Spočítejte si...

Zavřít

Mýty a fakta o bezkontaktním placení

Data z bezkontaktních plateb lítají kolem nás vzduchem, karty a mobily lze „hacknout“ a vysát peníze na dálku. Do dveří lze nasadit „odposlech karet“. Banky tvrdí, jak je placení bezpečné, a prý to tak není.

V některých spotřebitelských a odborných diskuzích se začala výrazně probírat bezpečnost NFC a bezkontaktních karet a přibývaly obavy z jejich zneužití. Diskuze se týkaly bezpečnosti samotného hardware (karta, čip, mobil) a přenosu dat mezi zařízeními a snímači a jejich šifrování.

Najít odborníky, co by dokázali tuto problematiku popsat tak, aby ji veřejnost pochopila a zároveň ukázali argumenty odborné veřejnosti (např. z řad čtenářů vzdělaných z oboru elektro, IT apod.), není snadné. Ne že by neexistovali, ale oslovení známí profesionálové diskuzi na toto téma zdvořile odmítli z důvodu (pochopitelné) loajality ke svému zaměstnavateli. Hledal jsem tedy ve vodách českých a slovenských odborníků na IT bezpečnost a pod podmínkou anonymity dal dohromady několik názorů, jak to vlastně s tou bezpečností je.

Máme se bát platit bezkontaktně? Odpovím hned: ne, nemáme. Ale popořádku.

RFID vs. NFC

Bezkontaktní karty používají čip, který funguje pomocí RFID (Radio Frequency Identification), česky identifikace na rádiové frekvenci . Pro komunikaci zařízení se používá elektromagnetické pole, samotnou komunikaci lze v běžném provozu vést do vzdálenosti cca 10 cm. Bezkontaktní karty běžně najdete u dopravců, dveřních a identifikačních systémů, pro platbu mýta apod.

NFC vychází z RFID, anglicky znamená Near field Communication, česky komunikace v blízkém poli. Použitelnost NFC zařízení je v praxi omezena do vzdálenosti 5 cm.

Pro obě technologie u bezkontaktních karet platí ISO 14443.

Ve zkratce

  • Nebojte se platit bezkontaktně, platby jsou bezpečné
  • České a slovenské karty mají lepší zabezpečení, než americké
  • Platba mobilem je bezpečnější, než platba kartou
  • V mobilu můžete vypnout bezkontaktní platby
  • Ztrátu mobilu zjistíte rychleji než ztrátu karty

Bezpečnost vs. použitelnost

Karetní svět si nikdy nehrál na vzorovou bezpečnost. Platební karty už 50 let fungují „tak akorát“, tedy tak, aby objem ztrát z podvodů byl minimální a zisk z transakcí maximální. Pojďme se zamyslet nad tím, jak by mohla vypadat zcela bezpečná karta použitelná v současných podmínkách:

  • Bude mít jen čip (nezaplatíte v místech, kde nemají EMV terminál)
  • Před každou transakcí bude vyžadovat zadat PIN na své vlastní klávesnici (bude nákladná na výrobu, pro některé držitele i nepraktická)
  • Každou transakci budete muset předem povolit pomocí SMS nebo přímého bankovnictví (to uživatele zdržuje)
  • Bezpečnostní CVC/CVV kód bude proměnlivý pro každou transakci a přijde vám v SMS (nákladné)
  • Vydavatel karty vás bude pravidelně pomocí SMS nebo telefonního hovoru kontaktovat s potvrzením provedení transakce (obtěžující)

Chtěli byste takovou kartu? A používali byste ji? A myslíte si, že by nějaký vydavatel takové karty začal vydávat v masovém měřítku?

S drobnými selháními se od samého začátku vydávání platebních karet počítá. Nesnadno se to čte, ale uvažme, že platební karty vznikly v době, kdy ani jiné možnosti nebyly. Čili z pohledu klienta jsou tu různá pojištění a také reklamační řád, který se v případě karet řídí rčením v pochybnostech ve prospěch obviněného.

Banky vs. karetní společnosti

Nelze srovnávat bezpečnost bezkontaktní karty, kterou otevíráte vstupní dveře do budovy či na vaše pracoviště, s bezkontaktní kartou vaší banky. Bankovní karty používají pro komunikaci silné šifrování a kryptografii. I když všechno má své ale. Tak například přenos dat mezi bezkontaktní platební kartou a terminálem šifrovaný není. Některé sekvence jsou sice chráněny kryptogramy, ale jedná se o ochranu integrity, nikoliv důvěrnosti.

Konkrétně číslo platební karty se bezdrátově přenáší v celém, otevřeném tvaru „tak jak je“, tedy ne jen poslední 4 čísla, jak je vidíte na stvrzence obchodníka. Ale, prosím, nenadávejte na banky a vydavatele karet, ti za to nemohou. Banky a vydavatelé karet musejí do puntíku dodržovat bezpečnostní standardy PCI-DSS, které nařizují, že bezdrátově musejí šifrovat veškerou komunikaci a přenos dat. Pikantní je, že karetní společnosti MasterCard a Visa vypustí do světa jimi standardizovaný protokol mezi čtečkou a kartou, který přenáší číslo karty v otevřeném tvaru a banky se mu musí podřídit (tedy musí snížit bezpečnost svých vlastních karet).

Otázkou ale je, v jakém měřítku lze toto číslo karty ze vzduchu spolehlivě zachytit a s jakou úspěšností jej útočník dokáže dál zneužít. Tím se dostáváme k pojmu akceptovatelné riziko. Aniž si to uvědomujete, tento pojem používáte při každodenním rozhodování o běžných záležitostech (např. překročení maximální povolené rychlosti vs. riziko kontroly či nehody, zakoupení letenek s půlročním předstihem vs. riziko nemoci apod., obojí znamená riziko finanční ztráty)

Elektroničtí kapsáři jsou zatím sci-fi

Na YouTube je mnoho videí, která demonstrují prolomení bezpečnosti bezkontaktních karet, ale ta se týkají hlavně amerických karet. Jedno z videí vidíte níže (v anglickém jazyce):

Z videí se už nedozvíte, že pokud jde o americké karty, jsou na tom v zabezpečení mnohem hůř než české a slovenské. Jde hlavně o rozdíl v kompenzaci tzv. vědomých nedostatků. V Americe je silný spotřebitelský tlak a banky, vydavatelé karet i karetní společnosti v drtivé většině vycházejí všem reklamacím vstříc a automaticky vracejí peníze. Nejde ale jen o spotřebitelské lobby, je to prostě levnější.

Čeští a slovenští vydavatelé karet jdou naopak cestou prevence podvodů. To se projevuje tím, že kontrolní CVC/CVV kód, který potvrzuje platnost čísla karty, je pro bezkontaktní část dynamický, a tedy nezávislý na kódech CVV/CVC určených pro kontaktní čipovou aplikaci, magnetický proužek a potisk karty. Takže útočníkovi zbude nejvýš jedna trnitá cesta, jak zachycená data použít, a o tu už se postarají další kontroly při autorizaci.

Další otázkou je možnost elektronického odcizení dat pomocí ručního skeneru. Možná jste slyšeli historky, jak se na vás v tramvaji někdo přitiskne a z vaší karty odejde pětistovka.

Je potřeba pečlivě rozlišovat mezi přenosem indukční vazbou (RFID, NFC) a radiačním vazbou (GSM, Bluetooth, Wi-Fi apod.). Spolehlivý odposlech indukční vazby třetí stranou v prostředí např. hypermarketu s běžně dostupnou technikou by byl skvělým námětem na Nobelovu cenu za kutilství I. kategorie.

Pokud těmto slovům nerozumíte, pokusím se o jiné přirovnání. Máte auto? A máte v technickém průkazu údaj o spotřebě? Podařilo se vám spotřebu změřenou výrobcem v laboratorních podmínkách udržet i při běžném provozu? Lze „hacknout“ bezkontaktní platbu (kartu, mobil)? Ano, lze v laboratorních podmínkách. V praxi je tato pravděpodobnost blízká nule.

Na starším videu níže můžete vidět test, na jakou maximální vzdálenost od snímače může komunikovat bezkontaktní karta a mobil s NFC. Ve videu je z počátku mylně uvedená vzdálenost v centimetrech, takže to napravuji:

  • přívěšek – 20 mm
  • bezkontaktní karta – 30 mm
  • hodinky – 30 mm
  • Samsung Star II – 20 mm
  • Samsung NFC IC Windsor S3FHRN2 – 55 mm

Bezkontaktní bankomaty

Osobně předpokládám, že s připravovaným spuštěním bezkontaktních výběrů z bankomatů se strhne další lavina pochybností a varování nad zneužitelností bezkontaktních karet a mobilů s NFC. Otázkou je, za jak dlouho stávající skimmeři, co nyní bravurně ovládají magnetický proužek, se naučí pracovat s bezkontaktními snímači. Budou muset přijít na nový způsob padělání karet, protože data bezkontaktních karet „zachycená ze vzduchu“ k výrobě klasické karty typu magnetický proužek a PIN stačit nebudou.

Pro bezkontaktní výběry z bankomatů platí stejná pravidla, jako pro vložení karty do čtečky: musíte zadat PIN, bez něj se výběr nezrealizuje. Jde tak jen o jinou formu komunikace karty s bankomatem, výsledkem je výdej hotovosti, pro který můžete použít mobil, přívěšek, nálepku, cokoli.

Karty jsou bezpečné

Shrňme si to. Může někdo zneužít vaši platební kartu pomocí bezkontaktního přenosu? Standardním způsobem ne, to je pravděpodobnější, že vámi ztracenou kartu někdo nalezne a pokusí se zaplatit bezkontaktně. Vzhledem k tomu, že všechny bezkontaktní transakce v Česku jsou ověřované online, s blokovanou kartou (ať fyzicky nebo v mobilu) zloděj nezaplatí.

Pro paranoiky cestující v MHD lze použít speciální pouzdro (nebo alobal), které brání používání RFID. U mobilu lze NFC vypnout, což samo o sobě zvyšuje bezpečnost placení mobilem oproti plastové kartě. Mimochodem, jak často kontrolujete, zda máte u sebe platební kartu, a jak často kontrolujete mobil? Ztrátu mobilu zpravidla odhalíte v jednotkách minut (a můžete jej zablokovat včetně karty), zatímco ztrátu karty můžete zjistit až po několika hodinách či dnech. Placení mobilem je v tomto ohledu opět bezpečnější.

Kromě aktivních prvků v podobě šifrování komunikace, plovoucího CVC/CVV, bezpečnostních limitů pro výši a počet transakcí (ty útočník nezná) zde proti útočníkovi stojí i aktivní monitoring transakcí na straně vydavatele a příjemce karet. A navíc, když je identifikovaný pokus o podvod většího rozsahu, během několika hodin je schopen se sejít bezpečnostní výbor karetní společnosti na světové úrovni a provést zásah na bázi centrálního, celosvětového dispečinku transakcí. Tohle všechno stojí v cestě útočníkovi, který by chtěl systém nějak vážně nahlodat.

Je hotovost 100 % bezpečná? Nikoli, je ohrožena ztrátou, krádeží a loupeží, záplavami, požárem, sežráním hlodavci… Jsou karty bezpečné? Opět nikoli, je zde riziko prozrazení údajů samotným držitelem karty, krádeže identity a údajů o kartě, přepadení u bankomatu, podvod s podpisem, podvod se ztracenou kartou… Je placení mobilem bezpečné? Nikoli. Používáte stejný PIN pro platbu kartou v mobilu a pro otevření uzamčené obrazovky? Jak máte zabezpečená data ve svém mobilu? Kontakty a e-maily?

cestovko

Na závěr mi dovolte zamyšlení jednoho osloveného IT profesionála.

Nové technologie sice přinášejí nějaké nové slabiny, ale zároveň odstraňují slabiny předchozích. Ty sice byly co do důsledků mnohem závažnější, jenže jsme si na ně už tak nějak zvykli a bereme to, že to tak prostě je a jinak to nejde. Pak ovšem ty nové technologie nehodnotíme objektivně, protože jim nehodláme odpustit zhola nic. Na jednu stranu je to správné a možná v tom je důvod, proč se věci kolem nás obvykle s časem zlepšují. Na stranu druhou je to ovšem užitečné, mít na zřeteli, pokud chceme něco známkovat. Alespoň mně tato úvaha často pomůže najít onu zlatou střední cestu.

Odposlechnuto z diskuze

Stačí se hezky přitulit a mít v kapse ten správný responder a platba i hodně daleko je provedena.

Paranoia světem vládne. Stačí nosit kartu v obalu tvořeném kombinací železného a měděného plechu. Postačí tenký, nebude to těžké. Třeba i alobal. A může si takový obal pořídit každý. Mimochodem, jak si chráníte svůj pas s čipem s biometrickými údaji?

Co když zloděj použije pro vysílání i příjem signálu z vykrádaných karet anténu s vyšším ziskem a zabuduje ji např. do rámu dveří v obchodě?

Reakce odborníka 1

Experimenty, které se provádějí v laboratorním prostředí, mají adekvátní výbavu (10 000 USD je zde základní měrná jednotka). Kolik by stálo účelové zařízení, zůstává otázkou. Možná jej někdo navrhne a vyrobí jako svobodný hardware, který se bude levně šířit internetem, jenže svobodný hardware musí deklarovat jen ty nejčistší úmysly. Čili asi určitě nebude v základní výbavě myšleno na skrytou instalaci a potíže s příšerným rušením v reálném provozu obchodního domu.

Reakce odborníka 2 (Pavel Troller, odborný asistent ČVUT, Fakulta elektrotechnická)

To není tak snadné. Přečtěte si alespoň základní informace o NFC technologii. Ty nejzákladnější základy vám tu vypíšu:

Frekvence NFC přenosu probíhá na 13.56 MHz.
Vlnová délka této frekvence je 22,12 m.

Chcete-li použít „normální anténu“, např. půlvlnný dipól, hned tak se někam nevejdete. Samozřejmě takovou anténu nenacpete ani do té karty.

NFC používá jiného triku: Anténa v transceiveru (čtečce) i transpondéru (kartě) má tvar cívky/smyčky vyrobené technologií tištěných spojů. Cívka je schopna vytvořit relativně silné pole, ale jen ve své nejbližší blízkosti. Toto pole podléhá jiným zákonům než pole izotropního zářiče (antény). A právě tomu poli se říká Near Field (blízké pole).

Pokud se do téhož prostoru (několika cm kubických) umístí takové cívky 2, jejich pole se prolnou a vznikne vlastně transformátor se vzduchovým jádrem, který může zabezpečit poměrně těsnou vazbu cívek na sebe a tedy jak přenos energie potřebné pro nabuzení karty, tak i přenos informace tam i zpět následnou modulací tohoto pole.

Jakmile se od sebe cívky vzdálí tak, že se jejich „blízká pole“ přestanou  prolínat, efekt transformátoru zcela zmizí a spojení se přeruší. Nastoupí zákony šíření elektromagnetického pole ve volném prostoru a pro něj jsou rozměry antén náhle naprosto nedostačující.

Změnou geometrie na jedné straně (např. u transceiveru), třeba zvětšením cívky, toho mnoho nedocílíte, neboť stále platí, že aby přenos fungoval, musí se prolnout blízká pole obou zařízení a pole karty zůstává malinké. A cívku, jejíž pole by mohlo interreagovat s kartami např. ve dveřích si představit dokážu – ano, namotám drát hezky kolem futra (takže střed cívky bude v prostředku prostoru dveří). To by MOHLO skutečně fungovat, ale zase se to poměrně těžko realizuje, zvlášť když nejste majitelem budovy, jejíž dveře chcete takto upravit.

A jelikož lidé dveřmi obvykle jen procházejí a nestojí přesně v nich, doba možné interakce polí se omezí na řádově desítky, max. stovky milisekund, za kteroužto dobu nelze transakci dokončit.

Jako domácí úkol zkuste toto:

Pořiďte si transformátor s primárním a sekundárním vinutím na samostatných cívkách (celkem běžná konstrukce). Tento rozeberte a upravte tak, abyste mohl přibližovat či oddalovat jednotlivé části (kus jádra nechte v primární a kus v sekundární cívce). Pak to spusťte a zkuste ty části oddalovat a přitom měřte energii přenesenou do sekundáru. Uvidíte závislost této energie na vzdálenosti částí trafa od sebe. A pozor, nedělejte to dlouho, nebo vám primární vinutí shoří. Proč asi :-)

Ve článku „NFC karty nejsou nijak zabezpečené“ se v diskuzi píše, že není možné, aby se POS terminály platebním kartám autentizovaly, protože není způsob jak něco takového zajistit (POS terminál by musel obsahovat kryptografický materiál a byla by jen otázka času, kdy by unikl). Takže NFC rozhraní poskytuje zcela otevřeně stejnou množinu dat, jako kontaktní čip. Jediné, co z čipu nedostanete, je CVV kód, který čip generuje unikátní pro každou transakci. Takže musíte vybírat místo, kde je možné platit kartou na dálku a přitom nechtějí CVV.

Reakce odborníka 2

Ano, ten odkaz na prezentaci v té zprávičce je opravdu dobrý. Velmi zajímavé. Píšou tam, že lze mít „batohovou verzi“ transceiveru za cca 3000 euro, která má dosah 1,5m. No…, možná v laboratorních podmínkách. Ve skutečnosti uvěřím, až mi to někdo ukáže. Taky bych nechtěl takovou věc nosit – pokud mám na zádech stroj, jehož Near Field sahá do 1,5 m a je natolik výkonný, že dokáže vybudit kartu, tak

  • zaprvé aby byl napájen z autobaterie,
  • zadruhé bude zářit tak, že pokud by se, nedej Bože, ta karta dostala do jeho skutečné blízkosti (pár cm), tak nejspíše shoří,
  • a zatřetí i takové elektromagnetické pole takhle na blízko rozhodně zdraví neprospívá.

Ovšem možnost pasivního odposlechu jsem neuvážil. Ano, tam bude nejspíše možné skutečně odposlouchávat na desítky metrů, tomu bych věřil. A pokud mají pravdu, že tam jde normálně vzduchem vše z karty kromě CVV, nepůjde tím sice platit, ale zjišťovat si, kdo kde právě platí, taky může být pro někoho zajímavé.

Anketa

Máte strach platit bezkontaktně?

34 názorů Vstoupit do diskuse
poslední názor přidán 22. 12. 2014 13:42