📝 ✍🏻 ◻️ Transaksi offline dalam transportasi umum - keamanan dan anti-penipuan 👨🏻 🏌️ 👩🏽‍🍳

Dan tidak satu hari pun berlalu, karena saya menulis artikel baru, yang juga terkait dengan teknologi NFC. Yaitu - transaksi offline di angkutan umum, mengapa dan apa pro dan kontra untuk penumpang dan operator yang dibawanya. Sekitar lima tahun yang lalu, beberapa skandal yang terkait dengan peretasan kartu Troika di Moskow membuat keributan. Kemudian para peretas perlu mendapatkan kunci untuk mengakses konten kartu Mifare 1K dan sejenisnya, serta perangkat lunak yang cukup spesifik untuk bekerja dengannya. Pada saat yang sama, kemungkinan terdeteksi cukup tinggi - kartu dengan ketidakkonsistenan dalam konten dan server Troika dengan cepat dikirim ke daftar berhenti, dan ketika mencoba membaca kartu semacam itu, pintu putar mengeluarkan jeritan menusuk, menarik perhatian. Apa yang berubah ketika terminal mulai mendukung kartu bank?

gambar

Ini persis seperti gambaran ketika membayar ongkos dapat diamati di beberapa kota besar. Terminal baru dapat berfungsi baik dengan kartu Mifare lama dan dengan kartu EMV tanpa kontak. Apakah perlu untuk mengatakan bahwa meskipun skandal yang telah meletus, kerentanan Mifare lama belum hilang? Tetapi dalam artikel ini, kita akan berbicara tentang kerentanan yang dibawa oleh dukungan EMV.

Peringatan untuk orang buangan, penjahat dan peretas dari semua garis:

Dijelaskan di bawah ini murni bersifat informatif dan informatif. Saya mengerti bahwa untuk beberapa alasan subjektif peringatan ini tidak akan menghentikan beberapa pembaca, tetapi masih ingat - ada artikel dari KUHP Federasi Rusia No. 159 dan No. 272!

Sedikit teori

EMV (Europay Mastercard Visa) - standar yang menggambarkan perilaku chip kartu pembayaran dalam berbagai skenario untuk memastikan keamanan pembayaran setinggi mungkin. Anda dapat membaca lebih lanjut tentang ini di sini di pos yang diseganiAlexgre. Kami hanya tertarik pada kenyataan bahwa dalam beberapa kasus protokol memungkinkan transaksi offline, yaitu operasi yang dilakukan kartu dan terminal secara eksklusif di antara mereka sendiri, dan informasi transaksi ditransmisikan ke bank pengakuisisi nanti. Keuntungan dari pendekatan ini tidak diragukan lagi bahwa solusi ini ideal untuk kondisi di mana tidak ada koneksi, atau koneksi tidak stabil - seperti bus yang sama, misalnya. Nilai minus mengikuti dari nama - terminal tidak dapat memeriksa ketersediaan dana pada kartu, serta status kartu itu sendiri. Bank hanya akan dapat mengkonfirmasi atau menolak penghapusan untuk transaksi tertentu selama sinkronisasi. Apa yang terjadi jika Anda menunjukkan konduktor kartu kosong atau diblokir? Tetapi tidak akan terjadi apa-apa.Dengan menggunakan perintah APDU dasar, terminal akan menanyakan tanggal kedaluwarsa kartu dan membandingkannya dengan waktu sistem - jika belum kedaluwarsa, maka kartu akan menanyakan PAN untuk kartu - ini adalah nomor kartu yang sama yang dicap pada kartu tersebut. Setelah menyimpan data ini, lebih lanjut atas kebijakan TRM (Manajemen Risiko Terminal), terminal akan mentransfer nomor acak ke kartu, ia hashes dan menandatanganinya dengan kuncinya, terminal menyimpan nomor asli dan respons kartu sehingga kemudian dapat ditransfer ke bank. Setelah melakukan operasi ini, terminal mengirim perintah untuk mengakhiri koneksi ke kartu dan mengakhiri koneksi dengan mencetak tiket cek. Kemudian, terminal tidak akan dapat menghapus uang dari kartu ini - kartu PAN dikirim ke daftar berhenti - sampai hutang dilunasi, kartu ini tidak akan diterima di bus mana pun. Sistem yang ideal, bukan? Tampaknya ada kerentanan,tidak ada gratisan semua membayar untuk semuanya pada akhirnya. Semuanya akan tetap sama, jika bukan untuk satu "Tapi" besar ... Atau beberapa.

Apple/Samsung/Google Pay —

Dan pada 9 September 2014, Apple memperkenalkan metode pembayaran tanpa kontak baru atas infrastruktur yang ada. Apple Pay telah berfokus pada kesederhanaan, kecepatan, dan privasi. Kesederhanaan disediakan (dan disediakan) oleh antarmuka intuitif Wallet, dan privasi dipastikan melalui tokenization. Saat menambahkan kartu ke Wallet, sistem pembayaran (seperti Mastercard atau Visa) menghasilkan token. Tokennya adalah PAN - tetapi bukan yang rusak pada kartu yang ditambahkan, tetapi setara dengan sistem pembayaran. Mulai sekarang, permintaan terminal POS untuk PAN virtual ini akan dipertimbangkan oleh sistem pembayaran seolah-olah itu adalah nomor kartu fisik. Dengan pendekatan ini, bahkan terminal yang berpotensi dikompromikan tidak melihat nomor kartu nyata - token hanya dapat digunakan untuk pembayaran pada terminal POS, dalam kasus lain itu tidak berguna.Kemudian, Samsung Pay dan Google Pay (sebelumnya Android Pay) mulai bekerja dengan prinsip yang sama.

Token dalam transaksi offline

Iya. Perangkat tanpa kontak di sini sama dengan kartu fisik. Dan jika terjadi kesalahan pembayaran, terminal di bus akan memasukkan PAN ke daftar stop. Keadilan telah menang! Hanya ... PAN fana! Setiap kali Anda menambahkan kartu ke perangkat seluler, token akan berbeda. Oleh karena itu - kami menambahkan kartu ke perangkat - dan kami keluar dari daftar berhenti tanpa membayar sepeser pun. Ulangi jika perlu. Jadi, untuk mereproduksi serangan ini, perangkat apa pun yang mampu melakukan pembayaran tanpa kontak cocok. Itu adalah 90 persen dari semua ponsel dengan NFC.

Bagaimana cara bertarung?

Offline - tidak mungkin. Benar. Tidak ada cara untuk menentukan apakah token milik akun apa pun. Oleh karena itu, kita memerlukan terminal yang dapat offline hanya jika diperlukan, dan tetap online selama mungkin. Saya mengerti bahwa jumlah risikonya kecil, tetapi kerentanannya mudah dioperasikan sehingga semua orang bisa mengambil keuntungan. Anda dapat memperbaiki situasi - ada validator khusus untuk transportasi umum.

Jenis seperti itu.

, . .

Apa temuannya?

Inovasi tergesa-gesa tidak akan selalu aman dan andal. Seperti halnya sistem transportasi, kerentanan lama belum diperbaiki, tetapi mereka sudah membawa yang baru, yang mudah dieksploitasi. Dan kruk itu buruk. Saya harap penelitian kecil saya akan membantu beberapa perusahaan transportasi memikirkan kembali prioritas mereka.