Wissenschaftler haben einen Fehler im Sicherheitssystem einiger Kreditkarten entdeckt

Die kontaktlosen Bankkarten sind eine schnelle und praktische Möglichkeit, regelmäßige Einkäufe zu bezahlen. Um eine kontaktlose Zahlung zu tätigen, müssen Sie Ihre Karte unbedingt an einem POS-Automaten einlösen.

Kleinere Mengen können schnell und einfach an der Kasse abgerechnet werden, Und die Karten gelten als sicher, da zum Abbuchen großer Beträge ein Sicherheitscode erforderlich ist.

Die meisten dieser Transaktionen basieren hauptsächlich auf dem EMV-Standard, was für über gilt 9 Milliarden Spielkarten weltweit. Obwohl es seitdem mehrmals überarbeitet wurde, Der erweiterte Algorithmus weist eine Reihe von Schwachstellen auf, die ausgenutzt werden können.

Verschiedene Sicherheitsbehörden entdecken bereits Fehler im Alltag, Wissenschaftler bei ETH Zurich habe nun eine weitere vorgestellt, schwerwiegende Sicherheitslücke.

Als vorläufiger Schritt, David Basin, Professor für Datensicherheit, arbeitete mit Ralf Sasse zusammen, ein leitender Forscher in der Abteilung für Laptop-Wissenschaft, und Jorge Toro Pozo, ein Postdoc in Basins Treffen, ein speziell angefertigtes Modell zu entwerfen, damit sie die zentralen Teile des EMV-Alltags untersuchen können. Sie entdeckten eine erhebliche Lücke in einem Protokoll des Kreditkartenunternehmens Visa.

Diese Schwachstelle ermöglicht es Betrügern, Gelder aus verlorenen oder gestohlenen Spielkarten zu erbeuten, Allerdings sollen die Beträge durch Eingabe eines PIN-Codes validiert werden.

Diese Sicherheitslücke ermöglicht es Betrügern, Gegenstände aus verlorenen oder gestohlenen Spielkarten anzuhäufen, Allerdings müssen die Mengen durch Eingabe eines PIN-Codes akkreditiert werden. Toro platziert es grundsätzlich: „Entspricht allen Erwartungen und Funktionen, Der PIN-Code ist hier wirkungslos.“

Verschiedene Unternehmen, ähnlich wie Mastercard, Amerikanisch spezifisch, und JCB, Verwenden Sie nicht das gleiche Visa-Protokoll, Daher sind diese Spielkarten nicht von der Sicherheitslücke betroffen. Dennoch, Der Fehler betrifft möglicherweise die von Uncover und UnionPay ausgegebenen Spielkarten, die ein Protokoll verwenden, das dem von Visa ähnelt.

Analysten konnten zeigen, dass es möglich ist, die Sicherheitslücke auszunutzen, Auch wenn es sich um einen wirklich unvorhersehbaren Zyklus handelt. Sie entwickelten zunächst ein Android-Programm und installierten es auf zwei NFC-fähigen Mobiltelefonen. Dies ermöglichte die 2 Einheiten, um Daten aus dem zu lesen Kreditkarte Chip- und Handelsinformationen mit Gebührenterminals. Unerwartet, Die Analysten mussten keine besonderen Sicherheitsfunktionen im Android-Betriebssystem umgehen, um die App zu integrieren.

Das erste Mobiltelefon wird verwendet, um die wichtigen Daten von der Zahlungskarte zu scannen und an das zweite Mobiltelefon zu übertragen, um nicht genehmigte Beträge von einer Bankkarte eines Drittanbieters abzurufen. Über das folgende Mobiltelefon wird dann der Betrag an der Kasse abgebucht, Die gleiche Anzahl von Karteninhabern tun dies in letzter Zeit. Der Antrag erklärt, dass der Käufer die für die Kreditkarte zugelassene Person ist, Der Verkäufer erkennt nicht, dass die Transaktion betrügerisch ist. Das entscheidende Problem ist, dass die App das Sicherheitssystem des Kartons ausmanövriert. Allerdings liegt der Betrag über dem Limit und erfordert eine PIN-Bestätigung, Es wird kein Code angefordert.

Verwendung ihrer Bankkarten bei verschiedenen Verkaufsstellen, Die Forscher konnten nachweisen, dass das Betrugssystem funktioniert.

Sagt Toro, „Die Abzocke funktioniert mit Debit- und Bankkarten, die in mehreren Ländern in unterschiedlichen Währungen ausgestellt wurden.“

Wissenschaftler haben Visa bereits auf die Sicherheitslücke aufmerksam gemacht, gleichzeitig eine ausgewählte Antwort vorschlagen.

Tour erklärt, „Am Protokoll müssen drei Anpassungen vorgenommen werden, die dann beim anschließenden Software-Update in die Gebührenterminals eingegeben werden können. Es kann durchaus mit minimalem Aufwand durchgeführt werden. Es besteht kein Wunsch, die Spielkarten auszutauschen, und alle Anpassungen passen sich dem EMV-Alltag an.“

Zeitschriftenreferenz:

1. Basin et al. Der EMV-Übliche: Brechen, Reparieren, Bestätigen. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249