Video: Jaha Tum Rahoge | Maheruh | Amit Dolawat & Drisha More | Altamash Faridi | Kalyan Bhardhan (September 2024)
För våra amerikanska läsare betyder att betala med kreditkort att svepa en magnetlist. Men för människor i stora delar av Europa och andra länder betyder det att sätta in ditt chipkort i en läsare och ange din PIN-kod. Denna så kallade chip- och PIN-lösning har länge utropats till att vara överlägsen den amerikanska svepen, och på de flesta sätt är den. Men det finns några allvarliga problem med hur systemet har implementerats.
Ross Anderson lade fram sitt lags historia av att undersöka chip- och PIN-kort på Black Hat i år. För ett system utformat för att vara svårare att fuska hade Anderson en överraskande mängd att säga.
En kavalkad av brister
En snabb uppdatering på chip och PIN: konsumenterna sätter in sina kort när de gör köp. De anger sedan sin PIN-kod, vilket bekräftas av kortet på enheten - när den fungerar, borde PIN-koden aldrig lämna läsaren. Kortet pratar sedan med banken för att godkänna transaktionen, och försäljningen sker. På papper låter det allt bra.
Anderson gick igenom flera unika sårbarheter som hittades av honom och hans team och andra som först observerades i naturen och sedan omvända av säkerhetsexperter.
Många attacker fokuserade på enheter som köpmännen använde för att genomföra transaktioner och bankomater. Hans team fann att flera enheter faktiskt inte gjordes enligt säkerhetsspecifikationerna som de hävdade följa. Med ett minimum av ansträngning sa han att de kunde koppla bort enheterna och extrahera PIN-koden under en försäljning.
Andra attacker handlade om att installera vad Anderson kallade "ond elektronik" på läsarna för att fånga transaktionsdata. I ett fall installerade svindlarna sina onda varor i kortläsare innan de till och med överlämnades till köpmän.
Men det fanns många andra attacker, som att bädda in electornics direkt på chip- och PIN-kort, ansluta kort till dolda enheter som tillät en tjuv att godkänna kortet med någon slumpmässig kod och till och med attacker som "spelade upp" transaktioner på olika platser.
Tekniskt överlägsen, praktiskt problematisk
Jag frågade Anderson om han, efter alla de brister som han hittade med chip och pin, fortfarande tyckte att det var överlägset att dra kort. Han var entydig: chip- och PIN-kort är tekniskt överlägsna helt enkelt för att det är mycket svårare att klona än svepa kort.
Det större problemet är hur chip och PIN-kod rullades ut i Europa. Anderson förklarade att för att få europeiska köpmän att byta ut lovade bankerna köpmän att de skulle vara ansvariga för bedrägliga avgifter. Med svepkort återförs en bedräglig avgift helt enkelt till handlaren. Anderson kallade detta "skiftande av ansvaret."
Låter som en bra plan men verkligheten var ganska grym. Anderson sa att offren för bedrägerier ofta skyllas av bankerna, som anklagade dem för att på något sätt avslöja sina PIN-koder. I andra fall ändrade bankerna helt enkelt sina åsikter och återförde avgifterna till köpmännen. I extrema fall avvisade banker och kreditkortsföretag att anmäla anklagelser mot kända bedragare, uppenbarligen av förlägenhet.
Ingen, verkade det, ville ta ansvar för chip- och PIN-bedrägeri. Anderson frågade, "om banken inte betalar för bedrägeriet, varför skulle de byta en tarm för att hålla det säkert?"
Anderson kritiserade också författarna till chip- och PIN-dokumentationen för att de inte hade en tydlig vision och att låta dokumentationen gå ur kontroll. Han kallade det en tragedi för allmänheten och noterade att ingen har gått framåt för att författare en uppdaterad version som faktiskt skulle kunna göra nödvändiga säkerhetsändringar i standarden.
Kommer till Amerika
Våra amerikanska läsare, som har innehåll med sina svepkort, undrar kanske varför det här skulle betyda dem alls. Det finns ett enkelt skäl: chip- och PIN-kort är redo att införas i detta land. Anderson sa att bankerna kommer att göra övergången 2015.
Saker kanske inte går så dåligt i detta land. För det första är det bara vissa banker som väljer chip- och PIN-system, medan andra banker rullar ut chip- och signaturkort. Denna autentiseringsplan har använts i Singapore och är utformad för att ge större konsumentskydd. Anderson noterade också att Federal Reserve: s roll i den amerikanska banken också erbjuder större konsumentskydd - förutsatt att den inte drastiskt eroderas inom en snar framtid.
Det var också en roll, sa han, att Black Hat-publiken kunde spela. "är inte ett enda protokoll; det är en stor, slumpmässig, hantverkande verktygssats för att bygga betalningsprotokoll, " sade han. "Du kan antingen komma med något som är riktigt säkert, eller något som är riktigt blodigt hemskt."
Vi hoppas att vi får den förra.
