🚀 go-pugleaf

Niedawno dowiedziałem się o spektakularnym doświadczeniu naukowców z 
Cambridge, którzy za pomocą prostego sprzętu i oprogramowania pokonali 
zabezpieczenie PINem i autoryzowali transakcje kartami bakowymi z chipem, do 
których nie znali PINów.
W ten sam sposób zostały pokonane wszystkie testowane karty z największych 
brytyjskich banków.
Trik polegał na tym, że oryginalne karty były wkładane do przejściówki 
składającej się z typowego czytnika kart chipowych, laptopa z Linuksem oraz 
podłączonej do niego imitacji karty, którą wsuwało się do oryginalnego 
terminala kartowego. Przejściówka przekazywała całą wymianę iformacji 
pomiędzy kartą, a terminalem, za jednym wyjątkiem. Podczas sprawdzania kodu 
PIN, podawana była dowolna kombinacja 4 cyfr, a kiedy karta odpowiadała, że 
PIN jest niezgodny, skrypt zainstalowany na laptopie odpowiadał systemowi 
bankowemu, że jest OK. Transakcja przebiegała normalnie dalej, tak jakby 
autoryzacja była prawidłową.
Jest to ewidentny dowód na to, że protokół EMV zastosowany w komunikacji 
kart z chipem a bankiem (niezależnie od systemu - Visa, Mastercard) jest 
wadliwy i posiada dyskwalifikujący go błąd. Tego błędu nie ma w przypadku 
kart z paskiem magnetycznym, bo sprawdzenie PIN odbywa się na serwerze 
banku.

I tu moje pytanie do osób znających się na tych protokołach i kwestiach 
kryptograficznych używanych w podpisie elektronicznym.
Do podpisu elektronicznego a także autoryzacji operacji bankowych w 
bakowości elektronicznej, używa się kart kryptograficznych z chipem 
(smartcard), do których należy podać PIN. Czy protokół stosowany w takiej 
autentykacji jest tak samo podatny na ominięcie PINu za pomocą ww. metody, 
czy też jest bardziej wyrafinowany i nie pozwala na to?