pawbrok
2010-02-18 17:21:06 UTC
Niedawno dowiedziałem się o spektakularnym doświadczeniu naukowców z
Cambridge, którzy za pomocą prostego sprzętu i oprogramowania pokonali
zabezpieczenie PINem i autoryzowali transakcje kartami bakowymi z chipem, do
których nie znali PINów.
W ten sam sposób zostały pokonane wszystkie testowane karty z największych
brytyjskich banków.
Trik polegał na tym, że oryginalne karty były wkładane do przejściówki
składającej się z typowego czytnika kart chipowych, laptopa z Linuksem oraz
podłączonej do niego imitacji karty, którą wsuwało się do oryginalnego
terminala kartowego. Przejściówka przekazywała całą wymianę iformacji
pomiędzy kartą, a terminalem, za jednym wyjątkiem. Podczas sprawdzania kodu
PIN, podawana była dowolna kombinacja 4 cyfr, a kiedy karta odpowiadała, że
PIN jest niezgodny, skrypt zainstalowany na laptopie odpowiadał systemowi
bankowemu, że jest OK. Transakcja przebiegała normalnie dalej, tak jakby
autoryzacja była prawidłową.
Jest to ewidentny dowód na to, że protokół EMV zastosowany w komunikacji
kart z chipem a bankiem (niezależnie od systemu - Visa, Mastercard) jest
wadliwy i posiada dyskwalifikujący go błąd. Tego błędu nie ma w przypadku
kart z paskiem magnetycznym, bo sprawdzenie PIN odbywa się na serwerze
banku.
I tu moje pytanie do osób znających się na tych protokołach i kwestiach
kryptograficznych używanych w podpisie elektronicznym.
Do podpisu elektronicznego a także autoryzacji operacji bankowych w
bakowości elektronicznej, używa się kart kryptograficznych z chipem
(smartcard), do których należy podać PIN. Czy protokół stosowany w takiej
autentykacji jest tak samo podatny na ominięcie PINu za pomocą ww. metody,
czy też jest bardziej wyrafinowany i nie pozwala na to?
Cambridge, którzy za pomocą prostego sprzętu i oprogramowania pokonali
zabezpieczenie PINem i autoryzowali transakcje kartami bakowymi z chipem, do
których nie znali PINów.
W ten sam sposób zostały pokonane wszystkie testowane karty z największych
brytyjskich banków.
Trik polegał na tym, że oryginalne karty były wkładane do przejściówki
składającej się z typowego czytnika kart chipowych, laptopa z Linuksem oraz
podłączonej do niego imitacji karty, którą wsuwało się do oryginalnego
terminala kartowego. Przejściówka przekazywała całą wymianę iformacji
pomiędzy kartą, a terminalem, za jednym wyjątkiem. Podczas sprawdzania kodu
PIN, podawana była dowolna kombinacja 4 cyfr, a kiedy karta odpowiadała, że
PIN jest niezgodny, skrypt zainstalowany na laptopie odpowiadał systemowi
bankowemu, że jest OK. Transakcja przebiegała normalnie dalej, tak jakby
autoryzacja była prawidłową.
Jest to ewidentny dowód na to, że protokół EMV zastosowany w komunikacji
kart z chipem a bankiem (niezależnie od systemu - Visa, Mastercard) jest
wadliwy i posiada dyskwalifikujący go błąd. Tego błędu nie ma w przypadku
kart z paskiem magnetycznym, bo sprawdzenie PIN odbywa się na serwerze
banku.
I tu moje pytanie do osób znających się na tych protokołach i kwestiach
kryptograficznych używanych w podpisie elektronicznym.
Do podpisu elektronicznego a także autoryzacji operacji bankowych w
bakowości elektronicznej, używa się kart kryptograficznych z chipem
(smartcard), do których należy podać PIN. Czy protokół stosowany w takiej
autentykacji jest tak samo podatny na ominięcie PINu za pomocą ww. metody,
czy też jest bardziej wyrafinowany i nie pozwala na to?