🚀 go-pugleaf

On 2010-02-18, pawbrok <MójLogin@WywalOgonkipóćżtš.óńęt.pł> wrote:
> Niedawno dowiedziałem się o spektakularnym doświadczeniu naukowców z 
> Cambridge, którzy za pomocą prostego sprzętu i oprogramowania pokonali 
> zabezpieczenie PINem i autoryzowali transakcje kartami bakowymi z chipem, do 
> których nie znali PINów.
> W ten sam sposób zostały pokonane wszystkie testowane karty z największych 
> brytyjskich banków.
> Trik polegał na tym, że oryginalne karty były wkładane do przejściówki 
> składającej się z typowego czytnika kart chipowych, laptopa z Linuksem oraz 
> podłączonej do niego imitacji karty, którą wsuwało się do oryginalnego 
> terminala kartowego. Przejściówka przekazywała całą wymianę iformacji 
> pomiędzy kartą, a terminalem, za jednym wyjątkiem. Podczas sprawdzania kodu 
> PIN, podawana była dowolna kombinacja 4 cyfr, a kiedy karta odpowiadała, że 
> PIN jest niezgodny, skrypt zainstalowany na laptopie odpowiadał systemowi 
> bankowemu, że jest OK. Transakcja przebiegała normalnie dalej, tak jakby 
> autoryzacja była prawidłową.
> Jest to ewidentny dowód na to, że protokół EMV zastosowany w komunikacji 
> kart z chipem a bankiem (niezależnie od systemu - Visa, Mastercard) jest 
> wadliwy i posiada dyskwalifikujący go błąd. Tego błędu nie ma w przypadku 
> kart z paskiem magnetycznym, bo sprawdzenie PIN odbywa się na serwerze 
> banku.
>
> I tu moje pytanie do osób znających się na tych protokołach i kwestiach 
> kryptograficznych używanych w podpisie elektronicznym.
> Do podpisu elektronicznego a także autoryzacji operacji bankowych w 
> bakowości elektronicznej, używa się kart kryptograficznych z chipem 
> (smartcard), do których należy podać PIN. Czy protokół stosowany w takiej 
> autentykacji jest tak samo podatny na ominięcie PINu za pomocą ww. metody, 
> czy też jest bardziej wyrafinowany i nie pozwala na to? 

Tu na szczęście jest lepiej. OS karty nie da dostępu do danych, funkcji
itp bez zalogowania do karty. Trochę się tym bawiłem wiem, że działa.

-- 
Pozdrawiam,
Marek Marczykowski          |   gg:2873965      | RLU #390519
marmarek at staszic waw pl  | xmpp:marmarek at staszic waw pl
http://akademia.linuksa.pl - Szkolenia Linux, PHP, Java, Office