Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 117 reacties

De pincode die wordt gebruikt om pinpassen en creditcards te beveiligen, kan eenvoudig worden onderschept. Ook Nederlandse pincodes van pinpassen zijn mogelijk kwetsbaar. "Het systeem moet op de schop", aldus beveiligingsonderzoeker Andrea Barisani.

Contactloos betalenDe afgelopen jaren hebben banken maatregelen genomen om pincodes op creditcards en pinpassen beter te beschermen, maar omdat verouderde creditcards ook nog moeten worden ondersteund, vervalt die extra beveiliging. Daarvoor waarschuwt beveiligingsonderzoeker Andrea Barisani van beveiligingsbedrijf Inverse Path.

Hoewel Barisani enkel problemen heeft aangetroffen in de beveiliging van de pincodes op creditcards, zijn pinpassen met de in Nederland gebruikte Maestro-standaard ook kwetsbaar zodra ze worden gestoken in een pinapparaat dat zowel creditcards als pinpassen ondersteunt. Vaak is dat zo, omdat de chips op creditcards en pinpassen op dezelfde technologie leunen: EMV, wat staat voor Europay, MasterCard en Visa.

De pincode kan worden onderschept door een klein apparaatje in een pinapparaat te schuiven. Dat apparaat doet zich voor als een creditcard en voert een man in the middle-aanval uit op de transactie tussen de pinpas en het pinapparaat. "Ik heb Maestro-passen niet onderzocht, maar dat maakt niet uit", aldus Barisani tegenover Tweakers. Het apparaatje dat in het pinapparaat is geschoven emuleert immers een creditcard; het pinapparaat ziet niet eens dat er in feite helemaal geen creditcard is ingevoerd.

De kwetsbaarheid bevindt zich in de ondersteuning van pinapparaten voor verouderde vormen van authenticatie van creditcards, waarbij de pincode onversleuteld wordt verstuurd naar het pinapparaat. Een aanvaller kan afdwingen dat die verouderde vorm van authenticatie wordt gebruikt. "Dit probleem wordt veroorzaakt door backwards compatibility", aldus Barisani.

"Een probleem is dat de authenticatie van de kaart en de authenticatie van de pincode apart gebeuren", zegt Barisani. De oplossing zou zijn om de authenticiteit van de kaart te verifiëren voordat de pincode wordt ingevoerd; iets wat nu niet gebeurt. Dat is echter in strijd met de officiële specificatie van het betaalsysteem. "De enige oplossing is om de specificatie te negeren", aldus Barisani. "Of om het hele systeem op de schop te gooien."

Nederlandse banken hebben maatregelen genomen om zich te wapenen tegen het beveiligingsprobleem, maar Barisani vermoedt dat het probleem nog steeds is te misbruiken. Omdat verouderde, buitenlandse creditcards namelijk nog steeds geaccepteerd moeten worden, zouden aanvallers zich daarom kunnen voordoen als een buitenlandse pinpas.

De kwetsbaarheid heeft enkel betrekking op het onderscheppen van de pincode; een aanvaller zou dan ook nog de pinpas zelf in handen moeten krijgen. "Maar het probleem is dat jij als klant aansprakelijk bent als je pinpas wordt gestolen en de dief je pincode gebruikt", stelt Barisani. Banken gaan er volgens hem van uit dat klanten nalatig zijn als de pincode wordt gebruikt, omdat ze die dan bijvoorbeeld op een briefje in hun portemonnee hadden staan. "Wij willen aantonen dat dat niet zo hoeft te zijn, omdat de pincode kan worden onderschept."

De conclusie dat 'creditcards ook kunnen worden geskimd', die NU.nl trekt, schuift Barisani terzijde. "Wij waarschuwen voor een zeer specifiek probleem", zegt Barisani. "Zeggen dat creditcards niet veilig zijn, is niet eerlijk. Want dat is niet waar."

De problemen waarvoor Barisani waarschuwt zijn niet nieuw: in 2011 waarschuwde Barisani's collega Daniele Bianco al voor kwetsbare creditcards op de Hack in the Box-beveiligingsconferentie in Amsterdam. Wel heeft Barisani een nieuwe hack gevonden waardoor meer kaarten kwetsbaar zijn dan gedacht. Dat lijkt echter geen gevolgen te hebben voor Nederlandse pinpassen en creditcards.

Moderatie-faq Wijzig weergave

Reacties (117)

Beroepsmatig houd ik me bezig met EMV en kaartbetalingen en ik kan het verhaal hier en op Nu moeilijk volgen. Het lijkt alsof er een aantal zaken door elkaar gehaald worden.
- Een creditcard is op belangrijke punten verschillend van Maestro. Zo is de applicatie ID anders, waardoor er een goede kans is dat dit niet gaat werken en je niet eens aan de pincode toekomt. Daarnaast zullen er andere sleutels gebruikt worden en is de PAN anders.
- Pincode afvangen is ook niet zomaar mogelijk, omdat deze (als die al meegestuurd wordt) versleuteld wordt verstuurd vanaf de kaart. Bij oude versies van EMV kan ik het me voorstellen, want toen werd de pincode onversleuteld verstuurd. Gezien de achterstand op beveiliging bij credit kaarten (die kom je zelf nog wel eens als magneetstrip only tegen) kan ik me voorstellen dat ze hier ook nog wel eens oudere EMV versie tussen zit.
- Zelfs als een pas de minder veilige methodes nog ondersteunt, wordt altijd gekozen voor de meest veilige manier die zowel kaart als betaalterminal ondersteunen.

Dan iets uit de comments: PIN is het merk van het, oude, Nederlandse betaalsysteem. Eigendom van Currence. Dit is uitgefaseerd omdat ze het niet naar de EMV chip wilden brengen. Dit is dus iets anders dan een pincode.
"- Zelfs als een pas de minder veilige methodes nog ondersteunt, wordt altijd gekozen voor de meest veilige manier die zowel kaart als betaalterminal ondersteunen."

Daar is de man in the middle voor ... de onderhandeling over wat de veiligste manier is niet veilig geimplementeerd (waarschijnlijk omdat tweezijdige backwards compatibility in de standaarden een veilige implementatie simpelweg onmogelijk maakt). Dit is vergelijkbaar met de SSL downgrade aanvallen.
Maar in dat geval moet het vrij makkelijk waar te nemen zijn door de banken, want al deze informatie krijgen zij ook.
Daarnaast wordt er ook nog een aantal zaken versleuteld bij communicatie tussen pas en terminal. Weet even niet of dit effect heeft op een man-in-the-middle, want mijn EMV-boekjes liggen op mijn werk.

Trouwens, buiten Nederland/Europa staan waarschijnlijk nog ladingen oude terminals die hier heel makkelijk vatbaar voor zullen zijn, zodat je maar aan 1 kant jezelf anders hoeft voor te doen.
Deze expert bewijst dus dat het systeem waar jij op doelt is te omzeilen door het apparaat fysiek aan te passen zodat hij denkt dat er ALTIJD een minder veilige methode moet worden gebruikt.
Heel verhaal gewist. Mooie presentatie gevonden van deze Barisani: http://dev.inversepath.com/download/emv/emv_2011.pdf
en de Whitepaper: http://dev.inversepath.co...lackhat_df-whitepaper.pdf

Korte samenvatting: knoeien met de lijst van toegestane methoden kan ervoor zorgen dat er geen encrypted pin wordt gebruikt. Maar alleen in een enkel geval.
it is believed that only when Plaintext PIN verification
performed by ICC is present and selected from the CVM List
the PIN can be harvested by the EMV skimmer
Wel de opmerking dat je nu alleen de pincode hebt en dat is zonder de pas erbij niet bijzonder zinnig en dat de bank in het online bericht de melding krijgt dat het een plaintext PIN verficatie is geweest, terwijl er ook bekend wordt gemaakt dat de terminal wel encrypted pin aankan (wat door een fraude tool wel herkend zal worden verwacht ik).
Ah, om te beginnen schaf de NFC chip in de pasjes af of geef een keuze om het niet te hebben.

Of dat het uit kan, een kennis werd haar portefeuille gestolen tijdens een feest, 20 euro kwijt het valt nog mee want het kon erger maar zo zie je maar, zo simpel is dat.

[Reactie gewijzigd door Mizgala28 op 28 december 2014 14:59]

Ah, om te beginnen schaf de NFC chip in de pasjes af of geef een keuze om het niet te hebben.
NFC is juist het heerlijkste om te hebben! Veel minder kans op afkijken van je code, minder (geen) kans op skimmen. Ik haal de kaart niet eens uit mijn portefeuille bij het betalen.
En zoals er al geantwoord is, je kan het uitzetten. Daarnaast zijn het kleine bedragen, vergelijkbaar met je OV pas. Bij het uitchecken van velen zie ik dat ze vaak meer dan 50 euro tegoed hebben.
Euhm, wat je beschrijft is juist het hele probleem: Je hoeft hem nog geen eens uit je portefeuille te halen bij een standaard lezer! De kans op skimmen is dus enkel groter. (Ja kleiner dan magneetstrip, maar dan vergelijk je het ook ergens mee).

Pak nu een opgevoerde lezer (en ja, grotere antenne, sterker veld en gevoeligere ontvanger kan je van wat afstand NFC uitlezen), die stop je in je aktetas (lekker wat ruimte voor een flinke antenne), en je loopt door een winkelstraat heen om je geld op te halen!

Enige problemen zijn een betaalterminal te krijgen om op te voeren, en hoe je daarna je geld van de rekening waar die terminal het op gooit krijgt voordat een bank het blokkeert. Het zou dan ook een veel beter idee zijn als er een touch sensor ofzo op die kaartjes zou zitten waar je je vinger op moet leggen om te betalen. Wel een extra stap ja, maar het zorgt er ook voor dat je niet zomaar langs iemand kan lopen en 50 euro van zijn pas kan afschrijven.

Overigens zelf maak ik me er niet druk om als ik er één krijg met NFC, de bank vergoedt fraude wel, als criminelen al slim genoeg worden om dat in elkaar te zetten. Maar nee, ik kan het niet veilig noemen. Ik vind het een stap terug in de tijd qua beveiliging.
Ik stel me een moderne poortwachter voor me waarbij je tot een jaar geleden zowel een pasje moet afgeven EN een wachtwoord in zijn oor moet fluisteren. Als de combinatie klopt mocht je naar binnen. Maar het gepeupel vond het onthouden van het wachtwoord te moeilijk en snapte niet wat fluisteren was. Het gepeupel begon te klagen dat anderen hun wachtwoord konden achterhalen. Dus nu laat de poortwachter nu iedereen binnen als die alleen zijn pasje van een afstandje laat zien. "iets wat je hebt" is heerlijker dan authenticatiemethode "iets wat je hebt+iets wat je weet"?

Het laat onverlet dat het appels met peren vergelijken is. De aanvalsmethodes zijn niet een op een toepasbaar van het oude op het nieuwe model. Maar dat maakt nog niet dat er geen makkelijke aanvalsmethodes zijn voor het nieuwe model en laat al helemaal geen ruimte om dus maar te redeneren dat het nieuwe model dus heerlijker is op beveiligingsgebied.

NFC-payment beveiligingsproblemen bestaan bewezen. Het laatste voorbeeld is een bank die een groot deel van de oude passen uit omloop heeft gehaald. Is daarmee het onderliggende probleem verholpen?

Zoals Barisani al aangeeft: een probleem in de basis los je niet volledig op door lokaal/landelijk niveau maatregelen te nemen. Je verkleint een risico, voor sommigen (internationaal gezien).
Dit argument hoor ik zo vaak, en ik verbaas me er steeds weer over.
Als iemand contant geld kwijtraakt doordat zij haar portemonnaie verliest vind iedereen dat normaal, maar wanneer het verloren geld op een pasje stond is dat plotseling onacceptabel. Ik zie het verschil niet. Het gaat om bedragen van vergelijkbare grootte en je had het geld in je tas zitten.
Als ik contact geld krijt raak, is dat beperkt tot was er in zat. Als iemand mijn pinpas hackt kan mijn hele rekening leeg gehaald worden, en als ik kan rood staan, nog meer.
Ehm, ik snap het niet helemaal.
Of dat het uit kan, een kennis werd haar portefeuille gestolen tijdens een feest, 20 euro kwijt het valt nog mee want het kon erger maar zo zie je maar, zo simpel is dat.
NFC is gewoon een equivalent van contant geld. Ik neem aan dat die kennis van je ook wel wat contant in haar portefeuille had en dat is ze ook kwijt. NFC kan je nog blokkeren, contant geld nooit.

Niet zoveel aan de hand dus.
Werd ook achteraf geblokkeerd, echter de NFC betaling vond plaats ongeveer 20 minuten nadat blijkbaar de portefeuille werd gestolen, zij zelf kwam er achter paar uur later toen ze naar de bus ging.

Maar ja, je kan het blokkeren, echter vergeleken met een pas zonder NFC kan een dief altijd even snel een klein bedrag scoren als je niet snel genoeg bij bent.
Stel je zit bij de ING, dan log je eerst in en ga je naar deze pagina:
https://bankieren.mijn.in...ellingen/pasgebruik/index

Hier kan je de instellingen wijzigen, en dus ook 'Contactloos betalen' uitzetten.
Als je dit wilt doen omdat je bang bent geld te verliezen: Mijn bank, en waarschijnlijk de anderen ook, geven je het geld gewoon terug bij verlies/diefstal van je pas. Zonder eigen risico.
Lees anders de (nieuwe) algemene voorwaarden van je betaalrekening, daar staat alles in vermeld.
Helaas biedt mijn bank dat niet aan (ABN Amro).

Wel fijn dat ING dat wel aanbiedt.
Je kan bij abn amro ook prima een pas kiezen zonder contactloos betalen.
Ik wil geen gebruik maken van de nieuwe betaalpas. Wat moet ik doen?
Als u om welke reden dan ook geen gebruik wilt maken van uw nieuwe betaalpas, kunnen wij voor u een andere pas aanvragen. Hiervoor kunt u terecht bij één van onze kantoren of via 0900 - 00 24 (gebruikelijke belkosten).
Ik heb zelf bij beide banken gekozen voor een pas, met.
Omdat het veiliger is:
  • Er kan max 25 euro per dag per winkel gepint worden zonder code. (max ¤50)
  • Bij praktisch alle winkels met contactloos pinnen komt de dief ook op de camera, dus de pakkans is vrij hoog tegenover de winst voor de criminelen. Daardoor de kans op misbruik klein.
  • En mocht er toch misbruik worden gemaakt vergoed de bank het.
Het risico ligt dus niet bij mij, en tegelijkertijd hoef ik op drukke plekken waar men je pincode over je schouder kan meekijken (ah2go, stations) mij geen zorgen te maken dat iemand m'n pas pikt, en daarna honderden euro's van m'n rekening pint.
Je hebt de keuze (althans bij ABN Amro) om een NFC pas te weigeren. Je krijgt dan een nieuwe opgestuurd die je bij een bankfiliaal moet laten activeren. Daar keken ze overigens vrij raar toen ik zei dat ik het niet veilig vond.
een kennis werd haar portefeuille gestolen tijdens een feest, 20 euro kwijt
Als je hele portefeuille gestolen is dan maakt NFC toch ook niet meer uit, dan kan de dief toch al het geld en de pas uit de portefeuille halen?
Als NFC veiliger is dan contant geld is het in het totale systeem van betalingen wel degelijk een stap voorwaarts zelfs als het niet absoluut 100% waterdicht is.
Ah, om te beginnen schaf de NFC chip in de pasjes af of geef een keuze om het niet te hebben.

Of dat het uit kan, een kennis werd haar portefeuille gestolen tijdens een feest, 20 euro kwijt het valt nog mee want het kon erger maar zo zie je maar, zo simpel is dat.
NFC heeft hier echt totaal niks mee te maken. Als je het risico op een voorval zoals wat jij schetst niet wilt lopen schakel je het uit, opgelost.
Dat uitschakelen was het punt, dat kon volgens mijn bank niet, echter zegt iemand hier van wel dus mijn bank kan morgen een telefoontje verwachten.
Onzinverhaal, je zit dingen te verzinnen. Dit staat op de website (5 seconden zoekwerk).
Het is vanaf dag 1 gecommuniceerd dat het uit te zetten is.
Ik vind het goed dat ze steeds weer bezig zijn met onderzoeken of een product beter beveiligd kan worden en hoe makkelijk/groot de kans is dat ze de beveiliging kraken.

Alleen ik heb ooit ergens gelezen dat werkelijk ALLES wat door de mens is gemaakt, ook door de mens is te kraken. Alleen het word steeds moeilijker gemaakt waardoor het meer tijd kost.

**"Een probleem is dat de authenticatie van de kaart en de authenticatie van de pincode apart gebeurt",***

Maar door dat aan te passen zijn ze in strijd met de regels, dus ze hebben geen keus door het hele systeem aan te passen, iets wat zeer veel tijd kost.

Offtopic: Ik heb en gebruik geen creditcard, iets waar je krediet mee 'kan' hebben lijkt mij nooit goed gezien je geld besteed wat eigenlijk niet van jou is (krediet).
Dat alles wat door een mens gemaakt is ook door een mens te kraken is, is niet waar en er zijn voorbeelden genoeg die na tientallen jaren of zelfs eeuwen niet te kraken zijn.

Het Voynich Manuscript is geschreven in de middeleeuwen. Velen hebben geprobeerd het te ontcijferen maar tot nu toe is het niet gelukt.
Dat komt omdat de taal van dat manuscript nu niet meer herkend word, alle mensen die het lezen/schreven/spraken zijn dood en er is niks gedocumenteerd (geen steen van Rosetta achtige dingen).

Leuk voorbeeld, maar niet relevant. Een beveiliging van een pinpas of creditcard is beter gedocumenteerd en bovendien te reverse-engineren, dus dit is iets wat onder de categorie "door de mens gemaakt en door de mens te kraken' valt.
Misschien is dit voorbeeld niet relevant mbt de pinpas, maar het is wel degelijk relevant mbt de opmerking dat alles wat door de mens gemaakt is, te kraken is door de mens. Als ik een USB stick aan jou geef, met daarop data, betekenisvolle data, bv een videofilm of documenten, en ik heb die versleuteld op een manier die niemand kent, dan is dat niks anders dan dat Voynich Manuscript. Het is niet te begrijpen totdat je de code kunt kraken. Dat er geen documentatie is doet er niet toe.

Het is overigens niet te zeggen dat het Voynich Manuscript niet te kraken is. Het is alleen nog niet gekraakt. Ook onze GPG private keys die momenteel onkraakbaar zijn, zijn over vijftig of honderd jaar misschien in een minuut te ontcijferen.
Je ontkracht net je eigen argument:
Het is alleen nog niet gekraakt.
OT: Wat me niet helemaal duidelijk is uit dit verhaal, hoe werkt het precies met dat apparaatje in de pinmachine? Als die op de plek van de kaart zit, dan past de kaart toch niet meer lijkt mij? Of valt het tenminste op?
Nee, ik ontken mezelf niet. Ik zeg alleen dat de opmerking relevant is.
Volgens mij is dit onzin, de PINCODE staat niet op een pinpas !
De pincode staat wel op een pinpas!
Niet in leesbare tekst maar de chip op de pinpas verifieert de pincode. Daarom werken o.a. Random readers van de Rabobank ook. Geef daar maar eens een foute pincode op dan zal je zien dat die wordt geweigerd.

Dit hele verhaal is overigens niets nieuws. Is al heel lang bekend dat er veel kwetsbaarheden zitten in PIN. Zoek bv eens op 'pin and chip is broken' en de opvolgers daarvan. Zeer veel materiaal te vinden vaak van enkele jaren oud maar nog steeds geldig waarin helder wordt uitgelegd dat en waarom PIN niet veilig is.

Afhankelijk van bank en apparatuur heb je niet eens een pincode nodig om een pas te gebruiken. Klein apparaatje t.w.v. 100,- kan dat afvangen en elke willekeurige pincode acceptabel maken.

Ik zie ook geen bronvermelding. Niets uit dit artikel komt over als nieuws bij mij. Alles wat hier staat is al gepubliceerd in 2010 / 2011.

Youtube video die bij dit artikel hoort:
https://www.youtube.com/watch?v=_Ai-3NG2UVA

PDF uit 2011 die in deze talk wordt gebruikt:
https://cansecwest.com/cs...Barisani%20&%20Bianco.pdf
Zo te zien is er wel een verschil in materiaal. PDF lijkt geupdate met nieuw materiaal.

[Reactie gewijzigd door RolfLobker op 28 december 2014 16:20]

Afhankelijk van bank en apparatuur heb je niet eens een pincode nodig om een pas te gebruiken. Klein apparaatje t.w.v. 100,- kan dat afvangen en elke willekeurige pincode acceptabel maken.

Het zit iets ingewikkelder in elkaar.

Het punt is net als in deze hack dat een X-cijferige code niet inherent aan de EMV chip gekoppeld zit. In de USA gaat men bijvoorbeeld gewoon hantekening blijven gebruiken. (En daar is overigens ook niets inherent onveiligs aan, maar dat is een ander verhaal.)

Probleem is echter dat die kaarten en systemen dus talloze varianten aan moeten kunnen. Meeste kwetsbaarheden die tot nu toe gevonden zijn maken hiervan gebruik. Wat jij beschrijft is dat een pas die een pincode nodig zou hebben dan via een MITM aanval omgetovert zou worden naar een pas met hantekening. De chip in de pas denkt dat de automaat geen PIN ondersteunt, en schakelt dus over ope en ander protocol.

In dit geval van het artikel soortgelijks waar een versleutelde code omgezet wordt naar een niet-versleutelde.

In verreweg de meeste gevallen gevallen echter kan de bank dit detecteren en de transactie vervolgens weigeren. Ook kan de chip in de pas zelf bepaalde transacties weigeren. Je hoeft niet elk EMV protocol te ondersteunen. Tot nu toe echter hebben banken niet altijd veel gedaan aan dit soort detectie. Nederland overigens meer dan sommige andere landen.

Punt dat ik maak, is dat deze aanvallen bijna altijd aangepakt kunnen worden op de bankend bij de bank en door de laatste EMV chips te gebruiken in de pas.

En dan nog is de aanval zeer beperkt. Bij PIN & EMV-chip zijn tot nu toe aanvallen zeer beperkt en enkel in twee varianten:
1) men steelt de fysieke pas na verkrijgen van pincode via het hacken van het apparaat (o.a. dit artikel).
2) men hakt de pinautomaat en laat die replay-aanvallen uitvoeren waar de machine extra transacties uitvoert van passen die kort daarvoor (!!!) daarin gebruikt worden. (O.a. de hack die jij aanhaalt).

Beide zijn snel te detecteren en zeer moeilijk uit te voeren, laat staan schaalbaar omdat ze beperkt zijn tot de machine zelf.
Je kunt als crimineel ook niet zomaar een betaalmachine aan het betaal netwerk hangen zonder contract bij een erkend tussenbedrijf en elke betaalautomaat is gekoppeld aan een juridische rechtpersoon. Dat is dus lastiger onopgemerkt te doen en vaak beoerkt tot het hacken van de amchien van een kleine winkelier.
Tenslotte is het dus makkelijk te blokkeren als blijkt dat er opeens frauduloze transsacties van een bepaalde autromaat komen.

Heel anders dan met de klassieke magneetstrip, waar de pas zelf gekloon kon worden.

Het probleem is dus veel meer dat banken de EMV chip soms misbruikt hebben om de fraude-klosten deels naar de klant terug te hevelen. In Nederland zien we dat bijvoorbeeld met Maestro waar je een "eigen risico" hebt.

Bij creditcards is dat echter veel minder en kun je dus vaak beter die gebruiken. Ook is uberhaupt fraude risico daar lager (bij moderne creditcarsd met chip) omdat hetgeld via een tussenrekening gaat. In sommige landen (USA) is zelfs wettelijk geregeld dat je als klant nooit meer dan X bedrag (USA $50) aansprakelijk bent.

In Nederland wordt je vaak boos aangekeken en wordt er flink gezucht door de persoon achter de kassa als je een creditcard trekt, maar in de meeste andere (Europese) landen is het meestal geen probleem. Ik betaal dus vrijwel altijd met creditcard zodat bij fraude ik me niet druk hoef te maken op coulance van de bank en of ik opeens 'rood sta' met gevolgen van dien.
bankend dat vond ik wel een leuke spelfout ;)
Het staat me nog bij dat in 2008 ik in verschillende Zweedse winkels kon pinnen waarbij ik geen pincode in hoefde te toetsen.
In Zwolle zijn er parkeermeters waar je je pas wel instopt, maar verder hoef je hier geen code in te voeren. In Nederland is dit (blijkbaar) dus ook mogelijk.
In Nederland heb je ook parkeerautomaten waar je met pinpas kan betalen zonder pincode in te hoeven toetsen.
Dat zeg ik toch ook ongeveer?
Dat zei je inderdaad. Letterlijk. Ik heb blijkbaar reacties door elkaar gehaald :)
Maestro kan functioneren zonder dat er een pincode nodig is. Is spijtig genoeg niet geweten door vele mensen. Enkele jaren terug was er hier in België iemand op het nieuws wiens portefeille (inclusief bankkaart) gestolen was. Omdat zij er vanuit gingen dat er zonder pincode weinig gevaar was voor misbruik hebben ze de kaart niet zo snel mogelijk laten blokkeren maar gingen er enkele uren over heen. Dat was voor de dieven voldoende om de franse grens over te steken en er misbruik van te maken. Het ging toen blijkbaar wel om betaling met de magneetstrip en niet met de chip.
Klopt, in Frankrijk ook in de supermarkten. Pinpas erin steken en klaar. Grote tassen boodschappen maar pincode ho maar! En voor je creditcard moest je juist wel weer perse een pincode gebruiken. Het Is inmiddels wel veranderd merkte ik vorig jaar. Maar het was niet echt een veilige gedachte, dat je je pinpas verloor, dat dan je rekening geplunderd zou worden met boodschappen in winkels.
Ik vind de teksten "EMV is broken" altijd wat overtrokken. Er zullen ongetwijfeld aantoonbaar kwetsbaarheden in het protocol zitten, maar volgens mij is EMV pas echt "broken" als er op grote schaal misbruik van wordt gemaakt. De publicaties die jij noemt stammen uit 2010, toch is het aantal fraudegevallen met EMV beperkt tot vrijwel 0. En dat is toch uiteindelijk het doel van EMV, fraude zo goed als onmogelijk maken.
@MarcoC: het aantal fraudegevallen is juist vrij hoog. Alleen willen banken dat niet graag toegeven. In één van de talks uit die tijd is dat zelfs aangetoont m.b.v. onder andere opgevraagde pin receipts.
Wat is de bron van het hoge aantal fraudegevallen? Ik weet in ieder geval zeker dat het aantal fraudegevallen t.o.v. de magneetstrip sterk omlaag is gegaan.
Kijk de video nog maar eens, er staat wel degelijk het e.e.a. in de EMV chip
dat iets nog niet gekraakt is wil niet zeggen dat het onmogelijk is, alles is te kraken
dat iets nog niet gekraakt is wil niet zeggen dat het onmogelijk is
Maar niet dat het kraakbaar is.
alles is te kraken
Dat is een mening, geen feit. Je kunt met dezelfde logica als die van jou ook stellen dat zolang iets niet gekraakt is, het niet is vastgesteld dat het onkraakbaar is.
Feitelijk is het ook niet belangrijk of het kraakbaar of onkraakbaar is, het gaat er om om iets te ontwikkelen dat x jaar onkraakbaar zal blijven, en x vul je in afhankelijk van hoe lang je legacy spullen wilt blijven gebruiken. Probleem alleen is dat die termijn in de praktijk steeds langer wordt, en soms de gekozen x ten tijde van implementatie overschrijdt.
Zonder fysieke toegang is zeker niet alles te kraken. met fysieke toegang is wel alles te kraken, maar dan heb je alsnog veel kennis nodig.

Ik kan wel degelijk een systeem maken, waarbij je vantevoren moet weten dat er een dergelijke specifieke beveilging op zit voordat je het kan kraken.
Oeh, zelf crypto doen. Ook dat is te hacken door de frequentie van de gecrypte data te analyseren. Als je echt goed bent is het misschien witte ruis. Kans is echter vele malen groter dat de crypto brak en dus relatief eenvoudig te hacken is. Just saying voordat iedereen de denkt dat een goed crypto systeem zomaar in elkaar te zetten valt.
Verder klopt het wel: als de crypto goed is, is de data niet veel waard.
Dat het door de mens gemaakt is betekent dan nog niet meteen dat het door de mens te kraken is. Ik ben het er mee eens dat het slechte voorbeelden zijn, maar dat wil niet zeggen dat er geen voorbeelden zijn. Een beter voorbeeld zou zijn dat communicatie d.m.v. "quantum teleportation" niet kan worden onderschept.
Maar hoeft niet per definitie te betekenen dat het ontcijferbaar is. Het kan nog steeds een vals schrift zijn, of autowriting.

De Codex Seraphinianus (wikipedia link) is ook erg bijzonder/bizar boek (en ultieme conversationstarter als je die ergens in huis hebt staan :)) en heeft statistisch gezien een basis om een natuurlijke taal te zijn. Toch word deze nog steeds gezien als een autolanguage en daarmee niet ontcijferbaar.

Saillant detail, de cijfers in de codex zijn WEL ontcijferbaar en gebruiken base 27/repetetieve patronen.
Het Voynich Manuscript is geschreven in de middeleeuwen. Velen hebben geprobeerd het te ontcijferen maar tot nu toe is het niet gelukt.
Dat komt omdat het waarschijnlijk een verzonnen schrift is welke door handelaren is gebruikt om dit boek te slijten aan goedgelovige kopers, enkele honderden jaren geleden. Om dat te bewijzen is er in de jaren '70 een boek gemaakt genaamd Codex Seraphinianus, compleet met een verzonnen schrift en absurde illustraties. En nu, 35 jaar laten is alleen nog maar vast komen te staan dat de pagina nummering 21-tallig is, het schrift LTR is, en er gebruik wordt gemaakt van hoofdletters. But that's it. En dat is een boek waarvan de auteur nog leeft en waarvan we weten dat het onzin is :).
Ander voorbeeld, dit kunstwerk voor de deur van de CIA: https://en.wikipedia.org/wiki/Kryptos
Of wat te denken van het bekende P vs NP probleem: super makkelijk uit te leggen, wiskundig (vooralsnog) niet op te lossen.
Ik ben nog nooit iemand tegengekomen die 'krediet' van een creditcard gebruikt om ermee rond te komen. Maar ik neem aan, met jouw manier van denken, dat je je hele leven in een huurhuis blijft wonen? Of betaal jij je koophuis van je spaarrekening?

Een creditcard is juist de uitgelezen manier van online betalen die bijvoorbeeld zekerheid biedt op het gebied van het ontvangen van goederen en verlies- en diefstal. Bij een creditcard kun je namelijk een chargeback uitvoeren wanneer je een artikel niet ontvangen hebt. Probeer dat maar eens na een iDeal transactie.

OT; 99% van de betaalautomaten is niet vatbaar voor deze 'hack' omdat ze blokkeren zodra ze opengemaakt worden. Dit is zelfs al het geval bij random readers van banken. Schroef maar eens een oude random reader op, hij doet daarna helemaal niets meer.

[Reactie gewijzigd door ouweklimgeit op 28 december 2014 16:29]

Dit gaat denk ik in de eerste plaats om de betalingsmogelijkheden in winkels voor mensen uit het buitenland.

Een eenvoudige manier om dit op korte termijn aan te pakken is om dus om een extra pin speciaal voor de creditcards met de beveiliging kwetsbaarheden te gebruiken, die alleen tevoorschijn wordt gehaald als er men creditcard wil gebruiken.

En dus een veilige pinautomaat voor het normale betaalverkeer.
Dit probleem bestaat alleen wanneer er gerommeld is met het pinapparaat. Dus de oplossing gaat niet echt in de winkel liggen.
Er wordt natuurlijk gerommeld met pinautomaten op lokatie, omdat men ook de pas nog moet stelen.
SEPA afschrijvingen zijn wel terug te draaien hoor.
De SEPA afschrijvingen waar jij het over hebt zijn de incasso's (Direct Debit, met de Refund-mogelijkheid (mits je gebruik maakt van de 'consumenten' versie CORE en niet van de zakelijke versie B2B)). De betalingen (Credit Transfer) zijn niet terug te boeken. Er kan enkel een verzoek worden gedaan aan de ontvanger om het terug te storten (Recall). Er is geen verplichting om die terugstorting ook daadwerkelijk te doen (bij Direct Debit is het honoreren van de Refund verplicht).
iDeal betalingen worden als overschrijving gezien: het is aan de goedheid van de ontvanger om geld terug te storten.
sommige winkels zijn zo erg dat ze spiegels boven de kassas hebben staan. waarbij je als je op bepaalde punten staat je gewoon de pincode van mensen kan aflezen.

deze hebben ze momenteel verwijderd
--------------------
enkele opties voor een hogere beveiliging:

iris scan
(iedereens iris is uniek)

vingerafdruk scan: (voor een goede crimineel, is dit nog steeds te hacken/kraken [gedaan in mythbusters. [het is wel een opvallende hack/crack])
https://www.youtube.com/watch?v=3Hji3kp_i9k

dit zou dan in elke betalings mogelijkheid moeten worden toegepast. waardoor het bijna onmogelijk is om nog zonder toestemming bankzaken te doen

[Reactie gewijzigd door darknessblade op 28 december 2014 17:42]

Jammer genoeg is er nu net op dezelfde conferentie een methode gepresenteerd die aan de hand van foto's (let wel, foto's) van irissen en vingers een werkbare hack oplevert. Ik had het niet voor mogelijk gehouden, zeker in het geval van de lijntjes van een vinger die qua contrast en dergelijke slechts moeizaam te fotograferen zijn... maar het kan. Een onderzoeker claimde zo de duimafdruk van de Duiste minister voor Defensie te hebben gekloond—gewoon haar duim gefotografeerd tijdens een persconferentie. Je hoeft geen complottheorist te zijn om te bedenken dat dit op z'n zachtst gezegd geen wenselijke situatie is.

Even terzijde: alhoewel ik de sluwheid van de hackers bij de CCC-conventies vrijwel altijd exceptioneel vind, vind ik het ook langzamerhand eens tijd worden dat ze hun kunsten toepassen om systemen daadwerkelijk te gaan beveiligen. Het is leuk om een bestaand bouwwerk van bits en bytes en protocollen en chipjes en draadjes te dwingen dingen te doen in je eigen voordeel... Maar daar schiet ik als consument niets mee op. Er is voor miljarden geïnvesteerd in betalingssystemen; dat kun je niet 1-2-3 terugdraaien en/of veranderen. Systemen moeten ook tamelijk idiotproof zijn, want de mensen die ermee zullen werken zijn in het overgrote deel geen ICT-specialist. Ga d'r maar aanstaan.
ik weet dat die systemen ook idiot proof moeten zijn, moet je maar eens nagaan hoe groot het privacy inbreuk was van de winkel die ik bedoelde bovenin in mijn post.

dit was echt het geval. helaas heb ik geen foto van dat het zichtbaar is.
dat de pinpas lezers de cijfers gewoon zichtbaar zijn vanaf bepaalde locaties
Jij 'als consument' gaat daar pas iets mee opschieten als je die hacker gaat betalen voor de geleverde diensten.
Je kunt diensten pas beter beveiligen wanneer je weet hoe die misbruikt worden.

Dus eigenlijk doen die hackers precies wat ze moeten doen. Namelijk waar ze goed in zijn, een potentieel lek vinden. Aan andere (soms dezelfde) experts is dan de taak om een oplossing hiervoor te creëren. En dit kan ook een beslissing zijn om het risico te accepteren of om deze via een andere weg af te dekken.

[Reactie gewijzigd door R-J_W op 29 december 2014 15:37]

Ja en nee. Ja in de zin dat je een hacker erop los moet laten om te zien hoe en wat. Maar de aanvalsvectoren zijn vaak dermate... hoe dit te zeggen... effectief? dat het mij in hoge mate verbaast dat een 'expert' die dit soort systemen ontwikkelt er niet van op de hoogte is. Met andere woorden, mijn conclusie is dat het te vaak is gebleken dat de zogenaamde experts in het verzinnen van aanvalsvectoren niet zo creatief zijn. Men neme het fotograferen van vingers en er een 3D-afdruk van maken (naar eigen zeggen met standaard software!)... maar ook bijzonder was bijvoorbeeld het minitieus afslijpen van een Mifare-chip en dan vervolgens met een OCR-achtig systeem de logic gates van elke laag in manipuleerbare digitale vorm te gieten. Waarna vervolgens bleek dat de cryptografie van die chips op z'n zachtst gezegd drie keer ruk was—helemaal een brevet van onvermogen, natuurlijk.

Daar staat tegenover dat ik me ook een recensie van een met vingerafdruk beveiligde USB-stick hier op Tweakers kan herinneren waarin een echte hardware hacker de zaak probeerde te slopen. Dat lukte hem in de eerste versies nog wel omdat hij bij het communicatieprotocol tussen de diverse chips op de stick kon—en belangrijker, dat kon emuleren. Sesam open u! In een verbeterde versie, tot stand gekomen dankzij dat soort activiteiten, was ook die vector uitgeschakeld en was de stick in ieder geval tegen de meest voor de hand liggende kraakpogingen gehard.

Ik denk daarom echt dat samenwerking in een vroeg stadium beter is dan dat achteraf op een conventie specatulaire kraken worden aangekondigd die de zaak gewoon in feite richting /dev/null sturen. En als consument merk ik dat wel degelijk: ik moet namelijk opnieuw dokken voor investering in betere apparatuur die waarschijnlijk niet noodzakelijk was als er in de ontwerpfase beter naar de hackbestendigheid was gekeken. En daarvoor heb je wel degelijk kundige hackers nodig die hun ervaring op dát moment ter beschikking stellen. Het is, zogezegd, een vak apart.
'Onmogelijk te kraken' is dan ook vaak een synoniem voor 'Momenteel te kostbaar om te kraken'. De beveiliging wordt dan als (momenteel) goed genoeg beschouwd.
Onzin een credit card gebruik ik bijvoorbeeld om betalingen te doen in het buitenland waar paypal etc niet beschikbaar is.

Een creditcard is daar voor geschikt je bankpas niet echt...
om op je offtopic in te spelen:
er bestaan ook creditcard oplossingen waarmee je in feite niet onder 0 kan gaan.
als je betaald met je credietkaart, wordt dat bedrag in vermindering gebracht van hoeveel er momenteel op je zichtrekening staat. (maar het wordt pas op het einde van de maand effectief er af gehaald.)
kort voorbeeld: ik heb een Saldo van 500 staan, ik betaal iets met mijn credietkaart van 300.
Saldo blijft 500, maar beschikbaar bedrag wordt 200. Dwz, ik kan nog voor 200 betalen (of geld afhalen) met mijn debetkaart (en uiteraard ook creditkaart) maar ik heb nog recht op de interesten van 500 voor deze maand. (hoe miniem deze ook zijn, 8)7 )
het is eigenlijk een debetkaart, maar je kan ze op plaatsen gebruiken waar ze enkel creditkaart aanvaarden (restaurants/online/...)
De pincode die wordt gebruikt om pinpassen en creditcards te beveiligen
Sinds wanneer worden credit cards überhaupt beveiligd? Op Amazon kan je rustig betalen door enkel de gegevens die op je credit card staan in te vullen. Vooralsnog wil ik pinpassen als oneindig veiliger dan credit cards beschouwen. Zelfs de meest brakke beveiliging in immers oneindig malen beter dan helemaal geen beveiliging.
Klok/klepel verhaal.

Om toch wat toe te voegen, is hier de reden: Als je aan aankoop doet met een credit card, moet je in bijna alle gevallen ook je adres gegevens invullen. Het adres wordt vervolgens gechecked bij de credit kaart maatschappij. Indien je een adres invult, dat niet bekend is bij je creditkaart maatschappij, of een adres in een compleet ander land opgeeft, dan wordt dat meestal automatisch geweigerd en krijg je vaak ook een belletje van de creditkaart maatschappij om te kijken of de transactie wel van jouw afkomt.
De oplossing is dan om de creditkaart maatschappij te bellen en het adres toe te voegen aan je 'safe list'.

Als jij met je creditkaart geld opneemt in het buitenland (of andere provincie - note, ik woon in Canada) dan kan je ook een belletje verwachten - vaak binnen 5 minuten - met de vraag of de transactie wel van jouw afkomt, tenzij je van te voren hun opbelt en verteld dat je op reis gaat.

Al met al, redelijk veilig voor online aankopen. Voor offline aankopen zit er ook gewoon een pincode op je creditkaart (en een chip).
Klok/klepel verhaal.

Om toch wat toe te voegen, is hier de reden: Als je aan aankoop doet met een credit card, moet je in bijna alle gevallen ook je adres gegevens invullen. Het adres wordt vervolgens gechecked bij de credit kaart maatschappij. Indien je een adres invult, dat niet bekend is bij je creditkaart maatschappij, of een adres in een compleet ander land opgeeft, dan wordt dat meestal automatisch geweigerd en krijg je vaak ook een belletje van de creditkaart maatschappij om te kijken of de transactie wel van jouw afkomt.
Dit is geen standaardprocedure. Als ik met mijn werk CC iets bestel en dat thuis laat afleveren (terwijl alleen het kantooradres bij de CC maatschappij bekend is) gaat dat gewoon goed, zonder verdere checks.
Het is wel degelijk een standaard procedure. Als jij een grote bestelling doet, op een 'vreemd' adres, dan is de kans groot dat je bestelling geweigerd wordt. Indien je een kleine bestelling doet - bij een grote maatschappij zoals Amazon -, dan wordt dat toegelaten, omdat Amazon zelf ook een fraudepreventie team heeft en dat soort dingen naloopt. Mocht je een succesvolle bestelling geplaatst hebben, dan is de kans groot dat het adres na een X aantal dagen automatisch aan de 'white\safe list' wordt toegevoegd.

Mocht je dit toch niet geloven, probeer maar is een (grote) bestelling te plaatsen met die credit card, vanaf een nieuw Amazon account en verstuur het naar een adres van een vriend of familie. Grote kans is dat je bestelling vertraging oploopt omdat ze eerst willen uitvogelen of de transactie wel geldig is.

Ik ontvang regelmatig belletjes van m'n creditcard maatschappij (geautomatiseerd) of recente transacties wel van mij af komen. Mocht ik dat weigeren, dan wordt de transactie afgekeurd en wordt het geld nooit afgeschreven.
Of een adres wat gebruikt wordt is van een een of andere goksite in Gibraltar.....

Ze hangen echt gelijk aan de telefoon....
Bij parkeergarages is zelfs het invoeren van je EMV-bankpas (zonder nfc, zonder pincode) al voldoende om te kunnen betalen.

Beveiliging is het afwegen van risico's en sommige wel/niet accepteren. Als je technisch geen maatregelen ziet wil het niet zeggen dat er organisatorisch geen maatregelen zijn.
ABN-Amro had 14 jaar geleden al losse apparaten waar je je bankpas in kon steken, PIN code invoeren, en zo online transacties authoriseren. Ik heb me altijd afgevraagd hoe je een PIN code kan controleren, offline. Ik kom ook terminals tegen waar je eerst "PIN OK" krijgt en pas daarna contact wordt gezocht met de "centrale".

Dit is alleen relatief veilig als de kaart zelf bijhoudt hoeveel mislukte pogingen worden gedaan, anders kun je geautomatiseerd bij 0000 beginnen en bij 9999 eindigen, de "illegale" combinaties er uitvissen, en dan offline de pincode van een pas achterhalen. Pas + PIN + masker = geld.
De pas hoeft dat niet bij te houden. Het is gewoon een kwestie van hoeveel rekenkracht (en dus tijd) je er tegenaan moet gooien om de PIN te ontcijferen. De vroegere methode (met magneetstrip) voldeed destijds maar zal tegenwoordig zo te kraken zijn.

Als je (bijvoorbeeld) een dag bezig bent om een PIN te ontcijferen voor 1 kaart, loont dat niet echt. Tegen de tijd dat je de PIN hebt, is de kaart in de meeste gevallen al geblokkeerd door de eigenaar.

[Reactie gewijzigd door GJvdZ op 28 december 2014 19:25]

Bovendien worden pincodes binnenkort standaard 5 of 6 cijferszodwt ze nog moeilijker te kraken zijn.
Wat jij zegt wordt ongeveer gedaan. Het gaat niet alleen niet om het aantal mislukte pogingen, maar het aantal transacties in het algemeen. Op basis van de ATC en een unieke private key die versleuteld wordt opgeslagen op je pas (en ook bekend is bij de bank) wordt bij elke transactie lokaal een cryptogram berekend. De bank berekent zelf ook een aantal cryptograms aan hun zijde. Als de transaction counter plotseling enorm afwijkt, dan zal de bank dat detecteren en wordt je kaart geblokkeerd.
Waarom zouden oudere kaarten ook nog moeten worden ondersteun? Ze kunnen toch iedereen een nieuwe pas opsturen en per X datum compleet overgaan op een nieuw systeem?
Ok, het kost veel geld, maar het is wel mogelijk.
Binnen NL zou dat een oplossing zijn, maar zoiets is wereldwijd nogal moeilijk te regelen in de praktijk. Ga als Nederlandse bank maar even met je collega's in Timboektoe afstemmen dat ze eindelijk die oude CC moeten vervangen (op hun eigen kosten) omdat we er hier 4000km verder last van hebben.

Het zou eigenlijk aan de EMV partijen moeten zijn om alle oude passen uit te faseren, maar zoals je al zegt: kost veel geld, is contractueel moeilijk (eventuele CC merchants dienen misschien ook nieuwe apparatuur te kopen/leasen; wie gaat voor die kosten opdraaien, etc, en (meer) imago-schade; vermoedelijk willen ze zo langmogelijk het 'natuurlijk verloop' afwachten.
Klopt, ook in de VS werken ze nog steeds met de magnetische strook.
Ik heb het niet uit eigen vervaring, maar van een vriend. In bepaalde afgelegen streken doen ze het zelfs nog analoog. Daar maken ze een afdruk van de cijftertjes op de creditcard die ze een keer per zo veel tijd naar de bank opsturen.
Zelfs in NYC ben ik minder dan 5 jaar geleden nog zoiets tegengekomen, bij fietsverhuur in Central Park. Grappig om zien hoor.

Op zich niet zoveel verschillend als een manuele CC transactie over de telefoon, dat werkt ook gewoon nog altijd.
Yep, zo sta je midden in een wildpark in Kenia, en je wilt een ballonvaart boeken. Geen data verbindingen in de wijde omtrek.
Dan wordt er toch gewoon gebruik gemaakt van de klassieke swipe methode met afdruk.
Dan kunnen we roepen dat de magnetische strook onveilig is. Ik geloof niet dat het dan veel indruk maakt als je roept dat EMV beter is. Het is dan echt back-to-basic. Naar wat de creditcard oorspronkelijk was: gebaseerd op vertrouwen.

[Reactie gewijzigd door Permutor op 28 december 2014 17:56]

Daar begint, gelukkig, stilaan wel verandering in te komen. Wanneer het misbruik te groot word, dan zullen de CC maatschapijen sowieso wel overstag gaan omdat het hen anders te veel zal gaan kosten in terugbetalingen.
en daarom staat er dus een vervaldatum op. Zo kunnen de banken er zeker van zijn dat ze niet hopeloos verouderde technologie moeten blijven ondersteunen. Dit legacy-probleem zal zich dus vanzelf wel oplossen met nieuwe terminals en van zodra de laatste kaarten die er nog gebruik van maakten vervallen zijn.
eens, maar ik vind wel dat die standaard vervaldatum korter mag. Nu zijn ze geregeld 5 jaar geldig, wat een eeuwigheid is in de technologiewereld (en erg kritiek kan zijn in de beveiligingswereld, liefst wil je beveiligingslekken zo snel mogelijk fixen!).
Moesten ze dat nu terugbrengen naar bvb 1 jaar. Ik kan me niet inbeelden dat zo'n kaartjes erg duur zijn om te maken, maar dan zijn ze wel hoogstens 1 jaar out-of-date.
je moet ook rekening houden met ontwikkeltijd en investeringskosten. Het beste voorbeeld hiervan was het misbruik van de kaarten voor het openbaar vervoer (mifare-chips geloof ik) en hotels. Daar hebben de verantwoordelijke partijen gewoon de afweging gemaakt en zich neergelegd bij de mogelijke risico's en kosten.
5 jaar is misschien wat lang, ik zou eerder voor een termijn van 3 jaar kiezen, wat me voor gewone particulieren aanvaardbaar lijkt, zonder hinderlijk te zijn (elk jaar een nieuwe bankkaart is me wat bij de haren getrokken) en voor bedrijven voldoende is om materiaal op af te schrijven.
Misschien is het dus goed om ook aan de kaartlezerkant de aandacht op veiligheid te brengen. Dat lijkt mij stukken goedkoper en praktischer. Beperk de fysieke toegang door de kastjes te verwijderen of het kaartlezer deel te scheiden van de verwerkende unit. De comunicatie tussen beide delen wordt dan het zwakke punt, maar daar valt wel iets op te bedenken.
Iemand die toegang heeft tot de kaartlezer heeft eigenlijk nog wel andere mogelijkheden, de toetsen aanpassen of een camera op het toetsenbord richten zijn dan in principe ook mogelijkheden,
Contactloos betalen waarbij de authorizatie via je eigen apparaat (telefoon bijvoorbeeld) gaat dat je wel kan vertrouwen lijkt een redelijk alternatief.
Je kunt je afvragen of contactloos betalen wel een goed en veilig alternatief is (met name op Android devices) maar dat is een ander verhaal.
Je pincode met de hand afschermen kan preventief al een hoop problemen voorkomen. Uitsluiten kun je het nooit, maar voorzichtig zijn scheelt een hoop.
"maar omdat verouderde creditcards ook nog moeten worden ondersteund, vervalt die extra beveiliging"

En dat doet mij de wenkbrauwen toch wel een beetje fronsen... want banken zijn toch ook zelf verantwoordelijk voor het in de omloop brengen van die debet/creditcards? Banken wachten dus liever af tot iemand zelf voor een nieuwe komt dan dat ze de veiligheid hoog in het vaandel hebben en hun klanten aanschrijven dat ze een vervangende pas moeten halen. Onbegrijpelijk vind ik het, het lijkt mij dus eenvoudig de taak van diezelfde banken om dergelijke passen zsm uit de omloop te halen.
Het is ook een kwestie van logistiek en klantgemak. Je maakt, verstuurt en activeert niet zomaar even een paar miljoen betaalpassen. Daarnaast zitten ook veel klanten niet te wachten om al te vaak een nieuwe kaart te activeren. Dit is gewoon een continu proces waar je ook niet teveel van af moet wijken. Doe je dat wel, dan is dat het recept voor chaos en problemen.
Klantgemak? Het eerste belang van een bankrekening is de veiligheid, dat is het bestaansrecht van een bankrekening. Het gaat volgens mij ook niet om talloze kaarten, want dan zou het wel een heel groot probleem zijn en dan zou ik de insteek nog vreemder vinden... het gaat als ik het goed begrijp juist erom dat ondersteuning voor een relatief klein deel oude kaarten blijft bestaan en dat als het ware de achillespees van het geheel is.

Er zullen denk ik ook weinigen klanten zijn die niet gevoelig zullen zijn als men een brief van de bank ontvangt met het verzoek je bankpas zsm om te ruilen omdat je huidige pas niet meer voldoet.

Dit soort zaken lijken mij echt typische gevallen waar veiligheid voor gemak zou moeten gaan, het gaat anders het doel een beetje voorbij niet?
Gezien de schade t.o.v. de totale transacties zijn de lekken nog altijd niet van dien aard dat het gerechtvaardigd is om zodra er iets is gevonden alle passen te vervangen.
De pincode kan worden onderschept door een klein apparaatje in een pinapparaat te schuiven dat de pincodes onderschept. Dat apparaat doet zich voor als een creditcard en voert een man in the middle-aanval uit op de transactie tussen de pinpas en het pinapparaat.
Maar goed, hij toont dus aan dat skimming mogelijk is. Maar dat was toch al langer het geval? Vooral een paar jaar geleden was het schering en inslag dat pinautomaten door criminelen werden aangepast om passen te kunnen kopiëren en vervolgens bankrekeningen leeg te plunderen.

Dat hij aantoont dat de pincode zo bemachtigd kan worden wisten we ook al, het klinkt allemaal een beetje als mosterd na de maaltijd.
Nee, skimmen kan hiermee niet. Alleen de pincode onderscheppen. De pas kopieren is nog een ander verhaal. Als je pas na zo'n actie ook nog gestolen wordt heb je wel weer een probleem.

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True