მეცნიერებმა ზოგიერთი საკრედიტო ბარათის უსაფრთხოების სისტემაში ხარვეზი აღმოაჩინეს

უკონტაქტო საბანკო ბარათები არის სწრაფი და მოსახერხებელი ვარიანტი რეგულარული შესყიდვისთვის. უკონტაქტო გადასახადის გასაკეთებლად აუცილებელია თქვენი ბარათის ონკანი POS აპარატზე.

მცირე რაოდენობით შეიძლება დაიტენოს სწრაფად და მარტივად, და სათამაშო ბარათები ითვლება უსაფრთხოდ, რადგან უსაფრთხოების კოდია საჭირო გიგანტური თანხების დებეტში.

ამ ტრანზაქციების უმეტესობა ძირითადად დაფუძნებულია EMV ჩვეულებრივზე, რომელიც ეხება ზედ 9 მილიარდი სათამაშო კარტი მთელ მსოფლიოში. თუმცა მას შემდეგ ის არაერთხელ გადაიხედა, მოწინავე ალგორითმს აქვს მრავალი დაუცველობა, რომელთა გამოყენება შესაძლებელია.

უსაფრთხოების სხვადასხვა ორგანოები უკვე აღმოაჩენენ შეცდომებს ჩვეულებრივ, მეცნიერები ზე ETH ციურიხი ახლა გააცნეს შემდგომი, უსაფრთხოების სერიოზული ხარვეზი.

როგორც წინასწარი ნაბიჯი, მონაცემთა უსაფრთხოების პროფესორი დევიდ ბასინი თანამშრომლობდა რალფ სასესთან, ლეპტოპის მეცნიერების განყოფილების უფროსი მკვლევარი, და ხორხე ტორო პოზო, პოსტდოქტორი ბასინის შეკრებაში, შეიმუშავონ სპეციალურად შექმნილი მანეკენი, რათა მათ შეისწავლონ EMV-ის ცენტრალური ნაწილები. მათ აღმოაჩინეს სასიცოცხლო ხვრელი პროტოკოლში, რომელსაც საბანკო ბარათები ფირმა Visa-მ იყენებდა.

ეს დაუცველობა თაღლითებს საშუალებას აძლევს შეიძინონ თანხები სათამაშო ბარათებიდან, რომლებიც არასწორად იყო განთავსებული ან მოპარული., თუმცა რაოდენობები სავარაუდოდ დამოწმებულია PIN კოდის შეყვანით.

ეს დაუცველობა თაღლითებს აძლევს უფლებას დააგროვონ ნივთები სათამაშო ბარათებიდან, რომლებიც არასწორად არის განთავსებული ან მოპარული., მიუხედავად იმისა, რომ რაოდენობებს სჭირდება აკრედიტაცია PIN კოდის შეყვანით. ტორო მას ძირითადად ათავსებს: „ყველა მოლოდინსა და ფუნქციას, PIN კოდი აქ არაეფექტურია“.

სხვადასხვა კორპორაციები, Mastercard-ის მსგავსი, ამერიკული სპეციფიური, და JCB, არ გამოიყენოთ ვიზას იდენტური პროტოკოლი, ასე რომ, ამ სათამაშო კარტებზე გავლენას არ მოახდენს უსაფრთხოების ხარვეზი. მიუხედავად ამისა, ხარვეზი შეიძლება ეხებოდეს Uncover-ისა და UnionPay-ის მიერ გაცემულ სათამაშო ბარათებს, რომლებიც იყენებენ Visa-ს მსგავს პროტოკოლს.

ანალიტიკოსებს ჰქონდათ არჩევანი, ეჩვენებინათ, რომ წარმოუდგენელია ისარგებლოს შემდგომში დაუცველობით, მიუხედავად იმისა, რომ ეს ნამდვილად არაპროგნოზირებადი ციკლია. მათ თავდაპირველად შექმნეს Android პროგრამული უზრუნველყოფა და ჩასვეს ორ NFC-ზე მხარდაჭერილ მობილურ ტელეფონზე. ამან საშუალება მისცა 2 ერთეულები, რათა გამოიკვლიონ მონაცემები საკრედიტო ბარათი ჩიპი და კომერციული ინფორმაცია საფასური ტერმინალებით. მოულოდნელად, ანალიტიკოსებს არ მოუწიათ გვერდი აეცილებინათ რაიმე განსაკუთრებული უსაფრთხოების მახასიათებლებს Android-ის სამუშაო ჩარჩოში, რათა აპლიკაციაში ჩასვათ.

პირველი მობილური ტელეფონი გამოიყენება საფასურის ბარათიდან ძალიან მნიშვნელოვანი მონაცემების სკანირებისთვის და მეორე მობილურ ტელეფონზე გადასატანად, რათა მიიღოთ დაუმტკიცებელი თანხები მესამე მხარის საბანკო ბარათიდან.. შემდეგ მობილურ ტელეფონს იყენებენ სალაროზე არსებული თანხის დასარიცხად, ბარათის მფლობელთა იდენტური მრავალფეროვნება გვიან აკეთებს. როგორც განმცხადებელი აცხადებს, რომ მყიდველი არის საბანკო ბარათის დამტკიცებული პირი, გამყიდველი არ თვლის, რომ გარიგება არის თაღლითური. მთავარი საკითხია ის, რომ აპლიკაცია აჭარბებს მუყაოს უსაფრთხოების სისტემას. მიუხედავად იმისა, რომ თანხა აღემატება შეზღუდვას და საჭიროებს PIN-ის დადასტურებას, კოდი არ არის მოთხოვნილი.

მათი საბანკო ბარათების გამოყენება გაყიდვის სხვადასხვა ფაქტორებზე, მკვლევარებმა შეძლეს წარმოედგინათ, რომ თაღლითობის სქემა მუშაობს.

- ამბობს ტორო, „გადაღება მუშაობს რამდენიმე ქვეყანაში გაცემული სადებეტო და საბანკო ბარათებით სხვადასხვა ვალუტაში“.

მეცნიერებმა უკვე გააფრთხილეს Visa დაუცველობის შესახებ, ერთსა და იმავე დროს შესთავაზა შერჩეული პასუხი.

ტური განმარტავს, „პროტოკოლში სამი კორექტირებაა საჭირო, რომელიც შემდგომში შეიძლება განთავსდეს საფასურის ტერმინალებში შემდგომი პროგრამული უზრუნველყოფის პროგრამის ჩანაცვლებით. ის შეიძლება შესრულდეს მინიმალური ძალისხმევით. არ არსებობს სათამაშო ბარათების გაცვლის სურვილი, და ყველა კორექტირება მორგებულია EMV-ს ჩვეულებრივად.

ჟურნალის მითითება:

1. ბასინი და სხვ. EMV ჩვეულებრივი: შესვენება, შეკეთება, დაადასტურეთ. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249