande ce qui permet de dupliquer ensuite la carte et utiliser son clone pour effectuer des transactions.However, transactions via this single magnetic strip are not secure. Indeed, the magnetic tape is an area that is not protected in reading, and the data of this area are easily accessible to fraudsters, for example by copying data from the tape which can then duplicate the card and use its clone to perform transactions.
On connaît des procédés pour sécuriser des transactions par bande magnétique. Ces procédés sont basés sur un apprentissage des habitudes d'achat du possesseur de la carte, par exemple par des méthodes mathématiques et statistiques faisant intervenir des réseaux neuronaux. Selon ces procédés connus, si un achat non prévu par le réseau est réalisé à l'aide de la bande magnétique, la banque refusera d'autoriser la transaction ou émettra un appel téléphonique vers le mobile du détenteur de la carte afin de lui demander son accord .Methods are known for securing magnetic tape transactions. These processes are based on an apprenticeship of the purchasing habits of the owner of the map, for example by mathematical and statistical methods involving neural networks. According to these known methods, if a purchase not provided by the network is made using the magnetic stripe, the bank will refuse to authorize the transaction or will make a phone call to the mobile of the card holder to ask him agreement.
Toutefois, on comprend que de tels procédés empêchent le possesseur officiel de la carte, d'être libre de ses transactions.However, it is understood that such methods prevent the official owner of the card, to be free of its transactions.
L'invention vise à pallier les inconvénients de l'art antérieur en matière de sécurisation des transactions.The invention aims to overcome the disadvantages of the prior art in terms of securing transactions.
Un but de l'invention est de fournir une alternative aux procédés de sécurisation des transactions par bandes magnétiques, tout en laissant une parfaite liberté de transaction au possesseur de la carte à bande magnétique.An object of the invention is to provide an alternative to the methods of securing transactions by magnetic strips, while leaving a perfect freedom of transaction to the owner of the magnetic stripe card.
Un autre but de l'invention est d'améliorer le niveau de sécurité dans les transactions mettant en jeu un lecteur de bande magnétique et une bande magnétique d'un moyen de paiement et notamment d'une carte bancaire sans nécessiter de mise à jour matérielle de l'infrastructure.Another object of the invention is to improve the level of security in transactions involving a magnetic stripe reader and a magnetic stripe of a means of payment and in particular a credit card without requiring hardware update. infrastructure.
Un autre but de l'invention est d'améliorer le niveau de sécurité dans les transactions mettant en jeu une carte bancaire comprenant une bande magnétique et au moins une puce électronique, tout en permettant la réalisation de la transaction à l'aide d'un terminal d'écriture de bande magnétique.Another object of the invention is to improve the level of security in transactions involving a bank card comprising a magnetic stripe and at least one electronic chip, while allowing the realization of the transaction using a magnetic stripe terminal.
Un autre but de l'invention est de diminuer les fraudes liées à l'utilisation des bandes magnétiques de moyens de paiement et notamment des cartes bancaires.Another object of the invention is to reduce fraud related to the use of magnetic tapes of payment means and in particular bank cards.
Au moins un de ces buts est atteint selon la présente invention qui concerne un procédé pour sécu riser un paiement à l'aide d'un moyen de paiement, ledit moyen de paiement comprenant des moyens de génération aptes à générer des cryptogrammes, et une bande magnétique, ledit procédé comprenant des étapes consistant à :At least one of these objects is achieved according to the present invention which relates to a method for securing a payment by means of a payment means, said payment means comprising generation means capable of generating cryptograms, and a band magnetic field, said method comprising steps of:
- générer, à l'aide desdits moyens de génération , un cryptogramme, ledit cryptogramme étant associé de façon unique à lad ite transaction ;generating, using said generation means, a cryptogram, said cryptogram being uniquely associated with said transaction;
- encoder ledit cryptogramme sur ladite bande magnétique.- Encode said cryptogram on said magnetic tape.
Le moyen de paiement est notamment une carte à puce et les moyens de génération sont par exemple une puce électronique comprenant notamment un processeur apte à réaliser des calculs, et une mémoire de données.The means of payment is in particular a smart card and the generation means are for example an electronic chip including a processor capable of performing calculations, and a data memory.
Grâce au procédé selon l'invention , un cryptogramme généré par les moyens de génération est encodé sur la bande magnétique de la carte. Ce cryptogramme encodé sur la bande magnétique correspond à un identifiant unique de la transaction réalisée et garantit la sécurité de cette transaction . Ainsi, selon l'invention , le cryptogramme encodé sur la bande magnétique peut être transmis à une institution de paiement, par exemple une banque. L'authentification du cryptogramme reçu par la banque est alors réalisée en effectuant les mêmes calculs et transformations que ceux ayant permis la génération et l'encodage du cryptogramme sur la bande magnétique.Thanks to the method according to the invention, a cryptogram generated by the generation means is encoded on the magnetic strip of the card. This cryptogram encoded on the magnetic tape corresponds to a unique identifier of the transaction made and guarantees the security of this transaction. Thus, according to the invention, the cryptogram encoded on the magnetic tape can be transmitted to a payment institution, for example a bank. Authentication of the cryptogram received by the bank is then performed by performing the same calculations and transformations as those that allowed the generation and encoding of the cryptogram on the magnetic tape.
Le niveau de sécurité des paiements est donc amélioré par l'invention .The level of security of payments is thus improved by the invention.
Par exemple, si un fraudeur parvient à copier la bande magnétique de la carte à puce sur laquelle est encodé le cryptogramme, il ne pourra pas utiliser la carte pour effectuer d'autres transactions car le cryptogramme encodé sur la bande magnétique est un identifiant unique de la transaction et il ne peut donc être utilisé qu'une seule fois, à la façon des codes OTP (« one time password »).For example, if a fraudster manages to copy the magnetic stripe of the smart card on which the cryptogram is encoded, he can not use the card to perform other transactions because the cryptogram encoded on the magnetic stripe is a unique identifier of the transaction and it can therefore be used only once, in the manner of OTP ("one time password") codes.
Par ailleurs, afin de permettre l'inscription des données sur la bande magnétique, ledit procédé peut en outre être mis en œuvre à l'aide d'un terminal d'écriture apte à communiquer avec ledit moyen de paiement et ledit procédé peut comprendre des étapes dans lesquelles : - ledit terminal d'écriture génère une requête auxdits moyens de génération ;Furthermore, in order to enable the recording of the data on the magnetic tape, said method can also be implemented using a write terminal able to communicate with said payment means and said method can comprise steps in which: - said write terminal generates a request to said generating means;
- lesdits moyens de génération génèrent ledit cryptogramme en réponse à ladite requête ;said generating means generates said cryptogram in response to said request;
- ledit terminal d'écriture encodé ledit cryptogramme sur ladite bande magnétique. De la sorte, un utilisateur en possession du terminal d'écriture, par exemple portatif, peut réaliser lui-même son inscription au niveau de la bande magnétique de la carte à puce, sans que le terminal de transaction au niveau duquel est réalisé la transaction ne soit éq uipé de lecteur de carte à puce. Le terminal d'écriture peut également être disponible chez un marchand chez qui est réalisée la transaction . Dans ce cas, le détenteur de la carte utilise le terminal d'écriture pour encoder le cryptogramme sur la bande magnétique de sa carte à puce.said writing terminal encoded said cryptogram on said magnetic tape. In this way, a user in possession of the writing terminal, for example portable, can perform himself his registration at the magnetic stripe of the smart card, without the transaction terminal at which the transaction is made be equipped with a smart card reader. The writing terminal may also be available from a merchant at whom the transaction is made. In this case, the card holder uses the writing terminal to encode the cryptogram on the magnetic strip of his smart card.
Ceci est rendu possible par le fait que l'invention ne nécessite pas d'associer de façon unique un terminal à une carte.This is made possible by the fact that the invention does not require to uniquely associate a terminal with a card.
En outre, afin que le terminal de transaction destiné à transmettre une demande d'autorisation de transaction à une institution de paiement puisse lire le cryptogramme encodé sur la bande magnétique du moyen de paiement sans modification des terminaux de transaction existants, ladite transaction est réalisée à l'aide d'un terminal de transaction vers u ne institution de paiement, ledit terminal de transaction comprenant un lecteur de bande magnétique apte à lire des données de ladite bande magnétique, et dans lequel ledit procédé peut comprendre des étapes dans lesquelles : - ledit lecteur de bande magnétique lit ledit cryptogramme encodé sur ladite bande magnétique ;In addition, so that the transaction terminal intended to transmit a transaction authorization request to a payment institution can read the encrypted cryptogram on the magnetic strip of the payment means without modifying the existing transaction terminals, said transaction is carried out at using a transaction terminal to a payment institution, said transaction terminal comprising a magnetic stripe reader capable of reading data from said magnetic stripe, and wherein said method may comprise steps in which: said magnetic tape reader reads said cryptogram encoded on said magnetic tape;
- ledit cryptogramme encodé est transmis à ladite institution de paiement par ledit terminal de transaction .said encoded cryptogram is transmitted to said payment institution by said transaction terminal.
De la sorte, la carte est utilisée comme une carte à bande magnétique connue au moment de la transaction elle- même, et les nouvelles données de la bande magnétique correspondant au cryptogramme encodé peuvent être transmises de façon connue par le terminal de transaction vers l'institution de paiement.In this way, the card is used as a magnetic stripe card known at the time of the transaction itself. same, and the new data of the magnetic tape corresponding to the encoded cryptogram can be transmitted in a known manner by the transaction terminal to the payment institution.
Par ailleurs, afin de respecter les contraintes des données de la bande magnétique, l'étape d'encodage peut comprendre des étapes consistant à :Moreover, in order to respect the constraints of the data of the magnetic tape, the encoding step may comprise steps consisting of:
- formater ledit cryptogramme conformément à un format de données de ladite bande magnétique, de sorte à générer un cryptogramme formaté ;- formatting said cryptogram according to a data format of said magnetic tape, so as to generate a formatted cryptogram;
- inscrire ledit cryptogramme formaté sur ladite bande magnétique.- Enter said cryptogram formatted on said magnetic tape.
De la sorte, le cryptogramme formaté inscrit sur la bande magnétique respecte les contraintes de cette bande magnétique, notamment en terme de taille de données. Le cryptogramme ainsi encodé peut alors être lu par des lecteurs de bande magnétique connus.In this way, the formatted cryptogram on the magnetic tape respects the constraints of this magnetic tape, especially in terms of data size. The cryptogram thus encoded can then be read by known magnetic tape readers.
Par ailleurs, afin que le cryptogramme encodé sur la bande magnétique soit correctement lu et interprété par un lecteur de bande magnétique, ladite bande magnétique comprend une zone d'écriture réservée à une institution de paiement, et ledit cryptogramme peut être encodé sur ladite bande magnétique dans ladite zone d'écriture réservée à une institution de paiement.Moreover, so that the cryptogram encoded on the magnetic tape is correctly read and interpreted by a magnetic tape reader, said magnetic tape comprises a writing zone reserved for a payment institution, and said cryptogram can be encoded on said magnetic tape. in said writing area reserved for a payment institution.
Aux fins de la présente demande, on appelle en effet zone d'écriture réservée à une institution de paiement, toute zone de la piste magnétique réservée aux données propriétaires de l'émetteur du moyen de paiement. Cette zone est connue de l'homme du métier sous l'appellation anglaise « Issuer Proprietary Data » ou données propriétaires de l'émetteur en langue française.For the purpose of the present application, it is indeed called a payment institution reserved area, any area of the magnetic stripe reserved for data. owners of the means of payment issuer. This zone is known to those skilled in the art under the name "Issuer Proprietary Data" or proprietary data of the issuer in French.
De la sorte, le cryptogramme peut être lu par des lecteurs existants, transmis sur des réseaux existants et interprété par une institution de paiement réceptrice du cryptogramme. Par ailleurs, l'inscription sur une zone d'écriture réservée à une institution de paiement permet de ne pas altérer le traitement du paiement à l'aide des données contenues dans la bande magnétique selon l'art antérieur.In this way, the cryptogram can be read by existing readers, transmitted over existing networks and interpreted by a payment institution receiving the cryptogram. Moreover, the inscription on a writing area reserved for a payment institution makes it possible not to alter the processing of the payment using the data contained in the magnetic strip according to the prior art.
L'invention concerne également un moyen de paiement comprenant des moyens de génération aptes à générer un cryptogramme, ledit cryptogramme étant associé de façon unique à une transaction, caractérisé en ce que ledit moyen de paiement comprend une bande magnétique sur laquelle est encodé ledit cryptogramme.The invention also relates to a payment means comprising generating means capable of generating a cryptogram, said cryptogram being uniquely associated with a transaction, characterized in that said payment means comprises a magnetic tape on which said cryptogram is encoded.
Un tel moyen de paiement peut donc être lu par un lecteur de bande magnétique connu de sorte à transmettre le cryptogramme encodé sur la bande magnétique vers une institution de paiement pour réaliser l'authentification de la transaction .Such a means of payment can therefore be read by a known magnetic tape reader so as to transmit the cryptogram encoded on the magnetic tape to a payment institution to perform the authentication of the transaction.
Dans un mode de réalisation, afin de respecter les contraintes des données de la bande magnétique, le moyen de paiement peut comprendre des premiers moyens de formatage aptes à formater ledit cryptogramme conformément à un format de données de ladite bande magnétique en un cryptogramme formaté, et ledit cryptogramme formaté peut être inscrit sur ladite bande magnétique.In one embodiment, in order to respect the constraints of the data of the magnetic tape, the payment means may comprise first formatting means able to format said cryptogram according to a data format of said magnetic tape in one form. formatted cryptogram, and said formatted cryptogram may be inscribed on said magnetic tape.
Le moyen de paiement est par exemple une carte bancaire et lesdits moyens de génération comprennent par exemple une puce électronique, ladite puce électronique comprenant au moins un processeur et des mémoires de stockage de données.The payment means is for example a bank card and said generation means comprise for example an electronic chip, said electronic chip comprising at least one processor and data storage memories.
L'invention concerne également un terminal d'écriture apte à être associé à un moyen de paiement, ledit moyen de paiement comprenant des moyens de génération aptes à générer des cryptogrammes, et une bande magnétique, ledit terminal d'écriture comprenant : - des moyens de commande aptes à déclencher une génération d'un cryptogramme par lesdits moyens de génération ;The invention also relates to a writing terminal adapted to be associated with a payment means, said payment means comprising generation means capable of generating cryptograms, and a magnetic tape, said writing terminal comprising: - means command capable of triggering a generation of a cryptogram by said generating means;
- des moyens d'encodage aptes à encoder ledit cryptogramme sur ladite bande magnétique.encoding means able to encode said cryptogram on said magnetic tape.
Selon un mode de réalisation du terminal d'écriture susmentionné, lesdits moyens d'encodage peuvent comprendre des deuxièmes moyens de formatage aptes à formater ledit cryptogramme conformément à un format de données de ladite bande magnétique de sorte à générer un cryptogramme formaté, et des moyens d'inscription aptes à inscrire ledit cryptogramme formaté sur ladite bande magnétique.According to one embodiment of the aforementioned writing terminal, said encoding means may comprise second formatting means able to format said cryptogram according to a data format of said magnetic tape so as to generate a formatted cryptogram, and means of inscription adapted to inscribe said cryptogram formatted on said magnetic tape.
Selon un mode de réalisation de l'invention , ladite bande magnétique comprend une zone d'écriture réservée à une institution de paiement, et lesdits moyens d'inscription peuvent être agencés de sorte à inscrire ledit cryptogramme formaté sur ladite bande magnétique dans ladite zone d'écriture réservée à une institution de paiement.According to one embodiment of the invention, said magnetic tape includes a writing zone reserved for a payment institution, and said enrollment means can be arranged to write said encrypted form on said magnetic tape in said writing area reserved for a payment institution.
On décrit maintenant un mode de réalisation de l'invention en référence aux figures annexées dans lesquelles :An embodiment of the invention will now be described with reference to the appended figures in which:
- la figure 1 illustre une carte bancaire pour la mise en œuvre du procédé selon l'invention ;FIG. 1 illustrates a bank card for implementing the method according to the invention;
- la figure 2 est un exemple des éléments principaux de la puce d'une carte bancaire telle qu'illustrée figure 1 ; la figure 3 illustre un terminal d'écriture selon l'invention ; la figure 4 illustre un procédé pour sécuriser un paiement selon l'invention ;FIG. 2 is an example of the main elements of the chip of a bank card as illustrated in FIG. 1; FIG. 3 illustrates a write terminal according to the invention; FIG. 4 illustrates a method for securing a payment according to the invention;
- la figure 5 illustre une architecture détaillée du terminal de la figure 3, en association avec la carte de la figure 1 .FIG. 5 illustrates a detailed architecture of the terminal of FIG. 3, in association with the map of FIG. 1.
Illustré figure 1 , un moyen de paiement 1 selon l'invention peut être une carte à puce 1 . La carte à puce 1 comprend au moins une puce 3 et une bande magnétique 2. Elle est par exemple conforme au standard ISO 7816 pour une carte à contact. La carte à puce 1 a été émise par une institution de paiement à laquelle la carte 1 demande des autorisations de paiement pour réaliser des paiements.Illustrated Figure 1, a payment means 1 according to the invention may be a smart card 1. The smart card 1 comprises at least one chip 3 and a magnetic strip 2. It is for example compliant with the ISO 7816 standard for a contact card. The smart card 1 has been issued by a payment institution to which the card 1 requests payment authorizations to make payments.
La bande magnétique 2 peut comprendre des données d'authentification de l'utilisateur légitime de la carte à puce 1 . Les données sont par exemple stockées sur la bande magnétique 2 conformément au standard ISO/I EC 781 1 sur trois pistes magnétiques de la bande magnétique 2.The magnetic tape 2 may comprise authentication data of the legitimate user of the smart card 1. The data is for example stored on the tape magnetic 2 according to ISO / I EC 781 1 on three magnetic tracks of the magnetic tape 2.
La puce 3 comprend de façon connue en soi, des mémoires de données et au moins un processeur apte à réaliser des calculs sur les données stockées. La figure 2 illustre un exemple de structure de puce électronique dans une carte à puce 1 .The chip 3 comprises, in a manner known per se, data memories and at least one processor able to perform calculations on the stored data. FIG. 2 illustrates an example of an electronic chip structure in a smart card 1.
I llustré figure 2, la puce 3 comprend par exemple d'une unité centrale de traitement ou processeur 12 reliée fonctionnellement à un ensemble de mémoires dont :As illustrated in FIG. 2, the chip 3 comprises, for example, a central processing unit or processor 12 operably connected to a set of memories including:
- une mémoire 13 accessible en lecture seulement, dans l'exemple du type ROM masque, aussi connue sous l'appellation anglaise « mask Read-Only Memory » ou « mask ROM » ,a memory 13 accessible in read-only mode, in the example of the ROM mask type, also known under the name "mask Read-Only Memory" or "mask ROM",
- une mémoire 14 reprogrammable électriquement, dans l'exemple du type EEPROM (de l'anglais "Electrically Erasable Programmable ROM"), et - une mémoire de travail 15 accessible en lecture et en écriture, dans l'exemple du type RAM (de l'anglais "random access memory"). Cette mémoire 15 comprend notamment les registres utilisés par la puce 3.an electrically reprogrammable memory 14, in the example of the EEPROM type (of the English "Electrically Erasable Programmable ROM"), and a working memory 15 accessible for reading and writing, in the example of the RAM type (of the English "random access memory"). This memory 15 comprises in particular the registers used by the chip 3.
Le code exécutable correspondant aux algorithmes de calcul réalisés par la puce 3 à l'aide du processeur 12 est en mémoire programme. Ce code peut en pratique être contenu en mémoire 13, accessible en lecture seulement, et/ou en mémoire 14, réinscriptible.The executable code corresponding to the calculation algorithms produced by chip 3 using processor 12 is in program memory. This code may in practice be contained in memory 13, accessible in read only, and / or in memory 14, rewritable.
Une clé de cryptage pour la mise en œuvre des algorithmes de calcul au sein de la puce 3 peut également être stockées dans les mémoires telles que précédemment décrites.An encryption key for the implementation of Calculation algorithms within the chip 3 can also be stored in the memories as previously described.
L'unité centrale 12 est reliée à une interface de communication 16 qui assure l'échange de signaux vis-à-vis de l'extérieur et l'alimentation de la puce.The central unit 12 is connected to a communication interface 16 which ensures the exchange of signals vis-à-vis the outside and the supply of the chip.
Cette interface peut comprendre des plots sur la carte pour une connexion dite à contact avec un lecteur, et/ou une antenne dans le cas d'une carte dite sans contact.This interface may include pins on the card for a so-called contact connection with a reader, and / or an antenna in the case of a so-called contactless card.
On décrit maintenant un procédé de sécurisation d'une transaction et un dispositif pour une telle sécurisation en référence aux figure 3 à figure 5.We now describe a method of securing a transaction and a device for such a security with reference to Figure 3 to Figure 5.
I llustré figure 4, dans une étape 10, avant de réaliser une transaction au niveau d'un terminal de transaction , on insère une carte à puce 1 dans un terminal d'écriture 4 dans l'exemple d'une carte à contacts.In FIG. 4, in a step 10, before carrying out a transaction at a transaction terminal, a smart card 1 is inserted in a write terminal 4 in the example of a contact card.
Le terminal d'écriture 4 est décrit plus en détail figure 3 et figure 5.The writing terminal 4 is described in more detail in FIG. 3 and FIG.
Le terminal d'écriture 4 a par exemple été remis au porteur de la carte 1 par l'institution de paiement émettrice de la carte 1 . I l comprend notamment un lecteur de carte 5 auquel la carte peut être associée pour une transaction , par exemple dans lequel la carte à puce 1 peut être introduite. I l peut comprend re également un écran 6, et/ou un clavier alphanumérique 7. Illustré figure 5, on a représenté le terminal d'écriture 4 notamment lorsqu'une carte à puce 1 est insérée dans ce terminal d'écriture 4 au niveau du lecteur 5. Le terminal d'écriture comprend des moyens d'alimentation 17 apte à alimenter la puce 3 lorsque la carte 1 est insérée dans le terminal d'écriture 4. Il comprend également des moyens de lecture 18 aptes à lire des données stockées dans une des mémoires lisibles de la puce 3. Aux fins de la présente invention , le terme de lecture de données dans la puce 3 signifie de façon connue en soi pour l'homme du métier une double étape de requête reçue par la puce 3 et de transmission des données conformément à la requête. Il comprend également des moyens de formatage 19 aptes à formater des données lues par les moyens de lecture 18. Le formatage réalisé dans le cadre de la présente invention sera discuté plus en détail ci-dessous. Il comprend enfin des moyens d'inscription 20 aptes à inscrire des données formatées par les moyens de formatage 19, sur la bande magnétique 2 de la carte 1 . Les moyens d'inscription 20 comprennent par exemple un générateur de champ magnétique permettant d'orienter les barrettes magnétiques de la bande magnétique 2 dans une zone d'écriture de la bande magnétique 2. Les moyens d'inscription 20, les moyens de formatage 19 et les moyens de lecture 18 forment des moyens d'encodage aptes à encoder des données de la puce 3 de la carte 1 sur la bande magnétique 2.The writing terminal 4 has for example been given to the card holder 1 by the payment institution issuing the card 1. It includes in particular a card reader 5 to which the card can be associated for a transaction, for example in which the smart card 1 can be introduced. It may also include a screen 6, and / or an alphanumeric keyboard 7. Illustrated in FIG. 5, the write terminal 4 is represented in particular when a smart card 1 is inserted in this write terminal 4 at the reader 5. The writing terminal comprises feed means 17 adapted to supplying the chip 3 when the card 1 is inserted in the writing terminal 4. It also comprises reading means 18 able to read data stored in one of the readable memories of the chip 3. For the purposes of the present invention, the term of reading data in the chip 3 means in a manner known per se for the skilled person a double request step received by the chip 3 and data transmission according to the request. It also includes formatting means 19 capable of formatting data read by the reading means 18. The formatting performed in the context of the present invention will be discussed in more detail below. It finally comprises registration means 20 able to write data formatted by the formatting means 19, on the magnetic strip 2 of the card 1. The inscription means 20 comprise, for example, a magnetic field generator for orienting the magnetic strips of the magnetic strip 2 in a writing zone of the magnetic strip 2. The inscription means 20, the formatting means 19 and the reading means 18 form encoding means capable of encoding data of the chip 3 of the card 1 on the magnetic tape 2.
Selon l'invention, lorsque la carte 1 est insérée dans le lecteur 5, les moyens d'alimentation 17 alimentent la puce 3, par exemple conformément au standard ISO 7816. Selon le standard EMV suite à cette mise sous tension, la puce 3 lance une phase d'initialisation, puis, la transaction est démarrée.According to the invention, when the card 1 is inserted in the reader 5, the supply means 17 feed the chip 3, for example according to the ISO 7816 standard. According to the EMV standard following this power up, the chip 3 initiates an initialization phase, then the transaction is started.
Les moyens de lecture 18 lisent alors des données de la puce 3 pour déterminer si des modes de vérification du porteur de la carte 1 sont supportées par la puce 3.The reading means 18 then read data from the chip 3 to determine whether verification modes of the card holder 1 are supported by the chip 3.
Selon l'invention, un mode de vérification est par exemple l'authentification du porteur par code PI N . Si cette vérification par code PI N est supportée par la puce 3, le terminal 4 génère une requête de code PI N à l'utilisateur par l'intermédiaire de l'écran 6. L'utilisateur peut alors entrer son code PI N par exemple à l'aide du clavier 7.According to the invention, a verification mode is for example the authentication of the carrier by PI code N. If this verification by PI code N is supported by the chip 3, the terminal 4 generates a PI N code request to the user via the screen 6. The user can then enter his code PI N for example using the keyboard 7.
Si le code PI N est correct, des moyens de commande 21 commandent alors à la puce 3 de générer un cryptogramme associé de façon unique à la transaction . Cette requête est par exemple réalisée selon la norme EMV par la fonction « Generate Application Cryptogram » en langue anglaise, ou « Générer un cryptogramme applicatif » en langue française.If the PI N code is correct, control means 21 then command the chip 3 to generate a cryptogram uniquely associated with the transaction. This request is for example performed according to the EMV standard by the function "Generate Application Cryptogram" in English, or "Generate an application cryptogram" in French.
Le cryptogramme généré selon l'invention peut être un cryptogramme basé sur une synchronisation temporelle entre une horloge du terminal 4 et une horloge d'une banque autorisant ou non le paiement. Il peut également être un cryptogramme basé sur un compteur localisé dans une mémoire de la carte 1 et synchronisé avec la banque. Les différents types de procédés de génération d'un cryptogramme associé de façon unique à une transaction sont connus et ne seront pas décrits plus en détail dans la présente demande de brevet.The cryptogram generated according to the invention may be a cryptogram based on a time synchronization between a clock of the terminal 4 and a clock of a bank authorizing or not the payment. It can also be a cryptogram based on a counter located in a memory of the card 1 and synchronized with the bank. The different types of methods for generating a cryptogram uniquely associated with a transaction are known and will not be described in more detail in the present patent application.
Pour la génération du cryptogramme, la puce 3 met en œuvre, de façon connue en soi, des algorithmes cryptographiques à l'aide de dispositif cryptographique, par exemple selon le standard EMV.For the generation of the cryptogram, the chip 3 implements, in a manner known per se, cryptographic algorithms using a cryptographic device, for example according to the EMV standard.
Une fois le cryptogramme généré par la puce 3, les moyens de lecture 18 du terminal d'écriture 4 lisent alors ce cryptogramme stocké en mémoire de la puce 3.Once the cryptogram generated by the chip 3, the read means 18 of the write terminal 4 then read this cryptogram stored in memory of the chip 3.
Les moyens de formatage 19 du terminal 4 formatent alors ce cryptogramme de sorte à pouvoir l'inscrire sur la bande magnétique 2 de la carte 1 . Le formatage réalisé est conforme aux standards utilisés pour les données des bandes magnétiques dans le domaine bancaire. Un tel format est par exemple conforme au standard ISO/I EC 781 1 .The formatting means 19 of the terminal 4 then format this cryptogram so that it can be written on the magnetic strip 2 of the card 1. The formatting performed is in accordance with the standards used for magnetic tape data in the banking sector. Such a format is for example in accordance with the ISO / I EC 781 1 standard.
De façon générale, le formatage du cryptogramme est réalisé conformément aux contraintes de la bande magnétique 2, et notamment conformément aux contraintes de tailles de données. Par exemple, si le cryptogramme a une taille d'environ huit octets et que la taille disponible sur la bande magnétique n'est que de un octet, les moyens de formatage 19 tronquent le cryptogramme de sorte à générer un cryptogramme formaté. Ce cryptogramme formaté correspond à un identifiant unique de la transaction . II est entendu que si la bande magnétique peut contenir l'ensemble du cryptogramme sans limitation sur la taille du cryptogramme, celui-ci peut être directement inscrit sur la bande magnétique 2 sans troncature préalable.In general, the formatting of the cryptogram is performed in accordance with the constraints of the magnetic tape 2, and in particular according to the data size constraints. For example, if the cryptogram has a size of about eight bytes and the available size on the magnetic tape is only one byte, the formatting means 19 truncate the cryptogram so as to generate a formatted cryptogram. This formatted cryptogram corresponds to a unique identifier of the transaction. It is understood that if the magnetic tape can contain the entire cryptogram without limitation on the size of the cryptogram, it can be directly inscribed on the magnetic tape 2 without prior truncation.
Une fois le cryptogramme éventuellement formaté, les moyens d'inscription 20 inscrivent ce cryptogramme formaté sur la bande magnétique 2 de la carte 1 . Cette inscription est réalisée de façon connue en soi par génération d'un champ magnétique apte à polariser des barrettes magnétiques de la bande magnétique conformément aux données à inscrire, par exemple sur trois pistes.Once the cryptogram possibly formatted, the means of inscription 20 inscribe this cryptogram formatted on the magnetic strip 2 of the card 1. This inscription is carried out in a manner known per se by generating a magnetic field capable of polarizing magnetic strips of the magnetic tape according to the data to be entered, for example on three tracks.
Le cryptogramme formaté est par exemple inscrit sur une zone d'écriture de la bande magnétique 2 réservée à l'institution de paiement émettrice de la carte 1 correspondant à une zone réservée aux données propriétaires de l'émetteur du moyen de paiement. Cette zone est connue de l'homme du métier sous l'appellation anglaise « Issuer Proprietary Data » ou données propriétaires de l'émetteur.The formatted cryptogram is for example written on a writing zone of the magnetic strip 2 reserved for the card issuer's payment institution 1 corresponding to a zone reserved for the proprietary data of the issuer of the means of payment. This zone is known to those skilled in the art under the name "Issuer Proprietary Data" or proprietary data of the issuer.
Lorsque le cryptogramme est inscrit dans une telle zone d'écriture, le formatage décrit plus haut est adapté à une telle zone d'écriture, notamment en terme de taille de données.When the cryptogram is written in such a write zone, the formatting described above is adapted to such a writing area, especially in terms of data size.
Les moyens d'inscription 20 sont alors positionnés dans le terminal 4 de sorte à réaliser l'inscription dans cette zone d'écriture de la bande magnétique 2 réservée à l'institution de paiement. Une fois l'encodage réalisé dans la zone d'écriture réservée à l'institution de paiement de la bande magnétique 2 de la carte à puce 1 , le terminal 4 émet par exemple un message de fin d'inscription via l'écran 6 à l'utilisateur.The registration means 20 are then positioned in the terminal 4 so as to perform the registration in this writing area of the magnetic tape 2 reserved for the payment institution. Once the encoding is carried out in the writing area reserved for the payment institution of the magnetic strip 2 of the smart card 1, the terminal 4 for example sends an end-of-registration message via the screen 6 to the user.
En référence à la figure 4, comme précédemment décrit, le terminal 4 permet donc d'encoder un cryptogramme 8, sur la bande magnétique 2 de la carte 1 , lors d'une étape d'encodage 20. Comme précédemment décrit, cet encodage comprend une étape de formatage du cryptogramme pour respecter les contraintes de la bande magnétique 2, et une étape d'inscription de ce cryptogramme formaté sur la bande magnétique 2.With reference to FIG. 4, as previously described, the terminal 4 thus makes it possible to encode a cryptogram 8 on the magnetic strip 2 of the card 1 during an encoding step 20. As previously described, this encoding comprises a step of formatting the cryptogram to respect the constraints of the magnetic tape 2, and a step of writing this cryptogram formatted on the magnetic tape 2.
L'utilisateur peut alors utiliser dans une étape 30, sa carte 1 avec un terminal de transaction 9. Selon l'invention , le terminal de transaction 9 est un terminal à lecteur de bande magnétique standard connecté à un réseau standard .The user can then use in a step 30, his card 1 with a transaction terminal 9. According to the invention, the transaction terminal 9 is a standard tape drive terminal connected to a standard network.
Pour réaliser une transaction , la carte 1 est donc glissée de façon connue en soi au niveau du lecteur de bande magnétique 2, et les données de la bande magnétique 2 sont transférées à l'institution bancaire 1 1 dans une étape 40. On note que comme le cryptogramme 8 a été formaté conformément au standard de données de la bande magnétique, le lecteur de bande magnétique peut interpréter correctement les données de la bande magnétique 2, et aucune erreur de lecture ne sera induite par l'ajout du cryptogramme 8. L'institution bancaire 1 1 reçoit donc les données de la bande magnétique 2 et une demande d'autorisation de la part du terminal de transaction 9. En plus des vérifications effectuées de manière connue dans le cadre d'une demande d'autorisation de transaction et réalisée au niveau d'un serveur d'autorisation de l'institution bancaire 1 1 , le serveur d'autorisation vérifie également le cryptogramme reçu grâce à une reconstruction symétrique à ce qui a été fait dans la carte.To carry out a transaction, the card 1 is thus slid in a manner known per se at the level of the magnetic tape drive 2, and the data of the magnetic tape 2 are transferred to the banking institution 1 1 in a step 40. It is noted that since the cryptogram 8 has been formatted in accordance with the data standard of the magnetic stripe, the magnetic stripe reader can correctly interpret the data of the magnetic stripe 2, and no reading error will be induced by the addition of the cryptogram 8. The banking institution 1 1 therefore receives the data from the magnetic tape 2 and a request for authorization from the transaction terminal 9. In addition to the checks carried out in a known manner as part of a transaction authorization request. and performed at an authorization server of the banking institution 1 1, the authorization server also checks the cryptogram received through a symmetrical reconstruction to what has been done in the card.
Le serveur d'authentification peut alors décider d'autoriser ou non la transaction dans une étape 50 selon des critères prédéterminés par chaque institution. En particulier, si cryptogramme reçu est authentifié, le serveur d'authentification autorise la transaction .The authentication server can then decide to authorize or not the transaction in a step 50 according to predetermined criteria by each institution. In particular, if the received cryptogram is authenticated, the authentication server authorizes the transaction.
Par exemple, au moyen des mêmes algorithmes cryptographiques que ceux utilisés par la carte 1 et avec la même clé, la banque calcule la valeur attendue pour le cryptogramme associé à la transaction , effectue éventuellement un formatage et compare cette valeur attendue à la valeur reçue du lecteur magnétique. Si les deux valeurs correspondent, elle pourra autoriser la transaction .For example, using the same cryptographic algorithms used by the card 1 and with the same key, the bank calculates the value expected for the cryptogram associated with the transaction, optionally performs a formatting and compares this expected value with the value received from the card. magnetic reader. If the two values match, she can authorize the transaction.
Suivent des variantes de l'invention .Following are variants of the invention.
On a décrit ci-dessus un mode de réalisation dans lequel le terminal d'écriture 4 demande au porteu r de la carte 1 d'entrer un code P I N .An embodiment has been described above in which the write terminal 4 requests the port of the card 1 to enter a code P I N.
I I est d'abord entendu que d'autres modes de vérification de l'identité du porteur peuvent être mis en œuvre au niveau du terminal 4 dans le cadre de l'invention, et par exemple un contrôle biométrique de l'identité.It is first understood that other ways of verifying the identity of the wearer can be implemented at the level of the terminal 4 in the context of the invention, and for example a biometric control of the identity.
Également selon l'invention, le terminal 4 ne demande pas d'authentification par code PI N , et dans ce cas, les moyens de commande 21 commandent à la puce 3 de générer le cryptogramme dès l'association de la carte 1 au terminal d'écriture 4.Also according to the invention, the terminal 4 does not require authentication by PI code N, and in this case, the control means 21 command the chip 3 to generate the cryptogram as soon as the card 1 is associated with the terminal. writing 4.
Les algorithmes cryptographiques mis en œuvre au niveau de la puce 3 peuvent être tels que le cryptogramme comprend une partie représentative d'une vérification préalable ou non par code PI N et éventuellement une partie représentative du succès ou non de la vérification préalable.The cryptographic algorithms implemented at chip 3 may be such that the cryptogram comprises a part representative of a prior verification or not by PI code N and possibly a part representative of the success or otherwise of the prior verification.
Dans ce dernier cas, selon le niveau de sécurité désiré, la banque 1 1 pourra autoriser la transaction même si le cryptogramme reçu contient une donnée représentative de l'absence de vérification par code PI N, ou au contraire, la banque 1 1 pourra refuser la transaction si le cryptogramme reçu ne contient pas une donnée représentative d'une vérification par code PI N .In the latter case, depending on the desired level of security, the bank 11 may authorize the transaction even if the cryptogram received contains a data representative of the absence of verification by PI code N, or on the contrary, the bank 11 may refuse the transaction if the cryptogram received does not contain a piece of data representative of a PI N code check.
Également selon l'invention, on a décrit un mode de réalisation dans lequel le formatage du cryptogramme, par exemple sous la forme d'une troncature pour mettre le cryptogramme dans une forme compatible avec la bande magnétique 2, est réalisé par des moyens de formatage du terminal d'écriture 4. Selon une variante de ce mode de réalisation, ce formatage est réalisé directement par la puce 3 suite à la génération du cryptogramme. La puce 3 comprend donc éventuellement des moyens de formatage aptes à formater le cryptogramme conformément aux contraintes de la bande magnétique 2.Also according to the invention, an embodiment has been described in which the formatting of the cryptogram, for example in the form of a truncation for putting the cryptogram in a form compatible with the magnetic tape 2, is carried out by formatting means. of the write terminal 4. According to a variant of this embodiment, this formatting is performed directly by the chip 3 following the generation of the cryptogram. Chip 3 includes therefore possibly formatting means capable of formatting the cryptogram according to the constraints of the magnetic tape 2.
Selon l'invention, afin de faciliter les traitements du serveur d'autorisation de l'institution bancaire 1 1 , on peut également inscrire sur la piste magnétique 2 d'autres données, par exemple un compteur, en outre du cryptogramme 8.According to the invention, in order to facilitate the processing of the authorization server of the banking institution 11, it is also possible to write on the magnetic strip 2 other data, for example a counter, in addition to the cryptogram 8.
Enfin, on a décrit l'invention dans le cadre d'une carte bancaire, mais il est entendu que l'invention concerne toute carte apte à permettre une transaction et comprenant une puce électronique et une bande magnétique, telle qu'une carte de fidélité, une carte privative, ou une carte de pétrolier. Finally, the invention has been described in the context of a bank card, but it is understood that the invention relates to any card capable of enabling a transaction and comprising an electronic chip and a magnetic strip, such as a loyalty card. , a private card, or a tanker card.

Claims

REVENDICATIONS
1 . Procédé pour sécuriser une transaction à l'aide d'un moyen de paiement (1 ), ledit moyen de paiement comprenant des moyens de génération (3) aptes à générer des cryptogrammes, et une bande magnétique (2), ledit procédé comprenant des étapes dans lesquelles - lesdits moyens de génération (3) génèrent un cryptogramme, ledit cryptogramme étant associé de façon unique à ladite transaction ;1. Method for securing a transaction using a payment means (1), said payment means comprising generation means (3) capable of generating cryptograms, and a magnetic tape (2), said method comprising steps wherein - said generating means (3) generates a cryptogram, said cryptogram being uniquely associated with said transaction;
- ledit cryptogramme (8) est encodé sur ladite bande magnétique (2).said cryptogram (8) is encoded on said magnetic strip (2).
2. Procédé selon la revendication 1 dans lequel lesdits moyens de génération comprennent une puce électronique, ladite puce électronique comprenant au moins un processeur et des mémoires de stockage de données, ladite puce électronique, et dans lequel la puce électronique génère le cryptogramme.2. Method according to claim 1 wherein said generating means comprise an electronic chip, said electronic chip comprising at least one processor and data storage memories, said electronic chip, and wherein the electronic chip generates the cryptogram.
3. Procédé selon la revendication 2 dans lequel la puce électronique génère le cryptogramme en réponse à une requête de génération de cryptogramme selon la norme EMV.3. Method according to claim 2 wherein the electronic chip generates the cryptogram in response to a cryptogram generation request according to the EMV standard.
4. Procédé selon la revendication 2 ou 3 dans lequel le cryptogramme est stocké dans une des mémoires de stockage de données. The method of claim 2 or 3 wherein the cryptogram is stored in one of the data storage memories.
5. Procédé selon l'une des revendications précédentes, dans lequel ledit procédé est en outre mis en œuvre à l'aide d'un terminal d'écriture (4) apte à communiquer avec ledit moyen de paiement et ledit procédé comprend des étapes dans lesquelles:5. Method according to one of the preceding claims, wherein said method is further implemented using a write terminal (4) adapted to communicate with said payment means and said method comprises steps in which:
- ledit terminal d'écriture (4) génère une requête auxdits moyens de génération ;said write terminal (4) generates a request to said generation means;
- lesdits moyens de génération (3) génèrent ledit cryptogramme en réponse à ladite requête ; - ledit terminal d'écriture (4) encode ledit cryptogramme sur ladite bande magnétique (2).said generation means (3) generate said cryptogram in response to said request; said writing terminal (4) encodes said cryptogram on said magnetic tape (2).
6. Procédé selon la revendication 5 dans lequel la requête est une requête de génération d'un cryptogramme applicatif selon la norme EMV.6. The method of claim 5 wherein the request is a request for generation of an EMV application cryptogram.
7. Procédé selon la revendication 5 ou 6 dans lequel, suite à l'étape dans laquelle lesdits moyens de génération (3) génèrent ledit cryptogramme en réponse à ladite requête, le cryptogramme est stocké dans une mémoire du moyen de paiement, et le terminal d'écriture lit le cryptogramme dans ladite mémoire.7. Method according to claim 5 or 6 wherein, following the step in which said generating means (3) generates said cryptogram in response to said request, the cryptogram is stored in a memory of the payment means, and the terminal writing reads the cryptogram in said memory.
8. Procédé selon l'une des revendications précédentes, dans lequel ladite transaction est réalisée à l'aide d'un terminal de transaction (9) vers une institution de paiement (1 1 ), ledit terminal de transaction (9) comprenant un lecteur de bande magnétique apte à lire des données de ladite bande magnétique, et dans lequel ledit procédé comprend des étapes dans lesquelles : - ledit lecteur de bande magnétique lit ledit cryptogramme encodé sur ladite bande magnétique ;8. Method according to one of the preceding claims, wherein said transaction is performed using a transaction terminal (9) to a payment institution (1 1), said transaction terminal (9) comprising a reader magnetic tape device for reading data from said magnetic tape, and wherein said method comprises steps in which: said magnetic tape reader reads said cryptogram encoded on said magnetic tape;
- ledit cryptogramme encodé est transmis à ladite institution de paiement par ledit terminal de transaction (9).said encoded cryptogram is transmitted to said payment institution by said transaction terminal (9).
9. Procédé selon l'une des revendications précédentes dans lequel l'étape d'encodage comprend des étapes consistant à :9. Method according to one of the preceding claims wherein the encoding step comprises the steps of:
- formater ledit cryptogramme conformément à un format de données de ladite bande magnétique, de sorte à générer un cryptogramme formaté ;- formatting said cryptogram according to a data format of said magnetic tape, so as to generate a formatted cryptogram;
- inscrire ledit cryptogramme formaté sur ladite bande magnétique.- Enter said cryptogram formatted on said magnetic tape.
10. Procédé selon l'une des revendications précédentes, dans lequel ladite bande magnétique comprend une zone d'écriture réservée à une institution de paiement, dans lequel ledit cryptogramme est encodé sur ladite bande magnétique dans ladite zone d'écriture réservée à une institution de paiement.10. Method according to one of the preceding claims, wherein said magnetic tape comprises a writing area reserved for a payment institution, wherein said cryptogram is encoded on said magnetic tape in said writing area reserved for a credit institution. payment.
1 1 . Moyen de paiement (1 ) comprenant des moyens de génération (3) aptes à générer un cryptogramme, caractérisé en ce que ledit moyen de paiement comprend une bande magnétique sur laquelle est encodé ledit cryptogramme.1 1. Means of payment (1) comprising generating means (3) capable of generating a cryptogram, characterized in that said payment means comprises a magnetic tape on which said cryptogram is encoded.
12. Moyen de paiement (1 ) selon la revendication 1 1 , comprenant des premiers moyens de formatage aptes à formater ledit cryptogramme conformément à un format de données de ladite bande magnétique en un cryptogramme formaté, et dans lequel ledit cryptogramme formaté est inscrit sur ladite bande magnétique.12. A method of payment (1) according to claim 1, comprising first formatting means able to format said cryptogram according to a data format of said magnetic tape into a cryptogram. formatted, and wherein said formatted cryptogram is inscribed on said magnetic tape.
13. Moyen de paiement selon la revendication 1 1 ou 12, dans lequel lesdits moyens de génération comprennent une puce électronique, ladite puce électronique comprenant au moins un processeur et des mémoires de stockage de données, la puce électronique étant apte à générer le cryptogramme.13. A method of payment according to claim 1 1 or 12, wherein said generation means comprise an electronic chip, said electronic chip comprising at least one processor and data storage memories, the electronic chip being able to generate the cryptogram.
14. Moyen de paiement selon la revendication 13 dans lequel la puce électronique est apte à générer le cryptogramme en réponse à une requête de génération de cryptogramme selon la norme EMV.14. A method of payment according to claim 13 wherein the electronic chip is adapted to generate the cryptogram in response to a cryptogram generation request according to the EMV standard.
15. Moyen de paiement selon l'une des revendications 1 1 à 14, dans lequel ladite bande magnétique comprend une zone d'écriture réservée à une institution de paiement et dans lequel ledit cryptogramme est encodé dans ladite zone d'écriture réservée à une institution de paiement.15. A method of payment according to one of claims 1 1 to 14, wherein said magnetic strip comprises a writing area reserved for a payment institution and wherein said cryptogram is encoded in said writing area reserved for an institution. of payment.
16. Terminal d'écriture (4) apte à être associé à un moyen de paiement (1 ), ledit moyen de paiement (1 ) comprenant des moyens de génération (3) aptes à générer des cryptogrammes, et une bande magnétique (2), ledit terminal d'écriture comprenant :16. Writing terminal (4) adapted to be associated with a payment means (1), said payment means (1) comprising generation means (3) capable of generating cryptograms, and a magnetic tape (2) , said write terminal comprising:
- des moyens de commande (21 ) aptes à déclencher une génération d'un cryptogramme par lesdits moyens de génération ; - des moyens d'encodage (20, 19, 18) aptes à encoder ledit cryptogramme sur ladite bande magnétique. control means (21) able to trigger a generation of a cryptogram by said generation means; encoding means (20, 19, 18) capable of encoding said cryptogram on said magnetic strip.
17. Terminal d'écriture (4) selon la revendication 16 dans lequel les moyens de commande sont aptes à générer une requête de génération de cryptogramme selon la norme EMV aux moyens de génération .17. Writing terminal (4) according to claim 16 wherein the control means are adapted to generate a cryptogram generation request according to the EMV standard generation means.
18. Terminal d'écriture selon la revendication 16 ou 17 dans lequel les moyens d'encodage comprennent des moyens de lecture (18) agencés pour lire le cryptogramme généré par les moyens de génération dans une mémoire du moyen de paiement.18. Writing terminal according to claim 16 or 17 wherein the encoding means comprise reading means (18) arranged to read the cryptogram generated by the generating means in a memory of the payment means.
19. Terminal d'écriture selon l'une des revendications 16 à 18, dans lequel lesdits moyens d'encodage comprennent des deuxièmes moyens de formatage (19) aptes à formater ledit cryptogramme conformément à un format de données de ladite bande magnétique de sorte à générer un cryptogramme formaté, et des moyens d'inscription (20) aptes à inscrire ledit cryptogramme formaté sur ladite bande magnétique.19. Writing terminal according to one of claims 16 to 18, wherein said encoding means comprises second formatting means (19) capable of formatting said cryptogram according to a data format of said magnetic tape so as to generating a formatted cryptogram, and registration means (20) adapted to register said cryptogram formatted on said magnetic tape.
20. Terminal d'écriture selon la revendication 19, dans lequel ladite bande magnétique comprend une zone d'écriture réservée à une institution de paiement, et dans lequel lesdits moyens d'inscription sont agencés de sorte à inscrire ledit cryptogramme formaté sur ladite bande magnétique dans ladite zone d'écriture réservée à une institution de paiement. The writing terminal according to claim 19, wherein said magnetic tape includes a writing area reserved for a payment institution, and wherein said writing means is arranged to write said formatted cryptogram on said magnetic tape. in said writing area reserved for a payment institution.
PCT/EP2007/054571 2006-05-15 2007-05-11 Method to secure a chip card transaction, write terminal to secure such a transaction, and secure chip card WO2007131956A1 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR06/04304 2006-05-15
FR0604304A FR2901079A1 (en) 2006-05-15 2006-05-15 METHOD FOR SECURING A CHIP CARD TRANSACTION, WRITE TERMINAL FOR SECURING SUCH TRANSACTION, AND SECURED CHIP CARD

Publications (1)

Publication Number Publication Date
WO2007131956A1 true WO2007131956A1 (en) 2007-11-22

Family

ID=37908006

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2007/054571 WO2007131956A1 (en) 2006-05-15 2007-05-11 Method to secure a chip card transaction, write terminal to secure such a transaction, and secure chip card

Country Status (2)

Country Link
FR (1) FR2901079A1 (en)
WO (1) WO2007131956A1 (en)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102521551A (en) * 2011-12-23 2012-06-27 大唐微电子技术有限公司 Personalized IC (integrated circuit) card issuing device and method
DE102011002433A1 (en) 2011-01-04 2012-07-05 Griptech Gmbh Device for receiving and transporting loads
US10664824B2 (en) 2013-12-19 2020-05-26 Visa International Service Association Cloud-based transactions methods and systems
US11036873B2 (en) 2014-08-22 2021-06-15 Visa International Service Association Embedding cloud-based functionalities in a communication device
US11080693B2 (en) 2011-04-05 2021-08-03 Visa Europe Limited Payment system
US11238140B2 (en) 2016-07-11 2022-02-01 Visa International Service Association Encryption key exchange process using access device
US11842350B2 (en) 2014-05-21 2023-12-12 Visa International Service Association Offline authentication
US11875344B2 (en) 2013-12-19 2024-01-16 Visa International Service Association Cloud-based transactions with magnetic secure transmission

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001084771A1 (en) * 2000-05-01 2001-11-08 Xtec, Incorporated Methods and apparatus for securely conducting authenticated transactions
US20020073315A1 (en) * 2000-12-08 2002-06-13 Brant Candelore Placing a cryptogram on the magnetic stripe of a personal transaction card
US20030191945A1 (en) * 2002-04-03 2003-10-09 Swivel Technologies Limited System and method for secure credit and debit card transactions
WO2005073934A1 (en) * 2004-01-28 2005-08-11 Aron Matalon Method and system for authenticating credit transactions

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001084771A1 (en) * 2000-05-01 2001-11-08 Xtec, Incorporated Methods and apparatus for securely conducting authenticated transactions
US20020073315A1 (en) * 2000-12-08 2002-06-13 Brant Candelore Placing a cryptogram on the magnetic stripe of a personal transaction card
US20030191945A1 (en) * 2002-04-03 2003-10-09 Swivel Technologies Limited System and method for secure credit and debit card transactions
WO2005073934A1 (en) * 2004-01-28 2005-08-11 Aron Matalon Method and system for authenticating credit transactions

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102011002433A1 (en) 2011-01-04 2012-07-05 Griptech Gmbh Device for receiving and transporting loads
US11989727B2 (en) 2011-04-05 2024-05-21 Visa Europe Limited Payment system
US11694199B2 (en) 2011-04-05 2023-07-04 Visa Europe Limited Payment system
US11080693B2 (en) 2011-04-05 2021-08-03 Visa Europe Limited Payment system
CN102521551A (en) * 2011-12-23 2012-06-27 大唐微电子技术有限公司 Personalized IC (integrated circuit) card issuing device and method
CN102521551B (en) * 2011-12-23 2014-08-20 大唐微电子技术有限公司 Personalized IC (integrated circuit) card issuing device and method
US11164176B2 (en) 2013-12-19 2021-11-02 Visa International Service Association Limited-use keys and cryptograms
US11875344B2 (en) 2013-12-19 2024-01-16 Visa International Service Association Cloud-based transactions with magnetic secure transmission
US10664824B2 (en) 2013-12-19 2020-05-26 Visa International Service Association Cloud-based transactions methods and systems
US11842350B2 (en) 2014-05-21 2023-12-12 Visa International Service Association Offline authentication
US11036873B2 (en) 2014-08-22 2021-06-15 Visa International Service Association Embedding cloud-based functionalities in a communication device
US11783061B2 (en) 2014-08-22 2023-10-10 Visa International Service Association Embedding cloud-based functionalities in a communication device
US11238140B2 (en) 2016-07-11 2022-02-01 Visa International Service Association Encryption key exchange process using access device
US11714885B2 (en) 2016-07-11 2023-08-01 Visa International Service Association Encryption key exchange process using access device

Also Published As

Publication number Publication date
FR2901079A1 (en) 2007-11-16

Similar Documents

Publication Publication Date Title
EP0707290B1 (en) Method and apparatus for loading a protected memory zone in data processing equipment
US8151335B2 (en) Proxy authentication methods and apparatus
EP0055986B1 (en) Security system and apparatus for the three-way communication of confidential data
US8266441B2 (en) One-time password credit/debit card
WO2007131956A1 (en) Method to secure a chip card transaction, write terminal to secure such a transaction, and secure chip card
EP2873045B1 (en) Secure electronic entity for authorizing a transaction
EP1791292B1 (en) Personalisation of an electronic circuit
WO2016079403A1 (en) Method for securing a payment token
EP1791291A1 (en) Personalization of a bankcard for other applications
EP1240630A1 (en) Method for authenticating a portable object, corresponding portable object, and apparatus therefor
FR2697929A1 (en) Security protocol for information exchange with portable object - using exchange and updating of signatures, achieved through algorithm, certificate and random number
WO2007006771A1 (en) Transaction authorization method and device
FR2832829A1 (en) Authentication of data sent or received by a user, uses mobile terminal and smart card carried by user to connect to authentication server
EP1323140B1 (en) Method for providing identification data of a banking card to a user
EP1354288B1 (en) Method using electronic banking cards for making secure transactions
FR2730076A1 (en) Authentication by server of holder of object incorporating microprocessor
EP0979495B1 (en) Rollup certification in a reader
FR3068497B1 (en) SYSTEM AND METHOD FOR DEFINING A PERSONAL CODE ASSOCIATED WITH A MICROCIRCUIT
EP4298580A1 (en) Payment card, authentication method and use for a remote payment
EP1965342A1 (en) Method of conducting a transaction between a payment module and a security module
EP4074004A1 (en) Method and system, device and payment terminal using personal data
FR2820915A1 (en) METHOD FOR SECURING A COMMERCIAL TRANSACTION USING A MEMORY CARD
CN116888613A (en) Apparatus, system, and method for public/private key authentication
FR2796742A1 (en) Security data exchange supports and system for payments and tele-payments
FR2790854A1 (en) Device for securing computer data exchanges of payment or remote payment has inaccessible area in secret memory in which primary codes of list may be used as preference for secure exchange

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07729023

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07729023

Country of ref document: EP

Kind code of ref document: A1