[論文レビュー] Analysis of Applicability of ISO 9564 PIN based Authentication to Closed-Loop Mobile Payment Systems

Amal Saha, Sugata Sanyal|arXiv (Cornell University)|Nov 11, 2014

Digital Media Forensic Detection参考文献 5被引用数 4

ひとこと要約

この論文は、オープンループカードシステムで一般的に使用されているISO 9564 PINベース認証の、クローズドループモバイル決済システムへの適用可能性を批判的に評価している。ISO 9564は強力な認証原則を提供しているが、脅威モデルやシステム制約の違いにより、モバイル環境への直接的適用は問題があると主張し、CCRAや同様の標準化機関を通じて、モバイルデバイスに依存しない保護プロファイルの整備を要請している。これにより、クローズドループモバイル決済の独自のセキュリティニーズが満たされる。

ABSTRACT

Payment transactions initiated through a mobile device are growing and security concerns must be ad-dressed. People coming from payment card industry often talk passionately about porting ISO 9564 PIN standard based authentication in open-loop card payment to closed-loop mobile financial transactions and certification of closed-loop payment product or solution against this standard. In reality, so far this standard has not been adopted in closed-loop mobile payment authentication and applicability of this ISO standard must be studied carefully before adoption. The authors do a critical analysis of the applicability of this ISO specification and makes categorical statement about relevance of compliance to closed-loop mobile payment. Security requirements for authentication in closed-loop mobile payment systems are not standardized through ISO 9564 standard, Common Criteria, etc. Since closed-loop mobile payment is a relatively new field, the authors make a case for Common Criteria Recognition Agreement (CCRA) or other standards organization to push for publication of a mobile device-agnostic Protection Profile or standard for it, incorporating the suggested authentication approaches.

研究の動機と目的

• ISO 9564のPINベース認証がクローズドループモバイル決済システムに適しているかどうかを評価すること。
• オープンループカードシステムとクローズドループモバイル環境との間のセキュリティ的・アーキテクチャ的不一致を特定すること。
• クローズドループモバイル決済システムにおける認証の標準化されたセキュリティ要件の欠如を浮き彫りにすること。
• CCRAなどの標準化機関を通じて、モバイルデバイスに依存しない保護プロファイルの開発を提唱すること。
• 強固でモバイル特有の認証アプローチを組み込んだ、特化した標準の作成を促進すること。

提案手法

• 従来の決済カード向けに設計されたISO 9564と、モバイルベースのクローズドループシステムの運用状況との間で比較分析を実施する。
• オープンループとクローズドループモバイル決済エコシステム間の脅威モデルの違いを評価する。
• モバイルデバイスの技術的・展開上の制約（例：入力方法の制限、信頼モデルの違い）を検討する。
• Common Criteriaなどの既存の基準をレビューし、それらがモバイル専用決済システムへの適用においてどのようなギャップを示しているかを特定する。
• 安全なPIN処理とデバイス固有の信頼メカニズムを統合した、新たなモバイルに依存しない保護プロファイルのフレームワークを提言する。
• 脅威モデリングと適合性分析を用いて、ISO 9564をモバイル環境に採用する際の実現可能性とリスクを評価する。

実験結果

リサーチクエスチョン

• RQ1 ISO 9564のPINベース認証は、クローズドループモバイル決済システムに効果的かつ安全に適用可能か？
• RQ2 オープンループカードシステムとクローズドループモバイル決済システムとの間で、認証設計に影響を与える主なアーキテクチャ的・脅威モデル的差異は何か？
• RQ3 業界の提言にもかかわらず、なぜISO 9564はクローズドループモバイル決済ソリューションに採用されていないのか？
• RQ4 現在の基準において、モバイル専用決済認証に欠けている重要なセキュリティ要件は何か？
• RQ5 CCRAなどの標準化機関は、クローズドループモバイル決済のための新たなモバイルに依存しないセキュリティ基準を定義するために、どのような役割を果たすべきか？

主な発見

• ISO 9564は、脅威モデルや展開環境の根本的な違いのため、クローズドループモバイル決済システムには直接適用できない。
• モバイル決済認証の標準化されたセキュリティ要件の欠如は、信頼性と適合性の大きなギャップを生じさせている。
• モバイルデバイスは、入力のセキュリティが制限され、動的な信頼境界を有するなど、ISO 9564が十分にカバーしていない独自の課題を引き起こす。
• 大規模な適合性と脅威モデリングを経てない限り、クローズドループモバイルソリューションをISO 9564基準で直接認証することは推奨されない。
• クローズドループモバイル決済における安全な認証を標準化するため、新たなモバイルデバイスに依存しない保護プロファイルの整備が強く求められている。
• 著者らは、CCRAなどの標準化機関が、長期的なセキュリティと相互運用性を確保するため、こうしたプロファイルの開発を優先すべきであると提言している。