ARQC
O ARQC é um código criptográfico único, gerado pelo chip do cartão através de uma chave secreta e dos dados da transação, que permite ao banco verificar a autenticidade e integridade da operação antes de a autorizar.
O ARQC (Authorization Request Cryptogram) é um Criptograma de autenticação gerado pelo chip de um cartão bancário durante uma transação EMV.
A sua finalidade é permitir que o banco emissor verifique se a transação foi realmente produzida por um cartão legítimo e se os dados da operação não foram alterados.
É um dos mecanismos criptográficos mais importantes do padrão EMV.
1. Como funciona o ARQC?
Imagina que fazes uma compra de 50 € com o teu cartão.
O chip do cartão gera um Criptograma utilizando:
- Uma chave criptográfica secreta (partilhada com o banco emissor).
- O valor da transação.
- A moeda da transação.
- O número imprevisível (Unpredictable Number) fornecido pelo terminal.
- Outros dados relevantes da transação.
2. Que algoritmo é utilizado?
Tradicionalmente, o EMV utiliza o algoritmo 3DES (Triple DES) para gerar o ARQC, através de um mecanismo MAC (Message Authentication Code).
Em implementações mais recentes, também existem mecanismos baseados em AES.
Um exemplo simplificado da operação é:
𝐾 𝑀 𝐴 𝐶 - Dados da transação = informação utilizada para gerar o criptograma.
Nota: esta fórmula é uma representação conceptual. A geração real do ARQC segue regras específicas do perfil EMV e do método de geração de criptogramas utilizado.
3. Porque é que o ARQC é importante?
O ARQC protege contra vários tipos de fraude:
| Ataque | Como o ARQC ajuda |
|---|---|
| Clonagem de cartão | Dificulta a criação de transações válidas sem a chave secreta |
| Replay attack | Os dados específicos de cada transação tornam difícil reutilizar um criptograma |
| Alteração do valor | O valor da transação participa no cálculo criptográfico |
| Falsificação | Permite ao banco verificar a autenticidade criptográfica |
4. ARQC, ARPC e TC: quais as diferenças?
No EMV existem três criptogramas importantes:
| Criptograma | Significado | Função |
|---|---|---|
| ARQC | Authorization Request Cryptogram | Pedido de autorização |
| ARPC | Authorization Response Cryptogram | Resposta criptográfica do emissor |
| TC | Transaction Certificate | Certificado de conclusão da transação |
Existe ainda o AAC (Application Authentication Cryptogram), associado à rejeição da transação pelo cartão.
5. Um detalhe importante de segurança
O ARQC não é uma cifra dos dados do cartão nem uma assinatura digital convencional.
É um código de autenticação criptográfica calculado com uma chave secreta, que permite ao banco verificar a autenticidade dos dados utilizados na transação.