EMV-siru murrettu

[Esko]

Maksukorttien EMV-sirun suojaus on ainakin tällä hetkellä ei-pitävä ja
siis käytännössä murrettu.

Cambridgen yliopiston tutkija Steven J. Murdoch on kehittänyt tähän
murtohomman demonstrointiin selkärepussa kulkevan laitteen. Sen avulla
mikä tahansa sirullinen EMV-kortti toimii kassalla, kun näppäilee
PIN-numeroksi minkä tahansa 4-numeroisen luvun.
http://www.cl.cam.ac.uk/~sjm217/papers/oakland10chipbroken.pdf

Murdoch sanoo testanneensa luvan kanssa tusinoittain kaveriensa
luottokortteja, ja tehnyt niillä ostoja. Kertaakan mikään pankki ei ole
huomannut hyökkäystä eikä ole ottanut yhteyttä kortinantajaan.

Tämä EMV:n murtojuttu nousi HS:ssä esille, kun suomalainen asiakas oli
kadottanut EMV-sirukorttinsa. Kortilla oli tehty lukuisia ostoja vaikka
PIN-koodi ei voinut olla löytäjän tiedossa.

Aikaisemmin Luottokunta väitti että tällainen osteleminen ei ole
mahdollista ilman PIN:in tietämistä.

Hesarissa Luottokunta jopa väitti että PIN-koodia ei ole lainkaan
talletettuna sirullisella kortilla, eikä sitä voi hakkeroida sieltä ulos.
Tämä väite kuulosti heti alkuun melkoiselta hätävalheelta. Sillä
EMV-korteissahan on edelleen 'varajärjestelmänä' perinteinen
magneettiraita. Ja magneettiraidalla on salakoodattuna myös kyseisen
kortin PIN-tunnus.

Tällä hetkellä Luottokunnan kanta EMV-suojauksen murtumiseen on että
"Asiaa selvitetään kansainvälisesti, ja myös Luottokunta on mukana."
-Esko

[Tapio Peltonen]

Post by Esko
Maksukorttien EMV-sirun suojaus on ainakin tällä hetkellä ei-pitävä ja
siis käytännössä murrettu.

Tämä siis ei ole aprillipila, mutta juttu on kyllä jo aika vanha.
Tuo väärinkäytös vaatii sellaista päätettä, johon asiakas itse syöttää
kortin, koska siinä käytetään dummy-korttia välissä, ja oikea kortti on
siis siinä murtotyökalussa kiinni, ja ko. purkki on johdolla kiinni
siinä dummy-kortissa.

Lisäksi tuo ei toimi esim. nostoautomaateissa tai itsepalvelupäätteissä.
Haavoittuvaisia ovat lähinnä kassajärjestelmiin integroidut asiakkaan
itse käyttämät maksupäätteet; tällaisia on esim. Alkossa.

Ongelmaan on yksinkertainen tekninen ratkaisu ja tämäntyyppiset
väärinkäytökset ovat helposti estettävissä varmistamalla, että kortin
antamat tiedot autentikointitavasta täsmäävät maksupäätteen antamiin.
Tämä vaatii vain pienen päivityksen maksupäätteen ohjelmistoon.

Koska alaa ei "valvo kukaan", ts. ei kukaan jolla ei olisi omia
intressejä pelissä, voi olla, että kestää vuosia, ennen kuin kaikki
päätteet on päivitetty.

[Akseli Mäki]

Post by Tapio Peltonen
Tämä siis ei ole aprillipila, mutta juttu on kyllä jo aika vanha.

Sitä minäkin epäilin, mutta tuo youtube video on ladattu jo helmikuussa.

Post by Tapio Peltonen
Tuo väärinkäytös vaatii sellaista päätettä, johon asiakas itse syöttää
kortin,

Ja näitähän meillä piisaa? Siis Lidl, VR, bensa-automaatit ovat kaikki
juuri tälläisia?

Post by Tapio Peltonen
Lisäksi tuo ei toimi esim. nostoautomaateissa tai itsepalvelupäätteissä.

Miksei?

Vähän outo juttu muuten kun näiden kaikkien isompien systeemien
tietoturvan kulmakivi on ollut vuodesta papu se, että systeemin
toimintaperiaatetta ei ole julkaistu. Siis kaikkien turvaominaisuuksien
perusratkaisu on security through obscurity. Aina vaan väitettään että on
viimeisen päälle miettitty ratkaisu joka on mahdoton murtaa, kunnes joku
murtaa sen :)

[Tapio Peltonen]

Post by Akseli Mäki

Post by Tapio Peltonen
Lisäksi tuo ei toimi esim. nostoautomaateissa tai itsepalvelupäätteissä.

Miksei?

Nyt kysyt väärältä henkilöltä, mutta näin totesivat nuo tutkijatkin,
jotka kehittivät tuon murtolaitteen. Luultavasti kyse on siitä, että
näissä vehkeissä, joissa pin-koodin kyselyä ei ole lainkaan mahdollista
ohittaa, standardi velvoittaa jonkin layerin tarkistamaan, että kortti
on oikeasti sanonut, että pin on oikein.

Tuo keskustelun aiheena oleva bugihan johtuu siitä, että maksupääte ei
kortilta pin-koodia varmentaessaan tarkista, että kortti sanoo, että on
käytetty juuri pin-varmennusta. Tuo murtolaite toimii kortin ja päätteen
välissä kertomassa kortille, että pin ohitetaan (ja käytetään
allekirjoitusvarmennusta) ja välittää kortin ok-vastauksen takaisin
päätteelle. Vastauksesta käy ilmi, ettei PINiä ole tarkistettu, mutta
standardissa olevan bugin vuoksi maksupäätteitä ei ole velvoitettu
tarkistamaan, että kortin vastauksessaan kertoma autentikointitapa
täsmää maksupäätteen omiin tietoihin. Ja tietenkään
maksupääteohjelmistojen valmistajat eivät toteuta standardin vaatimuksia
kuin juuri ja juuri.

Standardin moka on alkeellinen, ja kertoo aika paljon siitä, millä
tasolla maksuvälityksen tietoturvastandardit ylipäätään ovat.