Abo
  • Services:

Security-Forscher: Bezahlen mit Kreditkarte und PIN unsicher

Britische Forscher finden angeblichen Fehler im EMV-Protokoll

Das Protokoll EMV, das in Europa von Millionen EC- und Kreditkarten verwendet wird, soll einen schwerwiegenden Fehler aufweisen. Britische Forscher wollen nachgewiesen haben, dass sich mit einer fremden Karte bezahlen lässt, auch wenn die PIN unbekannt ist.

Artikel veröffentlicht am ,

Das von Europay, Mastercard und Visa entwickelte EMV ist heute in Europa das dominierende Verfahren für Chipkarten im Zahlungsverkehr. Auch die im Januar 2010 millionenfach in Deutschland ausgefallenen EC-Karten setzten auf EMV. Das Protokoll soll jedoch laut einem Bericht von ZDnet UK eine Schwachstelle haben.

Stellenmarkt
  1. Fraunhofer-Institut für Solare Energiesysteme ISE, Freiburg im Breisgau
  2. ENERCON GmbH, Aurich, Bremen

Mittels einer Man-in-the-middle-Attacke soll ein Terminal, wie es beispielsweise in Geschäften für Zahlungen verwendet wird, ausgetrickst werden können. Selbst wenn eine falsche PIN eingegeben wird, soll das Terminal durch eine Lücke in EMV die Eingabe als korrekt akzeptieren. Nötig ist dafür etwas Hardware, die jedoch handelsüblich sein soll. Laut Darstellung der Forscher von der Universität Cambridge, welche diese auch in einem PDF veröffentlicht haben, sollen sich die Geräte - dazu zählen ein Notebook und ein FPGA-Board - aber auch leicht in einem Rucksack unterbringen lassen.

Ob sich so auch mit gestohlenen Karten unauffällig bezahlen lässt, scheint damit noch nicht bewiesen. Das wäre fatal, da eine Zahlung mittels PIN meist zulasten des Kunden geht. Kreditunternehmen gehen dann häufig davon aus, dass etwa die PIN zusammen mit der Karte aufbewahrt wurde. Ein Sprecher der "UK Payments Administration" sagte gegenüber ZDnet UK auch, ein Einsatz des Verfahrens in der kriminellen Praxis sei noch nicht beobachtet worden.

Wie sich jüngst beim Ausfall von EC-Karten in Deutschland gezeigt hat, akzeptieren viele Terminals auch noch den Magnetstreifen der Karten, der sich jedoch schon seit Jahren sehr einfach nachbilden lässt. Schnell verbreitete sich der "Geheimtipp", den Chip mittels eines Klebestreifen für das Lesegerät unzugänglich zu machen. Der Umstieg auf Chipkarten und das EMV-Verfahren sollte die bargeldlose Zahlung dabei sicherer machen.

Die britischen Wissenschaftler wollen ihre Ergebnisse im Mai 2010 auf dem IEEE Symposium on Security & Privacy im kalifornischen Oakland näher erläutern und zur Diskussion stellen.



Anzeige
Top-Angebote
  1. (u. a. Corsair STRAFE RGB für 109,90€ + Versand statt ca. 160€ im Vergleich und Corsair STRAFE...
  2. (u. a. Rise of the Tomb Raider - 20 Year Celebration Edition für 12,49€ und The Elder Scrolls V...
  3. (u. a. The Crew 2 für 29,99€)
  4. 119,90€ + Versand (Vergleichspreis ca. 175€)

Eule 16. Feb 2010

"Bankenverband: Deutsche EC-Karten nicht für Manipulationsversuche anfällig" Warum wußte...

kirsche40 15. Feb 2010

Nur von Dir. :) Falsch. Bankautomaten gehen in D grundsätzlich online. Bleiben nur noch...

peonxeon 14. Feb 2010

Naja - aber es geht ja nicht um 'noch einmal verifizieren'... die Bank hat den PIN ja gar...

peonxeon 14. Feb 2010

Ich denke was du übersiehst, ist, dass dieses Problem auch EC-Karten betrifft. Im...

0xDEADC0DE 14. Feb 2010

Keine Ahnung was Du Dir da zusammenreimst. Meine Aussage war einfach nur dass ich nicht...


Folgen Sie uns
       


Nerf Laser Ops Pro - Test

Hasbros neue Laser-Ops-Pro-Blaster verschießen Licht anstelle von Darts. Das tut weniger weh und macht trotzdem Spaß.

Nerf Laser Ops Pro - Test Video aufrufen
Dark Rock Pro TR4 im Test: Be Quiet macht den Threadripper still
Dark Rock Pro TR4 im Test
Be Quiet macht den Threadripper still

Mit dem Dark Rock Pro TR4 hat Be Quiet einen tiefschwarzen CPU-Kühler für AMDs Threadripper im Angebot. Er überzeugt durch Leistung und den leisen Betrieb, bei Montage und Speicherkompatiblität liegt die Konkurrenz vorne. Die ist aber optisch teils deutlich weniger zurückhaltend.
Ein Test von Marc Sauter

  1. Dark Rock Pro TR4 Be Quiets schwarzer Doppelturm kühlt 32 Threadripper-Kerne

Wet Dreams Don't Dry im Test: Leisure Suit Larry im Land der Hipster
Wet Dreams Don't Dry im Test
Leisure Suit Larry im Land der Hipster

Der Möchtegernfrauenheld Larry Laffer kommt zurück aus der Gruft: In einem neuen Adventure namens Wet Dreams Don't Dry reist er direkt aus den 80ern ins Jahr 2018 - und landet in der Welt von Smartphone und Tinder.
Ein Test von Peter Steinlechner

  1. Life is Strange 2 im Test Interaktiver Road-Movie-Mystery-Thriller
  2. Adventure Leisure Suit Larry landet im 21. Jahrhundert

Coachingbuch: Metapher mit Mängeln
Coachingbuch
Metapher mit Mängeln

Der Persönlichkeitscoach Thomas Hohensee plädiert in seinem neuen Buch dafür, problematische Kindheitsmuster zu behandeln wie schadhafte Programme auf einem Rechner: mit Reset, Updates und Neustart. Ein origineller Ansatz - aber hält er dem Thema stand?
Von Cornelia Birr

  1. Elektronisch Arzneimittelrezept kommt auf Smartphone
  2. Relayr Rückstandsglaube als Startup-Vorteil
  3. Liberty Global Ericsson übernimmt Netzwerkbetrieb bei Unitymedia

    •  /