Néhány napja igen megdöbbentő eredményekről számoltak be cambridge-i kutatók:

A chipes, EMV (Eurocard-Mastercard-Visa) kártyákat nem lehet másolni. Ezért ha egy ügyfél azt állította, hogy egy adott kártyás tranzakciót nem ő indított, de nem lopták el a kártyáját, akkor a bíróság következetesen elutasította az ügyfél kifogását, mert igazolható, hogy a kártya jelen volt a tranzakciónál. Az a kártya pedig az ügyfél kártyája kellett, hogy legyen, mert az EMV kártyát nem lehet másolni.

Most kiderült, hogy hiba van a fizetési protokollban. A protoll használ egy friss véletlenszámot, amit nem a kártya és nem a bank, hanem a terminál generál. Nagyon sok terminál rossz minőségű véletlenszámot generál (sőt, nem kriptográfiai véletlent, hanem egyszerű sorszámot használ), és ekkor a tranzakció visszajátszható. Ilyenkor a támadó tud tranzakciót indítani (pl. vásárolni tud) az ügyfél nevében, és ez számára majdnem olyan, mintha lemásolta volna a kártyát. Ez igen súlyos probléma, hiszen a bankok épp azért költenek világszerte az EMV kártyákra való áttérésre, mert az EMV kártyákat - szemben a mágneskártyákkal - nem lehet másolni.

A kutatók állítása szerint élesben is fordult már elő ilyen támadás, amikor valódi bűnöző valódi ügyfél valódi pénzét nyúlta le, és szerintük a bankok tudtak is már erről a hibáról.

(A probléma megszüntetéséhez a rossz véletlenszámokat generáló terminálokat kellene kijavítani. Egyébként sok protokollban a felek közösen generálják az ilyen véletlenszámokat, így akkor is biztonságos marad a rendszer, ha valamelyik fél - szándékosan vagy szándékolatlanul - rossz véletlen-forrást használ.)

BTW: Két évvel ezelőtt ugyanez a cambridge-i csapat (azaz Ross Anderson csapata) jelentett be egy hasonlóan megdöbbentő hibát az EMV Kártyákkal kapcsolatban. A chipes kártyákkal kétféle módon lehet fizetni: PIN kóddal, vagy pedig a terminál által adott papír (kézzel történő) aláírásával. Ha panasz esetén a bank igazolja, hogy a PIN kód jelen volt a fizetésnél, akkor a bank nem téríti meg a kárt, arra hivatkozik, hogy az ügyfél hagyta el a PIN-t, és ez az ő baja. A kutatók megmutatták, hogy meg lehet trükközni a tranzakciót, hogy a kártya azt higgye, aláírással igazolta magát az ügyfél, a bank pedig azt, hogy PIN-nel. A bank naplóiban így annak a bizonyítéka szerepel, hogy fizetéskor a PIN is jelen volt, így a bank nem fizet semmit. Az ügyfél pedig hiába vigyázott a PIN kódjára, a bank bizonyítani tudta, hogy a támadó hozzájutott a PIN-hez. A kutatók itt is azt állították, hogy a bankok már tudtak erről a sebezhetőségről.

BTW2: Nem érinti az EMV kártyák biztonságát, de szintén bankkártyákhoz kapcsolódik a következő (angliai) eset: A bank rossz címre küldte ki a hitelkártyát, így az ügyfél pénzét lenyúlták. Az ügyfél tiltakozott, végül az ombudsmannál kötött ki az eset, aki megdöbbentő módon szintén a banknak adott igazat, holott nyilvánvaló volt, hogy a bank hibázott. Közfelháborodás lett az ügyből, és végül az ombudsman is meggondolta magát, a bank is bocsánatot kért, és megtérítette az ügyfél kárát. Azért különösen érdekes az ügy, mert nyilvánosan elérhető lényegében minden fontos levelezés a panaszos ügyvédje, a bank és az ombudsman között. Ritkán esik meg, hogy az ilyen ügyek a nyilvánosság előtt zajlanak, és hogy ennyi dokumentum elérhető velük kapcsolatban.