Złamano mechanizm zabezpieczenia PIN-em kart płatniczych i kredytowych

I tu tkwi słabość systemu. Badacze zbudowali proste urządzenie, które pozwala przeprowadzić atak man-in-the-middle przeciwko układowi terminal-karta. W swojej demonstracji wykorzystali standardowy czytnik kart od Alcora, który podłączono do laptopa, na którym działało napisane w Pythonie oprogramowanie. Laptop został zaś podłączony przez port szeregowy do płytki FPGA (Spartan-3E Starter Kit). Płytkę FPGA podłączono do czipu Maxim 1740, który z kolei podłączono cienkimi przewodami do karty, wprowadzonej do terminala.

Zaraz jak tylko karta została włożona do czytnika, skrypt w Pythonie przekierował transakcję, zdławił komendę weryfikacji PIN wysłaną przez terminal i odesłał mu poprawny kod 0x9000.

Zdaniem ekspertów, przeprowadzenie takiego ataku jest możliwe dla praktycznie każdego, kto ma jakieś pojęcie o elektronice – nie wymaga to nadzwyczajnych umiejętności ze strony napastników. Z kolei rzecznik brytyjskiego Urzędu ds. Płatności Mark Bowerman, przyznał, że ustalenia badaczy z Cambridge są słuszne, jednak odżegnał się od wyciągniętych przez nich konkluzji. „Traktujemy informacje z tego artykułu bardzo poważnie, ponieważ niezwykle ważne jest utrzymanie odpowiedniego poziomu bezpieczeństwa kart – jednak odrzucamy pomówienie, jakoby złamane zostały zabezpieczenia kart czipowych” – wyjaśnił Bowerman.

Tymczasem eksperci obawiają się, że pokrzywdzeni będą przede wszystkim konsumenci: w transakcjach potwierdzonych PIN-em, banki odmawiają uznania reklamacji i obciążają konto klienta.

Z artykułem „Chip and PIN is Broken” można zapoznać się tutaj (plik PDF, 1,8 MB).

Źródło: ZDnet.co.uk