Bezahlsysteme: Paypass über NFC mit Lücken
Auf der Sigint 2012 erklärt Philipp Mohr, dass Bezahlen per NFC nicht sicher ist. (Bild: Jörg Thoma/Golem.de)

Bezahlsysteme Paypass über NFC mit Lücken

Bezahlen per NFC ist sicher, sagen die Hersteller. Der Entwickler Philipp Mohr hat sich das Bezahlsystem genauer angesehen und kommt zu einem anderen Ergebnis. Er erklärt auf der Sigint 2012 auch, was ein Benutzer beachten muss, um einen Datenklau zu verhindern.

Anzeige

Bezahlen per NFC ist bei weitem nicht so sicher, wie es die Anbieter sagen, berichtet der Entwickler Philipp Mohr auf der Sigint 2012 in Köln. Transaktionen können ohne direkten Zugriff mitverfolgt werden, sogar wenn das Smartphone in der Tasche des Opfers bleibt. Damit lassen sich Karten nachmachen und ohne Genehmigung des Opfers weiter nutzen. Einige Vorkehrungen können Anwender jedoch treffen, um den Datenklau zu verhindern.

Das Bezahlsystem über NFC basiert auf Paypass, das von Mastercard entwickelt und auf dessen Kreditkarten eingesetzt wird. Bislang zogen sowohl Visa als auch American Express nach. Inzwischen wird Paypass auch in Deutschland angeboten. Alle Anbieter verwenden allerdings das gleiche Paypass-Verfahren. Google hat mit Wallet ebenfalls ein Bezahlsystem für NFC eingeführt, das bislang nur auf Karten der Citibank eingesetzt wird oder über Prepaid-Karten, die Google selbst verkauft.

Keine PIN bei geringen Beiträgen

Bei Transaktionen mit Visa und Co. mit Beträgen unter 25 Euro wird der Betrag automatisch abgebucht. Liegt der Betrag darüber, muss eine PIN eingegeben werden. Google Wallet verlangt stets eine PIN-Eingabe.

NFC-Chips verwenden lediglich eine einzige Frequenz, die bei 13,56 MHz liegt. Außerdem ist NFC nur für sehr kurze Distanzen konzipiert, die Karte muss also mehr oder weniger auf den Leser gelegt werden. NFC nutzt RFID-Technik, etwa mit passiven RFID-Tags nach ISO 14443 sowie ISO 15693 oder aktiv nach ISO 18092.

Selbstgebaute Kartenleser

Geschützt werden die Daten auf den Karten und in den Smartphones mit den sogenannten CVC3-Codes, die eine 112-Bit-Verschlüsselung verwenden. Der 16 Byte lange Schlüssel ist weitgehend sicher, sagte Mohr. Außerdem könnten die dynamischen CVC3-Codes nicht automatisch generiert werden. Allerdings hätten fast alle Karten eine 7 Byte lange Kennung. Daher könnten Kartenleser recht einfach nachgebaut werden, um zumindest teilweise Informationen auszulesen.

NFC-Kartenleser verwenden zwei Profile: Magstripe und M/Chip (Chip and PIN), wobei Letzteres besser verschlüsselt ist. Eine echte Authentifizierung zwischen Karte und Leser findet aber nicht statt. Dadurch lassen sich auch Transaktionen aufzeichnen und später möglicherweise über Replay-Angriffe nachbilden.

Mit fremden Daten zahlen 

FoVITIS 16. Nov 2013

1. Beitrag existiert nicht (mehr) 2. Gut das einige Anbieter die normalen...

Sharra 20. Mai 2012

Aus gutem Grund ist in den Allgemeinen Geschäftsbedingungen der Banken ausdrücklich...

Kommentieren



Anzeige

  1. ERP-Analyst (m/w) Finance und Controlling
    Güntner GmbH & Co. KG, Fürstenfeldbruck (Raum München)
  2. Software Engineer (m/w) - Software System Development
    Siemens AG, Erlangen
  3. IT Risk Officer/IT Risiko Spezialist (m/w) für Operatives Risiko Management
    Vattenfall Europe Business Services GmbH, Hamburg, Berlin, Amsterdam (Niederlande)
  4. Engineering Consultant (m/w)
    RUETZ SYSTEM SOLUTIONS GmbH, München

 

Detailsuche


Folgen Sie uns
       


  1. LG G3

    Update soll die Akkulaufzeit verbessern

  2. Microsoft

    Nur noch ein Windows für alle Plattformen

  3. Erste Screenshots

    Landwirtschafts-Simulator 15 mit Physically Based Rendering

  4. Offene Formate

    ODF und PDF werden Regierungsstandard im UK

  5. Lumia 530

    Microsoft stellt neues Smartphone für 100 Euro vor

  6. Firefox 31

    Malware-Blocker, Sicherheitsupdates und neuer ESR

  7. Musikstreaming

    Google wollte offenbar Spotify kaufen

  8. Paranoid Android

    Erstmals ROMs für Nicht-Nexus-Geräte veröffentlicht

  9. Shooter-Projekt Areal

    Putin-Brief und abruptes Ende der Kickstarter-Kampagne

  10. Bluetooth Low Energy und Websockets

    Raspberry Pi als Schaltzentrale fürs Haus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Android L im Test: Google verflacht Android
Android L im Test
Google verflacht Android
  1. Android L Keine Updates für Entwicklervorschau geplant
  2. Inoffizieller Port Android L ist für das Nexus 4 verfügbar
  3. Android L Cyanogenmod entwickelt nicht anhand der Entwicklervorschau

Luftfahrt: Die Rückkehr der Überschallflieger
Luftfahrt
Die Rückkehr der Überschallflieger
  1. Verkehr FBI sorgt sich um autonome Autos als "tödliche Waffen"
  2. Steampunk High Tech trifft auf Dampfmaschine
  3. Aerovelo Eta Kanadier wollen mit 134-km/h-Fahrrad Weltrekord aufstellen

Destiny angespielt: Schöne Grüße vom Master Chief
Destiny angespielt
Schöne Grüße vom Master Chief
  1. Bungie Drei Betakeys für Destiny
  2. Activison Destiny ungeschnitten "ab 16" und mit US-Tonspur
  3. Bungie Destiny läuft auch auf der Xbox One in 1080p mit 30 fps

    •  / 
    Zum Artikel