13 ноября, вторник 03:20
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Как понять почему терминал не запросил пин?

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Как понять почему терминал не запросил пин?

    Имеем CVM List: Online PIN + Signature
    Имеем Terminal Capabilities: E0F0C8 - т.е. все включая CDA.
    Так вот вопрос - клиент утверждает что Online PIN вообще не запрашивался терминалом, почему?
    Т.е. операция сразу пошла по подписи...

  • #2
    TSprinter, попробуйте рассмотреть вариант PIN Bypass, отмену ввода ПИН со стороны кассира, либо PIN Pad inoperative как вариант

    Комментарий


    • #3
      Ну типа того.
      TVR : 0000088000
      Т.е. как раз PIN Required / PIN PAD Present / PIN was not entered.
      Но дело в том что человек утверждает обратное. ПИН не был запрошен вообще именно терминалом!
      На что еще посмотреть? Где виден отказ пин пада?

      Комментарий


      • #4
        TSprinter, так в TVR и виден.
        Если бы PIN pad не отвечал, было бы: хххх18хххх
        Также пин пад не запросит ПИН, если реализован выбор способа аутентификации в меню кассира.

        Комментарий


        • #5
          Терминал вынесли к клиенту и он не запрашивал пин вообще. :-) а вот операцию пытались провести аж 2 раза.

          Комментарий


          • #6
            Странно как-то. Не то, что пин не запросился, а что при этом выставился этот бит в TVR.
            Бит "PIN Required / PIN PAD Present / PIN was not entered" должен устанавливаться именно в случаях bypass.
            Чтобы выявить "злодея" можно сделать "клон" этого терминала, найти карту с такими CVM методами и попробовать воспроизвести ситуацию. Если получится, то снять и проанализировать логи. Терминал можно при этом никуда не подключать - речь о взаимодействии терминала и карты.

            Комментарий


            • #7
              Можно то можно но только терминал не наш :-)

              Комментарий


              • #8
                Слышал, что в самом терминале можно заложить такую логику, что он сам будет автоматически пропускать какие-либо шаги CVM-листа. Например, online PIN.

                TSprinter, странно, что у вас CVM-лист не с offline PIN начинается...

                Комментарий


                • #9
                  Это да :-) но это стародревние карты.
                  У нас уже вариантов CVM листов штук 10.

                  Комментарий


                  • #10
                    Ну если терминал не ваш, может это по мотивам пары недавних тем: "А как сделать, чтобы пин не запрашивался при условии...". Нафига проводить операцию по правилам EMV, если можно красиво все обойти. Пин не запрашивают, а в TVR ляпают, мол, клиент сам отказался.
                    Пример уже прозвучал выше: "Также пин пад не запросит ПИН, если реализован выбор способа аутентификации в меню кассира". Какое, нафиг, меню для кассира при обслуживании по чипу? Прикрутить, конечно, можно что угодно, но почему?
                    Последний раз редактировалось Иван Федотов; 14.06.2012, 13:35.

                    Комментарий


                    • #11
                      Сообщение от UserR Посмотреть сообщение
                      Ну если терминал не ваш, может это по мотивам пары недавних тем: "А как сделать, чтобы пин не запрашивался при условии..."
                      Нет это по другим мотивам :-)))

                      Сообщение от UserR Посмотреть сообщение
                      Нафига проводить операцию по правилам EMV, если можно красиво все обойти.
                      Вот и я об этом - как потом на стороне эмитента понять запрашивал ли терминал у кассира пин или нет? А клиенту уже вынесли терминал после этого выбора.

                      Комментарий


                      • #12
                        Сообщение от UserR
                        Прикрутить, конечно, можно что угодно, но какого хрена?
                        Всё как всегда - бизнес по-российски...
                        Транзакция идет по чипу. Поэтому Chip Liability Shift над эквайрером не висит. А для того, чтобы сэкономить на PIN-online запросе, эквайрер ляпает в TVR всякую ахинею. И плевать он хотел на CVM от эмитента.
                        Эквайрить карты хотят все, а платить МПСу - никто.

                        Сообщение от TSprinter
                        Вот и я об этом - как потом на стороне эмитента понять запрашивал ли терминал у кассира пин или нет? А клиенту уже вынесли терминал после этого выбора.
                        Пардон, а как кассир может отменить запрос PINа терминалом до того, как клиент вставил в терминал свою чиповую карту? Или клиент отдавал свою карту в руки официанту?

                        Комментарий


                        • #13
                          Конечно отдавал :-) и 99% людей отдают вкладывая карту рядом с чеком.
                          Вы когда платите картой в ресторане просите вынести терминал в зал? Я вот не прошу :-)

                          Сообщение от mandobass Посмотреть сообщение
                          Поэтому Chip Liability Shift над эквайрером не висит.
                          Зато висит Chip and PIN Liability Shift

                          Комментарий


                          • #14
                            А извиняюсь - у меня уже мозг кипит.
                            В данном конкретном случае терминал выносили клиенту и он НЕ запрашивал пин вообще.
                            Операцию проводили 2 раза потому что наш хост отбивает этот бит как фрод. Но есть куча клиентов у кого операции вообще не доходят до ввода пина. Т.е. в некоторых точках при описанном CVM List пин вообще не спрашивается! Всегда идет подпись которую мы отбиваем :-) и клиенты жалуются.
                            Согласен с тем что нужно просто пойти на точку с такой же картой. Наверное так и сделаем...
                            Было просто интересно понять как так терминал сам скипает online PIN при Terminal Capabilities = ВСЕ включая CDA :-)

                            Комментарий


                            • #15
                              Сообщение от TSprinter Посмотреть сообщение
                              Было просто интересно понять как так терминал сам скипает online PIN при Terminal Capabilities = ВСЕ включая CDA
                              Это не так интересно. Возможно, для отдельных приложений байт CVM из Terminal Capabilities может подстраиваться индивидуально.
                              Гораздо интереснее, если терминал сам устанавливает бит "pin bypass". Вот это уже криминал.

                              Комментарий


                              • #16
                                Сообщение от BAT Посмотреть сообщение
                                Гораздо интереснее, если терминал сам устанавливает бит "pin bypass".
                                Вот это, мне кажется, как раз менее удивительно. Ведь и на самом деле ввод ПИНа чипом запрашивается (PIN required), но клиентом не воодится (But not entered). Вроде все верно. Даже хорошо, что этот бит проставляется - хоть можно по нему отклонять такие операции, чтобы избежать мошенничества lost/stolen. С другой стороны, это будет плохо и для ТСП (потеря клиентов), и для эмитента (минус интерчендж, плюс жалобы от клиентов).

                                Комментарий


                                • #17
                                  Сообщение от ILYOOHA Посмотреть сообщение
                                  Ведь и на самом деле ввод ПИНа чипом запрашивается (PIN required), но клиентом не воодится (But not entered). Вроде все верно.
                                  Нет, неверно.
                                  В рассматриваемой ситуации пин ТРЕБОВАЛСЯ (по CVM листу карты), но НЕ ЗАПРАШИВАЛСЯ.
                                  Какой же тут отказ от ввода пина?
                                  И разобраться в такой ситуации помогают другие признаки TVR:
                                  - превышено число попыток ввода offline pina – TVR Byte3 bit6=1
                                  - не работал пипад - TVR Byte3 bit5=1
                                  А еще пин мог требоваться безусловно, а терминал этот метод не поддерживал – здесь скорее всего будет TVR Byte3 bit8=1, но могут быть варианты.

                                  Комментарий


                                  • #18
                                    Проблема в том, что чаще всего в таких ситуациях и offline PIN не превышен, и ПИН-пад работает, и терминал поддерживает все методы. И то, что произошел PIN bypass, в данном случае позволяет определить только один элемент 55 поля - как раз TVR Byte 3 Bit 5.

                                    Безусловно согласен, что такие настройки терминала - бесспорно "кривые". Даже в случае, если клиент сам нажимает кнопку отмены вместо ввода ПИНа, терминал должен прерывать операцию. Например, в Словаре базовых терминов MC написано: "PIN bypass not allowed on all terminals and in all countries". Хотя ответственность за такие операции несет все равно эмитент...

                                    Комментарий


                                    • #19
                                      Сообщение от ILYOOHA Посмотреть сообщение
                                      И то, что произошел PIN bypass, в данном случае позволяет определить только один элемент 55 поля - как раз TVR Byte 3 Bit 5
                                      Но, как раз, PIN bypass и не произошел, а бит установился. Это явный баг.

                                      Сообщение от ILYOOHA Посмотреть сообщение
                                      Даже в случае, если клиент сам нажимает кнопку отмены вместо ввода ПИНа, терминал должен прерывать операцию.
                                      ???
                                      PIN Entry Bypass is an optional function that may be supported at attended
                                      terminals.

                                      Всегда отказываюсь в торговых точках от ввода пина. Практически всегда проходит. В ПВН, конечно, не прокатит. И определяется это требованиями MasterCard к TACdenial.

                                      Комментарий


                                      • #20
                                        Сообщение от BAT Посмотреть сообщение
                                        Но, как раз, PIN bypass и не произошел, а бит установился. Это явный баг.
                                        PIN bypass - the process whereby the merchant overrides the PIN requirement, in order to allow signature-based cardholder verification. По-моему, описанная ситуация полностью подходит под данное определение. Это PIN bypass, и ничто иное.

                                        Сообщение от BAT Посмотреть сообщение
                                        PIN Entry Bypass is an optional function that may be supported at attended terminals.
                                        Согласен, терминал может позволять такие операции. Просто они пишут в разных местах по-разному, только людей путают...

                                        Сообщение от BAT Посмотреть сообщение
                                        Всегда отказываюсь в торговых точках от ввода пина. Практически всегда проходит.
                                        Это, конечно, хорошо. Жаль только, что также сможет сделать человек, укравший у Вас карту. Значимость чипа таким образом порядком нивелируется...

                                        Комментарий


                                        • #21
                                          Сообщение от ILYOOHA Посмотреть сообщение
                                          Согласен, терминал может позволять такие операции. Просто они пишут в разных местах по-разному, только людей путают...
                                          Что значит может? Прерывание операции произойдет в том случае, если провалится верификация кардхолдера. Если в CVM-листе есть подпись, и терминал эту проверку поддерживает, то он просто не имеет права прерывать операцию. Решение будет принимать эмитент.

                                          Комментарий


                                          • #22
                                            До подписи должно доходить в таких случаях, как, например: Offline PIN-счетчик переполнен, терминал не имеет возможности для верификации Online PIN, или, другой случай, терминал вообще не имеет ПИН-пада. Тогда да, операция должна пройти по подписи. А когда терминал в соответствии с требованиями CVM-листа (!) просит ввести ПИН, а клиент ему "фигу", то терминал уже ничего не должен - "optional function that may be supported". Может, торговая точка сама не хочет попадать на возможного мошенника?

                                            Комментарий


                                            • #23
                                              ILYOOHA, нет. Проход по CVM-листу идет до первой удачной проверки. Единственное, о чем я не написал, в CVM-листе может быть указано на то, что проваливать верификацию и не переходить к следующей при неудачной текущей проверке. Тогда логика Ваша верна. Если в CVM-листе при неудачной проверке переходить к следующей, то терминал обязан перейти к ней. В любом случае, решает не терминал, а эмитент.
                                              Более того, если в CVM-листе есть offline pin, online pin, подпись, то при отказе пин будет запрошен дважды!

                                              Комментарий


                                              • #24
                                                Сообщение от ILYOOHA Посмотреть сообщение
                                                Это, конечно, хорошо. Жаль только, что также сможет сделать человек, укравший у Вас карту. Значимость чипа таким образом порядком нивелируется..
                                                Считаю, что "светить" свой пин в ТСП в окружении камер и народа гораздо опаснее, по крайней мере, пока на чиповой карте остается магнитная полоса. Не надо даже красть карту.

                                                UserR, во всем с Вами согласен, кроме последней фразы
                                                Сообщение от UserR Посмотреть сообщение
                                                ...если в CVM-листе есть offline pin, online pin, подпись, то при отказе пин будет запрошен дважды!
                                                Это не так. Допускаются две реализации - либо просто переходить к следующему методу (тогда пин может запроситься и до 3-х раз), либо при отказе от ввода пина считать все вновь встретившиеся методы проверки пина проваленными. Реализация указывается в ICS форме при сертификации ядра на Level2.

                                                Комментарий


                                                • #25
                                                  UserR, таки да!) MChip Requirements - Terminal Requirements:

                                                  If a PIN is requested but not entered, and PIN entry bypass is not used, the terminal can either re-prompt the cardholder to enter their PIN, or terminate the transaction.

                                                  Так что терминал в данном случае не бесправное существо - он тоже выбор имеет!))

                                                  Комментарий


                                                  • #26
                                                    Смотрим CVM-byte bit7. За переход к следующей проверке при неудачной текущей отвечает именно он.

                                                    Комментарий


                                                    • #27
                                                      ILYOOHA, это совсем другая ситуация и подпись ни при чем.
                                                      Здесь речь о том, что «time out on PIN entry is not considered as PIN entry bypass.»
                                                      То есть. если запрошен пин, но клиент его не вводит и не отказывается от ввода, то есть просто ничего не предпринимает, то транзакция должна быть прервана. Если терминал имеет поддержку time out по вводу пина, то прерывание производится по его истечении (или, как в приведенной Вами цитате, повторо запрашивается), а если не поддерживает, то транзакция прерывается мерчантом.
                                                      Это происходит в пределах рассмотрения одного метода CVM листа, и перейти к следующему терминал в такой ситуации права не имеет. Это к слову о выборе.

                                                      Комментарий


                                                      • #28
                                                        Ух, ребята! Легче Кержакова научить по воротам попадать, чем вас переспорить!)

                                                        BAT, ну с чего Вы взяли, что там идет речь о тайм-ауте, если там и слова про него нет? Тогда вот еще одна цитата:

                                                        If a chip transaction is cancelled (either implicitly due to PIN entry timeout or explicitly by the merchant, for example if PIN is requested but not entered and PIN entry bypass is not used) the chip transaction may be restarted and fallback to magnetic stripe must not be attempted.

                                                        Ключевое здесь то, что транзакция может быть прервана как опосредованно (из-за тайм-аута), так и, простите за выражение, эксплицитно (то есть предпринимаются какие-либо действия, тайм-аут здесь уже не припишешь). До подписи в обоих случаях не доходит, причем во втором случае - из-за настроек терминала!

                                                        На всякий случай еще пара цитат, доказывающих, что терминал не обязан поддерживать PIN entry bypass и всегда доводить верификацию до подписи:

                                                        If the selected CVM is online PIN, fallback to signature may only take place if the terminal supports PIN entry bypass.

                                                        Support for PIN entry bypass is limited, so cardholders of cards whose primary CVM for POS use is either online PIN or offline PIN should be made aware that they may need to use their PIN at POS, or their transactions may fail.

                                                        Но ничего страшного - просто в некоторых случаях надо будет грамотно прикрыть свой ПИН (в тех же ПВН), чтобы ни одна живая душа или камера не смогли его подсмотреть!)

                                                        Комментарий


                                                        • #29
                                                          ILYOOHA, все приводимые Вами цитаты абсолютно верны (кто бы сомневался), чего не скажешь о делаемых Вами выводах.
                                                          Сообщение от ILYOOHA Посмотреть сообщение
                                                          BAT, ну с чего Вы взяли, что там идет речь о тайм-ауте, если там и слова про него нет?
                                                          так вы же и писали
                                                          Сообщение от ILYOOHA Посмотреть сообщение
                                                          f a PIN is requested but not entered, and PIN entry bypass is not used
                                                          Пин запрошен, но не вводится и bypass не используется - сколько терминал должен ждать каких-нибудь действий?

                                                          Сообщение от ILYOOHA Посмотреть сообщение
                                                          До подписи в обоих случаях не доходит, причем во втором случае - из-за настроек терминала!
                                                          При чем тут настройки - у Вас сказано "transaction may be restarted" - перезапущена, но никак не продолжена!

                                                          Сообщение от ILYOOHA Посмотреть сообщение
                                                          еще пара цитат, доказывающих, что терминал не обязан поддерживать PIN entry bypass и всегда доводить верификацию до подписи:
                                                          Цитаты доказывают именно противоположное. Если карта (эмитент) не захочет, до подписи дело никогда не дойдет, как терминал не настраивай. Это же касается и пина - терминал настроить на его обязательный запрос для чипа невозможно.
                                                          Рекомендую EMV 4.3 Book 3 Application Specification 10.5 Cardholder Verification.
                                                          Если будут конкретные вопросы, задавайте.


                                                          Сообщение от ILYOOHA Посмотреть сообщение
                                                          Но ничего страшного - просто в некоторых случаях надо будет грамотно прикрыть свой ПИН (в тех же ПВН), чтобы ни одна живая душа или камера не смогли его подсмотреть!)
                                                          Я имел в виду не банкоматы и ПВН, а торговые точки. Там прикроешься не всегда, особенно, если до пинпада надо еще дотянуться. А карта будет готова, человек еще из магазина не успеет выйти.

                                                          Комментарий


                                                          • #30
                                                            Сообщение от ILYOOHA Посмотреть сообщение
                                                            If a chip transaction is cancelled (either implicitly due to PIN entry timeout or explicitly by the merchant, for example if PIN is requested but not entered and PIN entry bypass is not used) the chip transaction may be restarted and fallback to magnetic stripe must not be attempted.
                                                            Здесь помоему речь идет о том что в случае сбоя или отмены не должен быть FallBack - про подпись тут вообще ни слова.
                                                            Транзакция просто начинается повторно с 0.

                                                            Сообщение от ILYOOHA Посмотреть сообщение
                                                            If the selected CVM is online PIN, fallback to signature may only take place if the terminal supports PIN entry bypass.
                                                            Т.е. очевидно если терминал не поддерживает bypass то и операция вообще не пойдет в Online - здесь о такой схеме нет речи. Мы бы ее у себя в логах просто не увидели...

                                                            Сообщение от ILYOOHA Посмотреть сообщение
                                                            Support for PIN entry bypass is limited, so cardholders of cards whose primary CVM for POS use is either online PIN or offline PIN should be made aware that they may need to use their PIN at POS, or their transactions may fail.
                                                            Это я вообще не понял к чему. Имеется ввиду что если мы вообще не поддерживаем подпись то и дойти до нее не получится :-) Но у нас то она есть.

                                                            Комментарий

                                                            Пользователи, просматривающие эту тему

                                                            Свернуть

                                                            Присутствует 1. Участников: 0, гостей: 1.

                                                            Обработка...
                                                            X