Um grupo de pesquisadores desobriu uma falha significativa no sistema de segurança chip-e-PIN (senha) usado por companhias de cartão de crédito no mundo todo. A falha permite que um atacante use o cartão sem o PIN associado a ele.
Em uma operação normal, utilizando o chip e o PIN do sistema, o portador precisa digitar uma senha para autenticar a si mesmo. Mas os pesquisadores descobriram uma maneira de usar o cartão ao digitar qualquer código PIN, tornando o sistema de autenticação inútil. E de fato, devido à forma como o sistema funciona, a operação ficaria completamente legítima para o banco, o que demonstraria que a senha correta foi usada.
A falha é que quando você coloca um cartão em um terminal, uma negociação ocorre sobre como o titular do cartão deve ser autenticado: usando um PIN, uma assinatura ou nada. Esta subprotocolo em particular não é autenticado, assim você fazer o cartão “pensar” que está fazendo uma transação de chip-e-assinatura, enquanto o terminal pensa que é chip-e-PIN. O resultado é que você pode comprar coisas usando um cartão roubado e um PIN de 0000 (ou qualquer coisa que você quiser). Fizemos isso, filmando, usando cartões de vários jornalistas. As operações funcionaram e os recibos vieram com impresso “Verifcado por senha”.
O ataque foi desenvolvido por um grupo de pesquisadores da Universidade de Cambridge, incluindo Ross Anderson, Steven J. Murdoch, Drimer Saar e Mike Bond. O grupo descobriu que eles eram capazes de usar o ataque online com sucesso, bem como nas operações do mundo real.
Então, o que deu errado? Em essência, existe um buraco nas especificações que criam o sistema “Chip-e-PIN”. Essas especificações consistem no quadro do protocolo EMV, o sistema regras de cada cartão (Visa, MasterCard), as regras nacionais de pagamento, e os documentos produzidos por cada emissor individual descrevendo suas próprias personalizações. Cada especificação define os critérios de segurança, opções de ajustes e conjuntos de regras – mas nenhuma assume a responsabilidade por listar os controles no terminal. Como resultado, centenas de emitentes independentemente fazem a coisa errada, com a falsa garantia de que todas as bases estão cobertas a partir das especificações comuns. A especificação EMV está quebrada, e precisa de conserto.
O sistema chip-e-PIN sistema é o regime de segurança para transações de cartão de crédito dominante em vários países, e os pesquisadores disseram que precisa ser totalmente reformulado.
“Nos últimos cinco anos, milhares de usuários de cartões foram roubados e tiveram seus cartões usados por criminosos. Os bancos muitas vezes dizem a eles que a senha foi usada, então a culpa é dos clientes. Entanto, nós mostramos que é fácil de usar um cartão sem conhecer a senha – e o recibo diz que a operação foi “verificada pelo PIN”, mesmo que não tenha sido “, disse Anderson, em comunicado.
Referência: http://threatpost.com/pt_br/