💅🏽 🕹️ ⚖️ Offline-Transaktionen im öffentlichen Verkehr - Sicherheit und Betrugsbekämpfung 👨🏾‍🍳 ⭐️ 🔵

Und kein Tag ist vergangen, da ich einen neuen Artikel schreibe, der sich auch mit der NFC-Technologie befasst. Nämlich - Offline-Transaktionen im öffentlichen Verkehr, warum und was sind die Vor- und Nachteile für Passagiere und Transportunternehmen. Vor ungefähr fünf Jahren machten mehrere Skandale im Zusammenhang mit dem Hacken von Troika-Karten in Moskau ein Geräusch. Dann mussten die Hacker die Schlüssel für den Zugriff auf den Inhalt von Mifare 1K-Karten und dergleichen sowie eine ganz bestimmte Software für die Arbeit mit ihnen erhalten. Gleichzeitig war die Wahrscheinlichkeit, entdeckt zu werden, recht hoch - Karten mit inkonsistenten Inhalten und der Troika-Server wurden schnell an die Stoppliste gesendet, und beim Versuch, eine solche Karte durchzugehen, stieß das Drehkreuz einen durchdringenden Schrei aus, der Aufmerksamkeit erregte. Was änderte sich, als die Terminals Bankkarten unterstützten?

Bild

Dies ist genau das Bild, wenn die Bezahlung des Fahrpreises in einigen großen Städten beobachtet werden kann. Neue Terminals können sowohl mit alten Mifare-Karten als auch mit kontaktlosen EMV-Karten verwendet werden. Muss man sagen, dass trotz der ausgebrochenen Skandale die Schwachstellen des alten Mifare nicht verschwunden sind? In diesem Artikel werden wir jedoch auf die Sicherheitslücken eingehen, die die EMV-Unterstützung mit sich bringt.

Warnung für Ausgestoßene, Gauner und Hacker aller Art:

Die unten beschriebene Beschreibung ist rein informativ und informativ. Ich verstehe, dass diese Warnung aus subjektiven Gründen einige Leser nicht aufhalten wird, aber denken Sie immer noch daran - es gibt Artikel des Strafgesetzbuchs der Russischen Föderation Nr. 159 und Nr. 272!

Ein bisschen Theorie

EMV (Europay Mastercard Visa) - ein Standard, der das Verhalten eines Zahlungskarten-Chips in verschiedenen Szenarien beschreibt, um die höchstmögliche Zahlungssicherheit zu gewährleisten. Mehr dazu lesen Sie hier in einem angesehenen BeitragAlexgre. Wir sind nur daran interessiert, dass das Protokoll in einigen Fällen Offline-Transaktionen zulässt, dh den Vorgang, den die Karte und das Terminal ausschließlich untereinander ausführen, und dass Transaktionsinformationen später an die Acquirer-Bank übertragen werden. Der Vorteil dieses Ansatzes besteht zweifellos darin, dass diese Lösung ideal für Bedingungen ist, bei denen keine Verbindung besteht oder die Verbindung instabil ist - wie beispielsweise derselbe Bus. Das Minus ergibt sich aus dem Namen - das Terminal kann die Verfügbarkeit von Guthaben auf der Karte sowie den Status der Karte selbst nicht überprüfen. Die Bank kann nur während der Synchronisation Abschreibungen für eine bestimmte Transaktion bestätigen oder verweigern. Was passiert, wenn Sie dem Dirigenten eine leere oder blockierte Karte zeigen? Aber nichts wird passieren.Mit den grundlegenden APDU-Befehlen fragt das Terminal die Karte nach ihrem Ablaufdatum und vergleicht sie mit der Systemzeit. Wenn sie nicht abgelaufen ist, fragt sie die Karte nach ihrer PAN. Dies ist dieselbe Kartennummer, die darauf eingeprägt ist. Nachdem diese Daten nach Ermessen von TRM (Terminal Risk Management, Terminal Risk Management) gespeichert wurden, überträgt das Terminal eine Zufallszahl auf die Karte, hasht sie und signiert sie mit ihrem Schlüssel. Das Terminal speichert die ursprüngliche Nummer und die Kartenantwort, damit sie später an die Bank übertragen werden können. Nach dem Ausführen dieser Vorgänge sendet das Terminal einen Befehl zum Beenden der Verbindung zur Karte und beendet die Verbindung durch Drucken eines Scheck-Tickets. Später kann das Terminal kein Geld von dieser Karte abschreiben - die PAN-Karte wird an die Stoppliste gesendet -, bis die Schulden beglichen sind. Diese Karte wird in keinem Bus akzeptiert. Ein ideales System, nicht wahr? Es scheint, dass es Schwachstellen gibt,Am Ende zahlen keine Werbegeschenke für alles. Alles wäre gleich geblieben, wenn nicht ein großes "Aber" ... oder ein paar.

Apple/Samsung/Google Pay —

Am 9. September 2014 führte Apple eine neue kontaktlose Zahlungsmethode für die vorhandene Infrastruktur ein. Apple Pay hat sich auf Einfachheit, Geschwindigkeit und Datenschutz konzentriert. Die Einfachheit wurde durch die intuitive Benutzeroberfläche von Wallet bereitgestellt (und bietet), und die Privatsphäre wird durch Tokenisierung gewährleistet. Beim Hinzufügen einer Karte zu Wallet generiert ein Zahlungssystem (z. B. Mastercard oder Visa) einen Token. Der Token ist eine PAN - aber nicht die, die auf der hinzugefügten Karte ausgeknockt ist, sondern die Entsprechung im Zahlungssystem. Von nun an werden POS-Terminalanforderungen für diese virtuelle PAN vom Zahlungssystem so betrachtet, als wäre es eine physische Kartennummer. Bei diesem Ansatz wird selbst bei einem potenziell gefährdeten Terminal die tatsächliche Kartennummer nicht angezeigt. Der Token kann nur für Zahlungen an POS-Terminals verwendet werden. In anderen Fällen ist er unbrauchbar.Später begannen Samsung Pay und Google Pay (ehemals Android Pay) nach demselben Prinzip zu arbeiten.

Token in Offline-Transaktionen

Ja. Ein kontaktloses Gerät ist hier gleichbedeutend mit einer physischen Karte. Und im Falle eines Zahlungsfehlers setzt das Terminal am Bus die PAN pedantisch in die Stoppliste. Die Gerechtigkeit hat gesiegt! Nur ... PAN ist kurzlebig! Jedes Mal, wenn Sie einem mobilen Gerät eine Karte hinzufügen, ist das Token anders. Dementsprechend - wir fügen die Karte dem Gerät hinzu - sind wir von der Stoppliste verschwunden, ohne einen Cent zu zahlen. Bei Bedarf wiederholen. Um diesen Angriff zu reproduzieren, ist daher jedes Gerät geeignet, das kontaktloses Bezahlen ausführen kann. Das sind 90 Prozent aller Telefone mit NFC.

Wie man kämpft?

Offline - auf keinen Fall. Absolut. Es gibt keine Möglichkeit festzustellen, ob ein Token zu einem Konto gehört. Daher benötigen wir Terminals, die nur bei Bedarf offline gehen und so lange wie möglich online bleiben können. Ich verstehe, dass die Summe der Risiken gering ist, aber die Sicherheitsanfälligkeit so einfach zu bedienen ist, dass jeder davon profitieren kann. Sie können die Situation beheben - es gibt spezialisierte Prüfer für den öffentlichen Verkehr.

Art solcher.

, . .

Was sind die Ergebnisse?

Hastige Innovationen werden nicht immer sicher und zuverlässig sein. Wie beim Transportsystem wurden die alten Sicherheitslücken noch nicht behoben, aber sie haben bereits neue, leicht auszunutzbare Schwachstellen eingebracht. Und Krücken sind schlecht. Ich hoffe, dass meine kleine Forschung einigen Transportunternehmen helfen wird, ihre Prioritäten zu überdenken.