Хакеры научились удаленно получать информацию с RFID-карточек

Хакеры научились удаленно получать информацию с RFID-карточек

На хакерской конференции Shmoocon, которая прошла в Вашингтоне в минувший уикенд (27-29 января) известный специалист по безопасности Кристин Пейджет (Kristin Paget) из компании Recursion Ventures провела демонстрацию дистанционного считывания конфиденциальной информации с банковской карты, оснащённой радиочипом RFID. Вообще-то, об уязвимости бесконтактных карточек говорят уже лет пять, но нынешняя демонстрация показала, что надёжной защиты безопасности до сих пор не появилось. Для считывания информации с карт использовалось недорогое оборудование совокупной стоимостью в пару сотен долларов.



Для дистанционного считывания номера карты, срока действия и одноразового номера CVV использовался кард-ридер Vivotech, который можно купить на eBay за $50. Далее, с помощью намагничивающего устройства стоимостью $300 эти данные можно записать на чистую карту, сообщает xakep.ru.

Во время демонстрации Пейджет пригласила на сцену добровольца, который не вынимал из кармана кошелёк с карточкой. Считывание данных и намагничивание новой карточки заняло пару минут, после чего Пейджет достала iPhone с модулем Square, который позволяет принимать платежи, и перевела $15 на свой счёт, используя только что сделанный клон карточки. Чтобы ни у кого не оставалось сомнений в правдивости фокуса, Пейджет показала номер клонированной карточки на большом экране со сцены.

Бесконтактные карточки появились в обращении относительно недавно, и платёжные системы широко рекламируют их как удобное средство платежа. По данным Smart Card Association, сейчас в обращении находится около 100 млн таких карт. Соответствующая технология у компании Visa называется payWave, у MasterCard — PayPass, у Discover — Zip, а у American Express — ExpressPay. Все они одинаково уязвимы для съёма данных.

В данном случае хакерский RFID кард-ридер ничем не отличается от легального терминала торговой точки. Самое сложное в такой атаке — приблизить кард-ридер на максимально близкое расстояние к кошельку с карточкой. На практике это можно сделать в переполненном транспорте или в очереди, спрятав устройство в кармане и «случайно» столкнувшись с владельцем карты. В принципе, физический контакт даже необязателен, достаточно максимально близко приблизиться к жертве.

Данный тип атаки — не какая-то дыра в безопасности, а фундаментальный изъян платёжной системы, которую специально сделали максимально простой в использовании. В нынешней версии технологии RFID-карты не передают беспроводным способом имя пользователя, PIN-код и трёхзначный постоянный CVV. Представители платёжных систем говорят, что за шесть лет не задокументировано ни единого случая подобного рода мошенничества, что является доказательством достаточной защиты для такого рода атак, где злоумышленнику трудно сохранить свою анонимность.

В самом деле, использование одноразового CVV делает возможным проведение только одной транзакции с клонированной карточки, а при попытке второй транзакции она будет заблокирована.

По мнению Пейджет, это означает только то, что злоумышленнику нужно посетить оживлённое место, где за один вечер можно набрать множество «одноразовых» карт. По словам специалиста, они в компании Recursion Ventures сейчас работают над созданием специального бумажника Guardbunny с RFID-детектором, который будет сигнализировать о попытке сканирования — глаза у кролика на бумажнике начинают светиться и он издаёт громкие звуки. Кроме того, в бумажнике будет проактивная защита против сканирования вместо малоэффективных алюминиевой прокладки, которую сейчас вшивают в кошельки и которая не спасает от мощного сканера.

Подпишитесь на новости

62% компаний переходят на российские СУБД из-за регулятора

На эфире AM Live «Российские СУБД» обсудили российский рынок СУБД: насколько решения зрелые, как выбирать базу под задачи и что мешает миграции. Говорили о росте рынка до 101 млрд рублей и прогнозе до 281 млрд к 2032 году, фрагментации сегментов, гибридных и специализированных СУБД. 

Первый опрос показал, что главный драйвер перехода — требования регулятора: так ответили 62% зрителей.

Ещё 18% выбрали вариант «просто интересно», 8% — стоимость лицензий и эксплуатации, 7% — риски информационной безопасности, 3% — новые требования бизнеса и 2% — сбои зарубежных СУБД. Константин Варов сразу обратил внимание на тревожный сигнал: «6,5% тех, кто попробовал перейти на российский СУБД, вернулись обратно… регулятор снял удавку с горла».

Руслан Галиев объяснил замедление рынка тем, что клиенты перешли от агрессивного импортозамещения к прагматичному: «Клиент сейчас вдумчиво, содержательно и системно подходит к проектам миграции». Алексей Викулин добавил, что больше половины решений до сих пор остаются на импортном стеке, особенно в критичной инфраструктуре.

По степени важности при выборе СУБД на первом месте оказалась стоимость лицензии и эксплуатации — 83%. Простота внедрения и миграции набрала 76%, совместимость с приложением — 68%, производительность и масштабируемость — 62%, отказоустойчивость — 61%. Функциональность и надёжность разработчика оказались ниже — 49% и 48%. Константин Варов назвал картину ожидаемой:

«Слышим, реагируем» — вендор снижает стоимость и упрощает миграцию. Александр Ложков рассказал, что для ускорения работы с 1С и банковскими системами используются готовые профили оптимизации: «Поставил такой пакет в связке с приложением, получил ускорение работы иногда в разы». Алексей Викулин напомнил, что важна не только цена лицензии, но и совокупная стоимость владения: бесплатное решение может оказаться дороже в эксплуатации.

Участники обсудили основные трудности внедрения. Сложность и стоимость миграции отметили 37% респондентов, недостаток специалистов и компетенций — 34%. Проблемы с производительностью и отказоустойчивостью выбрали 11%, сложность выбора — 8%, недостаточную зрелость — 7%, недостаточную совместимость с приложениями — 3%. Константин Варов подтвердил, что это два ключевых стоп-фактора, и рассказал про CDC-инструмент: «Само переключение… занимает буквально несколько часов». Алексей Викулин объяснил причину: «У отечественных СУБД гораздо выше порог входа. Требования к квалификации администратора выше, чем на Oracle или MS SQL». Игорь Турканов привёл пример: «Мы перевели высоконагруженную систему с Oracle за 3,5 месяца».

В целом участники эфира сошлись: рынок российских СУБД вырос, но главные задачи — снизить стоимость и сложность миграции, закрыть дефицит специалистов и упростить администрирование. ИИ, по мнению спикеров, станет одним из главных факторов, который будет менять требования к базам данных в ближайшие годы.

RSS: Новости на портале Anti-Malware.ru