Il chip-e-PIN ha impedito la violazione dell'obiettivo?
Come tutti sappiamo, Target è stato violato e gli hacker hanno rubato molti numeri di carte di credito. Obiettivo è ora sostenere il chip-and-PIN, come un modo per fornire una maggiore sicurezza per le carte di credito. Questo mi fa meravigliare. Se il chip-and-PIN fosse stato installato, avrebbe prevenuto la violazione? Oppure l'attacco sarebbe stato ancora possibile (semplicemente costringendo gli aggressori a spostare leggermente i loro metodi)? Questo è solo PR o il chip-e-PIN ha fatto una differenza significativa rispetto al tipo di attacco visto nella violazione Target?
Ricorda che, nella violazione dell'obiettivo, gli aggressori sono stati in grado di compromettere i terminali point-of-sale di Target: non solo uno di loro, ma tutti loro. Il chip-e-PIN è sicuro in quel modello di minaccia, in cui l'attaccante controlla i terminali del punto di vendita?
Dipende se le carte di credito contengono sia un chip che un magstripe (per retrocompatibilità con i sistemi legacy), o se contengono solo il chip (e nessuna retrocompatibilità)? La mia impressione è che il modo in cui questo viene implementato è: in primo luogo abbiamo carte di credito che supportano sia chip-and-PIN che un magstripe legacy; quindi, dopo un certo periodo di tempo, quando i terminali chip-e-PIN sono sufficientemente distribuiti, le società delle carte di credito potrebbero iniziare a fornire carte di credito con solo il chip, ma non il magstripe. Ciò influisce sull'analisi? Per esempio, è la risposta che se le carte di credito avessero sia il chip che il magstripe, allora un terminale di punto di vendita compromesso può rubare il numero di carta di credito e CVV dal magstripe e poi clonare la carta, ma se le carte di credito avevano solo un chip, quindi non potevano?