芯片密码卡技术已不再是安全的

ZDNet安全频道原创翻译 转载请注明作者以及出处

　　芯片密码卡交易系统曾经被认为是安全的。绕过该技术的唯一办法就是需要获得被盗的卡和密码。但现在，情况已经发生了变化。

　　—————————————————————————————————————

　　我是在撰写一篇关于伪造信用卡/借记卡的文章的时间，第一次听说芯片密码卡安全技术的。该文的内容是说明犯罪分子如何通过窃取财务资料，达到最终偷光我们的钱的目的的。我提到了一项名为磁条原纹理技术(MagnePrint)看上去是可行的解决方案。探客网的几位成员则提到另一项称为芯片密码卡(chip　and　PIN)的他们认为是更好的技术。

　　芯片密码卡安全技术

　　建立芯片密码卡系统的目的是为了防止信息被窃取。取代磁条的嵌入式芯片据说消除这种可能性。实际上，很多人认为芯片密码卡安全技术属于强大的双因素认证。下面是一张嵌入式芯片卡(维基百科提供)的样子：

　　这几位成员还提到，芯片密码卡技术在欧洲的使用非常普遍，而为什么美国的网络犯罪分子更关注盗窃信用卡/借记卡上的信息呢。仅仅一篇短小的文章，是不可能完全说明在美国使用芯片密码卡技术是不可避免的趋势的。

　　它的工作原理

　　在使用芯片密码卡的时间，客户是看不出什么大区别的。它的工作原理如下所示：

　　1、在收银台，客户将他或她的卡放在一台个人识别码输入装置(PED)上。

　　2、该个人识别码输入装置开始访问卡上的芯片。

　　3、接下来，该卡就会被提供的金融机构验证。

　　4、一旦卡被证明真实有效的，客户就输入个人识　别码。

　　5、个人识别码输入装置就会利用输入的个人识别码匹配芯片缓存上的个人　识别码。

　　6、如果匹配，就可以顺利进行交易。

　　因此，这里有什么问题么?答案其实很简单，成本。文章中也提到这一点：

　　“发卡机构采用芯片密码卡技术的话，要投入巨额的资金，估计成本要达到55亿美元，并且仅仅能保证在美国商户的安全，发卡机构还要负责信用卡诈骗案的财务费用。”

　　看上去不太完美

　　我了解芯片密码卡技术已经有一段时间了。显然它可以更好地保护个人的财政信息。但是，它并不是完美的。愿意这一事件端倪的话，你可以收看来自英国广播公司的新闻报道《芯片密码卡的安全风险》。

　　简单地说，如果PED被破坏的话，犯罪分子就可以从卡中获得财政信息和个人识别码数字。不管是由于什么原因造成的，PED传输数据的时间并没有加密。在这种攻击中，PED设备在物理上受到攻击的可能，让它成为危险的来源。

　　新的漏洞

　　这次发现芯片密码卡技术存在新漏洞的研究小组和发现PED设备缺陷的人员都属于同一所大学——剑桥大学。研究小组的一位成员罗斯·安德森教授对漏洞情况进行了说明：

　　“以我在这个行业工作了25年的经验来看，我们一致认为这是支付系统已经发现的漏洞中最大的一个。”

　　来自英国广播公司的苏珊·沃茨，发布了一部关于这项研究题目为《芯片密码卡系统新缺陷被揭露》的纪录片。结果发现，令人难以置信的是，一项交易可以在不知道个人识别码的情况下完成。为了解释这一点，让我们一步步展示出整个攻击的过程：

　　1、攻击者获得了一张被盗的信用卡/借记卡。

　　2、接下来，攻击者将被盗卡插入一台连接到笔记本上的读卡器。

　　3、同时连接到笔记本计算机上的是一张包含了硬件接口与电路的假卡。

　　4、犯罪分子将假信用卡插入到商店的PED设备上开始交易过程。

　　5、PED设备访问芯片，以核实该卡的真实性。

　　6、接下来，PED设备通过显示屏要求攻击者输入PIN。

　　7、犯罪分子输入任意4个数字，这并不重要。

　　8、随后，研究人员开发的软件让PED设备确定输入PIN是正确的，并开始经过认证的交易。

　　如果你有机会的话，最好选择看完整个报道。它模拟了一项交易，剑桥大学研究人员在旁边解释，他们是如何完成攻击的。下面的插图和图片展示了用于实施攻击(剑桥大学研究小组大学提供)的设备：

　　如果我没有理解错的话，PIN的交换仅仅限于芯片和PED设备。这些信息是研究人员通过中间人攻击获得的。研究小组关于芯片密码卡被破解的论文(PDF格式)中是这样描述的：

　　“一台中间人设备，可以拦截并更改在卡和终端(PED)之间传输的数据，并进一步欺骗终端，让它在没有发送PIN到卡的情况下相信验证过程已经获得成功。

　　必须输入虚假的PIN码，但攻击会让任何数字都被接受。该卡会认为，终端不支持PIN码验证，应该选择跳过持卡人验证或使用签名来代替。由于虚假的PIN码从来没有发送到卡上，所以PIN码重试计数器不会改变。”

　　下一步是什么

　　我关注芯片密码卡技术的原因之一，就是想了解它是否会以及什么时间会在美国出现。关于这一点，我询问了安德森教授，他的答复是：

　　“4月1日我将在联邦储备银行在纽约举行的会议上谈论EMV(芯片密码卡标准)。我会建议美联储应该坚持EMV规范只有在修复后，才会允许在美国推出。

　　供应商们都热衷于在美国市场推广该技术，毕竟这里的信用卡支付市场价值数十亿美元。如果EMV　5.0规范进行了重大修改的话，那么它大概会在适当的时候从欧洲来到这里。”

　　关于信用卡/借记卡过渡阶段存在的另一个有趣问题也被我发现了。如果芯片密码卡系统步入正轨的话，并不是每家商户都将立即拥有可用的PED设备的。根据研究小组的报告，这将开启另一条攻击之路。

　　如果芯片密码卡中包含了磁条后备模式的话，通过官方的芯片密码卡，攻击者还是可以对卡进行克隆并获取有效信息。

　　最后的思考

　　我不确定自己是在哪里看到这一具有非常浓厚的“街头感”箴言的：

　　“对于安全来说，最终目的是清除漏洞让小偷无法进入。不过，无论技术怎么发展，总是有人可以找出解决问题的方法。”

　　在这里，非常感谢安德森教授抽出宝贵时间向我讲述一项复杂的课题。