BBC - Bančne kartice so v zadnjem času dobile lične zlatorjave čipe, ki pri plačilu preko terminala POS zahtevajo vnos PIN-a za avtorizacijo plačila. Kot pravi Bruce Schneier, je že dlje časa znano, da gre bolj za prelaganje odgovornosti in ne za nobeno pravo varnost. Zdaj so to demonstrirali še raziskovalci z angleškega Cambridgea, ki od leta 2004 bdijo nad sistemom in odkrivajo pomanjkljivosti.
V članku Chip and PIN is broken so opisali (izjava za javnost, pogosto zastavljena vprašanja), kako lahko z napadom s posrednikom (man-in-the-middle attack) pretentamo sistem v avtorizacijo, ne da bi sploh vnesli PIN. Normalna transakcija poteka takole. Uporabnik vtipka PIN v terminal, ta preveri njegovo veljavnost na čipu pametne kartice, ki odgovori z da ali ne, nakar se ob pozitivnem odgovoru transakcije avtorizira. Za izvedbo napada s posrednikom ukradeno kartico povežejo s čipom, ki ga nadzoruje prenosni računalnik s posebej napisano programsko opremo. Vse skupaj je nato povezano z lažno kartico, ki se vstavi v čitalnik kartic. Ukradena kartica na drugem koncu ob nakupu dobi obvestilo, da nakup avtorizira podpisnik, čitalnik pa da je pritrdilni odgovor poslala ukradena in ne lažna kartica.
Raziskovalci pravijo, da so testirali vse kartice večjih britanskih bank in prav vse so bile ranljive. Problem je tudi dokazno breme, saj banke uporabnikom povzročene škode ne bi hotele povrniti, saj bi vsi zapisi kazali, da je bil vnesen pravilen PIN. Posnetek napada je bil prikazan tudi na BBC.
Tudi če na Petrolu vstaviš sam je kabel še vedno viden ... zadeva je kritična na raznih samopostrežnih zadevah, kjer ni nevarnosti da bi se kabel videl (če se že govori o Petrolu, potem recimo 24 urna pumpa kjer plačaš zunaj, ne pa na blagajni)
Pri pametnih karticah PIN vedno preverja čip na sami kartici. Kar pa so tu naredili narobe je to, da lahko kartica sporoča podatke tudi če ni prišlo do avtorizacije s PINom (ker lahko terminal zahteva avtorizacijo s podpisom, ki ga čip na kartici seveda ne more preverjati). Zakaj so v sistem vgradili takšno varnostno luknjo, verjetno vedo samo sestavljalci sistema.
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
Morda bi banke same upozorile uporabnike, naj ne uporabljajo njihovih elektroskih storitev, dokler ne zagotovijo višjega nivoja varnosti za svoje komitente...
Pri pametnih karticah PIN vedno preverja čip na sami kartici. Kar pa so tu naredili narobe je to, da lahko kartica sporoča podatke tudi če ni prišlo do avtorizacije s PINom (ker lahko terminal zahteva avtorizacijo s podpisom, ki ga čip na kartici seveda ne more preverjati). Zakaj so v sistem vgradili takšno varnostno luknjo, verjetno vedo samo sestavljalci sistema.
Kolikor sem prebral je tole nekaj takega kot tisti USB ključki, ki se jih odklene s točno določenim stringom. Tule zahtevo za avtorizacijo PIN prestreže software, da vedno vrne, tako kot pri ključkih, pozitiven odgovor.
Morda bi banke same upozorile uporabnike, naj ne uporabljajo njihovih elektroskih storitev, dokler ne zagotovijo višjega nivoja varnosti za svoje komitente...
Torej bi naslednjih 5 let bili brez plačevanja z bančnimi karticami?
Kolikor sem prebral je tole nekaj takega kot tisti USB ključki, ki se jih odklene s točno določenim stringom. Tule zahtevo za avtorizacijo PIN prestreže software, da vedno vrne, tako kot pri ključkih, pozitiven odgovor.
Res je, nekoliko spominja na tisto - čip na kartici bo vrnil podatke brez PIN avtorizacije, če terminal sporoči, da se transakcija avtorizira z (lastoročnim) podpisom.
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.
