Auf der Sigint 2012 erklärt Philipp Mohr, dass Bezahlen per NFC nicht sicher ist.
Auf der Sigint 2012 erklärt Philipp Mohr, dass Bezahlen per NFC nicht sicher ist. (Bild: Jörg Thoma/Golem.de)

Bezahlsysteme Paypass über NFC mit Lücken

Bezahlen per NFC ist sicher, sagen die Hersteller. Der Entwickler Philipp Mohr hat sich das Bezahlsystem genauer angesehen und kommt zu einem anderen Ergebnis. Er erklärt auf der Sigint 2012 auch, was ein Benutzer beachten muss, um einen Datenklau zu verhindern.

Anzeige

Bezahlen per NFC ist bei weitem nicht so sicher, wie es die Anbieter sagen, berichtet der Entwickler Philipp Mohr auf der Sigint 2012 in Köln. Transaktionen können ohne direkten Zugriff mitverfolgt werden, sogar wenn das Smartphone in der Tasche des Opfers bleibt. Damit lassen sich Karten nachmachen und ohne Genehmigung des Opfers weiter nutzen. Einige Vorkehrungen können Anwender jedoch treffen, um den Datenklau zu verhindern.

Das Bezahlsystem über NFC basiert auf Paypass, das von Mastercard entwickelt und auf dessen Kreditkarten eingesetzt wird. Bislang zogen sowohl Visa als auch American Express nach. Inzwischen wird Paypass auch in Deutschland angeboten. Alle Anbieter verwenden allerdings das gleiche Paypass-Verfahren. Google hat mit Wallet ebenfalls ein Bezahlsystem für NFC eingeführt, das bislang nur auf Karten der Citibank eingesetzt wird oder über Prepaid-Karten, die Google selbst verkauft.

Keine PIN bei geringen Beiträgen

Bei Transaktionen mit Visa und Co. mit Beträgen unter 25 Euro wird der Betrag automatisch abgebucht. Liegt der Betrag darüber, muss eine PIN eingegeben werden. Google Wallet verlangt stets eine PIN-Eingabe.

NFC-Chips verwenden lediglich eine einzige Frequenz, die bei 13,56 MHz liegt. Außerdem ist NFC nur für sehr kurze Distanzen konzipiert, die Karte muss also mehr oder weniger auf den Leser gelegt werden. NFC nutzt RFID-Technik, etwa mit passiven RFID-Tags nach ISO 14443 sowie ISO 15693 oder aktiv nach ISO 18092.

Selbstgebaute Kartenleser

Geschützt werden die Daten auf den Karten und in den Smartphones mit den sogenannten CVC3-Codes, die eine 112-Bit-Verschlüsselung verwenden. Der 16 Byte lange Schlüssel ist weitgehend sicher, sagte Mohr. Außerdem könnten die dynamischen CVC3-Codes nicht automatisch generiert werden. Allerdings hätten fast alle Karten eine 7 Byte lange Kennung. Daher könnten Kartenleser recht einfach nachgebaut werden, um zumindest teilweise Informationen auszulesen.

NFC-Kartenleser verwenden zwei Profile: Magstripe und M/Chip (Chip and PIN), wobei Letzteres besser verschlüsselt ist. Eine echte Authentifizierung zwischen Karte und Leser findet aber nicht statt. Dadurch lassen sich auch Transaktionen aufzeichnen und später möglicherweise über Replay-Angriffe nachbilden.

Mit fremden Daten zahlen 

FoVITIS 16. Nov 2013

1. Beitrag existiert nicht (mehr) 2. Gut das einige Anbieter die normalen...

Sharra 20. Mai 2012

Aus gutem Grund ist in den Allgemeinen Geschäftsbedingungen der Banken ausdrücklich...

Kommentieren



Anzeige

  1. Software-Engineer/IT-Profess- ional (m/w)
    Allianz Managed Operations & Services SE, Stuttgart
  2. Softwareentwickler ADTF (m/w)
    MBtech Group GmbH & Co. KGaA, Magstadt
  3. Senior Software Entwickler C++/IT-Architekt (m/w)
    MVI PROPLANT Süd GmbH, München
  4. Fachbereichsleiter Bildungsförderung (m/w)
    Datenzentrale Baden-Württemberg, Stuttgart

 

Detailsuche


Top-Angebote
  1. NEU: Blu-ray-Boxsets zum Aktionspreis
    (u. a. Transformers Trilogie 13,97€, Der Pate 28,97€, Star Trek Collection 59,97€, Die nackte...
  2. NEU: Oster-Schnäppchen auf Blu-ray
    (u. a. Edge of Tomorrow 7,97€, Godzilla 7,97€, Casino 5,99€, Ghostbusters 1+2 für 9,97€)
  3. NEU: 10 Blu-rays für 50 EUR - nur 5€ pro Film!
    (u. a. Inception, The Dark Knight Rises, Project X, Sieben, The Lego Movie, Kill the Boss)

 

Weitere Angebote


Folgen Sie uns
       


  1. Phase One iXU 180

    80 Megapixel für die Drohnenfotografie

  2. Metashop

    Zalando will innerhalb von 30 Minuten liefern

  3. Mathias Döpfner

    Axel-Springer-Chef wird Vodafone-Aufsichtsrat

  4. Goodgame Studios

    Wachstum mit der umsatzstärksten App aus Deutschland

  5. Volvo Lifepaint

    Reflektorfarbe aus der Dose schützt Radfahrer

  6. Projekt-Hosting

    Tagelanger DDoS-Angriff auf Github

  7. Samsung

    Galaxy S4 bekommt Lollipop

  8. Deutsche Bahn

    WLAN im Nahverkehr in einigen Jahren

  9. Lords of the Fallen

    Partner wirft Deck 13 "mangelhafte Ausführung" vor

  10. Galaxy S6 Edge im Test

    Keine ganz runde Sache



Haben wir etwas übersehen?

E-Mail an news@golem.de



Raspberry Pi 2: Die Feierabend-Maschine
Raspberry Pi 2
Die Feierabend-Maschine
  1. GCHQ Bastelnde Spione bauen Raspberry-Pi-Cluster
  2. Raspberry Pi 2 Fotografieren nur ohne Blitz
  3. Internet der Dinge Windows 10 läuft kostenlos auf dem Raspberry Pi 2

Gnome 3.16 angesehen: "Tod der Nachrichtenleiste"
Gnome 3.16 angesehen
"Tod der Nachrichtenleiste"
  1. Server-Technik Gnome erstellt App-Sandboxes
  2. Display-Server Volle Wayland-Unterstützung für Gnome noch dieses Jahr
  3. Linux Gnome-Werkzeug soll für bessere Akkulaufzeiten sorgen

Openstack: Viele brauchen es, keiner versteht es - wir erklären es
Openstack
Viele brauchen es, keiner versteht es - wir erklären es
  1. Cebit 2015 Das Open Source Forum debattiert über Limux

  1. Re: Das ist nur eine Meinung

    bremse | 03:35

  2. Re: Da werden sich Einbrecher freuen

    Sharra | 03:28

  3. Re: Ernstzunehmende Konkurrenten hat die Deutsche...

    NIKB | 03:26

  4. Re: nützt doch alles nichts,...

    Moe479 | 03:23

  5. Re: Im VGN wird das schonmal nicht passieren...

    NIKB | 03:23


  1. 22:59

  2. 19:05

  3. 16:54

  4. 16:22

  5. 14:50

  6. 13:48

  7. 12:59

  8. 12:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel