Un Apple 1 s'est vendu 950 000$ mercredi à New-York par la maison Bonham, ce qui représente près du double des estimations.

L'Image du jour

Un Apple 1 s'est vendu 950 000$ mercredi à New-York par la maison Bonham, ce qui représente près du double des estimations.

OpenStack, clef de voûte du cloud Open Source

Dernier Dossier

OpenStack, clef de voûte du cloud Open Source

OpenStack est-il la clef de voûte des infrastructures cloud Open Source, comme l'a été Linux, en quelque sorte, pour les systèmes d'exploitation pour ...

Restez proche de l'actualité IT

NEWSLETTERS THEMATIQUES

Découvrez nos différentes newsletters adaptées à vos besoins d'actualités IT Pro : Mobilité, Réseaux, Stockages, ...

Abonnez-vous 
FERMER

ESPACE PARTENAIRE

Webcast

FERMER

LMI MARKET

Votre comparateur de prestataires IT : Comparez les devis, Evaluez les prestataires, Trouvez le juste prix!...

Accéder à ce service 

BLOG

Découvrez les contenus exclusifs publiés par les lecteurs du Monde Informatique avec la plateforme LMI Blog...

Accéder à ce service 

COMPARATEUR DE SALAIRE

Partagez votre situation salariale anonymement, consultez les statistiques depuis 2009 et faites vos propres analyses...

Accéder à ce service 

IT TOUR

LMI vous invite à sa Matinée-Débats dans votre région.
Inscrivez-vous

Accéder au site 
FERMER
2
Réagissez Imprimer Envoyer

Des vulnérabilités importantes dans le protocole bancaire EMV

Des chercheurs de l'université de Cambridge ont repéré des vulnérabilités dans le protocole EMV permettant le clonage de cartes bancaires. Si les banques affirment pour le moment que ce type d'attaque n'est qu'hypothétique, il semblerait pourtant que la pratique se répande.

Bon nombre de distributeurs automatiques bancaires (DAB) et de point de vente (TPV) ne parviennent pas à générer correctement les nombres aléatoires requis par le protocole EMV pour authentifier de façon sûre les demandes de transaction, a affirmé une équipe de chercheurs de l'Université de Cambridge au Royaume-Uni. L'utilisation d'algorithmes défectueux pour générer des nombres aléatoires rend ces dispositifs de paiement vulnérables aux attaques "pré-play" qui permettent aux criminels d'envoyer des demandes de transactions frauduleuses aux banques à partir de cartes piratées.

La norme EMV (Europay, MasterCard et Visa) nécessite l'utilisation de cartes de paiement comprenant des circuits intégrés capables de remplir des fonctions cryptographiques spécifiques. Les appareils EMV ont besoin de produire ce que l'on appelle des "nombres imprévisibles" (UNS) pour chaque demande de transaction afin que les émetteurs de cartes puissent vérifier la provenance de ces demandes. Les anciennes versions de la spécification EMV n'avaient pas fourni d'instructions claires sur la façon dont ces nombres aléatoires devaient être générés. "Si vous êtes un programmeur, vous pouvez mettre en oeuvre un dispositif similaire pour tromper les banques", a déclaré Ross Anderson, professeur d'ingénierie en sécurité informatique à l'Université de Cambridge et l'un des auteurs de l'article.

"Nous avons étudié des DAB acquis sur eBay"

Pour parvenir a recréer un tel algorithme, les chercheurs ont analysé les UNS générés pendant plus de 1 000 transactions par 22 différents distributeurs automatiques de billets et 5 terminaux présents dans des point de vente au Royaume-Uni. Ils ont également étudié des distributeurs automatiques de billets acquis sur eBay pour inspecter leurs algorithmes de génération d'UNS.

Lorsqu'un dispositif de paiement veut initier une transaction il en envoie les détails - le montant, la devise, la date, etc - à la carte EMV insérée dans le lecteur de carte avec l'UN généré à la volée. La carte utilise une clé de cryptage secrète qui est conservé en toute sécurité sur la puce pour calculer un cryptogramme de demande d'autorisation (ARQC) à partir des données de transaction et de l'UN. Le dispositif de paiement envoie ensuite ce cryptogramme avec le PIN crypté et l'UN sous forme de texte brut à la banque émettrice pour vérification. La banque déchiffre le ARQC et valide les informations. Il compare également les UNS se trouvant à l'intérieur du cryptogramme avec le texte reçu. Si tout correspond, la banque traite la transaction et l'autorise.

Un type d'attaque qui ne laisse pas de trace


Si les pirates ne peuvent pas prédire à quoi ressemblera l'UN d'un modèle particulier de distributeurs automatiques de billets ou de terminal de paiement, ils peuvent néanmoins forcer des cartes authentiques à calculer l'ARQC d'une transactions future pour l'utiliser ensuite avec des clones de cartes à puce

COMMENTAIRES de l'ARTICLE2

le 06/05/2013 à 01h16 par Visiteur1729 :

tout a fait d'accord avec ranafout ,commencer par attaquer l'authentification dynamique de la carte la sera plus interessant parcequ'avec vos histoire de rejeux vous me faite bien rire un blockeur suffit a faire se que vous faites en plus vous dite que vous allez vous en reservir sur des clone de carte mais loool vous avez donc reussie a cloner des carte emv DDA mois j'y croit pas des masse et si c'est du sda alor c'est que en angleterre car en france sa fait bien longtemp que le sda a ete retirer du parc
sinon si votre clone est bien fait vous pouvez forcer la plupart des transaction a rester offline avec un TC au lieu d'un ARQC
meme si a mon avis certain gros montant forceront un ARQC enfin bref sa pu vos histoires
++++

Signaler un abus

le 25/09/2012 à 10h40 par Ranafout (Membre) :

C'est une attaque qui ne peut pas faire bien mal. D'une part, elle est très complexe à implémenter.
D'autre part, le gain est minime.
Si le fraudeur utilise son ARQC de suite: Le commerçant se fera détecter rapidement comme point de compromission.
Les transactions contiennent un ATC qui va permettre de détecter la duplication.

Si le fraudeur attend pour utiliser toutes ces copies en même temps, il se fait détecter sur les contrôles d'ubiquité et les contrôles de cohérence des données.

Beaucoup d'effort pour peut de gain. L'attaque devient très peut probable.

Signaler un abus

Commenter cet article

commenter cet article en tant que membre LMI

CONNEXION

Commenter cet article en tant que visiteur






* Les liens HTML sont interdits dans les commentaires

Publicité
Publicité
Publicité