EMV protegge dallo sniffare i dati PAN dalla rete non sicura?

4

Ho ricevuto informazioni contrastanti in merito alla sicurezza dei dati PAN sul filo. Può essere annusato con un EMV correttamente configurato su un bancomat?

Per citare il link sottostante: link

Il Consiglio per gli standard di sicurezza PCI osserva: "negli ambienti EMV, il PAN [numero di conto principale] non è mantenuto confidenziale in qualsiasi punto della transazione."

Tuttavia dalla mia comprensione una parte fondamentale di una transazione EMV è che il processore forma un crittogramma del PAN che può essere decifrato solo dall'emittente / processore (CDA / DDA). Rendere inutile qualsiasi traffico catturato. Quale sarebbe il punto nell'invio di PAN quando esiste già un modo unico di identificare la carta? Vedi la citazione qui sotto:

"Tutte le carte EMV hanno un requisito minimo obbligatorio per l'utilizzo di una carta unica chiave 3DES e avere una scelta tra tre sempre più utilizzo sicuro di firme e chiavi RSA, denominato SDA (Dati statici Autenticazione), DDA (Dynamic Data Authentication) e CDA (combinato Data Authentication). " link

Queste due fonti legittime sembrano contraddire se stesse per quanto riguarda i dati PAN vulnerabili agli attacchi MITM.

    
posta Tyler 04.04.2016 - 19:11
fonte

2 risposte

4

Molte persone sono sorprese nell'apprendere che EMV non crittografa il PAN. Ma in realtà, una volta che l'EMV è stato completamente implementato, la crittografia del PAN diventerebbe inutile e sarebbe un residuo come un debito tecnico degli attuali protocolli insicuri. EMV non ha bisogno di iniziare con quel bagaglio.

Il motivo per cui EMV non richiede la crittografia del PAN è che il PAN rappresenta solo Identità ; non rappresenta Autenticazione del chip (questo è il lavoro del messaggio ARQC), e non rappresenta la Autorizzazione del titolare della carta per utilizzare la carta (questo è il lavoro del PIN). Finché il chip è autenticato e l'utente fornisce l'autorizzazione, la transazione è protetta. L'identità non deve essere tenuta segreta.

Nell'odierno mondo non-EMV, identità, autenticazione e autorizzazione sono tutte e tre combinate sulla banda magica invariabile. La copia dei dati della striscia consente di clonare una scheda, quindi è necessaria la protezione dell'intera striscia. Usiamo le parole "furto d'identità" così le persone pensano di rubare la nostra identità, ma in realtà, stanno rubando tutti e tre gli attributi dalla carta allo stesso tempo.

Con EMV, il PAN deve ancora fornire l' identità della carta. Il resto dei dati EMV non include informazioni sufficienti per identificare altrimenti la carta, né dovrebbe. L'identità può anche essere resa pubblica, a condizione che non possa essere utilizzata da sola.

In EMV, il crittogramma ARQC funge da firma dal chip, autentica i messaggi originati dal chip associato al PAN. La crittografia e l'archiviazione sicura sui chip assicurano che un ARQC non possa essere falsificato. Poiché l'ARQC è transazionale, ogni richiesta è diversa; gli attacchi di replay non funzionano fintanto che la banca assicura che gli ARQC duplicati vengono rifiutati.

Il PIN funge da addebito per l'autorizzazione dell'utente . Il PIN dice al chip "hey, il tuo utente ha appena dimostrato che vuole che questa transazione vada a buon fine." Spetta alla tua banca se vogliono che la tua carta richieda un PIN; potrebbero essere felici solo facendoti firmare per la transazione.

[Si noti che la maggior parte delle banche degli Stati Uniti ha optato per Chip e Signature invece di Chip e PIN. L'unico vantaggio di Chip e PIN è che protegge la tua carta dall'uso non autorizzato in caso di smarrimento o furto; ma in realtà, FDIC limita già la tua responsabilità personale a $ 50 , e quasi tutte le banche rinunciano quello a $ 0 nel caso di una carta persa o rubata. E dal momento che le banche fanno soldi ogni volta che addebiti qualcosa, preferiscono accettare il rischio di frode (che sono già obbligati a prendere per legge ) piuttosto che arrecare disturbo ai loro clienti facendoli digitare un PIN. Credono che i clienti con problemi troveranno un modo più semplice per pagare, tagliando i loro profitti.]

Ma siamo molto lontani dal lancio completo di EMV. Lo spostamento di responsabilità di ottobre 2015 è stato creato come incentivo per i rivenditori statunitensi a modificare l'elaborazione delle transazioni per utilizzare l'EMV, ma pochi rivenditori statunitensi accettano effettivamente le chip card a partire da aprile 2016. Nuovi terminali, nuovi software e nuove carte in 6 milioni di rivenditori , 11.000 banche e miliardi di carte richiedono molto tempo e denaro. E nessuno ha ancora creato una soluzione universalmente accettata per proteggere le transazioni di Card Not Present (CNP), come prenotazioni alberghiere, acquisti sul Web, ecc. Quindi, finché EMV non sarà completamente implementato e il problema CNP risolto, sarà ancora a carico dei commercianti e dei terminali POS per proteggere e crittografare i PAN e i dati di autorizzazione sensibili. Per ora, questo include PAN.

    
risposta data 04.04.2016 - 22:39
fonte
3

Il PAN è ancora vulnerabile al compromesso in una transazione EMV come lo era senza EMV, se non sono state adottate ulteriori misure di sicurezza. Il testo in chiaro, PAN statico è ancora incluso nel messaggio di transazione, oltre al crittogramma. Le affermazioni che hai citato sopra sono entrambe vere. L'utilizzo di SDA / DDA / CDA riguarda le operazioni di crittografia eseguite con EMV. Separato da quello, il PAN è ancora incluso in un campo diverso da quello in cui è stato inviato il crittogramma.

Per quanto riguarda "on the wire goes", i requisiti PCI DSS specificano che i PAN devono essere crittografati quando vengono trasmessi su reti pubbliche aperte come Internet. La crittografia su reti private non è obbligatoria.

Molte soluzioni implementano la crittografia Point-to-Point (P2PE) su EMV per proteggere il PAN.

    
risposta data 04.04.2016 - 21:26
fonte

Leggi altre domande sui tag