In questi video di YouTube Modalità di risposta alla sfida e Modalità firma il cliente inserisce una sfida nel dispositivo CAP prima di generare una password unica. Perché non generare direttamente la password unica?
In questi video di YouTube Modalità di risposta alla sfida e Modalità firma il cliente inserisce una sfida nel dispositivo CAP prima di generare una password unica. Perché non generare direttamente la password unica?
Penso che questo sia per garantire che la risposta inserita nel sito Web sia fresca (ish). Se la password one time è stata generata direttamente, potrebbe essere utilizzata in qualsiasi momento, in futuro, il server non ha modo di verificare quando è stato generato. Fornendo la sfida alla carta, significa che la risposta generata può essere utilizzata solo per la transazione con la sfida corrispondente.
Ecco un esempio di attacco che sfrutta il fatto che una sfida non viene utilizzata per tutte le transazioni online o per accedere al tuo conto bancario:
A similar attack could be performed with CAP. The customer, using a tampered Chip & PIN terminal, would insert their card and enter their PIN as usual. The terminal would then generate the necessary CAP responses, and optionally also carry out the legitimate transaction. Shortly after, the customer would receive a personalised phone call or email, stating that a suspicious transaction had been noticed (stating the shop name they just used), asking for their online banking credentials. Since Barclays only uses identify and sign mode, there is no server-provided freshness or a timestamp, so the previously collected responses can be used, provided the customer had not logged into online banking in the meantime. With NatWest, which uses respond, there is a server-provided nonce, so the fraudulent transaction has to be in near real-time, and account credentials would need to be collected before the CAP responses were generated. The banks could resist this problem by offering separate CAP-only cards, but NatWest refused to do so for one of us.
È preso da Ottimizzato per fallire: lettori di schede per il banking online di Ross Anderson, un documento che parla del protocollo CAP e delle sue varie vulnerabilità. Il suo gruppo ha molti altri documenti interessanti così come their sito su Chip e PIN.
Leggi altre domande sui tag credit-card one-time-password smartcard