Koniec bezpečnosti Vašich platobných kariet? Hackeri objavili brutálnu chybu v bezdrôtovom protokole platobných terminálov!

thumbnail

Chcel by som upozorniť všetkých na veľmi závažnú bezpečnostnú chybu bezdrôtových platobných terminálov, ktoré sú hojne využívané v celej Európe, v reštauráciách, v hoteloch, na pobočkách mobilných operátorov a všade možne. Tím bezpečnostných analytikov z Berlína odhalil brutálnu chybu typu "fault-by-design" v komunikačnom bezdrôtovom protokole platobných terminálov bánk a platobných inštitúcií, s ktorými sa stretnete prakticky všade. Ochrana proti tomuto útoku spočíva jedine tak, že platobný terminál pripojí predajca alebo obchodník k svojej sieti klasickým sieťovým káblom a zakáže bezdrôtovú komunikáciu terminálu s platobným serverom, ale zariadenia sú podľa všetkého zraniteľné aj po internete, bez ohľadu na spôsob pripojenia terminálov k sieti, takže čo teraz? Platiť v hotovosti?

Video s českými titulkami ukazuje model útoku pre bežných užívateľov. Ako varovanie je to myslím dostatočný príklad. Samotná chyba a jej využitie útočníkom je vo videu zámerne urýchlená, aby televízia RT nemohla byť z niečoho obvinená. Hoci v minulosti existovalo mnoho typov útokov na platobné terminály, táto nová metóda je iná. Využíva chybu v komunikačnom dizajne samotného protokolu.

Exploit spočíva v podstrčení kryptografického kľúča pri zadávaní pinu do terminálu cez bezdrôtovú sieť, ktorou je terminál pripojený k platobnému serveru predajcu. Útočník čaká na okamih, keď obeť odošle PIN z klávesnice. PIN sa zakóduje kryptografickým kľúčom (protipodpisom) útočníka, namiesto podpisu legitímneho servera. Terminál si totiž nijako na úrovni protokolu neoveruje autoritu kľúča, pretože ani nemá ako. Po odoslaní PINu obete platba zlyhá, pravý server ju odmietne, lebo kryptografický kľúč nesúhlasí. Avšak útočník získa PIN a všetky údaje o karte v poriadku, pretože obeť zakryptovala informácie z terminálu práve kľúčom útočníka.

Táto brutálna chyba je typu "fault-by-design", teda je priamo súčasťou samotného návrhu protokolu platobných terminálov a jej náprava bude znamenať prepísanie celého protokolu a systému overovania podpisových autorít. Banky sa do zmeny protokolu nehrnú, pretože to nie je len tak. Každý nový protokol musí prejsť mnohými auditmi a skúškami a jeho zavedenie musí byť schválené na mnohých úrovniach.

Postihnuté sú menovite terminály ZVT a Poseidon, ale tiež Verifone, ktoré sú v Európe prakticky všade. Výskumníci zistili, že všetky terminály používajú jeden rovnaký master key, čo je niečo úplne neuveriteľného, ​​ako niečo také mohlo prejsť bezpečnostnými bankovými auditmi pred viac ako 15 rokmi. Každý terminál sa tak môže správať ako iný terminál. To je jednoducho neslýchané.

Odporúčam sa vyhnúť všetkým platobným terminálom, ktoré nie sú pripojené k pokladni drôtom. Ak Vám predajca dá do ruky platobný terminál a nevedie z neho žiadny kábel, ide o bezdrôtový terminál, ktorý je zraniteľný instantne, to znamená okamžite, a to niekým v okolí. Použite k platbe zásadne hotovosť v takomto prípade.

zdroj: aeronet.cz

Zdieľaj tento článok

Páči sa Vám Pán Občan?


Chceme MIER, pridaj sa >

Čo si o tom myslíte? komentujte :)