Bezahlsysteme: Paypass über NFC mit Lücken
Auf der Sigint 2012 erklärt Philipp Mohr, dass Bezahlen per NFC nicht sicher ist. (Bild: Jörg Thoma/Golem.de)

Bezahlsysteme Paypass über NFC mit Lücken

Bezahlen per NFC ist sicher, sagen die Hersteller. Der Entwickler Philipp Mohr hat sich das Bezahlsystem genauer angesehen und kommt zu einem anderen Ergebnis. Er erklärt auf der Sigint 2012 auch, was ein Benutzer beachten muss, um einen Datenklau zu verhindern.

Anzeige

Bezahlen per NFC ist bei weitem nicht so sicher, wie es die Anbieter sagen, berichtet der Entwickler Philipp Mohr auf der Sigint 2012 in Köln. Transaktionen können ohne direkten Zugriff mitverfolgt werden, sogar wenn das Smartphone in der Tasche des Opfers bleibt. Damit lassen sich Karten nachmachen und ohne Genehmigung des Opfers weiter nutzen. Einige Vorkehrungen können Anwender jedoch treffen, um den Datenklau zu verhindern.

Das Bezahlsystem über NFC basiert auf Paypass, das von Mastercard entwickelt und auf dessen Kreditkarten eingesetzt wird. Bislang zogen sowohl Visa als auch American Express nach. Inzwischen wird Paypass auch in Deutschland angeboten. Alle Anbieter verwenden allerdings das gleiche Paypass-Verfahren. Google hat mit Wallet ebenfalls ein Bezahlsystem für NFC eingeführt, das bislang nur auf Karten der Citibank eingesetzt wird oder über Prepaid-Karten, die Google selbst verkauft.

Keine PIN bei geringen Beiträgen

Bei Transaktionen mit Visa und Co. mit Beträgen unter 25 Euro wird der Betrag automatisch abgebucht. Liegt der Betrag darüber, muss eine PIN eingegeben werden. Google Wallet verlangt stets eine PIN-Eingabe.

NFC-Chips verwenden lediglich eine einzige Frequenz, die bei 13,56 MHz liegt. Außerdem ist NFC nur für sehr kurze Distanzen konzipiert, die Karte muss also mehr oder weniger auf den Leser gelegt werden. NFC nutzt RFID-Technik, etwa mit passiven RFID-Tags nach ISO 14443 sowie ISO 15693 oder aktiv nach ISO 18092.

Selbstgebaute Kartenleser

Geschützt werden die Daten auf den Karten und in den Smartphones mit den sogenannten CVC3-Codes, die eine 112-Bit-Verschlüsselung verwenden. Der 16 Byte lange Schlüssel ist weitgehend sicher, sagte Mohr. Außerdem könnten die dynamischen CVC3-Codes nicht automatisch generiert werden. Allerdings hätten fast alle Karten eine 7 Byte lange Kennung. Daher könnten Kartenleser recht einfach nachgebaut werden, um zumindest teilweise Informationen auszulesen.

NFC-Kartenleser verwenden zwei Profile: Magstripe und M/Chip (Chip and PIN), wobei Letzteres besser verschlüsselt ist. Eine echte Authentifizierung zwischen Karte und Leser findet aber nicht statt. Dadurch lassen sich auch Transaktionen aufzeichnen und später möglicherweise über Replay-Angriffe nachbilden.

Mit fremden Daten zahlen 

FoVITIS 16. Nov 2013

1. Beitrag existiert nicht (mehr) 2. Gut das einige Anbieter die normalen...

Sharra 20. Mai 2012

Aus gutem Grund ist in den Allgemeinen Geschäftsbedingungen der Banken ausdrücklich...

Kommentieren



Anzeige

  1. SharePoint Inhouse Consultant (m/w)
    BEUMER Group GmbH & Co. KG, Beckum (Raum Münster, Dortmund, Bielefeld)
  2. IT-Senior Consultant CRM (m/w)
    Media-Saturn IT Services GmbH, Ingolstadt
  3. (Junior) Consultant (m/w) Big Data / Business Intelligence / Data Warehouse
    saracus consulting GmbH, Münster und Baden-Dättwil (Schweiz)
  4. Informatikerin / Informatiker oder Wirtschaftsinformatikerin / Wirtschaftsinformatiker
    Otto-Friedrich-Universität Bamberg, Bamberg

 

Detailsuche


Folgen Sie uns
       


  1. Verbraucherzentrale

    Auf Schreiben wegen Rundfunkbeitrag reagieren

  2. Filmstreaming

    Erste Preise für Netflix Deutschland sichtbar

  3. Alone in the Dark

    Atari setzt auf doppelten Horror

  4. LMDE

    Linux Mint wechselt zu Debian Stable neben Ubuntu

  5. Preisvergleich

    Ergebnisse in Preissuchmaschinen nicht zuverlässig

  6. Akoya P2213T

    Medion stellt Windows-Convertible für 400 Euro vor

  7. Hacker

    Lizard Squad offenbar verhaftet

  8. Lennart Poettering

    Systemd und Btrfs statt Linux-Distributionen mit Paketen

  9. Dircrypt

    Ransomware liefert Schlüssel mit

  10. Wegen Computerabstürzen

    Nasa will Speicher eines Marsroboters neu formatieren



Haben wir etwas übersehen?

E-Mail an news@golem.de



Benq FHD Wireless Kit im Test: Full-HD bequem drahtlos durchs halbe Haus funken
Benq FHD Wireless Kit im Test
Full-HD bequem drahtlos durchs halbe Haus funken
  1. Project Ara Rockchip und Toshiba in Googles modularem Smartphone
  2. Google und Linaro Android-Fork für Modulsmartphone Ara

Alma und E-ELT: Auf den Spuren der Superteleskope
Alma und E-ELT
Auf den Spuren der Superteleskope
  1. Saturn Mit dem Enterprise-Warpcore Planeten erforschen
  2. Urknall Waren die Spuren des Urknalls nur Staubmuster?
  3. Astronomie Auf der Suche nach außerirdischer Luftverschmutzung

Test Infamous First Light: Neonbunter Actionspaß
Test Infamous First Light
Neonbunter Actionspaß
  1. Infamous Erweiterung First Light leuchtet Ende August 2014

    •  / 
    Zum Artikel