Skimming numerów PIN możliwy na kartach chipowych

Podczas odbywającej się w minionym tygodniu konferencji bezpieczeństwa CanSecWest czwórka ekspertów od zabezpieczeń zademonstrowała praktyczne możliwości zastosowania skimmingu wymierzonego w karty chipowe i to zarówno w przypadku układów niechronionej klasy (SDA), jak też klasy DDA uchodzącej za bezpieczniejszą. Karty elektroniczne (EC) i karty kredytowe wyposażone w układ w standardzie EMV mają utrudniać skimming, czyli przechwytywanie danych karty i numeru PIN.

Obraz

Ataki skimmingowe w zasadzie nie są nowe i da się je przeprowadzać, używając między innymi specjalnych nakładek na klawiaturę. Jednak w prezentacji zatytułowanej "Credit Card skimming and PIN harvesting in an EMV world" czwórka badaczy opisuje, jak za pomocą płaskiej płytki obwodu umieszczonej w szczelinie na kartę można podsłuchać i zmanipulować komunikację między terminalem a chipem w celu uzyskania numeru PIN. Taka płytka jest znacznie mniej widoczna od doklejonej nakładki.

Obraz

Sztuczka, którą zaprezentowali naukowcy Andrea Barisani i Daniele Bianco z firmy Inversepath oraz Adam Laurie i Zac Franken z Aperturelabs, polegała na zasygnalizowaniu terminalowi listy obsługiwanych przez kartę metod weryfikacji (CVM List), w przypadku której dopuszczalne jest także przekazanie w postaci tekstu jawnego (Plaintext PIN verification performed by ICC) PIN-u do karty w celu jego weryfikacji. Co prawda PIN jest przekazywany tylko w trybie offline terminala (w trybie online urządzenie przesyła PIN do sprawdzenia w centrali), jednak dzięki zmanipulowaniu komunikacji między kartą a terminalem ekspertom udało się wymusić weryfikację offline z transmisją w tekście jawnym. Dzięki płytce umieszczonej w szczelinie na kartę możliwe było też odczytanie sprawdzanego numeru PIN.

Jak się okazuje, nie ma przy tym znaczenia, czy karta zawiera tani chip pozbawiony własnej funkcji kryptograficznej (SDA), czy drogi i uchodzący obecnie za bezpieczny układ z mechanizmem DDA (Dynamic Data Authentication). Żeby jednak skorzystać z przechwyconego numeru PIN, skimmer musi albo ukraść kartę klientowi, albo dodatkowo odczytać pasek magnetyczny i stworzyć kopię karty. Ten ostatni scenariusz da się zrealizować jedynie w przypadku kart, które nie są chronione tak zwanym kodem iCVV, czyli zabezpieczeniem sygnalizującym wydawcy karty próbę nielegalnego użycia paska magnetycznego.

Daniele Bianco wyjaśnił: "Właściwy problem z EMV polega na tym, że przez pozorne zapewnienie bezpieczeństwa tej metody zrzuca się ciężar dowodowy na klienta. W razie czego można go posądzić o niedbałe obchodzenie się z numerem PIN". Zdaniem Bianco dotyczy to wszystkich instalacji EMV, a więc także tych stosowanych w Europie. "Problem tkwi w specyfikacji protokołu. Dlatego też niełatwo jest zamknąć tę lukę" –. dodał.

O istnieniu opisanych problemów firmy i banki wiedzą właściwie już od przeszło pięciu lat. Wówczas naukowcy z Uniwersytetu Cambridge opisali atak skimmingowy wymierzony w karty SDA. Od tamtej pory niewiele się zmieniło. Przed około rokiem ci sami brytyjscy badacze pokazali sposób na rozpracowanie metody EMV w kartach elektronicznych i kredytowych, w efekcie czego akceptowały one dowolne numery PIN. Jednak tę manipulację dało się wykryć po fakcie.

wydanie internetowe www.heise-online.pl

Wybrane dla Ciebie

Ukraińcy w siódmym niebie. Zachwalają broń z Polski
Ukraińcy w siódmym niebie. Zachwalają broń z Polski
NATO poprosiło Ukraińców o pomoc. Mieli  kluczowy sprzęt
NATO poprosiło Ukraińców o pomoc. Mieli kluczowy sprzęt
Trzy zielone komety widoczne na niebie. Jedna z nich będzie blisko Ziemi
Trzy zielone komety widoczne na niebie. Jedna z nich będzie blisko Ziemi
Rosja zbudowała własnego Starlinka na dronach. Ma poważne ograniczenia
Rosja zbudowała własnego Starlinka na dronach. Ma poważne ograniczenia
Rosja podwaja ceny eksportowanego uzbrojenia. Ujawniono dokumenty
Rosja podwaja ceny eksportowanego uzbrojenia. Ujawniono dokumenty
Wszechświat ma pamięć? Nowa teoria na to wskazuje
Wszechświat ma pamięć? Nowa teoria na to wskazuje
Dezinformacja na TikToku. Ekoinfluencerzy wprowadzają w błąd
Dezinformacja na TikToku. Ekoinfluencerzy wprowadzają w błąd
Nowe badania. Psy rozumieją słowa podobnie jak dzieci
Nowe badania. Psy rozumieją słowa podobnie jak dzieci
Nowy raport. Fale upałów i wzrost poziomu mórz
Nowy raport. Fale upałów i wzrost poziomu mórz
Postawili F-35 w stan gotowości. Będą pomagać w ochronie Polski
Postawili F-35 w stan gotowości. Będą pomagać w ochronie Polski
Rośnie w polskich lasach. Rekordzista to największy organizm świata
Rośnie w polskich lasach. Rekordzista to największy organizm świata
Szukali jej od dawna. Odkryli dopiero teraz
Szukali jej od dawna. Odkryli dopiero teraz