Хакеры научились расшифровывать PIN-коды
 

Специалисты продолжают удивляться, как хакеры умудряются начать практическое использование методов, которые ещё год назад признавались только теоретически возможными, да и то в узкой академической среде. Теперь они научились снимать PIN-коды с наших карточек, не проникая непосредственно в банкомат, которым мы пользуемся. Для этого достаточно найти слабый узел в сети, по которой идут пакеты от банкомата к банку.

Подозрения, что злоумышленникам стала доступна техника расшифровки PIN-кодов, которые передаются в зашифрованном виде, были и раньше, но после публикации отчёта 2009 Data Breach Investigations от компании Verizon они теперь впервые официально подтверждены.

Оказалось, что зашифрованные пакеты, пока не попадут в банк назначения, на своём пути проходят через множество аппаратно-шифровальных модулей (HSM, на фото — HSM с PCI-интерфейсом) от других банков. Из-за того, что эти HSM имеют разные настройки и режим работы, пакеты с PIN-кодами приходится на каждом узле расшифровывать и заново зашифровывать с новым открытым ключом, который действует в паре с закрытым ключом этого конкретного HSM, доступным через API. Так вот, теперь хакеры научились узнавать закрытый ключ HSM, если этот узел неправильно сконфигурирован. Как только хакерам удаётся расшифровать один PIN-код, они легко могут расшифровать весь массив PIN-кодов, которые проходят через этот HSM.

О практическом применении этой методики специалисты узнали только постфактум, когда несколько месяцев назад начали расследовать прокатившуюся по всему миру в 2008-2009 годах волну фродовых снятий денег (до этого они заметили интерес к теме на русских хакерских форумах, но не могли понять, с чем это связано).

На диаграмме показана статистика по количеству скомпрометированных банковских счетов, в том числе карт-счетов (источник — Verizon). Как видим, это количество уже вдвое превышает число жителей, например, России. На самом деле скомпрометировано гораздо больше карточек, так что они уже сейчас составляют заметный процент в общем количестве всех банковских карточек, имеющихся в обращении.

http://farm4.static.flickr.com/3303/...b0670110_o.gif

А ведь зная пин-код, можно снять деньги не только с карточки, но напрямую с банковского счёта пользователя, причём доказать мошенничество и вернуть деньги потом будет предельно сложно.

По мнению экспертов Verizon, проблему можно решить только кардинальной сменой инфраструктуры мировых платёжных систем. Фактически, новую систему нужно создавать с нуля.

http://habrahabr.ru/blogs/infosecurity/57454/

зачОт ё-моё...

О курто:)

Супер,классная статья

взял бы пару уроков у таких мэнов

Хорошая статья....
Теперь придётся им думать над новой системой) но в ней наверняка будет своя уязвимость=))

Элементарным вещам удивляетесь, те же разработчики инфу слили....

в каждой системе будут уязвимости)) а дело хакеров эту уязвимость найти))
зы, статья жесть))

пипец, теперь кредитку в банкомат ссыкотно вставлять, вдруг там трафик снифают?)))

храните деньги в сберегательных кассах)

а лучше в банке в погребе..хакер полюбому не пролезет..

п.с. это не статья, а новость. по теме... круто XD

Развитие хакеров не стоит на месте :)

у мну всегда налич! =) волноваться не стоит

Храните деньги в банках, а банки под матрасом.

=)

Крута новость!

Смахивает на кривые настройки ключей в SSH/SSL.

Какая мелочь... всего и того то.... ))))))))))))

зачотна

смотрю на цифру 2008 года и ужасаюсь))) жесть)), а насчёт, инфраструктуры платёжных систем....ммм... понесут за собой огромнейшие затраты....легче вылавливать)))

а если это вскоре сможет сделать каждый?)

вот кризис кто замутил, все бабки выгребли ;)

чет мне ссыкотно. Меня спалили походу

Не только найти, но и реализовать))

Бодрые типки, вот только если написали эту статью, то значит сейчас уже ищут кучу способов чтобы закрыть эту дыру, так как через пластиковые карты проходит 80% всех наличных денег(я молчу про банковские счета)

Люди храните деньги в носках:)

хм..странно,что такую уязвимость описывают детально о_0
возможно это HoneyPot?

Все под подушкой деньги буду хранить:)

Мля, чему вы радуетесь, у самих же сп.. зарплату и будете по бухгалтериям бегать с воплями. 3.14здец школота.

Да... или еще лучше хранить под подушкой, ...

Ведь все системы создал человек. А человек существо уязвимое. => в любой системе, что создал человек, есть прореха..

Я бы сказал по-другому: людям свойственно ошибаться.

Так в Росии и Украине так и делают, ачто делать Американцам? Если у них откажут карточки, то все, хана, жизни нету

Автор алгоритма - поц.
Даже ежику известно, что если пакет проходит через несколько узлов, то он должен быть окончаьельно расшифрован только на конечном узле, а на любом другом это должно быть невозможным.