Jekyll -
03.04.07 19:49
Michael weist mich gerade auf diesen Bericht über PIN-Sicherheit hin, und hier ist das zitierte Paper. Das Banken-System ist echt NOCH schlechter als bisher angenommen. Stellt sich raus, daß Banken die PINs in sogenannten HSMs auf dem Weg zwischen Bank und Zahlstelle/Geldautomat mehrfach ent- und wieder neu verschlüsseln, und daß diese Geräte seit 30 Jahren eine API-Funktion haben, mit der man sich die PIN in ein leichter crackbares Format umwandeln kann. Mit ein bißchen Preprocessing hat man dann mit ein-zwei API-Aufrufen die PIN in der Hand.
- An Wie sicher sind unsere EC- und Kreditkarten? Twitter senden
- Mit Wie sicher sind unsere EC- und Kreditkarten? Facebook empfehlen
Wie sicher sind unsere EC- und Kreditkarten?
kann man beim Aneignen nicht auch den Titel ändern? Das wäre hier sicher hilfreich.
zum Thema: verdammt hart. aber eigentlich hat man sowas ja länger schon vermutet. was mich am meisten aufregt ist die Ignoranz der Banken...
creeper: leider nicht. Beim Aneignen ist nur der Nachrichtentext gegen editieren gesperrt - den Text im Eingabefeld für den Titel kann zwar man ändern, jedoch bleibt das folgenlos, der Originaltitel wird zwingend verwendet.
Hi,
ich habe dazu mal einen Kommentar im Prepaid Blog Das Prepaid Mastercard Blog » Blog Archive » Kreditkartensicherheit veröffentlicht.
Das Angriffszenario ist so wie dargestellt auch überhaupt nicht zu verhindern- in keiner Infrastruktur. Irgendwo hast du immer einen Ansatzpunkt, an dem du die Daten entschlüsseln kannst. Wichtig ist, dass dieser Ansatzpunkt möglichst gut gesichert ist.
Fazit ist aber, dass HSMs zumindest in Deutschland in einer sehr gesicherten Infrastruktur liegen.
Nachtrag: Wobei das Thema des Einsatzes von schwachen Algorithmen wie im Paper erläutert natürlich absolut bescheuert ist, aber wohl aus Kompatibilitätsgründen notwendig
Das Angriffszenario ist so wie dargestellt auch überhaupt nicht zu verhindern- in keiner Infrastruktur. Irgendwo hast du immer einen Ansatzpunkt, an dem du die Daten entschlüsseln kannst. Wichtig ist, dass dieser Ansatzpunkt möglichst gut gesichert ist.
Anscheinend wollen die Banken ihre HSMs aber nicht untersuchen lassen, was schon eine recht komische Geschichte ist.
Außerdem: Wenn man das System nicht sicher krigen kann, dann muss man halt was besseres finden. Unverschämt dreist ist es jedenfalls, dem Verbraucher einfach zu erzählen es sei sicher - auch wenn dem nachweislich nicht so ist (verschlossenes PIN-Zettel) - und ihm so auch eine Entschädigung zu verweigern. Laut Bericht sind ja gerade auch HSMs in Deutschland betroffen.
Praktisch jeder hat ein Konto und somit auch eine EC/Bank-Karte für den Automaten. Alle diese Karten funktionieren meines Wissens mit PIN. Demzufolge kann es wirklich auch jeden irgendwann (unverschuldet) erwischen.
Ich weiss ja nicht wie du das siehst, fuel, aber ich finde das bedenklich bis alarmierend.
Hi Creeper,
ich zitiere mal wild durcheinander:
Praktisch jeder hat ein Konto und somit auch eine EC/Bank-Karte für den Automaten. Alle diese Karten funktionieren meines Wissens mit PIN
PIN ist nicht immer gleich PIN. Das beschriebene Verfahren funktioniert soweit ich das sehen kann in dieser Form nur mit Kreditkartensystemen, also MasterCard und VISA. Wie im Paper beschrieben wird, ist ein Angriff dadurch möglich, dass der verschlüsselte PIN Block auf ein altes, unsicheres Verfahren konvertiert werden kann. Maestro verwendet afaik ausschließlich die modernen Verfahren.
Außerdem: Wenn man das System nicht sicher krigen kann, dann muss man halt was besseres finden
Ja, wenn das so einfach wäre. Die aktuell verwendete Infrastruktur ist ja auf den modernen - noch sicheren- Formaten aufgebaut, die alten Formate werden nur aus Kompatibilitätsgründen unterstützt, damit z.B. die Geldautomaten in gewissen Schurkenstaaten noch funktionieren
Eine gewachsene Infrastruktur wie das Banknet umzustellen mit Millionen von Transaktionen pro Sekunde, Millionen von Karten im Markt ist sicher keine triviale Aufgabe, sagen wir es mal so. Vor allem wenn man die noch existierenden Hürden betrachtet.
Dass bestimmte Algorithmen irgendeinmal veraltet sind, aber trotzdem noch unterstützt werden müssen, ist ein altbekanntes und überall unbefriedigend gelöstes Thema in der Kryptographie. Siehe z.B. DES Algo, oder aktuell MD5, das ja auch bereits als geknackt gilt, aber noch überall eingesetzt wird, oder -ganz brandaktuell- WEP.
Versteh mich nicht falsch, ich möchte mich hier nicht zum Beschützer der armen Banken aufspielen, ich möchte das ganze nur in eine Relation bringen.
Dass eine Politik der Täuschung bzw. Verleugnung nicht die Richtige ist, sollte jedem klar sein- wenn dem Verbraucher bei tatsächlichem Betrug damit eine Handhabe gegeben wird, so ist das sehr zu begrüßen.
In der Regel wird aber gerade bei Kreditkartenbetrug schon sehr kulant von den Banken reagiert.