Para saintis menemui kecacatan dalam sistem keselamatan beberapa kad kredit

Kad bank tanpa sentuh ialah pilihan yang pantas dan berguna untuk membayar pembelian secara tetap. Ia penting untuk memasukkan kad anda pada mesin POS untuk membuat bayaran tanpa sentuh.

Kuantiti yang kecil boleh dicaj dengan pantas dan ringkas pada sehingga, dan kad permainan dianggap selamat kerana kod keselamatan diperlukan untuk mendebit jumlah gergasi.

Kebanyakan urus niaga tersebut adalah berdasarkan kebiasaan EMV, yang berlaku untuk lebih 9 bilion kad permainan di seluruh dunia. Walaupun ia telah disemak beberapa kali sejak itu, algoritma lanjutan mempunyai beberapa kelemahan yang mungkin dieksploitasi.

Dengan pihak berkuasa keselamatan yang berbeza sudah menemui kesilapan dalam kebiasaan, saintis di ETH Zurich kini telah memperkenalkan lebih lanjut, kelemahan keselamatan yang teruk.

Sebagai langkah awal, Profesor Keselamatan Data David Basin bekerjasama dengan Ralf Sasse, seorang penyelidik kanan dalam Bahagian Sains Komputer Riba, dan Jorge Toro Pozo, postdoc dalam perhimpunan Basin, untuk mereka bentuk peragawati yang dibina khas supaya mereka boleh memeriksa bahagian tengah EMV biasa. Mereka menemui lubang penting dalam protokol yang digunakan oleh firma kad bank Visa.

Kerentanan ini membolehkan penipu memperoleh dana daripada bermain kad yang telah tersasar atau dicuri, walaupun kuantiti tersebut didakwa akan disahkan dengan memasukkan kod PIN.

Kerentanan ini memberi kuasa kepada penipu untuk mengumpul harta daripada bermain kad yang telah disalah letak atau dicuri, tanpa mengira kuantiti itu perlu diakreditasi dengan memasukkan kod PIN. Toro meletakkannya terutamanya: “Untuk semua jangkaan dan fungsi, kod PIN tidak berkesan di sini.”

Syarikat yang berbeza, serupa dengan Mastercard, Khusus Amerika, dan JCB, jangan gunakan protokol Visa yang sama, jadi kad permainan ini tidak akan terjejas oleh kelemahan keselamatan. Namun begitu, kecacatan itu mungkin berlaku pada kad permainan yang dikeluarkan oleh Uncover dan UnionPay, yang menggunakan protokol sama seperti Visa.

Penganalisis mempunyai pilihan untuk menunjukkan bahawa ia boleh difikirkan untuk mengambil kesempatan daripada kelemahan yang diikuti, tanpa mengira bahawa ia adalah kitaran yang benar-benar tidak dapat diramalkan. Mereka pada mulanya membina perisian Android dan meletakkannya pada dua telefon bimbit yang didayakan NFC. Ini membenarkan 2 unit untuk meneliti data daripada kad kredit maklumat cip dan perdagangan dengan terminal bayaran. Tak sangka, penganalisis tidak perlu mengenepikan sebarang ciri keselamatan tertentu dalam rangka kerja Android untuk dimasukkan ke dalam apl.

Telefon selular pertama digunakan untuk mengimbas data yang sangat penting daripada kad kos dan memindahkannya ke telefon bimbit kedua untuk mendapatkan dana yang tidak diluluskan daripada kad bank pihak ketiga. Telefon bimbit berikut kemudiannya digunakan untuk mendebitkan kuantiti semasa pembayaran, kepelbagaian yang sama dilakukan oleh pemegang kad sejak akhir-akhir ini. Memandangkan pemohon mengisytiharkan bahawa pembeli adalah orang yang diluluskan oleh kad bank, penjual tidak menganggap bahawa transaksi itu adalah penipuan. Isu penting ialah apl itu mengatasi sistem keselamatan kadbod. Walaupun jumlahnya melebihi had dan memerlukan pengesahan PIN, tiada kod diminta.

Menggunakan kad bank mereka pada pelbagai faktor jualan, penyelidik telah mampu membentangkan bahawa skim penipuan berfungsi.

Toro berkata, “Penyelewengan berfungsi dengan kad debit dan bank yang dikeluarkan di beberapa negara dalam pelbagai mata wang.”

Para saintis telah pun memaklumkan Visa tentang kelemahan itu, pada masa yang sama mencadangkan jawapan yang dipilih.

Lawatan menerangkan, “Tiga pelarasan perlu dibuat pada protokol, yang kemudiannya mungkin dimasukkan ke dalam terminal bayaran dengan menggantikan program perisian seterusnya. Ia mungkin dilaksanakan dengan baik dengan usaha yang minimum. Tidak ada perkara seperti mahu menukar kad permainan, dan semua pelarasan disesuaikan dengan EMV biasa."

Rujukan Jurnal:

1. Lembangan et al. Adat EMV: Rehat, baiki, sahkan. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249