Natuklasan ng mga siyentipiko ang isang depekto sa sistema ng seguridad ng ilang mga credit card

Ang mga contactless bank card ay isang mabilis at madaling gamitin na opsyon para bayaran sa regular na mga pagbili. Mahalagang i-tap ang iyong card sa isang POS machine para makagawa ng contactless fee.

Ang mga maliliit na dami ay maaaring masingil nang mabilis at simple sa hanggang, at ang mga baraha ay naisip na ligtas bilang isang resulta ng isang code ng kaligtasan ay kinakailangan upang mag-debit ng malalaking halaga.

Karamihan sa mga transaksyong iyon ay pangunahing nakabatay sa karaniwang EMV, na naaangkop sa over 9 bilyong baraha sa buong mundo. Kahit na ito ay binago ng ilang beses mula noon, ang advanced na algorithm ay may ilang mga kahinaan na maaaring pinagsamantalahan.

Sa iba't ibang mga awtoridad sa kaligtasan na nakatuklas ng mga error sa karaniwan, mga siyentipiko sa ETH Zurich ngayon ay nagpakilala ng higit pa, malubhang butas sa kaligtasan.

Bilang paunang hakbang, Ang Propesor ng Kaligtasan ng Data na si David Basin ay nakipagtulungan kay Ralf Sasse, isang senior researcher sa loob ng Division of Laptop Science, at Jorge Toro Pozo, isang postdoc sa pagtitipon ni Basin, upang magdisenyo ng isang mannequin na ginawa para sa layuning masuri nila ang mga gitnang bahagi ng karaniwang EMV. Natuklasan nila ang isang mahalagang butas sa isang protocol na ginamit ng bank card firm na Visa.

Ang kahinaang ito ay nagpapahintulot sa mga manloloko na makakuha ng mga pondo mula sa paglalaro ng mga baraha na nailagay sa ibang lugar o ninakaw, kahit na ang mga dami ay pinaghihinalaang mapatunayan sa pamamagitan ng pagpasok sa isang PIN code.

Ang kahinaang ito ay nagbibigay ng kapangyarihan sa mga manloloko na makaipon ng mga ari-arian mula sa paglalaro ng mga baraha na nailagay sa ibang lugar o ninakaw., hindi alintana na ang mga dami ay kailangang akreditado sa pamamagitan ng pagpasok sa isang PIN code. Pangunahing inilalagay ito ni Toro: "Sa lahat ng inaasahan at pag-andar, ang PIN code ay hindi epektibo dito.”

Iba't ibang korporasyon, katulad ng Mastercard, Tukoy sa Amerika, at JCB, huwag gumamit ng kaparehong Visa protocol, kaya ang mga playing card na ito ay hindi maaapektuhan ng safety loophole. Gayunpaman, maaaring malapat ang kapintasan sa mga playing card na inisyu ng Uncover at UnionPay, na gumagamit ng protocol na katulad ng sa Visa.

Ang mga analyst ay nagkaroon ng pagpipilian upang ipakita na ito ay naiisip na samantalahin ang kahinaan sa pagsunod, hindi alintana na ito ay isang tunay na hindi nahuhulaang cycle. Una silang gumawa ng Android software at inilagay ito sa dalawang cell phone na naka-enable ang NFC. Pinahintulutan nito ang 2 mga yunit upang bumasang mabuti ang data mula sa credit card impormasyon sa chip at commerce na may mga terminal ng bayad. Sa hindi inaasahan, hindi kinailangang talikuran ng mga analyst ang anumang partikular na feature sa kaligtasan sa loob ng gumaganang framework ng Android upang mailagay sa app.

Ang unang cellular phone ay ginagamit upang i-scan ang napakahalagang data mula sa cost card at ilipat ito sa pangalawang cellphone upang makakuha ng hindi naaprubahang pondo mula sa isang third-party na bank card. Ang sumusunod na cellphone ay pagkatapos ay ginagamit upang i-debit ang dami sa checkout, ang magkaparehong iba't ibang mga cardholder ay ginagawa nitong huli. Habang ipinapahayag ng nag-aaplay na ang mamimili ay naaprubahang tao ng bank card, hindi nakikita ng nagbebenta na ang transaksyon ay mapanlinlang. Ang pangunahing isyu ay na ang app ay nalampasan ang sistema ng kaligtasan ng karton. Bagama't ang kabuuan ay lampas sa paghihigpit at nangangailangan ng PIN affirmation, walang hinihiling na code.

Paggamit ng kanilang mga bank card sa iba't ibang mga kadahilanan ng pagbebenta, ang mga mananaliksik ay may kakayahang ipakita na ang pamamaraan ng pandaraya ay gumagana.

sabi ni Toro, "Gumagana ang rip-off sa mga debit at bank card na inisyu sa ilang bansa sa iba't ibang pera."

Inalerto na ng mga siyentipiko si Visa sa kahinaan, sa magkaparehong oras na nagmumungkahi ng napiling sagot.

Paglilibot nagpapaliwanag, "Tatlong pagsasaayos ang kailangang gawin sa protocol, na maaaring ilagay sa loob ng mga terminal ng bayad kasama ang kasunod na software program na palitan. Maaari itong maisagawa nang may kaunting pagsisikap. Walang ganoong bagay bilang gustong palitan ang mga baraha, at lahat ng pagsasaayos ay umaayon sa karaniwang EMV.”

Sanggunian sa Journal:

1. Basin et al. Ang EMV Customary: Break, Ayusin, Kumpirmahin. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249