Użytkownik "Krzysztof Halasa" <k...@p...waw.pl> napisał w wiadomości
news:m33arbcw6q.fsf@maximus.localdomain...


/.../

>> Ciekawe, czy polskie karty mikroprocesorowe też są podatne na taki atak.
>
> Przeciez tamte karty mikroprocesorowe nie sa podatne na taki
> atak. Podatne na atak sa sklepy itp., ktore nie obsluguja kart
> procesorowych. Zrodlo danych, ktore trzeba zapisac na sciezce
> magnetycznej, jest nieistotne. Aczkolwiek uzywanie tego samego CVV
> na sciezce magnetycznej i w procesorze to raczej pomysl kogos
> inteligentnego inaczej, ale rozne CVV to tylko takie dodatkowe,
> bardzo slabe zabezpieczenie (przeciez sprzedawca moze po prostu
> skopiowac pasek magnetyczny oddzielnym urzadzeniem).

Wg mnie problem leży w standardzie.

Innego rodzaju karty mikroprocesorowe - mówię o kartach SIM - do ok. 2001
roku były bardzo łatwe do sklonowania (stworzenia idealnej kopii na czystej
karcie). Wynikło to ze złamania algorytmu tworzącego klucz szyfrujący (tzw
algorytm comp128). Wkrótce zestawy do klonowania (czytnik, czysta karta i
oprogramowanie) można było kupić na ebayu za 30 USD.

Od 2001 r zaczęto wprowadzać karty szyfrowane algorytmem comp128-2 - i mimo
ogromnych wysiłków ten algorytm do dziś nie został złamany. Dzięki
zastowsowaniu dobrego algorytmu, praktycznie niemożliwe jest dziś zarówno
sklonowanie nowej karty SIM, jak i "włamanie się" do rozmowy przeprowadzanej
przez osobę obok.

Instytucje finansowe w UK nie przeprowadziły takich badań, jak instytucje
standaryzujące komunikację GSM. Na skutek tego standard, który powstał, w
ogóle nie uwzględnia zagrożeń związanych z przesyłaniem niezabezpieczonych
danych! I o to się właśnie rozchodzi: dane przesyłane przez mikroprocesor do
czytnika (i z powrotem) nie są szyfrowane i mogą zostać przechwycone!

To nie do końca wina producentów czytników: karta bankowa nie musi
obsługiwać szyfrowania, aby być w pełni zgodna ze standardem EMV. Dlatego
czytnik też *musi* zezwalać na nieszyfrowaną komunikację. Do tego standard
wymaga, że szyfrowana komunikacja jest inicjowana poleceniem składającym się
z jedego bitu, a w jego braku komunikacja jest kontunuowana bez
szyfrowania - czyli wystarczy "zagłuszyć" ten bit, żeby całe szyfrowanie
diabli wzięli. Ot, taki standard!

Piszę o tym, żeby uzmysłowić, że ogromna część winy leży po stronie
niedopracowanych standardów EMV, które producenci muszą stosować w swoich
urządzeniach. Winą producentów jest tylko brak reakcji na te badania - i
brak nacisków na instytucje standaryzujące.