Bezahlsysteme: Paypass über NFC mit Lücken
Auf der Sigint 2012 erklärt Philipp Mohr, dass Bezahlen per NFC nicht sicher ist. (Bild: Jörg Thoma/Golem.de)

Bezahlsysteme Paypass über NFC mit Lücken

Bezahlen per NFC ist sicher, sagen die Hersteller. Der Entwickler Philipp Mohr hat sich das Bezahlsystem genauer angesehen und kommt zu einem anderen Ergebnis. Er erklärt auf der Sigint 2012 auch, was ein Benutzer beachten muss, um einen Datenklau zu verhindern.

Anzeige

Bezahlen per NFC ist bei weitem nicht so sicher, wie es die Anbieter sagen, berichtet der Entwickler Philipp Mohr auf der Sigint 2012 in Köln. Transaktionen können ohne direkten Zugriff mitverfolgt werden, sogar wenn das Smartphone in der Tasche des Opfers bleibt. Damit lassen sich Karten nachmachen und ohne Genehmigung des Opfers weiter nutzen. Einige Vorkehrungen können Anwender jedoch treffen, um den Datenklau zu verhindern.

Das Bezahlsystem über NFC basiert auf Paypass, das von Mastercard entwickelt und auf dessen Kreditkarten eingesetzt wird. Bislang zogen sowohl Visa als auch American Express nach. Inzwischen wird Paypass auch in Deutschland angeboten. Alle Anbieter verwenden allerdings das gleiche Paypass-Verfahren. Google hat mit Wallet ebenfalls ein Bezahlsystem für NFC eingeführt, das bislang nur auf Karten der Citibank eingesetzt wird oder über Prepaid-Karten, die Google selbst verkauft.

Keine PIN bei geringen Beiträgen

Bei Transaktionen mit Visa und Co. mit Beträgen unter 25 Euro wird der Betrag automatisch abgebucht. Liegt der Betrag darüber, muss eine PIN eingegeben werden. Google Wallet verlangt stets eine PIN-Eingabe.

NFC-Chips verwenden lediglich eine einzige Frequenz, die bei 13,56 MHz liegt. Außerdem ist NFC nur für sehr kurze Distanzen konzipiert, die Karte muss also mehr oder weniger auf den Leser gelegt werden. NFC nutzt RFID-Technik, etwa mit passiven RFID-Tags nach ISO 14443 sowie ISO 15693 oder aktiv nach ISO 18092.

Selbstgebaute Kartenleser

Geschützt werden die Daten auf den Karten und in den Smartphones mit den sogenannten CVC3-Codes, die eine 112-Bit-Verschlüsselung verwenden. Der 16 Byte lange Schlüssel ist weitgehend sicher, sagte Mohr. Außerdem könnten die dynamischen CVC3-Codes nicht automatisch generiert werden. Allerdings hätten fast alle Karten eine 7 Byte lange Kennung. Daher könnten Kartenleser recht einfach nachgebaut werden, um zumindest teilweise Informationen auszulesen.

NFC-Kartenleser verwenden zwei Profile: Magstripe und M/Chip (Chip and PIN), wobei Letzteres besser verschlüsselt ist. Eine echte Authentifizierung zwischen Karte und Leser findet aber nicht statt. Dadurch lassen sich auch Transaktionen aufzeichnen und später möglicherweise über Replay-Angriffe nachbilden.

Mit fremden Daten zahlen 

FoVITIS 16. Nov 2013

1. Beitrag existiert nicht (mehr) 2. Gut das einige Anbieter die normalen...

Sharra 20. Mai 2012

Aus gutem Grund ist in den Allgemeinen Geschäftsbedingungen der Banken ausdrücklich...

Kommentieren



Anzeige

  1. SAP SD / CRM Inhouse Berater (m/w)
    Thalia Holding GmbH, Hagen
  2. Technischer Projekt Manager (m/w) Online Services
    Alltrucks GmbH und Co. KG über IRC International Recruitment Company Germany GmbH, München
  3. Software-Ingenieure (m/w) für Java-Technologien
    Zühlke Engineering GmbH, Hamburg, Hannover
  4. Professional Services Consultant (m/w)
    NetApp Deutschland GmbH, Hamburg

 

Detailsuche


Folgen Sie uns
       


  1. Soziale Netzwerke

    Offline-Freund bleibt wichtiger als Online-Freund

  2. Internet-Partei

    Kim Dotcom scheitert bei Wahl in Neuseeland

  3. SpaceX

    Privater Raumfrachter Dragon zur ISS gestartet

  4. NSA-Affäre

    Staatsanwaltschaft ermittelt nach Cyberangriff auf Stellar

  5. HP Elitepad 1000 G2 im Test

    Praktisches Arbeitsgerät dank Zubehör

  6. Spiele-API

    DirectX-11 wird parallel zu DirectX-12 weiterentwickelt

  7. Streaming-Box

    Netflix noch im Herbst für Amazons Fire TV

  8. Schnell, aber ungenau

    Roboter springt im Explosionsschritt

  9. Urteil

    Foxconn-Arbeiter wegen iPhone-6-Diebstahl verhaftet

  10. Weniger Consumer-Notebooks

    Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab



Haben wir etwas übersehen?

E-Mail an news@golem.de



Netflix-Start in Deutschland: Der Kampf um den Video-on-Demand-Markt
Netflix-Start in Deutschland
Der Kampf um den Video-on-Demand-Markt

Alcatel Onetouch Fire E im Kurztest: Gutes Gehäuse, träges Betriebssystem
Alcatel Onetouch Fire E im Kurztest
Gutes Gehäuse, träges Betriebssystem
  1. Firefox-Nightly Web-IDE von Mozilla zum Testen bereit

Test Destiny: Schicksal voller Widersprüche
Test Destiny
Schicksal voller Widersprüche
  1. Destiny 500 Millionen US-Dollar Umsatz mit "steriler Welt"
  2. Destiny "Größter Unterschied sind sehr pixelige Schatten"
  3. Bungie Kostenloses Upgrade von Old- zu Current-Gen-Konsolen

    •  / 
    Zum Artikel