ARPC

Summary

O ARPC (Authorization Response Cryptogram) é um criptograma de resposta gerado pelo banco emissor durante uma transação EMV, utilizando uma chave criptográfica secreta partilhada com o chip do cartão.

A finalidade do ARPC é permitir que o cartão verifique se a resposta recebida corresponde efetivamente a uma resposta criptográfica válida do banco emissor.

É utilizado como parte do processo de autenticação da resposta do emissor, ajudando a proteger a comunicação entre o banco e o cartão.

Como funciona o ARPC?

Imagina que fazes uma compra de 50 € com o teu cartão.

O processo ocorre da seguinte forma:

O chip do cartão gera um ARQC (Authorization Request Cryptogram).
O POS envia o ARQC e os dados da transação para o banco emissor, através da infraestrutura de pagamentos.
O banco emissor valida o ARQC, utilizando as chaves criptográficas correspondentes.
O banco decide aprovar ou rejeitar a transação.
O banco gera um ARPC, utilizando uma chave secreta e dados relacionados com a resposta.
O ARPC é enviado de volta ao cartão através do POS.
O chip verifica o ARPC para autenticar a resposta do emissor.

Que algoritmo é utilizado?

Tradicionalmente, o EMV utiliza o algoritmo 3DES (Triple DES) para gerar e verificar o ARPC.

Também existem implementações EMV que utilizam AES (Advanced Encryption Standard).

O ARPC é calculado através de um mecanismo criptográfico baseado numa chave secreta partilhada entre o cartão e o emissor.

Existem dois métodos tradicionais de geração do ARPC:

Método 1: utiliza o ARQC e um código de autorização do emissor (Authorization Response Code).
Método 2: utiliza uma função criptográfica baseada no ARQC e em dados adicionais da resposta do emissor.

Uma representação conceptual simplificada é:
$𝐴 𝑅 𝑃 𝐶 = 𝑀 𝐴 𝐶 𝐾 (𝐴 𝑅 𝑄 𝐶 ‖ 𝐷 𝑎 𝑑 𝑜 𝑠 𝑑 𝑎 𝑟 𝑒 𝑠 𝑝 𝑜 𝑠 𝑡 𝑎)$ Onde:

$𝐾$ = chave criptográfica secreta.
$𝐴 𝑅 𝑄 𝐶$ = criptograma enviado pelo cartão.
$𝐷 𝑎 𝑑 𝑜 𝑠 𝑑 𝑎 𝑟 𝑒 𝑠 𝑝 𝑜 𝑠 𝑡 𝑎$ = informação utilizada no método de geração do ARPC.
$𝑀 𝐴 𝐶$ = Message Authentication Code.

ARQC, ARPC, TC e AAC: quais as diferenças?

Criptograma	Significado	Função
ARQC	Authorization Request Cryptogram	Pedido criptográfico de autorização enviado pelo cartão.
ARPC	Authorization Response Cryptogram	Resposta criptográfica do emissor, verificável pelo cartão.
TC	Transaction Certificate	Indica aprovação offline pelo cartão.
AAC	Application Authentication Cryptogram	Indica que o cartão recusou a transação.

Warning

É importante não confundir o ARPC com uma aprovação financeira: o ARPC autentica criptograficamente a resposta do emissor, mas não significa, por si só, que a transação foi aprovada.