EMVは、信頼できないネットワークからのデータを盗聴から保護しますか？PAN
回線上のPAN=データのセキュリティに関して矛盾する情報を受け取りました。これはatmで適切に構成されたEMVで盗聴できますか？
以下のリンクから引用するには： http://www.firstdata.com/downloads/thought-leadership/EMV-Encrypt-Tokenization-WP.PDF
PCI Security Standards Councilは次のように述べています。「EMV環境では、PAN [プライマリアカウント番号]はトランザクションのどの時点でも機密情報として保持されません。」
ただし、私の理解から、EMVトランザクションの基本的な部分は、プロセッサがPANの暗号文を形成し、発行者/プロセッサ（CDA/DDA）によってのみ復号化できる）であることです。 PANすでにカードを識別する独自の方法がある場合、送信のポイントは何ですか？以下の引用を参照してください：
「すべてのEMVカードには、1つのカード固有の3DES鍵を使用するための必須の最小要件があり、RSA署名と鍵の3つの安全性の高い使用法（SDA（静的データ認証）、DDA（動的データ認証）、およびCDA（結合）と呼ばれる）から選択できます。データ認証）。」 https://www.cryptomathic.com/hubfs/docs/cryptomathic_white_paper-emv_key_management.pdf
これらの2つの正当な情報源は、PANデータがMITM攻撃に対して脆弱であることに関して、矛盾しているようです。
EMVがPANを暗号化しないことを知って多くの人が驚いています。しかし、実際には、EMVが完全に展開されると、PANの暗号化は不要になり、現在の安全でないプロトコルの技術的負債として残ります。EMVはその手荷物から始める必要はありません。
EMVがPAN=の暗号化を必要としない理由は、PANが表すのはIdentity;それはAuthenticationチップの（それはARQCメッセージの仕事です）、それはAuthorizationカード所有者がカードを使用する（それがPINの仕事です）チップが認証され、ユーザーが承認を提供する限り、トランザクションは保護されます。IDは秘密にしておく必要はありません。
今日の非EMVの世界では、アイデンティティ、認証、および許可はすべて、不変の磁気ストライプで結合されます。ストライプデータをコピーすると、カードのクローンを作成できるため、ストライプ全体を保護する必要があります。 「個人情報の盗難」という言葉を使用しているため、人々は私たちの個人情報を盗んでいると思いますが、実際には、カードから3つの属性すべてを同時に盗んでいます。
EMVでも、PANはカードのidentityを提供するために必要です。残りのEMVデータには、それ以外の場合に十分な情報が含まれていません。カードを特定することも、カードを特定することもできません。カード自体を使用できない限り、IDを公開することもできます。
EMVでは、ARQC暗号文がチップからの署名として機能し、PANに関連付けられたチップから発信されたメッセージを認証します。暗号化とチップ上の安全なストレージにより、ARQCを偽造することはできません。 ARQCはトランザクション対応であるため、すべてのリクエストは異なります。銀行が重複したARQCの拒否を保証している限り、リプレイ攻撃は機能しません。
PINは、ユーザーの承認として機能します。PINは、チップに「ユーザー、ユーザー彼がこの取引の通過を望んでいることを今すぐ証明しました。」彼らがあなたのカードにPINを要求することを望むかどうかはあなたの銀行次第です;彼らはあなたが取引に署名することを許可するだけで満足かもしれません。
[ほとんどの米国の銀行は、チップとPINではなくチップと署名を選択していることに注意してください。チップとPIN=の唯一の利点は、紛失または盗難時にカードを不正使用から保護することですが、実際には FDICはすでに個人の責任を$ 50に制限しています 、そしてほとんどすべての銀行は、カードを紛失または盗難された場合にそれを0ドルに免除します。また、銀行はあなたが何かを請求するたびにお金を稼ぐため、詐欺のリスクを受け入れます（すでに取る義務があります- 法律により ）PINを入力して顧客に不便をかけるよりも、不便な顧客はより簡単に支払い方法を見つけて利益を削減できると信じています。]
しかし、EMVの完全な展開から遠く離れています。 2015年10月の責任シフトは、米国の小売業者がEMVを使用するようにトランザクション処理を変更するインセンティブとして作成されましたが、2016年4月の時点で実際にチップカードを取得している米国の小売業者はほとんどありません。600万の小売業者に新しい端末、新しいソフトウェア、新しいカードを展開、11,000の銀行、そして何十億ものカードには多くの時間とお金がかかります。また、ホテル予約、Web購入などのCard Not Present（CNP）トランザクションを保護するために広く受け入れられているソリューションはまだ誰も作成していません。したがって、EMVが完全に展開されてCNP問題が解決されるまで、商人とPOS端末で保護する必要があります。 PANと機密認証データを暗号化します。現時点では、PANが含まれています。
PANは、追加のセキュリティ対策が講じられていない場合、EMVがない場合と同様に、EMVトランザクションでの侵害に対して依然として脆弱です。平文の静的PANは、暗号文に加えてトランザクションメッセージに含まれています。上記で引用したステートメントはどちらも当てはまります。 SDA/DDA/CDAの使用は、EMVで実行される暗号化操作に関連しています。それとは別に、PANは暗号文が送信されたフィールドとは別のフィールドに含まれています。
「オンザワイヤー」に関する限り、PCI DSS要件は、インターネットなどのオープンなパブリックネットワークを介して送信されるときにPANが暗号化されることを指定しています。プライベートネットワークでの暗号化は必須ではありません。
多くのソリューションは、EMVに加えてポイントツーポイント暗号化（P2PE）を実装して、PANを保護しています。