Wird eine Postcard mit einem Postcard-fähigen EFT/POS-Terminal benutzt, versucht das Terminal in einem ersten Schritt die eingeführte Karte zu identifizieren. Dies geschieht durch Analyse des sogenannten ATR (Answer To Reset), den die Karte ausgibt, wenn sie vom Terminal "eingeschaltet" wird. Postcards antworten mit folgender Sequenz:
3F 65 35 10 02 04 6C 90 00 |
3B 65 00 00 02 04 6C 90 00 |
| Karten bis Sommer 2006 | Karten nach Sommer 2006 |
In einem nächsten Schritt muss das EFT/POS-Terminal die Echtheit der Karte prüfen; dieser Schritt wird Authentifizierung der Karte genannt.
Die Authentifikation der Postcard basiert auf einem vereinfachten Signatur-Verfahren mittels RSA-Verfahren: Dazu werden Klartextdaten der Karte (bestehend unter anderem aus der Kartennummer und dem Gültigkeitszeitraum) bei der Kartenerstellung mit dem privaten Schlüssel des Kartenausgebers (PostFinance) signiert und das erhaltene Chiffrat zusammen mit den Kartendaten im ROM-Bereich der Karte abgelegt.
Ein Kartenterminal liest nun beide Datenblöcke (Chiffrat, Kartendaten) und entschlüsselt das Chiffrat mit dem öffentlichen Schlüssel des Kartenausgebers; stimmen Kartendaten und entschlüsselte Daten überein, so ist die Authentizität der Karte nachgewiesen (vereinfachte Form der Signatur-Prüfung). Der öffentliche Schlüssel der PostFinance ist dabei im Terminal selbst gespeichert.
Das bedeutet im Umkehrschluss: Ist der geheime (private) Schlüssel des Kartenausgebers bekannt, lassen sich neue authentische Karten anfertigen, die im oben beschriebenen Verfahren von Kartenterminals als echt erkannt werden. Diese Karten müssen dabei nicht notwendigerweise einem realen Konto zugeordnet sein.
Im nächsten Kapitel werden wir sehen, welche Befehle die Postcard verwendet...