Lucka 12: Pinkod

ISO 9564 är en serie standarder som rör PIN-koders hantering och säkerhet. I över 50 år har koden varit en vedertagen metod för att verifiera användarens identitet vid en elektronisk penga­överföring, vanligtvis ett kontant­uttag i maskin eller ett köp med betal- och kreditkort. Standarden publicerades i sin ursprungs­version 1991 och har sedan dess reviderats åtskilliga gånger, senast 2017.

Alltsedan PIN-kodens tillkomst under 1960-talet och under näst­kommande decennier var den nära förknippad med kontant­uttag i maskin. Hela banksektorn genomgick en aldrig tidigare skådad teknisk utveckling under 1970-talet, inom både it och automatisk kontant­hantering. Som ett ovanligt tidigt exempel på denna utveckling såg uttags­automaterna dagens ljus redan 1967 och blev tidigt omfamnade i väst­världen. De första automaterna hanterade maskin­läsbara checkar och inte plastkort. Checkarna matchades med särskilda lösenkoder, genom vilka användaren verifierade sin identitet.

Under det tidiga 1970-talet utfärdades de första plastkorten med magnetremsor där information kunde lagras. Riktigt utbredda blev uttagsautomaterna i Sverige under slutet av decenniet, då landets storbanker genomförde rikstäckande installationer av Bankomater respektive Minuten-automater.

PIN-standarden syftar till att skydda koden från obehörig åtkomst under dess livscykel. Därigenom minimeras risken för bedrägerier, vilka förstås kan innebära kapitalförluster och olägenheter för både bankerna och deras kunder. I ursprungs­standarden från 1991 är hållningen pragmatisk då den fastslår att absolut säkerhet inte är praktiskt möjlig att uppnå. Standarden ska i stället på ett effektivt sätt minska möjligheterna till bedrägeri och säkerhets­brister, och om de ändå äger rum ska sannolikheten att de avslöjas vara hög.

Standarden medger att en PIN-kod tillkommer på tre olika sätt. Antingen genom att kunden väljer sin kod själv, genom slump­generering eller genom att den baseras på något annat nummer kopplat till kunden (till exempel ett bank­kontonummer) som sedan krypteras. Säkerheten måste förstås vara hög vid alla steg under PIN-koden livscykel – och stegen är många: tillkomst, utfärdande, aktivering, inmatning, överföring och validering. Den centrala delen under kodens livscykel är förstås att den hålls hemlig och inte sprids. Här ligger ett stort ansvar på användaren.

Läs också: 100 år av standarder – PIN-koden