የሳይንስ ሊቃውንት በአንዳንድ የብድር ካርዶች ደህንነት ስርዓት ውስጥ ጉድለት አግኝተዋል

ንክኪ የሌላቸው የባንክ ካርዶች በመደበኛነት ግዢዎች ለመክፈል ፈጣን እና ምቹ አማራጭ ናቸው. ንክኪ የሌለው ክፍያ ለመፈጸም ካርድዎ በPOS ማሽን ላይ አስፈላጊ የውሃ ቧንቧ ነው።.

አነስተኛ መጠን በፍጥነት እና በቀላሉ እስከ ድረስ ሊሞሉ ይችላሉ።, እና የመጫወቻ ካርዶቹ ደህንነታቸው የተጠበቀ ነው ተብሎ ይታሰባል ምክንያቱም የደህንነት ኮድ ግዙፍ ድምርን ለማካካስ ያስፈልጋል.

አብዛኛዎቹ እነዚህ ግብይቶች በዋነኛነት በ EMV የተለመደ ቦታ ላይ የተመሰረቱ ናቸው።, በላይ የሚመለከተው 9 በዓለም ዙሪያ ቢሊዮን የመጫወቻ ካርዶች. ምንም እንኳን ከዚያን ጊዜ ጀምሮ ብዙ ጊዜ ተሻሽሏል, የላቀ ስልተ ቀመር ሊበዘብዙ የሚችሉ በርካታ ተጋላጭነቶች አሉት.

በተለያዩ የደህንነት ባለስልጣናት በተለመደው ጊዜ ስህተቶችን እያወቁ, ሳይንቲስቶች በ ETH ዙሪክ አሁን ተጨማሪ አስተዋውቀዋል, ከባድ የደህንነት ክፍተት.

እንደ ቅድመ ደረጃ, የመረጃ ደህንነት ፕሮፌሰር ዴቪድ ባሲን ከ Ralf Sasse ጋር ተባብረዋል።, በላፕቶፕ ሳይንስ ክፍል ውስጥ ከፍተኛ ተመራማሪ, እና ጆርጅ ቶሮ ፖዞ, የተፋሰስ ስብስብ ውስጥ አንድ postdoc, የኢኤምቪ የጋራ ቦታን ማእከላዊ ክፍሎች እንዲመረምሩ በዓላማ የተሰራ ማኒኩዊን ለመንደፍ. በባንክ ካርድ ድርጅት ቪዛ ጥቅም ላይ በዋለ ፕሮቶኮል ውስጥ ወሳኝ የሆነ ቀዳዳ አግኝተዋል.

ይህ ተጋላጭነት አጭበርባሪዎች በተሳሳተ ቦታ ከተቀመጡ ወይም ከተሰረቁ የመጫወቻ ካርዶች ገንዘብ እንዲያገኙ ያስችላቸዋል, ምንም እንኳን መጠኑ ወደ ፒን ኮድ በመግባት የተረጋገጡ ናቸው ተብሎ ቢታሰብም።.

ይህ ተጋላጭነት አጭበርባሪዎች በተሳሳተ ቦታ የተቀመጡ ወይም የተሰረቁ ንብረቶችን ከመጫወቻ ካርዶች እንዲያከማቹ ያስችላቸዋል, ምንም እንኳን መጠኑ ወደ ፒን ኮድ በመግባት እውቅና ማግኘት ቢያስፈልግም።. ቶሮ በዋነኛነት ያስቀምጣል።: "ለሁሉም የሚጠበቁ እና ተግባራት, የፒን ኮድ እዚህ አይሰራም።

የተለያዩ ኮርፖሬሽኖች, ከ Mastercard ጋር ተመሳሳይ, የአሜሪካ ልዩ, እና JCB, ተመሳሳይ የቪዛ ፕሮቶኮልን አይጠቀሙ, ስለዚህ እነዚህ የመጫወቻ ካርዶች በደህንነት ክፍተት አይነኩም. ቢሆንም, ጉድለቱ በ Uncover እና UnionPay በተሰጡት የመጫወቻ ካርዶች ላይ ሊተገበር ይችላል።, ልክ እንደ ቪዛ ፕሮቶኮልን የሚጠቀሙ.

ተንታኞች በሚከተለው የተጋላጭነት እድል መጠቀም እንደሚቻል ለማሳየት ምርጫ ነበራቸው።, ምንም እንኳን በእውነቱ የማይታወቅ ዑደት ቢሆንም. መጀመሪያ አንድሮይድ ሶፍትዌር ገንብተው በሁለት ኤንኤፍሲ የነቃላቸው የሞባይል ስልኮች ላይ አስገቡት።. ይህ ፈቅዷል 2 አሃዶች ከ ውሂብን ለመመርመር ክሬዲት ካርድ ቺፕ እና የንግድ መረጃ ከክፍያ ተርሚናሎች ጋር. ሳይታሰብ, ተንታኞቹ በመተግበሪያው ውስጥ ለማስቀመጥ በአንድሮይድ የስራ ማዕቀፍ ውስጥ ማንኛውንም ልዩ የደህንነት ባህሪያትን ወደ ጎን መተው አላስፈለጋቸውም.

የመጀመሪያው ሴሉላር ስልክ በጣም አስፈላጊ የሆኑትን መረጃዎች ከወጪ ካርዱ ለመቃኘት እና ወደ ሁለተኛው ሞባይል ስልክ በማስተላለፍ ከሶስተኛ ወገን የባንክ ካርድ ያልተፈቀደ ገንዘብ ለማግኘት ይጠቅማል።. የሚከተለው የሞባይል ስልክ በቼክ መውጫው ላይ ያለውን መጠን ለመቀነስ ይጠቅማል, ተመሳሳይ ዓይነት የካርድ ባለቤቶች እንደ ዘግይተው ይሠራሉ. አመልካቹ እንደገለፀው ሸማቹ የባንክ ካርዱ የተፈቀደለት ሰው ነው።, ሻጩ ግብይቱ የተጭበረበረ መሆኑን አይገነዘብም. ዋናው ጉዳይ መተግበሪያው የካርድቦርዱን የደህንነት ስርዓት ብልጫ ማግኘቱ ነው።. ምንም እንኳን ድምሩ ከገደቡ በላይ ቢሆንም እና የፒን ማረጋገጫ ያስፈልገዋል, ኮድ አይጠየቅም።.

የባንክ ካርዶቻቸውን በተለያዩ የሽያጭ ሁኔታዎች በመጠቀም, ተመራማሪዎቹ የማጭበርበሪያው እቅድ እንደሚሰራ ለማሳየት ችለዋል.

ቶሮ ይናገራል, "መበታተን በተለያዩ ሀገራት በሚሰጡ የዴቢት እና የባንክ ካርዶች ይሰራል።"

ሳይንቲስቶች ቪዛን ለተጋላጭነቱ አስቀድመው አስጠንቅቀዋል, በተመሳሳይ ጊዜ የተመረጠ መልስ በማቅረቡ.

ጉብኝት በማለት ይገልጻል, "በፕሮቶኮሉ ላይ ሶስት ማስተካከያዎች መደረግ አለባቸው, በሚቀጥለው የሶፍትዌር ፕሮግራም ምትክ በክፍያ ተርሚናሎች ውስጥ ሊቀመጥ ይችላል።. በትንሹ ጥረት በጥሩ ሁኔታ ሊተገበር ይችላል።. የመጫወቻ ካርዶቹን መለዋወጥ መፈለግ የመሰለ ነገር የለም, እና ሁሉም ማስተካከያዎች ከ EMV የተለመደ ቦታ ጋር ይጣጣማሉ።

ጆርናል ማጣቀሻ:

1. ተፋሰስ እና ሌሎች. የ EMV ብጁ: መስበር, መጠገን, አረጋግጥ. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249