Europay Mastercard Visa

Le standard international EMV spécifie l'interopérabilité entre les cartes EMV à microprocesseurs (cartes à puces) et les terminaux de paiement EMV à travers le monde. Le passage à EMV sur les cartes de paiement apporte les deux avantages suivants :

• amélioration de la sécurité (entraînant une réduction de la fraude) ;
• un contrôle plus précis pour les transactions par carte bancaire « hors ligne » (c'est-à-dire sans demande d'autorisation bancaire).

L'un des objectifs initiaux des spécifications EMV était de permettre le déploiement de cartes « multi-applicatives », c'est-à-dire que plusieurs applications peuvent tenir sur une seule et même carte, par exemple :

• une application « débit » pour débiter le compte courant ;
• une application « crédit » pour débiter la réserve de crédit associée distincte du compte courant ;
• un porte-monnaie électronique (Moneo, etc.).

Le choix de l'application peut être effectué, soit de manière automatisée (c'est-à-dire sans intervention du porteur, en paramétrant l'application qui sera prioritaire), soit en demandant le choix au porteur (par exemple, « comptant » ou « crédit »).

Les spécifications EMV apportent une très nette amélioration de la sécurité pour les transactions par carte à puce par rapport aux transactions par piste magnétique, où la seule sécurité dans ce cas reste uniquement le contrôle de la signature du titulaire et une inspection visuelle de la carte (pour vérifier la présence de l'hologramme, la cohérence des numéros...). L'EMV permet l'utilisation d'un code PIN et des algorithmes cryptographiques tels que DES, Triple-DES, RSA et SHA afin de permettre à la carte et au terminal de s'authentifier mutuellement. Ces opérations cryptographiques prennent relativement peu de temps. Elles peuvent être complétées par une demande d'autorisation bancaire (systématique à l'étranger). Le renforcement de la protection contre la fraude a permis aux banques et émetteurs de cartes de crédit de « transférer les responsabilités » vers les commerçants. Ceux-ci sont maintenant responsables (depuis le 1^er janvier 2005 en Union Européenne) de toute fraude qui résulte de transactions sur les systèmes qui ne sont pas compatibles avec les spécifications EMV.

Bien que n'étant pas la seule méthode d'authentification possible, la majorité des implémentations de cartes et terminaux de paiement EMV exigent la saisie d'un code PIN (code confidentiel), au lieu ou en plus de la signature du reçu papier. À noter, l'obligation de saisie du code PIN dépend de la configuration de la carte et des terminaux. À l'étranger, il sera peut-être simplement demandé de signer. En France, pour les transactions supérieures à 1 500 €, les deux modes d'authentification sont obligatoires.

La spécification EMV s'appuie sur la norme ISO/IEC 7816 pour les échanges entre le lecteur et la carte. En particulier, la partie 3 de la norme définit les protocoles de transmission pouvant être utilisés pour les échanges entre le lecteur et la carte à puce en mode contact, tandis que la partie 4 définit le format des échanges au niveau applicatif, basé sur les APDU. Le lecteur est maître du dialogue: il émet les commandes auxquelles la puce répond après traitement.

L'EMV utilise les commandes suivantes (normalisées ou spécifiques):

• application block ;
• application unblock ;
• card block ;
• external authenticate (7816-4) ;
• generate application cryptogram ;
• get data (7816-4) ;
• get processing options ;
• internal authenticate (7816-4) ;
• PIN change / unblock ;
• read record (7816-4) ;
• select (7816-4) ;
• verify (7816-4).

Les commandes types « 7816-4 » sont définies par la norme ISO/IEC 7816-4. Ces commandes sont utilisées par différents types de cartes à puce comme les cartes SIM pour la téléphonie mobile.

Une transaction EMV s'effectue selon ces étapes :

• sélection de l'application EMV (CB, VISA...) ;
• initialisation de l'application ;
• lecture des données de l'application ;
• lecture des restrictions d'utilisation ;
• authentification des données hors ligne ;
• identification du porteur (Code confidentiel, Signature...) ;
• gestion du risque côté terminal ;
• analyse du risque et action terminal (Paiement accepté hors ligne, refusé hors ligne, Autorisation requise) ;
• première analyse du risque côté carte ;
• demande d'autorisation en ligne (le cas échéant) ;
• deuxième analyse du risque côté carte ;
• exécution du script final émetteur (mise à jour des paramètres carte, blocage...).

Un lecteur d'authentification CAP.

Depuis 2007, il est possible d'utiliser sa carte de type EMV afin de s'authentifier de manière forte. Le nouveau protocole CAP (Chip Authentication Protocol) permet de générer un One Time Password.