On 07/27/2010 09:14 PM, Olgierd wrote:

> Mianowicie co jest nie tak z transakcjami offline w kontekście ich
> bezpieczeństwa?

To że protokół EMV w założeniach miał służyć przeniesieniu
odpowiedzialności za bezpieczeństwo transakcji z issuera na merchanta
i/lub cardholdera.
Jeśli transakcja została potwierdzona podpisem klienta - odpowiada
merchant. Jeśli PINem - odpowiada klient. I pod tym względem się
sprawdza. Bank przenosi ryzyko i odpowiedzialność na innych.

W telegraficznym skrócie:

W przypadku transakcji offline, weryfikacja PIN odbywa się poprzez
komunikację z kartą, a nie z centrum autoryzacyjnym. Tego typu
architektura z założenia będzie mniej bezpieczna niż transakcje
online'owe, ponieważ nie ma "trzeciej strony", która autoryzuje
transakcje. Myślę że nie muszę się specjalnie gimnastykować żeby
udowodnić że jest to mniej bezpieczne, prawda?

Karty z SDA nie mają wygenerowanych kluczy RSA, służących do
podpisywania komunikatów przesyłanych pomiędzy kartą, terminalem a
centrum autoryzacyjnym.
Są przez to podatne na różnego rodzaju ataki typu Man-in-the-middle, czy
nawet na klonowanie i przeprogramowanie, przez co stają się tzw. 'yes
card'. Po prostu sklonowana karta zawsze odpowiada twierdząco na
zapytanie o poprawność PINu.

W przypadku kart DDA, które posiadają klucze RSA, istnieje możliwość
oszukania terminala poprzez modyfikację pakietów autoryzacyjnych,
przesyłanych pomiędzy kartą a terminalem. Oczywiście nie będzie to
możliwe gdy musimy podać kartę sprzedawcy w sklepie i to on wtyka ją w
terminal, ale często jest tak, że klient sam to robi i wtedy można użyć
kradzionej karty.

Jest jeszcze kilka innych ataków na protokół EMV.
Wszystkie zostały one dosyć dobrze udokumentowane, a opracowania na ten
temat są dostępne w sieci, tak więc jeśli interesuje Ciebie ten temat,
pogooglaj.

Pozdrawiam,

--
... Robert Jaroszuk ...
GCS/IT/O d- s: a- C ULB++++$ P+ L++++$ E- W++ K- N++ DI+
V- M- PS+ PE++ Y(+) PGP++ t 5? X R !tv b+>++++ D- y+ G++
We do not see things as they are, we see them as we are.
GPG key id: 0x5D9659C3
GPG fingerprint: E1A9 C793 FCF2 8EBD 89E9 39D5 DED4 03D1 5D96 59C3