Платежные карты с чипами небезопасны?

Несколько лет назад с целью противодействия атакам на платежные карты многие банки начали выпуск пластиковых карт с встроенными чипами. При этом магнитная полоса на них осталась – нужно было обеспечить совместимость с унаследованными аппаратами. В 2006 г. Исследователи из Кембриджского университета показали, что при прослушивании передачи данных между чипом и POS-терминалом можно перехватить PIN, который передается в виде обычного текста и используется для автономной верификации (в банкоматах верификация всегда онлайновая).

Вслед за этим было выпущено новое поколение чипов с системой Cards with Dynamic Data Authentication (DDA) или Combined Data Authentication (CDA), которое поддерживает шифрованную передачу PIN. Тем не менее, как было продемонстрировано на конференции по безопасности CanSecWest 2011, современные устройства перехвата могут заставить POS-терминалы и ATM передавать PIN на чип в виде чистого текста. Метод работает со всеми протестированными терминалами и платежными картами всех эмитентов. При этом терминалы будут поддерживать совместимость с чипами старого поколения с автономной системой верификации, а при работе с DDA и CDA чипами выдавать ошибку, которую большинство пользователей будут воспринимать просто как неверно введенный PIN. Исследователи представили супертонкую плату для перехвата, которую злоумышленникам достаточно вставить в слот для карт любого банкомата (она питается от устройства чтения ATM и настолько мала, что ее невозможно заметить).

Данные исследования показывают, что потребность в совместимости с устаревшими устройствами сводят на нет использование самых современных технологий защиты платежных карт. В этой связи показателен еще один пример. Новые платежные EMV карты, выпущенные в Германии, не позволяли снимать со счета деньги в банкомате из-за особенностей работы встроенного ПО, решение нашлось немедленно – достаточно было заклеить липкой лентой чип последней модели и выполнять аутентификацию с помощью магнитной ленты.