Wtorek 17 października 2017 Wydanie nr 3522

Kradzież PIN-u z kart chipowych niestety możliwa

18.03.2011 / ebos/heiseonline Kradzież PIN-u z kart chipowych niestety możliwa  

Podczas odbywającej się w minionym tygodniu konferencji bezpieczeństwa CanSecWest czwórka ekspertów od zabezpieczeń zademonstrowała praktyczne możliwości zastosowania skimmingu wymierzonego w karty chipowe – i to zarówno w przypadku układów niechronionej klasy (SDA), jak też klasy DDA uchodzącej za bezpieczniejszą.
Karty elektroniczne (EC) i karty kredytowe wyposażone w układ w standardzie EMV mają utrudniać skimming, czyli przechwytywanie danych karty i numeru PIN.

Ataki skimmingowe w zasadzie nie są nowe i da się je przeprowadzać, używając między innymi specjalnych nakładek na klawiaturę. Jednak w prezentacji zatytułowanej "Credit Card skimming and PIN harvesting in an EMV world" czwórka badaczy opisuje, jak za pomocą płaskiej płytki obwodu umieszczonej w szczelinie na kartę można podsłuchać i zmanipulować komunikację między terminalem a chipem w celu uzyskania numeru PIN. Taka płytka jest znacznie mniej widoczna od doklejonej nakładki.

Sztuczka, którą zaprezentowali naukowcy Andrea Barisani i Daniele Bianco z firmy Inversepath oraz Adam Laurie i Zac Franken z Aperturelabs, polegała na zasygnalizowaniu terminalowi listy obsługiwanych przez kartę metod weryfikacji (CVM List), w przypadku której dopuszczalne jest także przekazanie w postaci tekstu jawnego (Plaintext PIN verification performed by ICC) PIN-u do karty w celu jego weryfikacji. Co prawda PIN jest przekazywany tylko w trybie offline terminala (w trybie online urządzenie przesyła PIN do sprawdzenia w centrali), jednak dzięki zmanipulowaniu komunikacji między kartą a terminalem ekspertom udało się wymusić weryfikację offline z transmisją w tekście jawnym. Dzięki płytce umieszczonej w szczelinie na kartę możliwe było też odczytanie sprawdzanego numeru PIN.

Jak się okazuje, nie ma przy tym znaczenia, czy karta zawiera tani chip pozbawiony własnej funkcji kryptograficznej (SDA), czy drogi i uchodzący obecnie za bezpieczny układ z mechanizmem DDA (Dynamic Data Authentication). Żeby jednak skorzystać z przechwyconego numeru PIN, skimmer musi albo ukraść kartę klientowi, albo dodatkowo odczytać pasek magnetyczny i stworzyć kopię karty. Ten ostatni scenariusz da się zrealizować jedynie w przypadku kart, które nie są chronione tak zwanym kodem iCVV, czyli zabezpieczeniem sygnalizującym wydawcy karty próbę nielegalnego użycia paska magnetycznego.

Daniele Bianco wyjaśnił: "Właściwy problem z EMV polega na tym, że przez pozorne zapewnienie bezpieczeństwa tej metody zrzuca się ciężar dowodowy na klienta. W razie czego można go posądzić o niedbałe obchodzenie się z numerem PIN". Zdaniem Bianco dotyczy to wszystkich instalacji EMV, a więc także tych stosowanych w Europie. "Problem tkwi w specyfikacji protokołu. Dlatego też niełatwo jest zamknąć tę lukę" – dodał.

O istnieniu opisanych problemów firmy i banki wiedzą właściwie już od przeszło pięciu lat. Wówczas naukowcy z Uniwersytetu Cambridge opisali atak skimmingowy wymierzony w karty SDA. Od tamtej pory niewiele się zmieniło. Przed około rokiem ci sami brytyjscy badacze pokazali sposób na rozpracowanie metody EMV w kartach elektronicznych i kredytowych, w efekcie czego akceptowały one dowolne numery PIN. Jednak tę manipulację dało się wykryć po fakcie.

Inne artykuły

Czy krycie suki psem, którego właściciel zapomniał zapłacić składki na ZKwP, jest wykroczeniem?

09.10.2017

Czy umowa na krycie suki psem, którego pani nie zapłaciła składek na ZKwP (Związek Kynologiczny w Polsce) jest ważna — no i czy taka sytuacja nie narusza ustawowego zakazu rozmnażania psów nierasowych? (wyrok Sądu Rejonowego w Wieluniu z 15 marca...

Gwizdanie zgodnie z duchem sportu

02.10.2017

Istotą bezstronnego rozstrzygania sporu jest równe traktowanie jego stron. Tę równość w założeniu ma zapewniać ścisłe uregulowanie procedury postępowania, czyli przepisów określających jak prowadzić należy postępowanie przed sądem. Dzięki...

"Małe" Księgi Wieczyste

10.10.2017

Pracy urzędników wieczy­stoksięgowych nie można porównywać z pracą pracowni­ków wydziałów procesowych. Zgodnie z przepisami pracownicy tylko Wydziału Ksiąg Wieczystych mogą sporządzać projekty wpisów w księgach wie­czystych, czyli zajmują się...

Jak pracować z więźniem - ojcem, żeby stał się tatą?

19.09.2017

Można zaryzykować twierdzenie, że z ponad 71 tys. mężczyzn przebywających w jednostkach penitencjarnych większość stanowią ojcowie. Czy są na tyle specyficzną grupą, że należy z nimi pracować w sposób szczególny? Zapytaliśmy o to mł. chor...

Bądź na bieżąco

Subskrybuj nasz newsletter, a będziesz na bieżąco z nowymi ogłoszeniami i komunikatami;
o spadkach, zasiedzeniach nieruchomości, depozytach sądowych, terminach rozpraw, wyrokach.

Podaj swój e-mail i otrzymuj najnowsze ogłoszenia bezpośrednio na swoją skrzynkę pocztową.

Przesyłając swój adres e-mail, zgadzam się na przetwarzanie przez Fundację ProPublika - KRS 0000595424 - podanych przeze mnie danych osobowych (e-mail) w celu otrzymywania zamówionego Newslettera.
Przyjmuję do wiadomości, że podanie danych jest dobrowolne oraz że przysługuje mi prawo dostępu do ich treści oraz ich poprawiania.