Znanstvenici su otkrili propust u sigurnosnom sustavu nekih kreditnih kartica

Beskontaktne bankovne kartice brza su i praktična opcija za plaćanje redovitih kupnji. Za beskontaktnu naplatu ključno je otvoriti karticu na POS uređaju.

Male količine mogu se brzo i jednostavno naplatiti do, a igraće se karte smatraju sigurnima jer je potreban sigurnosni kod za naplatu golemih iznosa.

Većina tih transakcija prvenstveno se temelji na uobičajenom EMV-u, koji se odnosi na preko 9 milijardi igraćih karata diljem svijeta. Iako je od tada revidiran nekoliko puta, napredni algoritam ima brojne ranjivosti koje se mogu iskoristiti.

S različitim sigurnosnim tijelima koja već otkrivaju pogreške u uobičajenom, znanstvenici na ETH Zürich sada su uveli daljnje, teška sigurnosna rupa.

Kao preliminarni korak, Profesor sigurnosti podataka David Basin surađivao je s Ralfom Sasseom, viši istraživač u Odsjeku za znanost o prijenosnim računalima, i Jorge Toro Pozo, postdoktorand u Basinovom skupu, dizajnirati namjenski izrađenu lutku kako bi mogli ispitati središnje dijelove EMV-a uobičajenog. Otkrili su vitalnu rupu u protokolu koji koristi tvrtka za bankovne kartice Visa.

Ova ranjivost omogućuje prevarantima da steknu sredstva od igraćih karata koje su izgubljene ili ukradene, iako se navodno količine potvrđuju unosom PIN koda.

Ova ranjivost omogućuje prevarantima da akumuliraju stvari s igraćih karata koje su izgubljene ili ukradene, bez obzira što se količine moraju akreditirati unosom PIN koda. Toro ga uglavnom postavlja: “Za sva očekivanja i funkcije, PIN kod je ovdje neučinkovit.”

Različite korporacije, sličan Mastercardu, Specifično za Amerikance, i JCB, nemojte koristiti identičan Visa protokol, tako da ove igraće karte neće biti pogođene sigurnosnim otvorom. Usprkos tome, nedostatak se može odnositi na igraće karte koje izdaju Uncover i UnionPay, koji koriste protokol sličan Visinom.

Analitičari su imali izbor pokazati da je zamislivo iskoristiti ranjivost u nastavku, bez obzira što je to istinski nepredvidiv ciklus. U početku su izradili Android softver i stavili ga na dva mobilna telefona s NFC-om. Ovo je omogućilo 2 jedinice za proučavanje podataka iz kreditna kartica chip i trgovačke informacije s naplatnim terminalima. Neočekivano, analitičari nisu morali zaobići nikakve posebne sigurnosne značajke unutar radnog okvira Androida da bi stavili u aplikaciju.

Prvi mobilni telefon koristi se za skeniranje vrlo važnih podataka s troškovne kartice i prijenos na drugi mobilni telefon za dobivanje neodobrenih sredstava s bankovne kartice treće strane. Sljedeći mobitel zatim se koristi za terećenje količine na blagajni, identična raznolikost vlasnika kartica u posljednje vrijeme. Budući da podnositelj zahtjeva izjavljuje da je kupac odobrena osoba za bankovnu karticu, prodavač ne shvaća da je transakcija lažna. Ključni problem je to što aplikacija nadmašuje sigurnosni sustav kartona. Iako je iznos veći od ograničenja i zahtijeva potvrdu PIN-a, ne traži se šifra.

Koristeći svoje bankovne kartice na različitim prodajnim mjestima, istraživači su bili u stanju pokazati da shema prijevare funkcionira.

Toro kaže, "Pljačka funkcionira s debitnim i bankovnim karticama izdanim u nekoliko zemalja u različitim valutama."

Znanstvenici su već upozorili Visu na ranjivost, u isto vrijeme predlažući odabrani odgovor.

obilazak objašnjava, “Potrebne su tri prilagodbe protokola, koji se zatim mogu staviti u naplatne terminale uz naknadnu zamjenu softverskog programa. Može se vrlo lako izvesti uz minimalan napor. Ne postoji takva stvar kao što je želja za razmjenom igraćih karata, a sve prilagodbe prilagođavaju se uobičajenom EMV-u.”

Referenca časopisa:

1. Basin i sur. Uobičajeni EMV: Pauza, Popravak, Potvrdi. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249