Czipowe karty płatnicze - nie tak bezpieczne jak zakładano
Według naukowców z Uniwersytetu Cambridge, setki milionów kart płatniczych w Europie zawiera luki, które mogą umożliwiać przestępcom wykorzystanie skradzionych kart poprzez wprowadzenie losowego PIN potwierdzającego transakcję.
Banki europejskie uważają ten system za bardziej bezpieczny niż stosowane w Stanach Zjednoczonych karty bez mikroukładu, który ma chronić przed różnego rodzaju klonowaniem kart.
Naukowcy z Cambridge znaleźli jednak luki w skomplikowanym protokole EMV, które umożliwiają przeprowadzenie ataku typu man-in-the-middle. Pozwalają one oszukać terminal kasowy w taki sposób, iż uzna odbierany PIN za poprawny bez względu na to, jakie cyfry zostaną wprowadzone. Jest to sytuacja, w które karta zakłada, że transakcja została autoryzowana podpisem. W niektórych przypadkach terminal kasowy mający kłopoty z połączeniem z bankiem wydającym karty dopuszcza transakcję potwierdzaną podpisem.
Do przeprowadzenie ataku potrzebna jest specjalistyczna wiedza o systemie "chip-and-PIN" i dodatkowy osprzęt zewnętrzny. W programie pokazanym w ubiegłym tygodniu przez telewizję BBC zademonstrowano atak z wykorzystaniem kart debetowych i kredytowych znanych banków. Transakcja została autoryzowana po wprowadzenie niepoprawnego PIN (składającego się z samych zer).
Naukowcy z Cambridge już wcześniej bardzo krytycznie wypowiadali się o kartach czipowych, wskazując na wiele technicznych problemów z ich specyfikacją i krytykując brak przejrzystych zasad, według których je projektowano.
Twierdzą oni, że problemy związane są z faktem, iż banki dążą do utrzymania odpowiedzialności swoich klientów za straty wynikłe z transakcji, w których użyty był PIN nawet wtedy, jeżeli klient twierdzi, że nikt inny go nie znał.
Jak dotychczas banki odmawiają pokrycia strat ofiarom przestępstw, ponieważ sztywno zakładają, iż karta nie może być wykorzystana bez znajomości poprawnego PIN.
Na świecie używanych jest 730 milionów kart z mikroukładem, potwierdzanych PIN. Karty te stosowane są w większości krajów europejskich i zaczynają być wprowadzane w Kanadzie, a ich wprowadzenie dyskutowane jest także w Stanach Zjednoczonych.
Komentarze (3)
Jest takie ładne angielskie powiedzenie "defective by design", co po polsku oznacza że wystąpił błąd na etapie projektowania lub inaczej, że dana rzecz jest źle pomyślana. Opisana w artykule sytuacja jest na to dobrym przykładem. Terminal po wysłaniu określonego ciągu symboli spodziewa się odpowiedzi również w postaci pewnego z góry ustalonego symbolu. Wystarczy "zaczaić się" i w odpowiednim momencie wysłać mu ten symbol (może jeszcze trzeba go zakodować, wykorzystując do tego procesor na karcie) i jesteśmy uwierzytelnieni. Pierwszy błąd dostrzegam w tym, że terminal zawsze oczekuje tego samego symbolu (podobno 0x9000), a nie zakodowanej "odpowiedzi" chipa na "pytanie" zadane przez terminal. Drugi zaś w tym, że udało się spreparować kartę do nawiązania komunikacji z komputerem (dobrze pomyślana karta powinna ulec nieodwracalnemu uszkodzeniu przy próbie takiej manipulacji, zresztą konstrukcja terminala też może utrudniać włożenie karty "na kablu"). @Bubba: na następną gwiazdkę polecam Ci kupienie sobie globusa i zobaczenie w końcu gdzie jest Cambridge.
Jeśli chodzi o bezpieczeństwo polecam terminal REA Card - to jedyny terminal, który nie dał się oszukać w tym teście naukowców z Cambridge. -------------------- [[www.pay-card.pl]]
Naukowcy z cambridge, to wszystko wyjaśnia. Amerykański rynek jest duży i nie dziwota że chłopaki z Cambridge lobbują przeciw technologii z Europy.
- Kingston: Nowa linia dysków SSD
- 10 najważniejszych technologii w roku 2012
- Microsoft zapowiada nowy system plików - ReFS
- IPv6: internetowego końca świata w 2012 nie będzie
- Google obniża swój PageRank
- Praktyczne porady dla administratorów na 2012 rok
- Windows Intune 3.0 - szansa na perfekcyjne narzędzie?
- Narzędzia dla administratorów sieci
- Kontrowersyjne decyzje Oracle odnośnie Javy
- Testy penetracyjne pomogą w obronie przed cyberatakami
Polecane
Przełomowy rok... znowu
Lektura firmowych informacji prasowych i prognoz firm analitycznych nie pozostawia wątpliwości - każdego roku...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...