Вчені виявили недолік у системі безпеки деяких кредитних карток

Безконтактні банківські картки – це швидкий і зручний спосіб оплати постійних покупок. Щоб здійснити безконтактну комісію, важливо підключити картку до POS-машини.

Невеликі кількості можна заряджати швидко та просто до моменту, і гральні карти вважаються безпечними, оскільки для списання гігантських сум потрібен код безпеки.

Більшість цих транзакцій в основному базується на звичайному EMV, який стосується понад 9 мільярдів гральних карт у всьому світі. Хоча з тих пір він неодноразово переглядався, розширений алгоритм має низку вразливостей, якими можна скористатися.

З різними органами безпеки вже виявляють помилки у звичайних, вчених при ETH Цюріх тепер представили ще один, серйозна лазівка ​​безпеки.

Як попередній крок, Професор безпеки даних Девід Бесін співпрацював з Ральфом Сассе, старший науковий співробітник відділу ноутбуків, і Хорхе Торо Позо, постдок на зборах Басіна, розробити спеціально виготовлений манекен, щоб вони могли досліджувати центральні частини звичайного EMV. Вони виявили важливу діру в протоколі, який використовує фірма банківських карт Visa.

Ця вразливість дозволяє шахраям отримати кошти з гральних карт, які були втрачені або викрадені, хоча кількість нібито підтверджується введенням PIN-коду.

Ця вразливість дає змогу шахраям накопичувати речі з гральних карт, які були втрачені або вкрадені, незважаючи на те, що кількість потрібно акредитувати, ввівши PIN-код. Торо розміщує це принципово: «Відповідає всім очікуванням і функціям, PIN-код тут не діє».

Різні корпорації, аналогічно Mastercard, Американська специфіка, і JCB, не використовуйте ідентичний протокол Visa, тому на ці гральні карти не вплине безпечна лазівка. Тим не менш, недолік може стосуватися гральних карток, випущених Uncover і UnionPay, які використовують протокол, подібний до Visa.

Аналітики мали вибір продемонструвати, що можна скористатися перевагами вразливості в наступному, незалежно від того, що це справді непередбачуваний цикл. Спочатку вони розробили програмне забезпечення Android і розмістили його на двох стільникових телефонах із підтримкою NFC. Це дозволило 2 одиниць для перегляду даних з кредитна картка чіп і комерційна інформація з платними терміналами. Неочікувано, аналітикам не потрібно було обходити стороною будь-які особливі функції безпеки в робочій структурі Android, щоб розмістити в додатку.

Перший стільниковий телефон використовується для сканування дуже важливих даних із платіжної картки та передачі їх на другий мобільний телефон для отримання незатверджених коштів із сторонньої банківської картки. Потім цей мобільний телефон використовується для списання суми на касі, ідентичне різноманіття власників карток останнім часом. Оскільки заявник заявляє, що покупець є схваленою особою банківської картки, продавець не розуміє, що транзакція є шахрайською. Основна проблема полягає в тому, що програма перевершує систему безпеки картону. Хоча сума перевищує ліміт і вимагає підтвердження PIN-коду, код не вимагається.

Користуючись своїми банківськими картками на різних торгових точках, Дослідники змогли показати, що схема шахрайства працює.

Торо каже, «Обкрадання працює з дебетовими та банківськими картками, випущеними в кількох країнах у різних валютах».

Вчені вже попередили Visa про вразливість, в однаковий час, пропонуючи обрану відповідь.

Тур пояснює, «До протоколу потрібно внести три корективи, які потім можуть бути розміщені в платіжних терміналах з подальшою заміною програмного забезпечення. Це цілком можливо виконати з мінімальними зусиллями. Немає такого поняття, як бажання обмінюватися гральними картами, і всі налаштування підлаштовуються під стандарт EMV».

Довідка журналу:

1. Басін та ін. Звичайний EMV: Перерва, Ремонт, Підтвердити. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249