Как защитить бесконтактную карту
значок бесконтактной оплаты на карте
Тут перевыпустил мне дебетовую карту Сбербанк. А она уже - насильственно - с бесконтактной оплатой (NFC, разновидность RFID и вот это всё).
Поднапрягся, пошёл изучать матчасть. Выяснил, что всё традиционно плохо. Лазеек куча, все довольно печальные; в общем -
бесконтактная оплата - очередной способ стибрить ваши деньги нетрадиционными путями. Такими, что привычные базовые
понятия безопасности не работают и от вас, в общем-то, ничего уже не зависит.
Например, сама бесконтактная технология (в случае с банковской картой) подразумевает, что считывание метки
происходит на расстоянии нескольких сантиметров - т.е., её фактически надо поднести очень близко к терминалу. Однако,
теоретически есть возможность сделать куда более "дальнобойные" терминалы. Частота 13.56МГц, только мощность побольше.
Исследователи технологии NFC демонстрировали возможность снятия данных карточки на расстоянии 80см, чего вполне достаточно
для "прохождения мимо жертвы".
Однако, с такими "дальнобойными терминалами" не всё так просто, поскольку каждый терминал должен иметь криптоключи, полученные по
договору у какого-нибудь банка-эквайра. Соответственно, расследовать такое мошенничество в теории должно быть много
проще: есть, за кого зацепиться.
Окей, предположим, что мошенникам будет сложновато получить "фейковый терминал", могущий делать транзакции.
Но у стандарта EMV, которым криптуется летящая по воздуху информация с карт, есть допущение: возможность хранить
некоторые данные в незашифрованном виде (привет криворуким девелоперам). Вроде как, от самого банка зависит, что
шифровать, а что нет. В ходе опытов с NFC, исследователи с помощью доступного приложения для сканирования получали с испытуемых карт как минимум номер и срок
действия. Эта информация, вообще-то, самими банками не рекомендуется к разглашению - а тут на тебе. Остаётся
угадать только трёхзначный CVV-код на обратной стороне карты (имя и фамилию сервисы иногда не запрашивают, а если и запрашивают, могут
не уделять этому особого внимания).
Панацеей от этого считается 3-D Secure, согласно которому на телефон владельца карты должен быть отправлен код подтверждения.
Но некоторые интернет-магазины проводят транзакцию без всякого кода (даже если
подключено 3-D Secure)! Я лично сталкивался с тем, что в одном зарубежном магазине никакое 3-D Secure не потребовалось, хотя у
меня была карта именно с 3-D Secure, и до этого случая ни на одном сайте без SMS-кода её никто не принимал.
Хотите ещё? Мне особо понравился
способ с трояном на смартфоне с NFC, который "ловит" карточку владельца в кармане (смартфон и кошелёк обычно находятся
недалеко друг от друга) и передаёт данные через интернет (он же у большинства включен) злоумышленникам. Своеобразный "мост"
карта-смартфон-терминал. Да, тут вступает в действие "сложность фейкового терминала". Проблема в том, что терминал этот
может находиться в любой стране, а страны у нас на Земле ой какие разные: не найти концов вполне реально.
Как известно постоянным читателям, я не особенно параноидален в части компьютерной безопасности, где всё в основном
зависит от меня: выбор криптостойкого пароля, хранение конфиденциальных данных, настройки софта и т.п. Однако,
если речь заходит о беспроводных технологиях, я становлюсь куда более беспокойным. В сфере, где существует мгновенное
считывание данных "вдруг откуда ни возьмись", сам Бог велел расплодиться различным мошенническим схемам. Я не использую
bluetooth на смартфоне (кстати, недавно в нём нашли огромную "дыру"). Включаю WiFi только по нужде, используя наиболее
криптостойкие алгоритмы аутентификации (кстати, пока писалась статья, и в WiFi нашли дыру, именно в "криптостойких алгоритмах" :).
В общем, понимаю, что передача данных по воздуху - весьма опасное дело, и
более-менее контролирую его. В случае же с банковской картой и NFC никакого контроля с моей стороны быть уже не может.
Как в анекдоте про динозавра: или встречу - или не встречу.
Впрочем, есть неожиданное решение проблемы с защитой бесконтактной карты: экранированный кошелёк. Уже доступен в услужливых
интернет-магазинах. Вопрос только в том - а экранирует ли этот кошелёк хоть что-нибудь?
©2017, Анатолий Савенков
опубликовано: 29.10.2017
комментариев: 15
список статей в категории
Комментарии
↑ к началу комментариев ↑↑ к началу страницы
Вы не зарегистрированы. Зарегистрируйтесь или войдите в систему, чтобы не набирать каждый раз проверочный
код (и иметь другие приятные функции на сайте). Действует суточный лимит анонимных комментариев
для защиты от троллей, школоло-хакеров и спам-ботов.
На текущий момент осталось комментариев:
10.
Добавить комментарий
Фулюганствовать не надо: соблюдайте правила приличия. Я не люблю комментариев не по делу типа "Оццтой!" и им подобных.
Если хотите что-то покритиковать или поучить кого-то жизни - делайте это с чувством, с толком и с расстановкой.
поиск Яндекса по сайту
+0
+7
