Защо банковата карта има три „тайни“ цифри отзад – и защо не са просто част от номера

Почти всеки, който е плащал онлайн, познава процедурата. Въвеждате дългия номер на картата, срока ѝ на валидност и накрая онези три малки цифри от обратната страна – CVV или CVC. При някои карти кодът е четирицифрен и се намира отпред.

На пръв поглед това изглежда малко странно. Ако три допълнителни цифри правят плащането по-сигурно, защо просто номерът на картата не е с три цифри по-дълъг? Отговорът е интересен, защото показва един от най-умните принципи в сигурността на картовите плащания: важното не е колко цифри има кодът, а къде е позволено да остане след плащането.

Ако CVV беше част от номера, щеше да бъде откраднат заедно с него

Типичният номер на платежна карта – PAN, или Primary Account Number – съдържа информация за платежната система и издателя на картата, номер на конкретната сметка и контролна цифра. Затова не бива да разглеждаме 16-те цифри просто като произволно число с 10 квадрилиона възможни комбинации. Но това всъщност няма особено значение за CVV.

Представете си, че вместо 16-цифрен номер плюс отделен трицифрен код картата просто имаше един 19-цифрен номер. Когато даден онлайн магазин запази данните на картата за следваща покупка, той би трябвало да запази именно този дълъг номер.

А ако неговата база данни бъде компрометирана, нападателят потенциално би получил всичко наведнъж. CVV е отделен именно за да може към него да важи различно правило.

Стандартът PCI DSS, който определя изискванията за защита на данните от платежни карти, третира CVV/CVC като Sensitive Authentication Data. След като конкретната транзакция бъде оторизирана, търговците и платежните им доставчици нямат право да съхраняват този код – дори в криптиран вид. Това е съществената разлика.

Номерът на картата може да бъде съхраняван, когато има законна бизнес необходимост за това, макар че PCI DSS поставя сериозни изисквания за начина, по който се защитава и за срока на съхранението му. За CVV правилото е много по-категорично: след оторизацията той трябва да изчезне от системите.

Малките три цифри са поставени в своеобразна „забранена зона“

Именно тук се крие хитростта. При покупка в интернет физическата карта не се поставя в терминал и нейният чип не може да бъде прочетен. Такива плащания се наричат Card-Not-Present или CNP транзакции.

CVV е създаден като допълнителна информация, която помага на банката и платежната система да получат по-голяма увереност, че клиентът разполага с данните от самата карта, а не просто с номер, извлечен например от стара база данни. PCI Security Standards Council изрично посочва CVV, CVC и сродните им кодове като данни, които обичайно се използват именно при подобни дистанционни транзакции. И затова разделението е толкова важно.

Ако хакер проникне в лошо защитена база данни на онлайн магазин, там може да има информация за платежни карти. Но при правилно спазване на PCI DSS не би трябвало да има CVV кодове.

Дори клиентът изрично да каже на търговеца „запази ми CVV, за да не го въвеждам следващия път“, стандартът не позволява това. Съгласието на притежателя на картата не отменя забраната. Точно затова при някои сайтове картата изглежда запазена – виждате например последните ѝ четири цифри – но при нова покупка отново може да бъдете помолени да въведете кода.

А как тогава работят Netflix, Spotify и останалите абонаменти?

Тук идва друг интересен момент. Ако CVV не може да бъде съхраняван, как компании, към които сме абонирани, теглят пари всеки месец, без постоянно да ни питат за трите цифри? Защото CVV не е необходим за всяко последващо плащане.

При първоначалното добавяне на картата търговецът може да използва кода при оторизацията, но след това той трябва да бъде премахнат. Следващите плащания могат да бъдат обработвани като транзакции със запазени платежни данни или периодични плащания, без CVV да бъде съхраняван. PCI Security Standards Council изрично уточнява, че кодът не е необходим за card-on-file и recurring transactions.

В съвременните платежни системи често се използва и токенизация – вместо истинският номер на картата да пътува и да се съхранява навсякъде, той се заменя със специален токен, който има ограничено предназначение.

Така сигурността не се базира на идеята един огромен секретен номер никога да не бъде откраднат, а на това различните части от платежната информация да бъдат разделени и защитени по различен начин.

CVV не е магически код

Разбира се, трите цифри не правят картата непробиваема. Ако измамен сайт ви подмами сами да въведете номера на картата, срока на валидност и CVV, нападателят може да получи целия комплект информация. CVV защитава най-вече срещу определени сценарии – например когато са компрометирани съхранявани платежни данни – но не може да спаси потребителя от всяка фишинг атака.

Затова днешните платежни системи използват още слоеве на защита – банкови приложения, биометрично потвърждение, еднократни кодове, 3D Secure, анализ на поведението и автоматично откриване на подозрителни транзакции.

Но идеята зад CVV си остава забележително проста. Трите цифри отзад на картата не са ценни, защото увеличават номера ѝ от 16 на 19 цифри. Те са ценни именно защото не са част от него. Номерът на картата може при определени условия да остане в платежната система. CVV не трябва.

И понякога в компютърната сигурност най-добрият начин да защитиш една информация не е да я криптираш все по-силно, а просто да направиш така, че тя да не бъде там, когато някой дойде да я открадне.