Expirovaná platební karta nemusí být nefunkční

Autor blogu: 

Vypadá jako kus plastu, kterým už nic nezaplatíte a můžete ho jednoduše vyhodit. Expirovaná platební karta však může za určitých okolností stále posloužit k provedení finanční transakce.

Útok „Zombie Card“, který představili výzkumníci z UMass Amherst, přináší kromě praktického upozornění pro uživatele také zajímavou lekci o bezpečnosti komplexních systémů. Datum platnosti totiž není fyzickým vypínačem čipu. Jde o údaj, který musí jednotlivé části platebního systému správně vyhodnotit. Právě na to se autoři útoku zaměřili. Když banka vydá náhradní kartu, účet může zůstat aktivní a stará i nová karta mohou mít stejné číslo (PAN), přestože mají odlišné datum platnosti.

Jak výzkumníci prověřili možnost zneužití

Tým nejprve zkoumal, které údaje si při bezkontaktní platbě vyměňují karta a terminál a které z nich chrání kryptografický podpis. V testovaném nastavení sítě Visa terminál posuzoval platnost karty podle data v poli Application Expiration Date, které nebylo zahrnuto do ověřovaného podpisu. Vydavatel karty přitom při autorizaci pracoval s datem uvedeným v jiném poli. Výzkumníci proto ověřovali, zda lze tyto dvě hodnoty dostat do rozporu, aniž by bylo nutné prolomit kryptografii samotné karty.

V kontrolovaném testu použili dva běžné telefony s NFC. Jeden komunikoval se starou kartou, druhý s platebním terminálem a mezi telefony probíhal přenos zpráv. Během něj změnili datum, které četl terminál, na datum v budoucnosti. Karta přitom nadále vytvářela pravý platební kryptogram. Výzkumníci neprolomili její klíče ani nepřepsali údaje uložené na čipu – upravili pouze informaci přenášenou mezi kartou a terminálem. Podobnou odolnost bezdrátové komunikace, kryptografie a ochrany před manipulací prověřuje také penetrační testování IoT a embedded zařízení.

Autoři zaznamenávali komunikaci mezi kartou a terminálem a porovnávali výsledky bez úpravy a po ní. Testovali několik platebních sítí, terminálů a karty pěti velkých amerických bank. Následně chování ověřili na vlastních expirovaných kartách, ke kterým již dostali náhradu, v laboratoři na komerčních terminálech i prostřednictvím malých nákupů u informovaných prodejců. Každou testovací platbu řádně uhradili.

Zombie Card jako lekce o bezpečnosti systémů

Bezpečnost NFC plateb a bezkontaktních karet nelze posuzovat podle jediné izolované kontroly. Při útoku Zombie Card vytvořila karta platný kryptogram a terminál zpracoval údaje, které obdržel. Datum platnosti, podle kterého se rozhodoval, však v testovaném nastavení sítě Visa nebylo dostatečně chráněno před změnou během přenosu. Pokud vydavatel ověřil aktivní účet, ale nikoli stav konkrétní staré karty, jednotlivé kontroly mohly samostatně projít a platba přesto uspět.

Kdo tedy rozhoduje o tom, zda je karta stále platná? Terminál může zachytit expiraci, banka však při autorizaci potřebuje ověřit také stav konkrétní karty, nejen účtu. Penetrační testování platebních systémů a simulované útoky na transakce pomáhají odhalovat slabá místa vznikající mezi kartou, terminálem a bankou. Právě proto je nutné fungování jednotlivých kontrol prověřovat v praxi a jasně určit, která část systému nese odpovědnost za konečné rozhodnutí.

Jak se staré karty skutečně zbavit

Nejbezpečnějším řešením je odevzdat plastovou kartu vydavateli k bezpečné likvidaci nebo využít jím doporučený sběr. Pokud tato možnost není k dispozici, kartu přestřihněte přímo přes viditelný čip tak, aby se zlomil, a následně ji rozstříhejte na několika místech. Řezy vedené přes okraje přeruší také anténu bezkontaktní platby, která bývá uložena po obvodu karty.

Přestřihněte také magnetický proužek a oddělte od sebe části s vytištěným číslem karty, datem platnosti a bezpečnostním kódem. Vyhoďte je tak, aby nezůstaly pohromadě v jednom koši. Používejte pouze skartovačku určenou pro plastové karty. Samotné odstřižení rohu, poškrábání čísla nebo přejetí magnetem nelze považovat za spolehlivé zničení čipu.

I po výměně karty sledujte pohyby na účtu a neznámou platbu okamžitě reklamujte u banky. Stará karta je s jistotou mimo hru až ve chvíli, kdy ji bezpečně zničíte. Zda ji banka spolehlivě odmítne, je po útoku Zombie Card také otázkou důvěry v celý platební systém. Osud fyzické karty však máme doslova ve vlastních rukou.

Víte, zda bezpečnostní kontroly ve vašich systémech fungují i při skutečném útoku?

Penetrační testování odhalí slabá místa mezi jednotlivými technologiemi, procesy a bezpečnostními mechanismy dříve, než je dokáže zneužít útočník.