17 artigos com esta tag
PCI-DSS 4.0 para Engenheiros: Segurança Além da Conformidade
O PCI-DSS se lê como documento de conformidade, mas por baixo é um pequeno conjunto de decisões de engenharia que determinam se você vai passar a vida dentro ou fora do escopo de auditoria. Os requisitos que de fato mudam sua arquitetura — não guarde o que não precisa, tokenize, segmente, cifre em trânsito — e as jogadas de redução de escopo que tornam o resto problema de outra pessoa.
Certificando um Terminal: L1, L2, L3 e as Brand Test Tools
Embarcar um terminal de pagamento significa passar por três certificações distintas que a maioria dos engenheiros confunde. Um mapa do EMVCo Nível 1 (hardware), Nível 2 (kernel) e do Nível 3 conduzido pelas bandeiras (ponta a ponta), o que cada um realmente testa, a ordem em que acontecem, e por que as Brand Test Tools são onde projetos silenciosamente perdem meses.
O Protocolo ABECS de Pinpad: A Linguagem de Comandos do POS Brasileiro
Todo pagamento com cartão no Brasil passa por um pinpad falando o protocolo ABECS — uma máquina de estados de comando/resposta com seus próprios comandos de abertura, leitura de cartão, processamento de chip, captura de PIN e fechamento. Um guia estrutural de como a automação conversa com o dispositivo seguro, por que existe a divisão Input/Output, e onde o fluxo EMV que você conhece vive dentro dele.
Campo 55: A Ponte EMV Dentro do ISO 8583
O DE 55 é onde dois mundos se encontram: os objetos de dados BER-TLV do chip empacotados dentro de uma mensagem ISO 8583 dos anos 1980. Um guia sobre o que realmente vai no Campo 55 — o criptograma, o TVR, o ATC, o unpredictable number — por que cada bandeira exige um conjunto de tags diferente, e como depurar o campo onde as recusas de autorização são de fato decididas.
A CVM List (8E): Como um Cartão Escolhe PIN vs Assinatura vs Nada
A Cardholder Verification Method List é a cédula ordenada do cartão sobre como ele aceita provar que você é você — PIN offline, PIN online, assinatura, biometria no dispositivo ou nada — cada opção condicionada. Uma decodificação byte a byte da tag 8E, os limiares de valor X e Y, e o bit 'tente a próxima regra' que derruba as pessoas.
SDA, DDA, CDA: Como um Terminal Confia num Cartão Offline
Antes de uma transação com chip chegar ao emissor, o terminal pode verificar que o cartão é genuíno usando uma cadeia de chaves RSA que ele carrega. Um percurso pela Autenticação de Dados Offline — a cadeia de certificados CA-emissor-cartão, por que o SDA é clonável, como o DDA prova que o cartão detém uma chave privada, e como o CDA solda a autenticação ao criptograma.
DUKPT a Partir do Zero: Chaves Únicas Derivadas por Transação (TDES e AES)
O DUKPT resolve um problema brutal: um milhão de terminais em campo que precisam cifrar PINs, nenhum deles podendo compartilhar chave, e nenhum podendo ligar para casa pedindo outra. Um percurso pela Base Derivation Key, pela IPEK, pelo contador do Key Serial Number e pela derivação não reversível que dá a cada transação uma chave única e com sigilo futuro.
ISO 8583 Ainda Está em Todo Lugar: Parseando a Mensagem que Move os Trilhos
Toda autorização de cartão que vai online se torna uma mensagem ISO 8583 — um MTI de quatro dígitos, um ou dois bitmaps e um conjunto esparso de elementos de dados. Um percurso estrutural pelo MTI, pelo bitmap que diz quais campos estão presentes, pela regra de comprimento fixo-vs-variável e pelos DEs que um engenheiro Staff+ realmente encontra.
PIN Blocks Explicados: Formatos 0 a 4 da ISO 9564
Um PIN nunca viaja como quatro dígitos em claro. Ele é empacotado num PIN block — vinculado ao PAN, preenchido e cifrado — e o empacotamento exato é um de cinco formatos da ISO 9564. Um percurso byte a byte pelo Formato 0, por que ele faz XOR com o PAN, o que os Formatos 1 a 3 corrigem, e por que o Formato 4 existe para AES.
Trilha 2 e o Service Code: O Que a Tarja Magnética Ainda Conta ao Chip
Track 2 Equivalent Data (tag 57) é a tarja magnética morando dentro do chip — PAN, validade, service code e dados discricionários num campo compacto. Uma decodificação campo a campo, o service code de três dígitos que silenciosamente roteia e restringe toda transação, e por que Luhn é a validação mais barata que você provavelmente está pulando.
Contactless em 300ms: Kernels, o TTQ e a Aproximação
Uma aproximação tem um orçamento de latência que a inserção do chip nunca teve, e o EMV contactless o gasta de outro jeito: uma etapa de seleção de combinação via PPSE, seis kernels de bandeira (e o novo C-8 unificado) e os Terminal Transaction Qualifiers (tag 9F66) que dizem ao cartão como esta leitora quer ser paga. Um guia byte a byte do caminho rápido.
PIX, BR Code e o EMVCo MPM: o QR que o Brasil Inteiro Usa
O QR code que levou um país para pagamentos instantâneos é EMV disfarçado. Uma decodificação campo a campo de um BR Code PIX real — a estrutura EMVCo Merchant-Presented Mode, o CRC16, estático versus dinâmico — e por que a mesma disciplina TLV dos cartões com chip cabe num guardanapo.
ARQC a Partir do Zero: Criptogramas de Aplicação Sem Caixa-Preta
O Application Cryptogram é a pedra angular antifraude do EMV. Este é um percurso meticuloso por como um deles é construído — derivação da chave mestra a partir do PAN, derivação da chave de sessão a partir do ATC, o MAC ISO 9797-1 e a resposta ARPC — com a regra dura de que criptografia com chave roda no cliente e nunca toca uma chave de produção no servidor de outra pessoa.
O TVR, o TSI e Como um Terminal Decide te Recusar
O Terminal Verification Results (tag 95) e o Transaction Status Information (tag 9B) são os dois campos de bits que decidem se seu cartão é aprovado offline, enviado online ou recusado. Uma decodificação byte a byte mais a lógica AND exata — IAC e TAC contra o TVR — que produz o veredicto.
Lendo BER-TLV à Mão — e Por Que Você Não Deveria
BER-TLV é a gramática do EMV. Este é um guia meticuloso, byte a byte, para decodificar a resposta real de um cartão com chip — classes de tag, a regra de continuação 0x1F, comprimento curto vs longo, templates aninhados — e um argumento honesto para entregar isso a um decodificador determinístico em produção.
O Que Realmente Acontece Quando Você Insere um Chip: O Fluxo da Transação EMV de Ponta a Ponta
Um passo a passo nível Staff+ de uma única transação EMV com contato — SELECT, GPO, READ RECORD, autenticação de dados offline, verificação do portador, gerenciamento de risco e o criptograma — com os APDUs reais e as tags que carregam o estado.
Implementando EMV do Zero: Guia Completo para Terminais de Pagamento
Como implementar EMV (chip) do zero em terminais de pagamento. Guia técnico completo com código real usado em produção, baseado em 20 anos desenvolvendo...
Receba novos artigos
Cadastre-se para receber notificações sobre novos artigos direto no seu email
Não enviaremos spam. Você pode cancelar a inscrição a qualquer momento.