ARQC — Authorization Request Cryptogram

Определение

ARQC (Authorization Request Cryptogram) — криптографическое доказательство, сгенерированное EMV-чипом карты в процессе онлайн-авторизации. Доказывает эмитенту, что транзакция инициирована легитимной картой (защита от клонирования).

EMV Tag

Tag 9F26 (8 байт) в Field 55 ISO 8583.

Как формируется ARQC

Входные данные для ARQC:
  - Transaction Amount (9F02)
  - Transaction Currency (5F2A)
  - Transaction Date (9A)
  - Unpredictable Number (9F37) ← генерирует терминал, уникален для каждой транзакции
  - ATC (Application Transaction Counter, 9F36) ← счётчик транзакций на чипе
  - Terminal Verification Results (95)
  - IAD (Issuer Application Data, 9F10)

Алгоритм: 3DES или AES (зависит от карты)
Ключ: Application Session Key (производный от мастер-ключа карты)

Результат: ARQC (8 байт) → Tag 9F26

Жизненный цикл ARQC

1. ATM генерирует Unpredictable Number (9F37)
2. Чип карты получает данные транзакции от терминала
3. Чип вычисляет ARQC, инкрементирует ATC
4. ARQC → Field 55 ISO 8583 → Issuer HSM
5. Issuer HSM верифицирует ARQC (пересчитывает)
6. Issuer генерирует ARPC → возвращает в F55 ответа
7. ATM передаёт ARPC чипу → чип верифицирует эмитента

ARQC vs ARPC

Где используется

• ATM-Withdrawal-Sequence — ARQC в EMV APDU sequence
• ATM-ISO-8583 — Field 55 TLV теги
• ATM-OpenWay-WAY4 — Issuer Module: верификация ARQC
• TERM-emv · TERM-hsm

Источники

• EMVCo: EMV Contact Chip.