mikrocontroller.net

Forum: Offtopic Geldkarte Sicherheit


Autor: Panzerknacker (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hallo, wie können die Banken sichergehen, dass ich meine Geldkarte nicht 
klone, indem ich sie auslese und nachbaue?
Ist es überhaupt möglich, ein EEPROM "von außen" auszulesen?
Es ist ja durchaus möglich, durch aufschleifen die Strukturen von Chips 
zu erkennen, darum geht es hier aber nicht.
Das Protokoll ist nämlich bekannt, von Bedeutung sind die Schlüssel, die 
im Speicher der Karte hinterlegt sind.
Basiert nicht die ganze Sicherheit der Geldkarte darauf, dass es 
niemandem gelingt, irgendwie an den Inhalt seines Geldkartenspeichers zu 
kommen?
Sollte das jemand mal schaffen, könnte er mit diesen Informationen dann 
so oft er möchte mit eigentlich nicht vorhandenem Geld bezahlen, ohne, 
dass ihn jemand daran hindern kann.
Er könnte auch noch mehr Kopien dieser Karte anfertigen und sie 
hundertfach verkaufen.

Es existiert zwar ein Schattenkonto bei der Bank, dieses dient aber so 
weit ich weiß nur dazu, falls die Karte kaputt geht, der Inhaber 
trotzdem noch den Betrag, der auf dem Konto ist, gutgeschrieben bekommen 
kann.
Natürlich würde die Bank den Betrug bemerken, doch was könnte die Bank 
dann noch tun?
Ich bin mir ziehmlich sicher, dass auf dem "Gegenstück" der Geldkarte, 
das sich zb in den Automaten befindet, kein Platz für etwaige 
Sperrdateien vorgesehen ist, die von der Bank übermittelt werden 
könnten.

Wenn ich das richtig verstanden habe, kann die Geldkarte keine 
asymmetrische Verschlüsselung. Wie kann sie sich dann gegenüber dem 
Automaten authentifizieren?
Selbstverständlich muss sich jedes Exemplar auch anders 
authentifizieren, zwar mit dem gleichen Verfahren, aber mit 
unterschiedlichen Schlüsseln.
Wie erreicht man sowas mit begrenztem Speicherplatz auf Automatenseite?

Ich finde dieses Prinzip der Sicherheit etwas seltsam, jemandem 
Informationen in die Hand zu drücken, die er nicht haben darf und dann 
darauf hoffen, dass er technisch nicht in der Lage ist, an diese 
Informationen zu gelangen.

Der Unterschied zwischen dem Auslesen von Speicher und Knacken von 
Algorhitmen besteht darin, dass ersteres vom technischen Aufwand abhängt 
und somit nur in der Praxis sicher, theoretisch aber problemlos machbar 
ist.
Zweiteres jedoch basiert darauf, dass der Rechenaufwand zum 
Entschlüsseln (ohne den Schlüssel zu kennen) soviel höher als das 
Verschlüsseln ist, dass bei gegebener Rechenleistung zwar jeder 
problemlos verschlüsseln kann, es aber ausreichend lange dauern würde, 
den Schlüssel zu ermitteln.

Autor: Bankräuber (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
>Wenn ich das richtig verstanden habe, kann die Geldkarte keine
>asymmetrische Verschlüsselung.

Natürlich kann sie das! Und wie du schon richtig bemerkt hast, führen 
die Banken Schattenkonten. Was willst du denn da noch manipulieren, wenn 
es sowieso todsicher auffällt?

Autor: Panzerknacker (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
>Natürlich kann sie das!
Woher hast du diese Information?

Meines Wissens nach haben die Bezahlstellen einen bestimmten Key (alle 
den selben), aus dem sich zusammen mit der Kartenseriennummer der 
Kartenschlüssel errechnen lässt. Dieser Kartenschlüssel ist auf der 
Karte gespeichert. Dadurch haben dann beide den gleichen Schlüssel, ohne 
diesen vorher austauschen zu müssen, wodurch sie sich dann 
authentifizieren können.
Die Datenübertragung läuft dann symmetrisch verschlüsselt ab.

Heißt das nicht, wenn ich so ein Terminal in die Finger bekomme, ich aus 
diesem Key beliebig viele Geldkarten produzieren kann? (Seriennummern 
kann ich mir ja ausdenken, den Schlüssel bekomme ich aus diesen 2 Daten.

Ja, das Schattenkonto, ist das nicht völlig nutzlos gegen Betrug?
Ich glaube nicht, dass die Bezahlstationen in der Lage sind, von den 
Banken Sperrdateien zu erhalten und speichern. Solche Sperrdateien 
müssten auf der Chipkarte des Terminals gespeichert werden, dafür ist 
doch viel zu wenig Platz.

Autor: crazy horse (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
tja, ich habe schon vor 15 Jahren überlegt:
in der Tanke jobben gehen, in der Nachtschicht ein ganz klein wenig am 
Kartenleser manipulieren, schon hast du Kartendaten und Pin. Daten 
gesammelt über ein paar Wochen Das kann jeder einigermassen 
elektronikbegabte 15jährige, ich zumindest hätte mir das leicht 
zugetraut, aber ich bin ja an sich ein ehrlicher Mensch.

Autor: El Jefe (bastihh)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hat meines erachtens nach, mit selbstüberschätzung nichts zu tun
im grunde genommen sehr einfach:

über eine Art "Y" - Platine einfach die Daten von der Karte & Tastatur 
am Gerät abgreifen und µC gesteuert in ein EEProm abspeichern. Was soll 
daran kompliziert sein?

(Natürlich gehört da ein bisschen mehr zu aber von den Grundzügen würde 
das gehen)

Autor: crazy horse (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hihi, du Schlaukopf...
Ich komme ehrlich ganz gut zurecht. Und mir ist wohler, nicht bei jedem 
Türklingeln zusammenzucken zu müssen.
Was bitte ist dabei, die Daten des Kartenlesers und der Tastatur 
mitzuloggen und die Kartendaten auf ne weisse Blankokarte zu übertragen 
und mit der Pin zu diversen Geldautomaten zu latschen?
Du wirst mich jetzt sicherlich aufklären, wo der Haken dabei liegt.
Ich hab das weder versucht noch weiter verfolgt. Technisch sehe ich 
wirklich kein Problem.
Kartengeräte verplombt/alarmgesichert? Vielleicht, keine Ahnung.

Autor: crazy horse (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
ja, wenn du an die Leitung vom Lesegerät gehst - da ist alles zu spät.
Direkt an der Leseeinheit kann ja noch nicht viel verschlüsselt sein...
Werde morgen mal versuchen, ein clone meiner eigenen Karte herzustellen 
(oder ist das auch schon strafbar?)

Autor: El Jefe (bastihh)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Mhh irre ich mich...  war in den Medien ne menge drinne über 
manipulierte EC-Geräte? Insbesondere war ein Baumarkt betroffen (der mit 
den 3 Buchstaben)... Dort wurde eingebrochen, aber nichts geklaut(erst 
später hat man festgestellt, dass die Geräte manipuliert worden sind).
Zumal steigen die Zahlen manipulierter Geräte drastisch an.

[edit] erinnere mich gerade wieder, dass Sie mal bei Akte07 daraufhin 
ein Testgemacht haben.
Sogar mit Funkmodul. Am ende saßen die Akte07 Leute, draussen auf dem 
Parkplatz im Auto mit nem Notebook samt gebastelter µC Schaltung und dem 
Funkmodul und haben Live den Datenstrom abgegriffen...

Autor: Panzerknacker (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Lieber J. Ackermann. Könntest du vielleicht aufhören, andere als Idioten 
oder dumm zu beschimpfen? Statt den Leuten hier mit Argumenten zu 
kommen, beleidigst du bloß.

Soviel dazu.
Basti meinte die Leseeinheit im Gerät. Natürlich vom Magnetstreifen, 
nicht vom Chip. Du antwortest irgendwas mit digitalen Signaturen, das 
hat damit überhaupt nichts zu tun. Die Betrüger brauchen nur die 
Kontodaten und die Pin, ersteres bekommen sie durch den Magnetstreifen, 
zweiteres indem sie die Tastatur auslesen.

Bitte erkläre mal, wieso die Kartengeräte direkt von einem anderen Konto 
abbuchen sollten, wie kommst du darauf? Was hätten die Täter davon, wenn 
sie für den Betrug auch noch ein Konto in Deutschland bräuchten, das 
zudem noch bei einem Unternehmen wie easycash angemeldet sein müsste.

Natürlich speichern die Betrüger die Daten auf einem eeprom und schicken 
sie dann zb per gsm an sich weiter, um im Ausland dann das Konto 
abräumen zu können.

Das hat aus Tätersicht alles den Nachteil, dass die Masche nur so lange 
funktioniert, wie die Manipulation unentdeckt bleibt.

Mir ging es ja um die Geldkarte, bei der ein erfolgreicher Angriff dem 
Angreifer garantieren würde, unentdeckt zu bleiben.

Autor: Bankräuber (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
>Mir ging es ja um die Geldkarte, bei der ein erfolgreicher Angriff dem
>Angreifer garantieren würde, unentdeckt zu bleiben.
Wie kommst du darauf, mit so einer Karte im grossen Stil abräumen zu 
können? Wir leben in einer elektronischen Welt mit Kameras und 
Zeitstempeln. Früher oder später fliegst du damit auf, auch wenn die 
Kontoführung nicht in Echtzeit passiert. Und selbst wenn du recht hast, 
mit deiner symmetrischen Verschlüsselung, die eigentlich nur bei den 
Magnetstreifen eingesetzt wird, so musst du zumindest ein 
Reverse-Engineering durchführen. Es gibt nur eine Handvoll Firmen auf 
der Welt, die das können und es kostet bestimmt sehr viel Geld (>100k). 
(Schweigegeld noch nicht inbegriffen.) Bist du dich da durchgefragt 
hast, wer das für dich machen könnte, hast du schon deine erste Spur zu 
dir gelegt.

Abgesehen davon, müsstest du die Chips selbst reproduzieren können. 
Modernen Chips (z.B. Mifare) verfügen auch über Rom-Zellen in denen 
gängigerweise die Seriennummern abgelegt sind.
Mifare-Chips werden heute bei vielen Universitäten eingesetzt und haben 
die alten Magnetstreifen und Sticks mit einfachen Eeprom und Standard 
I2C Industrie-Bus als Bezahlsysteme bereits abgelöst. Zu recht wie ich 
finde! Ich selbst habe während meiner Studienzeit schwer davon 
profitiert. (roflmao)

Autor: Uhu Uhuhu (uhu)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Bankräuber wrote:
> Abgesehen davon, müsstest du die Chips selbst reproduzieren können.
> Modernen Chips (z.B. Mifare) verfügen auch über Rom-Zellen in denen
> gängigerweise die Seriennummern abgelegt sind.
> Mifare-Chips werden heute bei vielen Universitäten eingesetzt und haben
> die alten Magnetstreifen und Sticks mit einfachen Eeprom und Standard
> I2C Industrie-Bus als Bezahlsysteme bereits abgelöst. Zu recht wie ich
> finde! Ich selbst habe während meiner Studienzeit schwer davon
> profitiert. (roflmao)

Allerdings ist der Mifare-Verschlüsselungsalgorithmus erst kürzlich 
geknackt worden. Die Dinger sind jetzt offen wie ein Scheunentor...

Autor: Panzerknacker (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Es geht weniger um die praktische Machbarkeit/den praktischen Nutzen.
Zugegeben, mit einer Geldkarte kann man weniger große Beträge bezahlen 
als mit EC Karten, dementsprechend ist es ziehmlich fraglich, ob man die 
Kosten, die man reinstecken müsste, in irgendeinem Verhältnis zum 
erzielten Nutzen stehen.

Andererseits frage ich mich, ob die Sicherheit auf wirtschaftlichen 
Faktoren basieren darf.
Mal als Vergleich: Angenommen, jemand hätte einen Weg gefunden, Geld so 
nachzudrucken, dass es von "echtem" Geld nicht unterscheidbar wäre, auch 
nicht von Banken.
Auch wenn es sagen wir mal 1000 Euro kosten würde, einen 500 Euro Schein 
zu drucken, darf das einfach nicht sein.
Wer sagt, dass es dann nicht irgendwann für 450 Euro machbar ist?

Alleine die Vorstellung, dass sich jeder seine eigene Geldkarte 
herstellen könnte, sobald einmal bestimmte Keys bekannt wurden.

Aber ob so ein Szenario realistisch ist?
Die entscheidene Frage ist ja, ob man einen Speicher auslesen kann, 
indem man den Chip zb öffnet (abschleift), ohne jedoch die Ansteuerung, 
die auf dem Chip integriert ist, nutzen zu können.
Natürlich kann man eine Geldkarte nicht einfach in ein Lesegerät stecken 
und auslesen.

Reverse Engineering müsste man nur bedingt anwenden, was an Verfahren 
geheim ist, ist die innere Verdrahtung des Chips und die Software 
dadrauf.
Das Protokoll jedoch ist es nicht.

Autor: Uhu Uhuhu (uhu)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Panzerknacker wrote:

> Andererseits frage ich mich, ob die Sicherheit auf wirtschaftlichen
> Faktoren basieren darf.

Das ist aber immer so, egal ob es sich um Münzen, Banknoten, oder 
Verschlüsselungsalgorithmen handelt.

Der Sinn solcher Sicherheitsmaßnahmen ist immer nur, die Fälschung, das 
Einbrechen, etc. pp. so aufwendig zu machen, daß es sich nicht lohnt, 
oder daß der Aufwand für unautorisierte Entschlüsselung so hoch ist, daß 
die so kompromittierten Geheimnisse mittlerweile wertlos sind.

> Auch wenn es sagen wir mal 1000 Euro kosten würde, einen 500 Euro Schein
> zu drucken, darf das einfach nicht sein.
> Wer sagt, dass es dann nicht irgendwann für 450 Euro machbar ist?

Es findet immer eine mehr oder weniger schnelle Co-Evolution statt 
zwischen Fälschern/Codeknackern und denen, die ihr Geld und ihre 
Geheimnisse schützen wollen.

Es gibt also nicht den ultimativen Schutz, der für immer wirksam ist, 
und das auch noch garantiert...

Autor: Gerhard (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Bei der Geldkarte wird es wohl genauso sein.

Wahrscheinlich ist da ein gewisser Mißbrauch schon einkalkuliert und 
dafür wird von den Betreibern eine Versicherungsprämie bezahlt. Und 
diese Versicherung zahlt dann den ehrlichen Kunden, die Opfer eines 
Betrugs werden, den zu unrecht belasteten Betrag wieder aus.

Die Banken brauchen sich dann um die Details so lange gar nicht kümmern, 
bis ein Hack so populär wird, daß der Schaden über die tolerierte 
Mibrauchsquote hinausgeht.

Bitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail, Yahoo oder Facebook? Keine Anmeldung erforderlich!
Mit Google-Account einloggen | Mit Yahoo-Account einloggen | Mit Facebook-Account einloggen
Noch kein Account? Hier anmelden.