odkladam rozepsany clanek pro blog na mainpage blogu Idnesu, myslim, ze by mohlo mit uspech, pripadne pokud muzete komentujte a opravujte nepresnosti, nez to tam pastnu, je to pro idnes masu, asi jako moje "ajk jsem prisel o data" coz byl blog, ktery pomoh k padu IZIPu [a uzil jsem si 15min slavy na vsech televizich, v reflexu, respektu, tydnu a pak u soudu a v poslanecke snemovne... doufam, ze tohle bude mit stejny dopad, tak prosim pomozte zvysit citelnost... prakticke linky klidne muzete pridat, ale ja je tam moc dat nechci, precejen pro vetsinu lidi je to porad jeste 0day ;]]]
to-do:
zformatovat, prepsat pripadne vtipky...
Past na bezkontaktni karty
Bezykontaktní platební karty aneb proč kapsářství nikdy nebylo snadnější
Tento článek má pouze upozornit na něco, co mnozí technicky vzdělajější jistě již nějaký čas tuší. Vzhledem k tomu, že nejsem ani právník, ani si nemohu dovolit právní analýzu toho, co by se stalo, pokud bych poskytnul přímý návod nebo demo prezentaci níže popsaného chování bezkontaktní platební karty, zůstane poute u teorie. Pokud vás ale problém zaujme, vězte, že není velký problém udělat krůček od teorie k praxi, za pomoci google a čínských obchodů se spotřební elektronikou. Já sám jsem se demo prezentace vytěžení dat z bezkontaktní karty účastnil a i proto si o něm mohou dovolit podat svědectví.
S jakými kartami hrajeme a proč?
Poslední dobou je takříkajíc cool v oblasti bankovních služeb, poskytovat klientům, téměř všem bank bez rozdílu, takzvanou bezkontaktní platební kartu.
Následkem tohoto marketingu na nebezpečnou zbytečnost je pak to, že se vás při placení kartou musejí roztomilé prodavačky poptat, zda je možné s vaší kartou platit bezkontaktně, a pokud odpovíte, že to možné není, často s velmi milým úsměvem dodají něco ve smyslu "Och, ty můj chudáčku ze staré školy, neboj, další karta už bezkontaktní jistě bude."
Mému tatínkovi tahle chvilka dává rotomilou příležitsot k flirtování, mě však přeběhne mráz po zádech.
Je to tak, vaše další platební karta bude téměř jistě bezkontaktní, což považuji v post-Snowden době za podivnou výstřednost již tak dost děravého systému elektronické bezpečnosti.
Čím je vlastně bezkontaktní karta pro zákazníkíka banky zajímavá?
Z mého lajckého pohledu (tedy právě pohledu zákazníka) vůbec ničím. Banka však tvrdí, že čas ušetřený tím, že při platbách do pěti set korun českých, je velice bůležitý moment ve vašem i mojem životě.
Ano je to tak, dá se prostě někomu podat kartu, kterou on, či ona mávne nad magickou krabičkou, usměje se na vás, kartu vrátí a vaše konto je rázem o nějakou tu stovku lehčí. Tolik k výhodnosti bezkontaktních platebních karet.
trošku mi to připomíná moment, kdy typicky muži, nosí v zadní kapse kalhot krom hřebenu také šrajtofli a jednou začas, se diví, že jim po vystoupení z tramvaje zůstal jen ten hřeben a oči pro pláč.
Ale vždyť... aneb magická krabička a eso v kapse u kalhot
Ještě stále nevidíte, proč je bezkontaktní placení stejně nebezpečné jako ukradená peněženka z kabelky či zadní kapsy kalhot?
Dobře, postoupíme mírně v osvětě, abychom si pověděli, jak taková bezkontaktní platební operace vlastně probíhá.
Karta: obsahuje nějaký nosič informace, říkejme mu čip. Co je na čipu nahráno je samozřejmě jasně dané, popsané a s patřičným (nevelkým) úsilím je možné zjistit formát dat i informace, které na kartě v čipu musejí být, aby karta byla opravdu platební a ne jen falešné eso z rukávu.
Magická krabička, tedy platební terminál, není nic jiného, než středně složitá vysílačka a přijimač signálu s určitými parametry. Stejně jako je možné na Internetu najít specifikaci formátu dat na čipu karty, je samoyřejmě možné dopátrat se toho, co vysílačka vysílá a jakou přijímač očekává odpověď. Abych vám přiblížil nebezpečí schované jako had ve větvých, tak takovou vysílačku a přijimač můžete běžně potkat třeba pod sjezdovkou, kde z karty ukryté ve speciální kapsičce vaší lyžařské bundy, přečte, zda vás ještě má pustit na další jízdu lanovkou nebo zda už kredit došel, a bombardino budete dál pít už pouze pod svahem.
Tak tedy co že nám to vlastbě nabízí kouzlo bezkontaktního placení?
Vysílačku s přijímačem, jejichž specifikaci je možné zjistit na internetu, protože je to norma a standard, a takové zařízení (s různým výkonem, o čemž bude řeč později) není ani potřeba složitě vymýšlet v tajné hackerské laboratoři, poněvadž jde zcela snadno opatřit z čínských krámků s levnou a neznačkovou elektronikou za cenu, v základu, nepřevyšující dva tisíce korun. Výkonější zařízení budou také mírně dražší nebo je možné je vyrobit úpravou těch menších. Pokud máte zájem o opravdu kvalitní kousky s velkým dosahem, nejjednodušší bude asi porozhlédnout se právě po oné čtečce, která se používá pod sjezdovkami.
Past na kreditky aneb tajná zbraň za pět tisícovek
Čtecí zařízení máme, s toškou šikovnosti jej připojíme k tabletu, notebooku nebo dokonce k chytrému telefonu. Samozřejmě náš nový zlodějský automat musí obsahovat software v podobě operačního systému, který umožnuje například psát a číst, doporučuji tedy buďto systém s Tučňákem Paragonským v Logu (GNU/Linux) popřípadě se zelenou příšerkou vymyšlenou Karlem Čapkem (Androind) . Operační systémy pro lidi, kteří jsou natolik hloupí, že vyměnily starodávné umění číst abecedu za ještě starší dovednost odlišit od sebe nakousnuté jablko (McInstosh Apple) a rozbité okno (Windows) mají smůlu a zlí hackeři se z nich nestanou (stejně jako intelektuálové, a nepomohou ani brýle značky RayBan).
Nabíjíme zbraně
Máme tedy tablet propojený s kouzelnou skříňkou, kterou jsme si pořídíli v DealExtreme nebo na e-bay, umíme číst a psát, tušíme, že data předávaná mezi kartou a naší čtečkou jsou zřejmě v nějakém přesně daném formátu, pokud jsme příliš líní, abychom využili dovednost čtení nějak hlouběji, stačí se opět obrátit na google.com (toto není reklama, reklama je, když napíšu, že existuje obdobný, ale daleko bezpečnější vyhledávač DuckDuckGo.com, který nekrade vaše osobní údaje a soukromí). Google nám po správně napsaném dotazu sdělí, že specifikace datové výměny mezi terminálem jsou opravdu standardizované, poskytne nám patřičné drivery pro naši čtečku a Tučňáka či Androida (ty je dobré hledat předtím, než pořizujem čtečku). Důležité je také to, že nám ale poskytne software, který přečtená data z transakce dokáže poskládat do velice přehledné podoby, třeba excelová tabulka, xml nebo cokoliv je vlastně libo. Vhodné klíčové slovo, jak si opatřit munici v podobě parseru předávaných binárních dat může být například RifidRIOT
A jde se lovit
Díky tomu, že jsou dnešní karty opravdu bezkontaktní, a díky tomu, že za pár tisícovek máme v kapse vše co potřebujem, aniž bychom nakonec musel nějak moc umět číst a psát, můžeme se teď vydat na nějaké místo častého výskytu bytostí na bázi uhlíku (tedy lidí). Profesionál by asi své zařízení připojil k rámu dveří a data sbíral z pohodlí svého domova plného krabic od pizzy a prázdných krabiček od ukrajinských cigaret. My však jsme dobrodružné povahy a svou tajnou zbraň si ukryjeme v batohu a půjdeme se projít například do metra.
Hop hej, jsem bohatej
Co všechno jde vyčíst naěí novou supertajnou zbraní, postavenou z tableu, čtečky a pár scriptů v perlu?
Vlastně téměř vše co je fyzickz napsáno na kartě, tedy: jméno majitele, číslo karty, datum vydání a datum konce platnosti. Další věc kterou karty sdílejí je jistý počet posledních transakcí. Tímto si nejsem ani já přesně jistý, ale kamarádova karta, s kterou jsme dělali pokus, mu prozradila, že rád kouří Lucky Strike, kterých kupoval tři krabičky v 23:23:23 na Dejvické, o Pět minut později, že platil za kuře v nedalekém KFC a nakonec si koupil v Žabce lubrikační gel a velké balení kondomů. Protože však kondomy a gel přesáhly pět stovek, za lahev levného šampaňského platil zvlášť.
Jediná další věc, která nám tedy vlastně chybí, abychom mohli data z kamarádovy karty (aha, vlastně šli jsme na lov do tramvají, přece bychom neokrádali kamaráda, že?).... OK, tak jediná další informace, která nám brání ve zneužití informací nalovených z kreditních karet okolostojících lidéí z tramvaje je neznalost třímístného kódu, který je k dokončení transakce potřebný také. Napsat si program, který vzykouší jednu podruhé každou kombinaci z 999 možných, to je opravdu veliká překážka. Doporučuji se zeptat DuckDuckGo.com či google.com jak na to.
Počítače umějí počítat a není obrany
Naěe tajná zbraň nám sice tedy neumožnila provádět přímo transakce, kdy majitele bezkontaktní karty, elektronický kapsář obere o první í poslední povolenou pětistovku, nicméně díky tomu, že počítač je dobrý v počítání a software v naší pasti na kreditní karty s tím počítá, může potencionální pachatel ochotný jednorázově investovat pár tisícovek, okrádat celý dav lidí třeba při již zmíněném průchodu pastí, která se bude tvářit jako bezpečnostní rám u dveří obchodu, může se proste projít po MHD a číst vám karty z batohů, kapes a kabelek a to úplně stejně, jako to dělá čtečka kartet pod sjezdovkou. Víc podobných karet v jedné peněžence není problém, ba naopak. Vzdálenost taky není problém s patřičnou anténou (viz. čtečkzy pod sjezdovkami). Dokonce ani nepomůže schovat karty do aluminiové folie, tím se pouze zkracuje vzdálenost na kterou jsou data z kartz ještě čitelná.
Ukradená data z karet jdou použít rúzně" dá se s nimi platit v eObchodech, dají se hromadně prodat nějaké zpřízněné mafii, potencionální možnost duplikace karty nás asi může napadnout jako další... představivosti se meze nekladou.
Pokud se ptáte, jak je tedy možné se bránít přečtení bezkontaktní platební karty, musím s politováním odpovědět, že nijak. Jedině tak, že takovou kartu nebudete používat a budete od bankz vyžadovat kartu normální, která svá data vydá, až když se jí někdo dotkne a slušně poprosí.