На CHES 2012 (название конференции можно расшифровать как «Криптографические встроенные системы и аппаратура») доклад об очередной компрометации EMV (еще раз уточним, EMV – это сокращение от Europay, MasterCard, Visa) сделал Стивен Мердок – в качестве представителя целой исследовательской команды из Компьютерной лаборатории Кембриджского университета.

Карты, деньги, дежавю

Эту знаменитую в кругах инфобезопасности лабораторию с середины 1990-х гг. возглавляет профессор Росс Андерсон – не только очень авторитетный криптограф-практик вообще, но и неустанный критик, в частности, банковских систем защиты информации. Выявлением всевозможных слабостей в этих системах (плюс конструктивными предложениями по их усилению, естественно) Андерсон и его соратники занимаются вот уже около четверти века.

Их новейшая аналитическая работа, посвященная очередным уязвимостям в системе платежных чип-карт EMV, сфокусирована на таких мошеннических манипуляциях с техникой, которые по своему итоговому эффекту эквивалентны клонированию. Имеет смысл подчеркнуть этот момент: речь идет не о физическом создании клона карты, а о махинациях, оставляющих в лог-файлах платежных систем такие следы, которые предполагаются либо для оригинала карты, либо для ее полного электронного дубликата.

Карты, деньги, дежавю

Принимая во внимание тот факт, что технология EMV была специально разработана в конце 1990-х гг., для того чтобы эффективно противостоять клонированию традиционных банковских карт с магнитной полосой, можно представить, сколь серьезного внимания общества должны заслуживать нынешние открытия кембриджских ученых.

Карты, деньги, дежавю

Ибо известная динамика жульничества вокруг карт «Чип-и-ПИН» такова, что их внедрение около десяти лет назад поначалу действительно позволило резко уменьшить известные способы карточного мошенничества, однако затем количество подобных преступлений вновь с каждым годом стало нарастать. Но при этом банки, абсолютно уверенные в превосходстве защиты новой технологии карт с чипом, гораздо агрессивнее (чем при картах с магнитной полосой) отказывают в возмещении убытков тем владельцам карт, что и теперь становятся жертвами мошенничества.

По мнению банков, новую чип-карту клонировать невозможно, так что если где-то с ее помощью жулики оплатили покупки или сняли наличные в банкомате, то это может означать лишь то, что владелец либо плохо следил за сохранностью своей карты и тайной ее ПИН-кода, либо по небрежности или неведению сам помогал мошенникам. Формулируя чуть иначе, на смену презумпции невиновности пришла совсем другая презумпция – когда по умолчанию вина клиента подразумевается изначально, а обратное можно попытаться доказать лишь через суд.

Карты, деньги, дежавю

Расстроенные и уязвленные такой позицией банков, клиенты-жертвы для обоснования своей невиновности в суде нередко начинают искать через Интернет специалистов по расследованию аналогичных случаев мошенничества. И довольно скоро выходят на исследовательские лаборатории вроде Кембриджской, где компетентным сотрудникам то и дело доводится консультировать людей, пострадавших от компьютерного криминала.

Когда же анализ типичных случаев мошенничества приводит ученых к очередному открытию – как еще можно, оказывается, скомпрометировать платежные карты, – они прежде всего знакомят с результатами своей работы банки. Дабы те занялись укреплением технологии ради более эффективной защиты как клиентов, так и собственных доходов.

Однако банки очень не любят, когда им указывают на их ошибки, и потому в ответ на открытие ученых соответствующие пиар-подразделения делают заявления для прессы «о нереалистичности продемонстрированной атаки». Ну а далее, естественно, у преступников появляются все новые и новые виды атак, приводящих ко все большему количеству обворованных владельцев карт.

Динамика такого рода уже успела породить своеобразный цикл событий, которые своей периодичностью создают устойчивое ощущение эффекта дежавю – все это уже было, было, было...

Чтобы более наглядно проиллюстрировать этот эффект примерами из жизни, достаточно обратиться к истории открытий все той же Компьютерной лаборатории Кембриджа.

 

2008: атака через PED

В Великобритании массовое внедрение карт EMV и соответствующей инфраструктуры в банках и торговле пришлось на начало 2006 г., а уже к осени 2007 г. специалисты Кембриджа выявили в системе первую серьезнейшую уязвимость. Слабость была обнаружена не в самих картах, а в так называемых PED (PIN entry device) – терминалах для считывания ПИН-кода.

Карты, деньги, дежавю

В этих устройствах ученые выявили участок, где содержательные данные о картах покупателей проходят в открытом, не зашифрованном виде. А потому злоумышленник, подсоединившийся к такому месту схемы, может похитить все реквизиты карты, включая ПИН-код доступа, и изготовить карту-клон с магнитной полоской. (Чип-карты EMV оснащены магнитной полосой ради обратной совместимости с прежней технологией, поэтому и «неполный» клон можно применять в старых банкоматах, еще не оснащенных считывателем чипа.)

Исследователи сразу известили банки о своем открытии. Те, как обычно, их проигнорировали, назвав атаку оторванными от реалий жизни «лабораторными экспериментами». А к осени 2008 г. стало известно, что в полудюжине европейских стран полиция обнаружила в PED-терминалах розничной торговли свыше сотни миниатюрных закладок, именно так и воровавших реквизиты карт. Эти закладки работали уже по меньшей мере девять месяцев, позволив преступникам похитить, по грубым оценкам, около 100 млн долл. со счетов владельцев банковских карт...

 

2010: атака No-PIN

В феврале 2010 г. исследователи Кембриджа продемонстрировали, каким образом слабости в протоколе защиты системы «Чип-и-ПИН» позволяют преступникам использовать похищенные банковские карты вообще без знания секретного ПИН-кода. Хитрость заключалась в том, что мошенники могут незаметно вставлять между украденной картой и PED-терминалом небольшое электронное устройство (или «клин»), благодаря чему терминал всегда считает, что ПИН был введен правильно. На самом деле жулики с «клином» могли вводить абсолютно любой набор цифр, однако транзакция все равно принималась системой как праильная. Ученые проверили этот трюк против чип-карт всех наиболее известных банков Британии, и все они оказались уязвимы для такого мошенничества.

В ответ британская ассоциация банковских карт заявила, что у них нет свидетельств о реальных случаях подобного мошенничества. Позднее кембриджские ученые узнали, что на самом деле у банковской ассоциации в то время уже имелась информация об именно таких мошенничествах типа no-PIN, которые происходили во Франции с убытками на общую сумму около 1 млн евро. Рассерженные исследователи даже попытались было подловить банки на даче заведомо ложных заявлений. Однако тут же выяснилось, что мастера пиара свое дело знают: текст заявления ассоциации был сформулирован чрезвычайно тщательно, не придраться. Дословно там было сказано, что у них нет никаких свидетельств о таких преступлениях в Великобритании. А если кто-то понял фразу так, будто речь идет обо всех странах вообще, то этого в заявлении не утверждалось...

 

2012: атака Pre-play

Разбираясь с подробностями постоянно растущего числа дел о «фантомных снятиях» (как называют случаи трудно объяснимых исчезновений денег со счетов банковских карт), в Кембридже ныне обнаружили еще один тип атаки, получивший название pre-play, или «пред-проигрывание».

Платежные чип-карты EMV подтверждают свою подлинность с помощью особого кодового числа с уникальным значением, вычисляемым на основе данных, участвующих в транзакции. Для того чтобы каждый раз это было обязательно новое значение, туда все время подмешивается свежий компонент, именуемый «непредсказуемое число», или UN (unpredictable number). Если же генерация UN плохо реализована в банкоматах и торговых терминалах, то злоумышленник сумеет предсказать это число. А затем, записав перехватом с внешних коммуникаций карты все остальные данные, нужные для мошенничества, умелый преступник может сам воспроизвести все нужные сигналы – выдав эту последовательность за работу подлинной карты EMV в другом месте. Именно такой трюк, собственно, ученые и продемонстрировали в деле.

Хотя, строго рассуждая, еще нельзя говорить, будто они создали уже готовый клон чип-карты, однако по итогам действия и оставляемым следам данная атака фактически ничем не отличается от клона.

В ответной реакции банков на такое открытие, конечно же, прозвучали уже знакомые прежние аргументы: проведены крайне замысловатые лабораторные эксперименты, для реальной жизни это очень сложно и, вообще, нигде не отмечается. Ученые же, напротив, абсолютно уверены, что их атака не только практична, но и вполне способна объяснить очень многие из тех «фантомных снятий», виновниками которых банки считают самих владельцев карт...

Как свидетельствует опыт, скоро жизнь в очередной раз сама покажет, какая из препирающихся сторон здесь права. Вот только кого и чему этот опыт научит?

Купить номер с этой статьей в PDF
1416