W trakcie konferencji kryptograficznej w Belgii, naukowcy z Uniwersytetu w Cambridge, poinformowali o swoich doświadczeniach związanych z systemami zabezpieczającymi nasze karty płatnicze. Chipy i Piny są używane przez większość banków europejskich oraz azjatyckich, są to rozwiązania zdecydowanie bardziej bezpieczne niż paski magnetyczne, nie oznacza to jednak wcale, że są to systemy idealne.Luka w protokole EMV, który określa zasady działania chip-u oraz transakcji z użyciem numeru PIN w bankomatach i punktach sprzedaży może umożliwić napastnikowi przeprowadzenie fikcyjnych transakcji.
Karty bankowe oparte tylko na paskach magnetycznych są jak powszechnie wiadomo wrażliwe na wszelkiego rodzaju formy klonowania i naukowcy już dawno wskazali słabe punkty tego systemu.
[yframe url='http://www.youtube.com/watch?v=szgwaYajKHA']
Relacja z innej konferencji poruszająca jednak tę samą kwestię.
Sprawa wygląda inaczej w przypadku EMV (m.in. Visa, MasterCard), ponieważ do finalizacji transakcji wymagany jest złożony proces uwierzytelniania. Jednakże, potwierdzanie autentyczności przeprowadzonej płatności opiera się na systemie generującym tzw.kody MAC w tym unikatowe losowe liczby całkowite tak, aby mieć pewność autentyczności przeprowadzanego procesu.
I właśnie cykl tworzenia tych losowych liczb wg. naukowców stanowi problem. Z założenia niemożliwe jest przewidzenie losowej liczy, jednak specjaliści wykryli, że cały finalny proces generujący liczby nie jest do końca taki losowy jak by się mogło na początku wydawać i wg. nich jest możliwy do przewidzenia. A to już stanowi furtkę do przeprowadzenia nieautoryzowanej transakcji bez wiedzy posiadacza karty. Jest to tzw. atak pre-play.
„Zastanawialiśmy się, czy w przypadku” losowych nieprzewidywalnych liczb generowanych przez bankomaty w celu potwierdzenia autentyczności transakcji, liczby te faktycznie są niemożliwe do przewidzenia i okazało się jednak, że system zawodzi. Dla osoby znającej dokładnie schemat działania takiego softu, możliwym staję się uzyskanie tymczasowego dostępu do karty, czyli mówiąc najprościej kradzieży naszych oszczędności.
Tymczasem jak przekonują naukowcy banki mogą poprostu nie uwierzyć klientowi, gdy ten sprawdzi stan swojego konta i przekonany, że został okradziony zadzwoni do swojej placówki. Z punktu widzenia systemu, do niczego złego nie doszło. Bank nie będzie widział różnicy pomiędzy legalną transakcja, a tą przeprowadzona bez naszej zgody. W takim przypadku należy przypomnieć osobą odpowiedzialnym za bezpieczeństwo naszej gotówki, że mogło dojść do ataku pre-play i warto byłoby sprawdzić dokładnie każdą transakcje krok po kroku. Może bowiem okazać się, że na godzinę przez użyciem karty przez nas ktoś użył tego samego plastiku – (z punktu widzenia systemu) na drugim końcu globu, co jest oczywiście nimożliwe i potwierdzi w pewien sposób fakt dokodania ataku na nasze konto.Otwierając drogę do reklamacji.
źródło.thehackernews.com