(Lange Nachwarnung);
(In diesem Beitrag verwende ich „NFC“ als Abkürzung für das etablierte System (vor Apple Pay), das von bestehenden Kreditkarten und Banken für drahtlose Zahlungen mit kurzer Reichweite (unter 10 cm) verwendet wird. Ich glaube, dies ist ISO/IEC 14443.) .
(Ich denke das) Ich verstehe, wie NFC-für-Zahlungen funktioniert: Bei NFC-fähigen Karten (auf denen sich das Wi-Fi-ähnliche Logo befindet) enthält ein geschlossener und sicherer Chip eine Kopie Ihrer Kreditkarteninformationen , ein NFC-Zahlungsterminal fragt Ihre Karte ab (unter Verwendung eines RFID-ähnlichen Prinzips), und das Terminal erhält Ihre Daten und leitet dann die Belastung an den Zahlungsabwickler des Händlers weiter, und das war's.
So weit, so einfach: NFC ist nur eine weitere Möglichkeit, Ihre Kontodaten aus Ihrer physischen Kreditkarte herauszuholen, genau wie der Magnetstreifen oder der EMV-Chip. Sobald das Terminal Ihre Kartendetails (Kartennummer, Ablauf usw.) hat, spielt es für den Händler keine Rolle, wie er diese Details erhalten hat – sie könnten manuell durch physisches Eingeben der geprägten Nummern auf der Karte übermittelt worden sein.
Ich verstehe jedoch, dass "Standard" NFC für Zahlungen standardmäßig ein Analogon des Magnetstreifens ist, da es nur eine direkte Kopie der Kartendetails liest: Der NFC-Chip generiert keine Karte für den einmaligen Gebrauch oder sogar das Kreditkartensystem mit einem eigenen Konto/Digital-Wallet-System untergraben. Ich verstehe auch, dass NFC standardmäßig keine Over-the-Air-Verschlüsselung oder gar ein Challenge-Response-System verwendet, was bedeutet, dass es hypothetisch möglich ist, ein Handlesegerät an den Geldbörsen und Manteltaschen von Menschen zu betreiben, um Beträge mit geringem Wert zu überfliegen[ 1] von "dummen" NFC-Karten, oder ein Angreifer könnte einen NFC-Sniffer neben einem NFC-Terminal verstecken, um NFC-Daten mitten im Flug zu erfassen[2]. Das ist besorgniserregend. Ich frage mich, wie das NFC-System von Visa, Mastercard, AMEX und anderen autorisiert wurde, wenn man bedenkt , wie unsicher es ist.
Vor kurzem, aber lange bevor Apple Pay angekündigt wurde, verfügten Android-Telefone über NFC-Funktionen, mit denen Benutzer die Details ihrer Kreditkarten auf den NFC-Chip klonen und das NFC-fähige Telefon dann als Ersatzkarte an NFC-Zahlungsterminals verwenden konnten. Unter der Annahme, dass die gleichen Sicherheitsprobleme, die NFC betreffen, immer noch bestehen, ist es wohl kein Wunder, dass Apple zumindest anfangs keine NFC-Funktion in das iPhone eingebaut hat.
Apple Pay verwendet das gleiche NFC-Protokoll – deshalb können Sie Apple Pay mit jedem NFC-Terminal verwenden. Apple wollte es sicherer machen, aber sie konnten das OTA-Signal nicht verschlüsseln, weil dies die Kompatibilität mit bestehenden NFC-Terminals beeinträchtigen würde - also haben sie die Sicherheit erhöht, indem sie nicht die rohen, originalen Kreditkartendaten gesendet haben, sondern Apple Pay im iPhone selbst generiert und sendet eine einmalige, einmalig verwendbare Kreditkartennummer, die dann per NFC übertragen wird. Dies ist so, dass der Angreifer, wenn die Funkübertragung abgefangen werden sollte, keine Verwendung für die Details hätte (denn wenn die Einwegkartennummer bereits belastet war, konnte er sie nicht erneut belasten - und wenn er seine Belastung zuerst durchbrachte dann würde der gutgläubige Händler sehen, dass seine Belastung abgelehnt wurde, und er könnte sie sofort anfechten).
Da Apple Pay dann zu einem eigenen System auf einem anderen System wird (weil Apple die Kreditkartennummern für den einmaligen Gebrauch kontrolliert), bedeutet dies, dass sie von den Banken der Kunden verlangen müssen, dass sie sich auf individueller Basis ihrem System anschließen (also den Systemen der Bank). kann die Einweg-Kreditkartennummern von Apple aufnehmen) - dies erklärt die langsame Einführung von Apple Pay und erklärt auch, warum sie eine Kürzung von 0,15 % bei jeder Transaktion rechtfertigen können: weil sie mit dem Mehrwert Mehrwert schaffen Sicherheit durch ihr Einwegsystem.
Doch wie funktioniert Apple Pay im Backend, zwischen dem NFC-Terminal und dem eigenen Kreditkartenkonto des Kunden? Der Händler erhält die Einweg-Kreditkartennummer und würde sie vermutlich immer noch genauso verarbeiten wie eine normale Kreditkartennummer: Er gibt sie an seinen Zahlungsabwickler weiter, der dann das Netzwerk (Visa, MasterCard oder AMEX) belastet. der wiederum die Bank/den Kreditkartenanbieter des Kunden belastet ... aber wie kann jeder der Beteiligten wissen, was die ursprünglichen Kreditkontodaten des Kunden sind? Apple ist derjenige, der diese Einwegcodes generiert. Ich verstehe, dass Kreditkartennummern die Kennung der ursprünglichen Bank enthalten (weshalb alle meine Karten von derselben Bank ihre ersten 8 Ziffern teilen) - also generiert das Apple Pay-System entweder einen Einmalcode innerhalb der Banknummer des Kunden -Raum (zB
Wenn Apple die Vorwahl der Bank des Kunden verwendet, erhält die Bank die Gebühr direkt an sich selbst gesendet und Apple ist kein Zahlungsvermittler – Apple Pay generiert lediglich eine Einwegnummer. Apple hätte keine Möglichkeit zu wissen, wie viel Geld tatsächlich berechnet wurde, und so könnten sie um die Kürzung von 0,15 %, die sie fordern, betrogen werden. Dieses System würde eine Möglichkeit erfordern, die Einwegcodes in tatsächliche Kontodetails zu übersetzen - ich denke, Apple stellt dies den Banken über einen Back-End-Seitenkanal zur Verfügung.
Wenn Apple jedoch seine eigene Bankvorwahl verwendet, bedeutet dies, dass jede Transaktion das Apple-System durchläuft: Sie hätten Zugriff auf die Details für jede Transaktion und erstellen ein Einkaufsverhaltensprofil für alle ihre Benutzer. Sie könnten auch genau wissen, welche Beträge ausgegeben werden, und ihren Rabatt von 0,15 % einfordern und die Zuordnung der Einwegkartendetails geheim halten – sie würden dann die Belastung an die Bank des Kunden weiterleiten (proxynieren).
...keine der oben genannten scheint mir besonders ideale Lösungen zu sein.
Daher komme ich zu dem Schluss, dass Apple Pay ein „Patch“ für NFC ist, wobei NFC selbst ein unsicheres Add-On für ein bereits veraltetes System ist (das ist das Konzept der wiederverwendbaren Kartendetails).
Ich frage mich also, warum NFC bei der ursprünglichen Einführung nicht Einweg-Zahlungsdetails eingeführt und vorgeschrieben hat (die direkt von Banken oder dem Zahlungsnetzwerk verwaltet werden, anstatt von einem Drittanbieter)? Und es wäre kein Problem gewesen, auch ein Challenge-Response- oder (ein halbwegs zukunftssicheres) OTA-Verschlüsselungssystem zu verwenden – dies hätte Apple Pay vollständig überflüssig gemacht.
Wenn sich nun herausstellt, dass NFC bereits über OTA-Verschlüsselung verfügt und Banken bereits Single-Use-Details unterstützen[3] (ist das nicht sowieso das, was EMV tut?), welchen Mehrwert bringt Apple Pay dann?
Ist dies das Ergebnis der Tatsache, dass die etablierten Kartennetzwerke (Visa, MasterCard, AMEX usw.) so resistent gegen Änderungen sind, dass sie lieber neue Funktionen hinzufügen, die die Unsicherheit und/oder technische Inkompetenz des zugrunde liegenden Systems erben, was einem unsicheren System wie NFC ermöglichte? in der Produktion bereitgestellt werden, und ohne zumindest auf OTA-Verschlüsselung als Patch nach der Veröffentlichung zu drängen? Es ist ein Mysterium, dass wir angesichts der schieren Menge an Geld, die Kartennetzwerke für sich beanspruchen (und wohin geht das alles?), dass wir sie nicht an ihren eigenen innovativen oder disruptiven Plattformen arbeiten sehen ... es ist ein Kinderspiel.
[1] Ich verstehe, dass an vielen Stellen für NFC-Gebührenbeträge unter einem bestimmten Schwellenwert, sagen wir 20 $ oder 10 £, keine PIN für die Authentifizierung der Ladeautorisierung erforderlich ist - angeblich, um das Kundenerlebnis bei kleinen Einkäufen wie einer Tasse zu beschleunigen Kaffee oder ein Zugticket.
[2] Und angesichts der Produktionsqualität und Liebe zum Detail der heutigen ATM-Karten-Skimmer ist es durchaus möglich, dass organisierte Kriminelle noch schwerer zu findende NFC-Skimmer entwickeln könnten, wenn nur eine passive Empfangsantenne und ein Mikrocontroller erforderlich sind + Speicherkarte.
[3] Ich erinnere mich, dass ich vor ein paar Jahren von einigen Banken gelesen habe, die Kreditnummern für den einmaligen Gebrauch generierten, die Kunden für Online-Einkäufe verwenden konnten, obwohl dies eine Funktion pro Bank ist, die nicht von Natur aus von den Kreditkartennetzwerken selbst unterstützt wird.
Ich denke, Sie übersehen einen wesentlichen Punkt: NFC wird nicht nur für Zahlungen verwendet. Es ist ein allgemeines Protokoll ("Near-Field Communication"), das eine einfache Konnektivität zwischen benachbarten Geräten ermöglichen soll.
Daher sind eingebaute Verschlüsselung/Sicherheit ebenso kontraproduktiv wie eingebaute Verschlüsselung/Sicherheit in IP: Sie erzwingen etwas von einer höheren Schicht auf einer niedrigeren Schicht. Anwendungen, die NFC verwenden, aber diese zusätzliche Sicherheit nicht benötigen, zahlen unnötige Strafen.
Hier kommen Anbieter wie Apple Pay, Android Pay, Samsung Pay und andere hinzu. Sie stellen Anwendungen bereit , die NFC für bestimmte Zwecke verwenden. Und sie bieten die dafür notwendige Sicherheit.
Banken können gerne ihre eigenen Anwendungen einführen, aber ihnen fehlt die Kundenbasis, um sie so weit zu verbreiten, dass POS-Anbieter sie integrieren könnten. Visa/Mastercard haben bereits eigene „Near-Field“-Lösungen, die selbst in Karten eingebettet sind, und sind nicht unbedingt daran interessiert, in ihren Bereichen mit Software-Giganten wie Apple oder Google zu konkurrieren. Telefonherstellern fehlt es auch an einer ausreichend breiten Kundenbasis (mit Ausnahme von Samsung, das sehr beliebt ist und infolgedessen in der Lage ist, sein eigenes Zahlungssystem durchzuziehen - ich glaube, sie sind eine Partnerschaft mit Visa).
Wenn Apple die Vorwahl der Bank des Kunden verwendet, erhält die Bank die Belastung direkt an sich selbst und Apple ist kein Zahlungsvermittler
Ja, als Teil des Hinzufügens einer Karte zu Apple Pay werden die Details zusammen mit Gerätedetails und anderen Informationen an die ausstellende Bank gesendet. Basierend auf der Überprüfung sendet die Bank eine DAN [Gerätekontonummer] und andere Codes.
Nachdem Sie Ihr Telefon am Point of Sale vorgezeigt haben, wird DAN übertragen. Dies ist ähnlich wie die Übertragung der Kartennummer, es sind zusätzliche Informationen verschlüsselt. Visa sendet diese dann an die Issuing Bank zurück und basierend auf DAN wird die eigentliche Karte belastet.
Also ja, Apple kennt Ihre Kartennummer nicht, sobald es die DAN erhält.
Es ist durchaus möglich, dass organisierte Kriminelle noch schwerer zu findende NFC-Skimmer entwickeln
Gerade jetzt haben Kriminelle den einfachen Schritt gefunden ... als Teil der Einrichtung sendet Apple Pay Informationen an die Issuing Bank zur Verifizierung. Wenn Sie iTunes häufig verwenden und seit Jahren usw. dieselbe Karte verwenden, wird sie automatisch genehmigt. Andernfalls verwenden sie eine alternative Methode, dh den Kunden anrufen usw. Es ist einfach, hier zu spawnen. Ich erhalte Kartendetails und muss keine Zeit damit verbringen, Dinge zu duplizieren [Magazin oder Chip]. Versuchen Sie einfach, sich bei Apply Pay zu registrieren, jemand mit weniger Erfahrung vom Kundendienst ruft an und ich werde zugelassen. Verwenden Sie dies für einige Orte und löschen Sie dann einfach diese Karte und fügen Sie eine neue hinzu. Da Apply Pay meine Karte nicht speichert, können sie neu nicht von alt unterscheiden ...
"Standard" NFC-für-Zahlungen ... liest eine direkte Kopie der Kartendetails ... generiert keine Einmalkartennummer ... verwendet keine Over-the-Air-Verschlüsselung oder gar eine Abfrage -Antwortsystem [?]
Der normale kontaktlose Zahlungsvorgang beinhaltet transaktionsspezifische kryptografische Signaturen.
Welches Verfahren verwendet wird, hängt jedoch von der Ausstattung des Anbieters und dem Schema ab (Visa, Mastercard, Amex, ...).
Ein „Magstripe-Modus“, sofern unterstützt, ermöglicht das Auslesen der Kartennummer und des Ablaufdatums.
Es gibt eine gute Beschreibung bei Level2Kernel , die "Magnetstreifenmodus" und "EMV-Modus" usw. für jedes Schema abdeckt (Mastercard, Visa usw. machen die Dinge anders).
MasterCard
Kontaktlose MasterCard -Transaktionen können entweder im EMV-Modus oder im Magnetstreifen-Modus durchgeführt werden . Nachdem der Einstiegspunkt eine Transaktion eingeleitet hat, gibt der MasterCard-Kernel einen Befehl Get Processing Options aus. In der Antwort von der Karte bestimmt ein Datenobjekt namens Application Interchange Profile (AIP), ob die Transaktion entweder im EMV-Modus oder im Mag-Stripe-Modus fortgesetzt wird. Das AIP bestimmt auch, ob „On-Device Cardholder Verification“ (CDCVM) unterstützt wird.
EMV-Modus (M/Chip)
Die mit der Karte für den EMV-Modus ausgetauschten Befehle ähneln stark denen, die für eine EMV-Kontakttransaktion verwendet werden, wobei Read Record-Befehle verwendet werden, um alle Kartendaten abzurufen, gefolgt von einer Generate Application Cryptogram (GENAC)-Anfrage, um ein eindeutiges, transaktionsspezifisches zu erhalten , Kryptogramm von der Karte . Sobald alle diese Austauschvorgänge abgeschlossen sind, kann die Karte aus dem RF-Feld entfernt werden. Anders als bei Kontakttransaktionen findet jedoch nicht die gesamte Transaktionsverarbeitung statt, bevor der Kartenaustausch abgeschlossen ist. Dies dient der Optimierung der kontaktlosen Transaktionsleistung, indem die Zeit verkürzt wird, die die Karte im RF-Feld verbleiben muss.
(meine Betonung)
Laut VISA UK
Unsere Technologie verwendet den Chip auf Ihrer Karte, um einzigartige Kryptogramme (das ist Technikfreak für eine Art Puzzle, das aus einem kurzen Stück verschlüsselten oder verschlüsselten Text besteht) und digitale Signaturen zu generieren, um Ihre Zahlungen zu schützen. Digitale Signaturen sind in gewisser Weise wie handschriftliche Unterschriften – aber sie sind viel schwieriger zu fälschen.
(meine Betonung)
Nach Angaben der UK Card Association
Gerücht : Ein Betrüger könnte meine Daten von meiner kontaktlosen Karte stehlen.
Tatsache : Sie müssen jemandem sehr nahe sein, damit sein Gerät Ihre Karte lesen kann - und selbst dann würde er nur die Kartennummer und das Ablaufdatum erhalten. Das sind die gleichen Informationen, die Sie sehen, wenn Sie einfach auf die Vorderseite einer Karte schauen. Niemand kann den Sicherheitscode auf der Rückseite der Karte, Ihren Namen und Ihre Adresse oder Ihre Bankkontodaten erfahren. Die überwiegende Mehrheit der Online-Händler benötigt zusätzliche Details wie diese und andere, um einen Kauf zu tätigen.
Laut einem Zeitungsbericht des Guardian vom 25.07.2015:
Forscher kauften billige, weit verbreitete Kartenscanner von einer Mainstream-Website, um zu sehen, ob sie wichtige Details von einer kontaktlosen Karte „stehlen“ könnten.
Sie testeten 10 verschiedene Kredit- und Debitkarten, die codiert werden sollten, um persönliche Daten zu „maskieren“, und konnten wichtige Daten lesen, die versteckt werden sollten.
Anschließend ging es mit den erhaltenen Informationen einkaufen und konnte erfolgreich Bestellungen für Artikel aufgeben, darunter ein Fernsehgerät im Wert von 3.000 £.
Also ja, selbst in der zivilisierten Welt wird unsere Sicherheit durch eine Kombination von untergraben:
Wie funktioniert ApplePay?
Siehe Apple Pay muss den Mag-Stripe-Modus der EMV-Spezifikationen für kontaktloses Bezahlen verwenden
Natürlich muss Apple Pay die kontaktlosen EMV-Spezifikationen der Bücher C-2, C-3 und C-4 für MasterCard-, Visa- bzw. American Express-Transaktionen befolgen. Genauer gesagt muss es dem folgen, was ich oben als „Mobiltelefonprofil“ der kontaktlosen Spezifikationen bezeichnet habe. Es muss den kontaktlosen Magnetstreifenmodus implementieren, da die Magnetstreifeninfrastruktur in den USA immer noch weit verbreitet ist. Es kann heute den kontaktlosen EMV-Modus implementieren oder auch nicht, wird ihn aber wahrscheinlich in Zukunft implementieren, da die Infrastruktur zur Unterstützung von Zahlungen mit Kontaktkarten im Laufe des nächsten Jahres in den USA schrittweise eingeführt wird.
wenigadv
mhoran_psprep
Bobson
AakashM