Sicherheitsproblem bei europäischen Zahlungskarten

Ein vor kurzem veröffentlicht Das technische Papier mit dem Titel „Chip and Pin ist kaputt“ der Sicherheitsforscher Steven Murdoch, Saar Drimer, Mike Bond und Ross Anderson enthüllt, wie Kriminelle gestohlene Zahlungskarten verwenden können, ohne dass der Pin bei den mittleren Angriffen eingesetzt wird.

Es spielt keine Rolle, ob die Karte direkt gestohlen oder kopiert wird, die Methode funktioniert in beide Richtungen. Die Veröffentlichung hebt ein ernstes Sicherheitsproblem hervor, da die Banken bisher behaupteten, die Sicherheit von Zahlungskarten sei vor solchen Handlungen geschützt.

Der Angriff ist im Kern sehr einfach. Es wird die Tatsache ausgenutzt, dass die Authentifizierungsverhandlung, die bestimmt, welche Authentifizierungsmethode verwendet wird, nicht verschlüsselt ist. Alles, was es tut, ist die Authentifizierungsmethode auf „Chip- und Signaturtransaktionen“ umzustellen, wodurch das Terminal die Chip- und Pin-Authentifizierung verwendet. Dies hat zur Folge, dass der Angreifer einen beliebigen vierstelligen Ping eingeben kann, um die Zahlung zu autorisieren.

Normalerweise sollte der vom Kunden eingegebene Pin vom Terminal überprüft werden. Die Transaktion wird nur autorisiert, wenn die PIN-Prüfung korrekt ist. Ist dies nicht der Fall, wird die Transaktion nicht autorisiert und eine neue Anforderung zur Eingabe der PIN gesendet.

Hier sind die Höhepunkte des Angriffs:

  • Der Angriff gilt sowohl für Karten, die online (wo der Händler-POS die Bank kontaktiert) als auch offline verwendet werden.
  • Der Angriff funktioniert unabhängig von der Menge des ausgegebenen Geldes (nicht nur für kleine Wertbeträge, die unter dem Mindestbetrag liegen).
  • Der Angriff funktioniert nicht, sobald eine Karte von der Bank storniert wurde – genau wie gestohlene Karten in der Vergangenheit – kann er nur für ein bestimmtes Zeitfenster verwendet werden, bis der Karteninhaber feststellt, dass die Karte nicht mehr vorhanden ist oder bemerkt nicht autorisierte Transaktionen.
  • Der Angriff funktioniert nicht an Geldautomaten.
  • Der Fehler gilt für Bankkartensysteme, die auf EMV basieren – dem am weitesten verbreiteten Standard für Smartcard-Zahlungen. Ältere nationale Smartcard-Systeme können anfällig sein oder auch nicht.

Das folgende Video ist ein Bericht der BBC über das Problem, der einige der Forschungsergebnisse zeigt, einschließlich der Art und Weise, wie Angriffe ausgeführt werden.

Laut den Forschern ist das für den Aufbau des Systems erforderliche Fachwissen nicht übermäßig hoch, und die dafür erforderlichen Geräte können problemlos erworben werden. Es scheint auch einfach zu sein, es zu verbergen, damit Händler es nicht erkennen können.

Weitere Informationen finden Sie im veröffentlichten Forschungsbericht.