Wittenskippers ûntdutsen in flater yn it feiligenssysteem fan guon kredytkaarten

De kontaktleaze bankkaarten binne in rappe en handige opsje om foar oankeapen op reguliere basis te beteljen. It is essensjeel om jo kaart op in POS-masine te kraan om in kontaktleaze fergoeding te meitsjen.

Lytse hoemannichten meie wurde rekken brocht fluch en gewoan op de oant, en de playing kaarten wurde tocht fan feilich as gefolch fan in feiligens koade is nedich om debit reus sommen.

De measte fan dy transaksjes binne primêr basearre op de EMV gewoane, dy't jildt foar oer 9 miljard playing kaarten wrâldwiid. Hoewol it sûnt dy tiid in oantal kearen bewurke is, it avansearre algoritme hat in oantal kwetsberens dy't kinne wurde eksploitearre.

Mei ferskate feiligens autoriteiten al ûntdekke flaters yn 'e gewoane, wittenskippers by ETH Zurich hawwe no yntrodusearre in fierdere, swiere feiligens loophole.

As foarstap, Professor yn gegevensfeiligens David Basin wurke gear mei Ralf Sasse, in senior ûndersiker binnen de ôfdieling Laptop Science, en Jorge Toro Pozo, in postdoc yn 'e gearkomste fan Basin, om in doel-boude mannequin te ûntwerpen, sadat se de sintrale dielen fan 'e EMV-gewoane kinne ûndersykje. Se ûntdutsen in wichtich gat yn in protokol brûkt troch bankkaartbedriuw Visa.

Dizze kwetsberens kinne fraudeurs fûnsen krije fan spielkaarten dy't ferkeard pleatst of stellen binne, hoewol't de hoemannichten wurde beweard wurde falidearre troch it krijen yn in PIN-koade.

Dizze kwetsberens stelt fraudeurs yn steat om besittings te sammeljen fan spielkaarten dy't ferkeard pleatst of stellen binne, nettsjinsteande dat de hoemannichten moatte wurde akkreditearre troch te krijen yn in PIN-koade. Toro pleatst it prinsipieel: “Nei alle ferwachtings en funksjes, de PIN-koade is hjir net effektyf."

Ferskillende korporaasjes, fergelykber mei Mastercard, Amerikaanske spesifyk, en JCB, brûke net it identike Visa-protokol, sadat dizze playing kaarten sille net wurde beynfloede troch de feiligens loophole. Dochs, de flater kin jilde foar de playing kaarten útjûn troch Uncover en UnionPay, dy't in protokol brûke lykas dat fan Visa.

Analysten hiene de kar om te sjen dat it mooglik is om te profitearjen fan 'e kwetsberens yn' e folgjende, nettsjinsteande dat it in echt ûnfoarspelbere syklus is. Se konstruearre yn earste ynstânsje in Android-software en sette dêryn op twa NFC-ynskeakele mobyltsjes. Dit tastien de 2 ienheden te peruse gegevens út de kredytkaart chip en commerce ynformaasje mei fee terminals. Unferwachts, de analysts hoegden gjin bepaalde feiligensfunksjes te sidestean binnen it Android-wurkkader om de app yn te setten.

De earste mobyl tillefoan wurdt brûkt om de heul wichtige gegevens fan 'e kostenkaart te scannen en oer te bringen nei de twadde mobyl om net goedkarde fûnsen te krijen fan in bankkaart fan tredden. De folgjende mobyl wurdt dan brûkt om de kwantiteit op 'e kassa te debitearjen, de identike ferskaat oan cardholders dogge as let. As de oanfreger ferklearret dat de keaper de goedkarde persoan is fan 'e bankkaart, de ferkeaper fynt net dat de transaksje frauduleus is. It pivotale probleem is dat de app it feiligenssysteem fan it karton outmanoeuvreert. Hoewol't de som is oer de beheining en fereasket PIN befêstiging, gjin koade wurdt frege.

Gebrûk fan har bankkaarten by ferskate ferkeapfaktoaren, de ûndersikers wiene by steat om te presintearjen dat de fraude regeling wurket.

seit Toro, "De rip-off wurket mei debit- en bankkaarten útjûn yn ferskate lannen yn ferskate faluta."

Wittenskippers hawwe Visa al warskôge foar de kwetsberens, op 'e identike tiid foarstelle in selektearre antwurd.

Tour ferklearret, “Der moatte trije oanpassingen makke wurde oan it protokol, dy't dan yn 'e fergoedingsterminals kinne wurde pleatst mei it folgjende softwareprogramma ferfange. It kin hiel goed wurde útfierd mei minimale ynspanning. Der is gjin sa'n ding as in wolle wikseljen de playing cards, en alle oanpassingen passe oan 'e EMV-gewoane.

Journal Reference:

1. Basin et al. De EMV Customary: Brekke, Reparaasje, Befêstigje. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249