Bezpieczeństwo bankomatów
Bankomaty (bankomaty) są celem oszustw, rabunków i innych naruszeń bezpieczeństwa. W przeszłości głównym celem bankomatów było dostarczanie gotówki w postaci banknotów oraz obciążanie odpowiedniego rachunku bankowego. Jednak bankomaty stają się coraz bardziej skomplikowane i pełnią obecnie wiele funkcji, stając się w ten sposób celem o wysokim priorytecie dla rabusiów i hakerów.
Wstęp
Nowoczesne bankomaty są wyposażone w środki ochrony o wysokim poziomie bezpieczeństwa. Działają w złożonych systemach i sieciach w celu wykonywania transakcji. Dane przetwarzane przez bankomaty są zwykle szyfrowane, ale hakerzy mogą wykorzystywać dyskretne urządzenia hakerskie do włamywania się na konta i wypłacania salda konta. Alternatywnie, niewykwalifikowani rabusie grożą patronom banków bronią, aby splądrować ich wypłacone pieniądze lub konto.
Metody rabowania bankomatów
Wandale z bankomatu mogą albo fizycznie manipulować przy bankomacie, aby uzyskać gotówkę, albo zastosować metody skimmingu karty kredytowej , aby przejąć kontrolę nad kontem karty kredytowej użytkownika. Oszustwo związane z kartami kredytowymi można wykonać, umieszczając dyskretne urządzenia skimmingowe na klawiaturze lub czytniku kart kredytowych. Alternatywnym sposobem oszustwa związanego z kartami kredytowymi jest identyfikacja kodu PIN bezpośrednio za pomocą urządzeń takich jak kamery ukryte w pobliżu klawiatury.
Środki bezpieczeństwa bankomatów
Schematy sprawdzania poprawności kodu PIN dla transakcji lokalnych
Weryfikacja kodu PIN on-line
Walidacja PIN-u on-line następuje, gdy dany terminal jest podłączony do centralnej bazy danych. PIN dostarczony przez klienta jest zawsze porównywany z zarejestrowanym referencyjnym PIN-em w instytucjach finansowych. Jednak jedną wadą jest to, że każda awaria sieci powoduje, że bankomat nie nadaje się do użytku, dopóki nie zostanie naprawiony.
Weryfikacja kodu PIN w trybie offline
Podczas sprawdzania PIN-u offline bankomat nie jest podłączony do centralnej bazy danych. Warunkiem walidacji PIN off-line jest możliwość porównania przez bankomat wprowadzonego przez klienta PIN-u z PIN-em referencyjnym. terminal musi mieć możliwość wykonywania kryptograficznych oraz musi dysponować wymaganymi kluczami szyfrującymi .
Schemat sprawdzania poprawności offline jest bardzo powolny i nieefektywny. Weryfikacja kodu PIN w trybie offline jest już przestarzała, ponieważ bankomaty są połączone z centralnym serwerem za pośrednictwem chronionych sieci.
Walidacja PIN dla transakcji wymiany
Istnieją trzy procedury PIN do obsługi transakcji wymiany o wysokim poziomie bezpieczeństwa. Podany PIN jest szyfrowany na terminalu wejściowym, podczas tego kroku używany jest tajny klucz kryptograficzny. Oprócz innych elementów transakcji, do agenta rozliczeniowego przesyłany jest zaszyfrowany PIN . Następnie zaszyfrowany PIN jest kierowany z systemu agenta rozliczeniowego do sprzętowego modułu bezpieczeństwa . W nim PIN jest odszyfrowywany. W przypadku klucza kryptograficznego używanego do wymiany, odszyfrowany klucz jest natychmiast ponownie szyfrowany i kierowany do systemu emitenta za pośrednictwem zwykłych kanałów komunikacyjnych. Na koniec przekierowany kod PIN jest odszyfrowywany w module bezpieczeństwa wydawcy, a następnie weryfikowany na podstawie technik lokalnej walidacji kodu PIN on-line.
Istnieją różne metody transakcji stosowane we współdzielonych bankomatach w odniesieniu do szyfrowania kodu PIN, a wśród nich uwierzytelnianie wiadomości to tak zwane „szyfrowanie strefowe”. W tej metodzie wyznaczany jest zaufany organ, który działa w imieniu grupy banków, aby mogły one wymieniać się komunikatami dotyczącymi zatwierdzeń płatności w bankomatach.
Moduł bezpieczeństwa sprzętowego
Aby komunikacja między bankami i bankomatami przebiegała pomyślnie, włączenie modułu kryptograficznego, zwykle zwanego modułem bezpieczeństwa, jest kluczowym elementem w utrzymaniu prawidłowych połączeń między bankami a maszynami. Moduł bezpieczeństwa został zaprojektowany tak, aby był odporny na manipulacje . Moduł bezpieczeństwa realizuje mnóstwo funkcji, między innymi weryfikację PIN-u, translację PIN-u w wymianie, zarządzanie kluczami i uwierzytelnianie wiadomości. Używanie kodu PIN w przesiadkach budzi obawy związane z bezpieczeństwem, ponieważ kod PIN może zostać przetłumaczony przez moduł bezpieczeństwa na format używany do wymiany. Ponadto moduł bezpieczeństwa ma generować, chronić i utrzymywać wszystkie klucze związane z siecią użytkownika.
Uwierzytelnianie i integralność danych
Proces weryfikacji osobistej rozpoczyna się od podania przez użytkownika osobistych informacji weryfikacyjnych. Informacje te obejmują PIN oraz podane informacje o kliencie, które są zapisywane na rachunku bankowym. W przypadkach, gdy na karcie bankowej przechowywany jest klucz kryptograficzny, nazywa się go kluczem osobistym (PK). Procesy identyfikacji osobistej można realizować za pomocą parametru uwierzytelniania (AP). Jest w stanie działać na dwa sposoby. Pierwsza opcja to sytuacja, w której AP może być niezmienny w czasie. Druga opcja to sytuacja, w której AP może być zmienny w czasie. Istnieje przypadek, w którym istnieje adres IP, który jest oparty zarówno na informacji o wariancie czasowym, jak i na komunikacie żądania transakcji. W takim przypadku, gdy AP może być używany jako kodu uwierzytelniającego wiadomość (MAC), stosuje się uwierzytelnianie wiadomości w celu wykrycia nieaktualnych lub fałszywych wiadomości, które mogą zostać skierowane zarówno na ścieżkę komunikacyjną, jak i wykrycia zmodyfikowanych wiadomości, które są fałszywe i które mogą przechodzić przez niezabezpieczone systemy komunikacyjne. W takich przypadkach AP służy dwóm celom.
Bezpieczeństwo
Naruszenia bezpieczeństwa w systemach elektronicznego transferu funduszy można dokonać bez wyznaczania granic ich komponentów. Elektroniczne systemy transferu środków składają się z trzech elementów; którymi są łącza komunikacyjne, komputery i terminale (bankomaty). Po pierwsze, łącza komunikacyjne są podatne na ataki. Dane mogą zostać ujawnione w sposób pasywny lub bezpośredni, gdy urządzenie jest wkładane w celu pobrania danych. Drugim elementem jest bezpieczeństwo komputera. Istnieją różne techniki uzyskiwania dostępu do komputera, takie jak uzyskiwanie dostępu za pośrednictwem zdalnego terminala lub innych urządzeń peryferyjnych, takich jak czytnik kart. Haker uzyskał nieautoryzowany dostęp do systemu, więc programy lub dane mogą być manipulowane i zmieniane przez hakera. Bezpieczeństwo terminali jest istotnym elementem w przypadkach, gdy klucze szyfrujące znajdują się w terminalach. W przypadku braku fizycznego zabezpieczenia sprawca może sondować klucz, który zastępuje jego wartość.
Zobacz też
- ATMIA (Stowarzyszenie branżowe ATM)
Linki zewnętrzne
- https://www.lightbluetouchpaper.org/ — Badania nad bezpieczeństwem, Laboratorium komputerowe Uniwersytetu Cambridge