Скрепка и булавка

(Февраль 2008)

Группа исследователей из Компьютерной лаборатории Кембриджского университета продемонстрировала серьезнейшую уязвимость новой технологии платежных карт «Chip & PIN» [www.cl.cam.ac.uk/techreports/UCAM-CL-TR-711.pdf ].

Такого рода гибридные контактные карточки, совмещающие в пластиковом корпусе микросхему и магнитную полоску, уже широко введены в странах вроде Британии, Австрии, Бельгии, а в еще большем количестве государств планируются к повсеместному внедрению на смену безнадежно устаревшим карточкам с магнитной полоской.

Строго говоря, кембриджскими специалистами ныне скомпрометированы не столько карты, благодаря добавлению чипа существенно прибавившие в безопасности, а скорее аппараты-терминалы, используемые в торговых точках и в банках для обработки транзакций и верификации карты – так называемые PED или «устройства ввода персонального идентификатора» (PIN Entry Devices).

Аспирант Саар Дример и два его более старших коллеги, Стивен Мердок и Росс Андерсон (Saar Drimer, Steven J. Murdoch, Ross Anderson), на примере двух наиболее популярных в Великобритании моделей PED – Ingenico i3300 и Dione Xtreme – наглядно показали, сколь ненадежно там защищены обрабатываемые данные о карте и ее владельце.

Разработанная учеными-компьютерщиками техника взлома носит название tapping attack («атака через отвод») и на удивление недорога в реализации. Все, что для нее требуется, это подходящего размера игла, скрепка для бумаги и устройство для записи отводимого сигнала. Плюс, конечно, знания и умение все это хозяйство собрать, воткнуть и подключить туда, куда надо.

С помощью столь нехитрого инструментария исследователи сумели записать процесс обмена данными между картой и процессором PED, ничуть не потревожив специальные барьеры и устройства защиты, по замыслу изготовителей призванные ограждать устройство от злоумышленников. Перехваченный и записанный процесс обмена сразу позволяет установить PIN карты, поскольку британские банки выбрали технологию подешевле и не стали встраивать в чип криптографию, шифрующую канал передачи информации между картой и терминалом PED.

При этом тяжкие последствия атаки простираются намного дальше, чем просто компрометация пароля PIN. Ради того, чтобы обеспечить обратную совместимость со старыми картами, терминалы PED считывают данные не только с чипа, но и с магнитной полоски. Это означает, что если злоумышленник сумел подсоединить иглу-отвод в канал обмена между картой и процессором, то он получает возможность получить и записать все данные, необходимые для клонирования карты с магнитной полосой.

Вместе с соответствующим PIN’ом, также похищенным, это дает возможность легко изготовить фальшивую карту, позволяющую без проблем изымать деньги со счета в банкоматах зарубежных стран, еще не перешедших на Chip & PIN. Более того, подобные банкоматы кое-где остались и в провинциальных регионах Британии.

Особой критики, по убеждению выявивших эти слабости исследователей, заслуживает в высшей степени непрозрачный, ущербный по сути процесс сертификации и оценки безопасности устройств PED, отвечающих за защиту важных данных.

Транснациональный гигант Visa и британская платежная ассоциация APACS сертифицировали оба устройства как безопасные, официально санкционировав их широчайшее распространение. Однако инстанции, проводившие оценку, не увидели серьезнейших уязвимостей, выявленных кембриджской командой.

Более того, при выдаче сертификатов APACS и Visa прибегли к сомнительному трюку, в приличном обществе называемом «подлог». Было объявлено, что устройства PED прошли «оценку на соответствие Common Criteria», т.е. международному набору стандартов для систем безопасности, принятому в Британии, США и других странах НАТО.

В Великобритании выдачей сертификатов о соответствии Common Criteria ведает правительственная спецслужба GCHQ, аналог американского АНБ. Однако в GCHQ сообщили, что ничего не знают о терминалах PED, поскольку эти устройства никогда не сертифицировались на соответствие CC.

Вот тут-то и выяснилось, что «оценка на соответствие CC» и «сертификация» – две существенно разные вещи. Результаты тестирования на предмет сертификации положено открыто публиковать, а Visa и APACS категорически отказываются показывать кому-либо отчет об оценке безопасности терминалов. Более того, строго засекречены и сами инстанции, проводившие эту оценку.

В ответах же исследователям, которые еще в ноябре 2007, за три с лишним месяца до публикации своих результатов предупредили об уязвимости все заинтересованные стороны – APACS, Visa, изготовителей PED, – сделано все, чтобы приуменьшить серьезность угрозы.

Реакция от Visa, например, выглядит так: «В академической статье Кембриджа мы не увидели ничего такого, чего не знали раньше, и ничего такого, что представляло бы угрозу для безопасности карт в реальном мире».

Представители же одного из изготовителей PED, Ingenico, выразились не столь высокомерно, но по сути в том же ключе: «Метод, описанный в университетской статье, требует специальных знаний и сопряжен с техническими трудностями. По этой причине он невоспроизводим в широких масштабах и не учитывает тот мониторинг мошенничества, что применяется в индустрии»…

Один из участников кембриджской команды, профессор Росс Андерсон, сражается с порочными подходами банков и индустрии к безопасности уже на протяжении последних лет двадцати. По поводу последней работы он говорит так:

«Уроки, которые мы здесь получаем, вовсе не ограничиваются банкингом. В самых разных областях, от машин для голосования до автоматизированных систем учета медицинских данных, постоянно появляется одна и та же комбинация из глупых ошибок, фиктивных сертификаций и тормозящих исследования властей.

Повсюду, где люди вынуждены опираться на безопасность систем, нам требуются честные процедуры оценки, результаты которых открыто публикуются и проверяются независимой экспертизой».

После таких аргументов вряд ли нужны дополнительные комментарии, поясняющие какая из препирающихся сторон тут больше права. Жаль только, что далеко не в каждой стране есть такие Кембриджи и Андерсоны.

(Скорое продолжение этой истории см. тут)