Chip og PIN: Teknologien er ikke lenger sikker

Transaksjonssystemer for chip og PIN-kode ble antatt å være sikre. Den eneste måten å omgå teknologien krevde et stjålet kort og kjenne PIN-koden. Det er ikke lenger tilfelle.

-------------------------------------------------- -------------------------------------------------- ----------

Jeg lærte først om Chip og PIN Security når jeg skrev et stykke om forfalskede kreditt- / debetkort. Poenget med artikkelen var å belyse hvordan nettkriminelle stjeler økonomisk informasjon og til slutt pengene våre. Jeg presenterte en teknologi som heter MagnePrint som en mulig løsning. Flere TechRepublic-medlemmer nevnte en annen teknologi som de mente bedre ble kalt chip og PIN .

Chip og PIN-sikkerhet

Chip- og PIN-systemer ble opprettet for å forhindre skimming. Å bytte ut magnetstrimmelen med en innebygd mikrochip eliminerer visstnok den muligheten. Faktisk anser mange chip- og PIN-sikkerhet som en sterk tofaktorautentisering. Slik ser et kort med en innebygd chip ut (høflighet av Wikipedia):

Flere medlemmer nevnte også at chip- og PIN-teknologi er utbredt i Europa, og hvorfor nettkriminelle er mer fokusert på å stjele kreditt- / debetkortinformasjon i USA. Denne artikkelen går langt nok til å si at bruk av Chip- og PIN-teknologi i USA er uunngåelig nettopp av den grunn.

Hvordan det fungerer

Kunder ser ikke stor forskjell når de bruker et sponert kort. Det fungerer slik:

  1. I kassetelleren plasserer en kunde kortet sitt i en Pin Entry Device (PED).
  2. PED får tilgang til brikken på kortet.
  3. Kortet blir deretter bekreftet av finansinstitusjonen som leverer kortet.
  4. Når kortet er bevist autentisk, oppgir kunden PIN-koden.
  5. PED-verifiserer at den angitte PIN-koden samsvarer med PIN-koden som er lagret på brikken.
  6. Hvis det er en kamp, ​​gjennomføres transaksjonen.

Så hva er problemet? Ganske enkelt er det kostnadene. Artikkelen nevner at:

"Kortutstedere siterer de enorme kostnadene ved utrulling av chip- og PIN-teknologi, anslått til å være rundt 5, 5 milliarder dollar, og de hviler trygge på kunnskapen om at det er handelsmennene i USA, og ikke kortutstedere, som er ansvarlige for økonomiske kostnader ved kredittkortsvindel. "

Ikke helt perfekt

Jeg har studert chip og PIN-teknologi i en stund nå. Det gjør det åpenbart vanskeligere å få tak i en persons økonomiske informasjon. Men det er ikke perfekt. Min første ledelse av dette kom fra å se BBCs nyhetsrapport Chip og PIN 'sikkerhetsrisiko'.

I utgangspunktet er PED-maskinvaren kompromittert, slik at kriminelle kan skaffe seg kortets økonomiske informasjon og PIN-kode digitalt. Uansett årsak var ikke transaksjonstrafikken til og fra PED kryptert. Fortsatt må PED fysisk endres for at dette angrepet skal fungere, noe som gjør det til en risikabel innsats.

Ny feil

Det samme forskerteamet fra University of Cambridge som avdekket feilen i PED-maskinvaren oppdaget nylig et nytt problem med chip- og PIN-teknologi. Professor Ross Anderson, et medlem av teamet påpeker alvoret:

"Vi tror dette er en av de største manglene vi har avdekket - som noen gang har blitt avdekket - mot betalingssystemer, og jeg har vært i denne bransjen i 25 år."

Susan Watts fra BBC, presenterte en dokumentar om forskningen som ble kalt Nye feil i brikke- og PIN-systemer avslørt. Utrolig nok kan en transaksjon gjennomføres uten å vite PIN-koden. For å forklare, la oss gå gjennom angrepsprosessen:

  1. Angriperen skaffer seg et stjålet kreditt- / debetkort.
  2. Deretter settes det stjålne kortet inn i angriperens kortleser som er koblet til en bærbar PC.
  3. Også koblet til den bærbare PCen er noe maskinvare som grensesnitt mot falske kort via en kabel.
  4. Kriminelen starter betalingsprosessen ved å sette falske kortet inn i butikkens PED.
  5. PED får tilgang til brikken for å bekrefte kortets ekthet.
  6. Deretter ber PED angriperen om PIN-koden via skjermbildet.
  7. Kriminelen oppgir 4 numre, det betyr ikke noe.
  8. Programvaren / maskinvaren som er utviklet av forskerne, narrer på en eller annen måte PED til å tro at riktig PIN-kode ble tastet inn og en signatur godkjente kjøpet.

Hvis du får en sjanse, kan du se videoen i dokumentaren. Det viser en simulert transaksjon, og forskerne fra Cambridge forklarer hvordan de oppnådde angrepet. Følgende illustrasjon og bilde viser utstyret som ble brukt til å implementere angrepet (med tillatelse av University of Cambridge forskerteam):

Hvis jeg forstår riktig, involverer PIN-utvekslingen bare kortets brikke og PED. Denne informasjonen ble utnyttet av forskerne for å skape et Man-in-the-Middle-angrep. Forskningsteamets papir Chip and PIN er ødelagt (pdf) omtaler:

"En mann-i-midten-enhet, som kan avskjære og endre kommunikasjonen mellom kort og terminal (PED), kan lure terminalen til å tro at PIN-bekreftelsen lyktes uten å faktisk sende PIN-koden til kortet.

En dummy-PIN-kode må legges inn, men angrepet gjør at enhver kan godtas. Kortet vil da tro at terminalen ikke støttet PIN-bekreftelse, og har verken hoppet over kortholderbekreftelse eller brukt en signatur i stedet. Fordi PIN-koden aldri sendes til kortet, endres ikke returtelleren for PIN-kode. "

Hva blir det neste

En av grunnene til at jeg har fulgt chip- og PIN-teknologi, er å se om og når den vil bli adoptert i USA. Jeg spurte professor Anderson om dette, og svaret hans var:

"Jeg skal snakke om EMV (chip og PIN-standard) på Federal Reserve Banks konferanse i New York 1. april. Jeg vil hevde at Fed bør insistere på at EMV-spesifikasjonen blir fikset før de tillater introduksjon i USA stater.

Selgerne er opptatt av å selge teknologien i USA, hvor markedet for kortbetalinger er milliarder verdt. Hvis resultatet er en mye forbedret EMV 5.0, vil den antagelig komme hit til Europa med tiden. "

Et annet bekymringsområde som jeg synes var interessant, er overgangskreditt / debetkort. Hvis brikken og PIN-systemet får trekkraft, vil ikke alle kjøpmenn ha riktig PED umiddelbart. I følge forskerlagets rapport åpner dette en annen angrepsvei.

Hvis brikken og PIN-kortet inkluderer en magnetstrimmel som en tilbakevendingsmetode for kjøp, kan kortet fremdeles klones, og informasjonen kan forbli gyldig når vedkommende skaffer seg det offisielle chip- og PIN-kortet.

Siste tanker

Jeg er ikke sikker på hvor jeg har lest dette, men det har mye "street cred":

"Hele hensikten bak sikkerheten er å gjøre det vanskeligere slik at tyvene vil gå et annet sted i tillegg til å eliminere amatører. Likevel uansett hva du utvikler, vil det være noen som kommer til å finne en vei rundt det."

Jeg vil takke professor Anderson for at han tok seg tid til å gjøre et sammensatt emne mindre.

Oppdatering : Et medlem var snill nok til å vise meg hvor jeg fant ovennevnte sitat. Her er lenken til Claes Bell-artikkelen. Jeg redigerte også innlegget, og endret PEN til riktig forkortelse PED, unnskyldninger.

Bekymret for sikkerhetsproblemer? Hvem er det ikke? Levert hver tirsdag gir TechRepublics IT-sikkerhetsnyhetsbrev deg praktiske råd du trenger for å låse systemene dine og sørge for at de holder seg slik.

© Copyright 2020 | mobilegn.com