--- title: "\"Функционально-технические требования к платежным картам (криптомодуль, приложение)" number: "ФТ-56-3/34" issuer: "Центральный банк Российской Федерации" status: действует canonical: "https://bukva.ai/docs/trebovaniya-ft-56-334" --- ## "Функционально-технические требования к платежным картам (криптомодуль, приложение) # "Функционально-технические требования к платежным картам (криптомодуль, приложение) (утв. Банком России 28.02.2020 N ФТ-56-3/34) Утверждаю Заместитель Председателя Банка России **Д.Г.СКОБЕЛКИН** ##### 28.02.2020 N ФТ-56-3/34 Согласовано Первый заместитель руководителя Научно-технической службы ФСБ России **А.М.ИВАШКО** 24.01.2020 **ФУНКЦИОНАЛЬНО-ТЕХНИЧЕСКИЕ ТРЕБОВАНИЯ** **К ПЛАТЕЖНЫМ КАРТАМ (КРИПТОМОДУЛЬ, ПРИЛОЖЕНИЕ)** ## ТЕРМИНЫ, определения и сокращения В настоящих требованиях применяются следующие термины с соответствующими определениями. | Термин/Сокращение | Определение | | --- | --- | | ЗОС | Защищенный обмен сообщениями | | СКЗИ | Средство криптографической защиты информации | | HSM | Защищенное от несанкционированного внешнего воздействия аппаратное криптографическое устройство (Hardware Security Module), используемое для хранения ключа верхнего уровня (LMK - Local Master Key) и выполнения криптографических операций | ## 1. Общие положения ### 1.1. Введение Настоящие требования разработаны и утверждены в рамках мероприятий федерального [проекта](https://bukva.ai/docs/pasport-7#p100732) "Информационная безопасность" национальной программы "Цифровая экономика Российской Федерации": 05.02.002.017.003 - "Определение порядка разработки, ответственных за поддержание в актуальном состоянии, а также разработка и опубликование функционально-технических требований к техническим средствам и программному обеспечению, реализующим СКЗИ (включая функциональные и эксплуатационные требования): аппаратный модуль безопасности (HSM-модули); платежные устройства с терминальным ядром; платежные карты (криптомодуль, приложение); интернет-браузеры и стандартные операционные системы и т.д.". Настоящий документ определяет функционально-технические требования к техническим средствам и программному обеспечению, реализующим СКЗИ в платежных картах (криптомодуль, приложение). Проведение тестирования технических средств на соответствие требованиям, представленным в настоящем документе, осуществляется с привлечением Центра тестирования технических средств и программного обеспечения в соответствии с регламентом и методиками проведения тестирования <1>. --- <1> Регламент и методики проведения тестирования разрабатываются в рамках выполнения мероприятия 05.02.002.017.008 "Создание и обеспечение функционирования центра тестирования технических средств и программного обеспечения на соответствие функционально-техническим требованиям, включая разработку регламента и методики тестирования" [паспорта](https://bukva.ai/docs/pasport-9-pravitelstvo-rf-pravitelstvo-2#p100003) федерального проекта "Информационная безопасность" национальной [программы](https://bukva.ai/docs/pasport-7) "Цифровая экономика Российской Федерации", утвержденного президиумом Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности (протокол от 27 декабря 2018 N 6)/задача 1.22 "Обеспечение информационной безопасности, в том числе с использованием российских криптографических средств, в значимых платежных системах" [паспорта](https://bukva.ai/docs/pasport-9-pravitelstvo-rf-pravitelstvo-2#p100266) федерального проекта "Информационная безопасность" национальной [программы](https://bukva.ai/docs/pasport-7) "Цифровая экономика Российской Федерации", утвержденного президиумом Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности (протокол от 28 мая 2019 г. N 9, приложение 5 и приложение 8). Подтверждение соответствия требованиям настоящего документа не исключает подтверждение соответствия требованиям, устанавливаемым платежными системами, а также требованиям по информационной безопасности ФСБ России. ### 1.2. Классификация карт по реализуемой технологии 1.2.1. Карта с поддержкой технологии Java - интероперабельная карта, соответствующая стандарту Global Platform. 1.2.2. Карта с поддержкой native технологии - карта, реализующая проприетарную технологию производителя. 1.2.3. Карта с поддержкой технологии MultOS - карта, реализующая технологию MultOS. ### 1.3. Классификация карт по интерфейсу взаимодействия с терминалами ##### 1.3.1 Карта с поддержкой контактного интерфейса. ##### 1.3.2 Карта с поддержкой бесконтактного интерфейса. ##### 1.3.1 Карта с поддержкой дуального интерфейса. ### 1.4. Классификация карт по форм-фактору ##### 1.4.1 ISO 1 (классический формат). 1.4.2. Другие форматы (Sticker, Mini-tag, Micro-tag, Flexi-tag), поддерживающие платежный функционал. ## 2. Требования к чип-модулю Требования к картам с поддержкой контактного интерфейса описаны в ISO 7816/ГОСТ Р ИСО/МЭК 7816. - Часть 1 описывает физические параметры карт (в том числе требования к стойкости карт к излучениям и механическим нагрузкам). - Часть 2 описывает расположение и назначение контактов. - Часть 3 описывает электрические параметры интерфейса и некоторые принципы установления связи для карт с асинхронным интерфейсом. - Часть 4 описывает протокол обмена и механизм действия команд. По факту распространяется также на другие смарт-карты, совместимые с ISO 7816. - Части 5 - 15 являются фактически пояснениями и дополнениями к ISO 7816-3 и ISO 7816-4. - - Часть 5: Registration of application providers. Специфицирует процедуру регистрации в регулирующих органах идентификатора приложения (RID). - - Часть 6: Interindustry data elements for interchange. Специфицирует номера тэгов и формат записи для популярных типов данных: имен, дат, фотографий, биометрики и т.п. - - Часть 7: Interindustry commands for Structured Card Query Language (SCQL). - - Часть 8: Commands for security operations. Специфицирует формат команд для доступа к криптографическим процедурам и менеджменту криптоключей. - - Часть 9: Commands for card management. Специфицирует формат команд для доступа к файловой системе карты. - - Часть 10: Electronic signals and answer to reset for synchronous cards. Специфицирует назначение контактов и принципы установления связи для карт с синхронным интерфейсом. - - Часть 11: Personal verification through biometric methods. - - Часть 12: Cards with contacts - USB electrical interface and operating procedures. Специфицирует назначение контактов и принципы установления связи для карт с интерфейсом USB. В значительной степени пересекается со спецификацией USB CCID Device Class. - - Часть 13: Commands for application management in multi-application environment. - - Часть 15: Cryptographic information application. Требования к картам с поддержкой бесконтактного интерфейса описаны в ISO/IEC 14443/ГОСТ Р ИСО/МЭК 14443. - Часть 1 определяет физические нормативы карт и условия нормальной работы; - Часть 2 определяет радиочастотные параметры и методы модуляции; - Часть 3 определяет протокол инициализации обмена (в основном это процедура антиколлизии - разделения нескольких карт в поле считывателя); - Часть 4 определяет протокол обмена данными. ## 3. Функциональные требования ### 3.1. Подготовка карт у производителя Загрузка ключей домена безопасности Issuer Security Domain (ISD) для дальнейшего безопасного управления картой - Global Platform Card specification v.2.2.1 (п. 7 и приложение Е (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт" <2>. --- <2> В данный момент не поддерживается ни одним из производителей. Сроки разработки продуктов с поддержкой данного функционала должны прорабатываться и определяться отдельно. ### 3.2. Установка платежного приложения 3.2.1. Аутентификация с использованием ранее установленных на карту ключей домена безопасности Issuer Security Domain (ISD) или Supplementary Security Domain (SSD) с выработкой сессионных ключей для обеспечения защищенного обмена сообщениями (ЗОС) - Global Platform Card specification v.2.2.1 (п. 10 и приложение Е (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт" <2>. 3.2.2. Поддержка защищенного обмена сообщениями (ЗОС). Обработка защищенных сообщений от терминала и формирование ответных сообщений для обеспечения confidentiality and integrity - Global Platform Card specification v.2.2.1 (п. 10 и приложение E (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт" <2>. ##### 3.2.3 Загрузка приложения на карту через канал ЗОС <3> --- <3> Данная функциональность может отсутствовать в ОС или не использоваться в том случае, если приложение уже встроено в ОС чип-модуля. Это возможно в случае нативной реализации [(см. 1.3.2)](#p100028) или в случае предзагруженного байт-кода приложений для технологий JavaCard и MultOS ([см. 1.3.1](#p100027), [1.3.3](#p100029)). - Global Platform Card specification v.2.2.1 (п. 9.3) ##### 3.2.4 Установка приложения через канал ЗОС - Global Platform Card specification v.2.2.1 (п. 9.3) ### 3.3. Преперсонализация платежного приложения 3.3.1. Аутентификация с использованием ранее установленных на карту ключей домена безопасности Issuer Security Domain (ISD) или Supplementary Security Domain (SSD) с выработкой сессионных ключей для обеспечения защищенного обмена сообщениями (ЗОС) - Global Platform Card specification v.2.2.1 (п. 10 и приложение Е (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт". 3.3.2. Поддержка защищенного обмена сообщениями (ЗОС). Обработка защищенных сообщений от терминала и формирование ответных сообщений для обеспечения confidentiality and integrity - Global Platform Card specification v.2.2.1 (п. 10 и приложение E (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт". ##### 3.3.3 Загрузка ключей персонализации приложения (KENC, KMAC, KDEC) через канал - EMV CPS 1.1, п. 4.2 - Спецификации платежных систем. ### 3.4. Персонализация платежного приложения 3.4.1. Аутентификация с использованием ранее загруженных в приложение ключей персонализации (KENC, KMAC, KDEC) с выработкой сессионных ключей для обеспечения защищенного обмена сообщениями (ЗОС) - Global Platform Card specification v.2.2.1 (п. 10 и приложение Е (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт" - EMV CPS 1.1, п. 5. 3.4.2. Поддержка защищенного обмена сообщениями (ЗОС). Обработка защищенных сообщений от терминала и формирование ответных сообщений для обеспечения confidentiality and integrity - Global Platform Card specification v.2.2.1 (п. 10 и приложение E (SCP-02)) - Р 1323565.1.013-2017 "Информационная технология. Криптографическая защита информации. Использование алгоритмов блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт" - EMV CPS 1.1, п. 5. ##### 3.4.3 Персонализация платежного приложения - EMV CPS 1.1, п. 6 - Спецификации платежных систем. ### 3.5. Эксплуатация платежного приложения ##### 3.5.1 Обработка платежной транзакции - Группа стандартов EMV Integrated Circuit Card Specifications for Payment Systems, version 4.3 - Спецификации платежных систем. От Банка России Директор Департамента информационной безопасности **В.А.УВАРОВ** 22.01.2020 От ФСБ России **А.М.ШОЙТОВ** 21.01.2020 ---