Onderzoekers: beveiliging pincodes van bankpassen is lek

Hackers kunnen versleutelde en onversleutelde pincodes achterhalen, zo waarschuwen beveiligingsonderzoekers. Betalen met een pinpas zou onveilig zijn, maar volgens betalingsbedrijf Currence zijn de problemen in Nederland al verholpen.

Volgens het Amerikaanse beveiligingsbedrijf Verizon zijn hackers er in de VS in geslaagd om pincodes van creditcards en betaalpassen te achterhalen en daarmee miljoenen dollars buit te maken, zo schrijft Wired. Tot nu toe werd aangenomen dat criminelen deze codes uitsluitend konden achterhalen met methodes als phishing of skimming. Bij een inbraak bij de Amerikaanse retailketen TJ Maxx werden naar schatting veertig miljoen creditcard- en bankpasgegevens gestolen; naar nu blijkt zijn de criminelen erin geslaagd om de bijbehorende pincodes te ontcijferen.

Verizon stelt dat er twee zwaktes in het betalingssysteem zijn ontdekt die criminelen onversleutelde pincodes kunnen opleveren. De meest geraffineerde werkt via de hsm-modules die het dataverkeer tussen bijvoorbeeld een betaalautomaat en de servers van de bank moeten afhandelen. Pincodes moeten tijdens het gehele traject versleuteld blijven, om zo tussentijdse onderschepping nutteloos te maken. Tijdens het transport wordt de data echter tijdelijk door de hsm's gedecodeerd, waarbij alleen de pincode met een master key versleuteld blijft. Deze sleutel is echter opgeslagen in de hsm-module.

Het probleem is volgens Verizon dat een deel van deze hsm-modules door derden wordt onderhouden. Bovendien moeten de modules betalingsverkeer uit diverse landen kunnen verwerken, waarbij andere standaarden dan in de VS worden gebruikt. Hierdoor zou de software onnodig complex en vatbaar voor misbruik zijn. Ook kan een slechte configuratie van een hsm-module het mogelijk maken om versleutelde pincodes te achterhalen. Vervolgens zouden een aantal pincodes met brute-force-aanvallen achterhaald kunnen worden. Als er eenmaal een kleine hoeveelheid pincodes is ontcijferd, kan volgens Verizon elke volgende pincode ook worden gekraakt.

Verizon beschrijft ook een methode waarbij criminelen malware installeren op de server waar transacties worden afgewerkt. Omdat pincodes tijdens het afhandelen van transacties gedurende korte tijd onversleuteld in het werkgeheugen van de server aanwezig zijn, kunnen ze door de malware worden teruggevonden. Volgens Verizon-onderzoeker Bryan Sartin wordt er te veel op virusscanners vertrouwd en worden onbekende bestanden op de server nauwelijks opgemerkt. Zeker een derde van alle pin-diefstallen zou op deze manier worden uitgevoerd.

Thales-eSecurity, een belangrijke fabrikant van hsm-modules, zegt dat het niet op de hoogte is van de door Verizon geschetste aanvalsmethoden, maar claimt ook dat zijn hardware bij aanschaf veilig is. De fabrikant geeft echter wel toe dat zijn klanten de hsm-modules kwetsbaar voor aanvallen kunnen maken.

Om de beveiligingsgaten in het betalingssysteem van de banken te kunnen dichten, moet volgens Verizon een geheel nieuw systeem voor bancaire transacties worden ontwikkeld. Backwards compatibility zou daarbij uit den boze zijn. In de VS heeft de PCI Security Standards Council, die beveiligingsprotocollen voor de bankwereld maakt, aangegeven dat het de hsm-modules opnieuw gaat controleren.

Volgens Currence, de eigenaar van het pin-betalinggssysteem in Nederland, is het probleem al langer bekend. "Wij hoorden twee jaar geleden voor het eerst over deze zwakheden", zegt woordvoerder Bob Goulooze tegenover Tweakers.net. "Die hebben we toen meteen aangepast, waardoor deze zwakheden in Nederland niet meer misbruikt kunnen worden."

Reacties (67)

[Verwijderd]

Ja ja opgelost. Hm ik weet wel dat ook het hele systeem van de magneetstrip, al jaaaaaren terug en dan heb ik het echt over de tijd dat de pinautomaten net inkwamen, in een documentaire bekritiseerd is. Ze lieten toen al zien hoe skimmen gedaan kon worden met nep terminals in een tankstation. Niks camera voor het filmen van de pincode gewoon een computer die een transactie simuleert. De Pincode die wordt ingevoerd, staat dan bij de medewerker op te terminal en kan gewoon op het gekopieerde pasje met stift geschreven worden. En dan maar raak pinnen.

Het kan goed al 15 jaar geleden zijn dat ik deze documentaire zag en nog altijd werken we met magneetstrippen. Waarom? Tjah daar kun je hele complottheorieën op loslaten!

Edit: typo's

[Reactie gewijzigd door Verwijderd op 22 juli 2024 20:04]

[Rob Coops]

Ach, alle methodes zijn te kraken en ja een magneetstrip is niet veilig maar dat is niet anders met een chip of wat dan ook. Er is enorm veel geld te verdienen met het kraken van deze systemen en dus is er altijd voldoende belangstelling voor het kraken van deze beveiligingen.

15 jaar geleden kon het al zo makelijk en vandag de dag is het nog net zo makelijk maar het hele bank wezen is gebouwd op vertroeuwen in het systeem. Het is niet meer zo dat een munt gesteund wordt door een hoeveelheid goud die de centrale bank in een kluis heeft liggen, het zijn alleen nog maar beloftes en 1'en en 0'en op computer systemen.
Om je een uitgebreide uitleg te geven van hoe dat vertrouwen werkt moet je dit artiekel maar eens lezen, weet je gelijk waarom de crisis helemaal geen crisis is en de echte problemen over een paar jaar pas gaan komen

http://www.rollingstone.c...793903/the_big_takeover/1

[Verwijderd]

Over je link story: Dat gaat alleen maar over wat die Amerikanen hebben geflikt, en waar wij (de Europese/Aziatische/etc. handelaren) met open ogen in zijn gestonken. Zij hebben geld zonder goud weten te maken. Net wat je zegt, het is niet meer zo dat voor elke munt ook goud te weerleggen is door nationale banken zoals DNB. Maar dat goud is eigenlijk het hele probleem.

Als de mens (vooral Amerikanen) niet meer had geleend dan die kon weerleggen met iets van gelijke waarde (goud bijv.), dan zou de crisis nooit plaats hebben gevonden. Daarom is het maar goed dat Bush jr. weg is. Die heeft de Amerikanen geld uit laten geven wat er niet is. Nu moet de wereld maar afwachten hoe de Amerikanen het in de toekomst gaan doen. En moet de wereld hopen dat China, India, Rusland of welk land eigenlijk dan ook, niet toestaat dat burgers/bedrijven (excessief) geld lenen wat zij niet kunnen weerleggen.

[Verwijderd]

Tja, de waarde van iets is maar net welke waarde eraan toegekend wordt. Heb je de schommelingen in de goudprijs van het afgelopen jaar gezien?

Alles is subjectief, incl. de waarde van goud.

[Verwijderd]

Ik zie je punt, maar wil er wel even bij vermelden dat het stuk waar je naar refereert enkel opinie is. Er staan nauwelijks (lees: geen) argumenten in en riekt erg sterk naar complot theorie, als je het mij vraagt. Let wel, ik zeg niet dat het niet zo is, enkel dat het artikel bagger is.

Verder, natuurlijk kan alles gekraakt worden en is beveiliging onderhevig aan economie. Sterker nog, onze snelwegen, treinen, metro's en bijna alles kan veiliger. Echter, een mensenleven is maar zoveel waard (een paar miljoen, geloof ik) en als het (statistisch) redden van een mens meer kost dan dat, vergeet het dan maar,

Hetzelfde geldt voor bankpassen e.d. Natuurlijk is het kut als jij het slachtoffer bent, maar het gaat om 'the big picture' en daarbij kun je simpelweg niet iedereen tevreden houden (of, in een van mijn favoriete qoutes, Bill Cosby: "I don't know the key to success, but the key to failure is trying to please everybody")

[hosttech]

In Belgie gebruiken ze enkel de chip en hebben de meeste terminals enkel een magenetische-strip lezer voor de buitenlandse kaarten... waarom komt dit in Nederland ook steeds meer als het geen verschil zou uitmaken? Ik zou de chip zelfs eenvoudiger te kraken vinden, daar niet van...

[Woy]

De reden dat we nog met magneet strips werken is gewoon een financiele overweging. Ja het is redelijk eenvoudig te kopieren, en ja je kan een nep-terminal of camera gebruiken om de pin-code af te vangen.

Echter waren de kosten om het anders op te lossen waarschijnlijk groter dan de kosten van het misbruik.

Het nieuwe systeem (C-TAP) gaat via de chip op het pas die ( nog ) niet te kopieren is. Er word een soort Challenge-Response systeem gebruikt, waardoor het ook niet ( eenvoudig ) te faken is.

[Ge Someone]

Het voordeel van challenge/response is dat je niet veel aan het afluisteren van de communicatie hebt.

[Woy]

Het voordeel van een challenge/response systeem is inderdaad dat replay attacks niet zo eenvoudig zijn, anders zou je inderdaad de data af kunnen luisteren en later nog een keer versturen.

[cire]

Je zou er hele complottheorien op los kunnen laten. Maar ik denk dat dat niet nodig is. De fraude met magneetstrippen was gewoon nog te laag om de invoering van een nieuw/beter/ander systeem te rechtvaardigen. Met de EMV chip is er een nieuw systeem en dat wordt dan ook massaal ingevoerd.

Trouwens, deze EMV chip lost het probleem van dit artikel niet op. De PIN code wordt namelijk nog steeds op dezelfde manier naar het banksysteem gestuurd.

[Reactie gewijzigd door cire op 22 juli 2024 20:04]

[kodak]

Je vergeet wat: dat die magneetstrip met pin niet veilig is staat niet ter discussie. De onderzoekers hebben dat ook aangegeven. Het opvallende is juist dat de aanvallers nu zelfs de moeilijke kant aanvallen en misbruiken, daar was geen rekening mee gehouden. Dat is nu in Nederland volgens die woordvoerder opgelost. Maar inderdaad, dan blijft de zwakste schakel nog gewoon over, maar dat is wat anders dan de genoemde aanval mogelijkheid oplossen. Daar ging de vraag om.

[Verwijderd]

Een PIN van 4 cijfers gecombineerd met de mogelijkheid tot offline checks is volgens mij niet lang meer houdbaar.

Passen van ABN Amro hebben de PIN op de chip zitten (versleuteld, neem ik aan), want de e.dentifier kan zien of je de goede PIN gebruikt of niet. Waarom dat gebeurt is me een raadsel, want voor het doel (internetbankieren) zou je de hash die het gevolg is van challenge + pin + misschien nog wel wat gegevens ook compleet aan de serverzijde kunnen controleren.

De mogelijkheid van een offline check is behoorlijk nuttig (in winkels zonder toegang tot de bank-server), maar komt ook met de nodige risico's.

In het voorbeeld van ABN Amro kan een kwaadwillende oneindig gaan zitten manipuleren met e.dentifier en pasje. Goed, de zaak zal geblokkeerd raken als je systematisch alle 10.000 PIN-codes gaat proberen. Maar dat is wel onder de aanname dat chip en e.dentifier werken zoals ze zijn bedoeld. Iemand die onder gecontroleerde omstandigheden de chip kan manipuleren kan misschien voorkomen dat de zaak blokkeert na een paar mislukte pogingen. "Dat is onmogelijk" zal de reaktie zijn. Tevens heb ik redelijk vertrouwen in de beveiligingsmaatregelen die banken nemen. Toch hebben we vergelijkbare situatie gezien. Encryptie op draadloze netwerken die "onmogelijk" te breken was. En het op laag niveau (hooks) inbreken op operating systems van pc's. Skimmen van geldautomaten is net zoiets.

Ik zou zeggen: zo snel mogelijk naar een nieuwe standaard, waarbij de hash van pin, pas-eigenschap en bij voorkeur een biometrische eigenschap zwaar versleuteld over de lijn gaat, en alleen gecontroleerd kan worden door de instantie die ook verantwoordelijk is voor de bankrekening van de pashouder. Het moet mogelijk zijn een tijdje het oude en het nieuwe systeem naast elkaar te hebben om het oude systeem uit te faseren. Dat is misschien niet ideaal, maar minder erg dan niets doen.

(edits: typo en verduidelijking nut offline checks)

[Reactie gewijzigd door Verwijderd op 22 juli 2024 20:04]

[kodak]

Sorry, maar ik lees een verhaal waaruit ik opmaak dat je goede bedoelingen hebt maar ook zelf nog flink wat over het hoofd ziet. Dat verwijt werp je zelf al richting mogelijke tegenstanders op, maar als je jezelf al niet daarop kan betrappen: Hoe kan je dan serieus zeggen wat ze bij een bank zouden moeten implementeren? Beveiliging zo te lijf gaan is de afgelopen tientallen jaren al keer op keer op blunders uitgelopen. Blind staren op wat anderen fout doen.

De pin staat niet op de pas. Wat er wel op staat is een hash-waarde van de pin. Waarom? Risico afweging. Momenteel nog steeds een stuk veiliger dan er een online verbinding voor te moeten hebben waarbij de pc of modem met een trojaans paard lekker de gegevens kan afluisteren. Komt dat bekend voor? Mooi, want dat is een vergelijkbare situatie zoals bij dit beveiliging probleem in de USA waar het nieuwsbericht juist over gaat. En vergeet niet dat met meer toeters en bellen er ook meer support nodig is, wat ook meer risico meebrengt op tal extra van gebieden.

Beveiliging is geen kwestie van zoveel mogelijk informatie bij elkaar schrapen en dan roepen dat het zwaar versleuteld verzonden moet worden alleen toegankelijk moet zijn voor bevoegden.

De waarschuwing over de systemen naast elkaar heb je kennelijk helaas ook niet door laten dringen: die situatie past in de praktijk niet. Om het belangrijkste risico maar te noemen: zwaktes van het oude systeem kunnen dan misbruikt worden om het nieuwe systeem alsnog onveilig te maken. Niet ideaal is dan een understatement.

[Mathijs]

Probeer maar 2x een foute pin, blokkeert na 3x.
En dat wordt niet geblokkeerd door je e-dentifier maar door de controller op je pasje.
Het is een vrij slimme chip die erop zit, niet zo'n simpel ding als bijvoorbeeld voor een prikklok gebruikt wordt.
Op een Nederlandse universiteit hebben ze een keer gedemonstreerd dat het te hacken is door middel van hele dunne draadjes te verbinden met bepaalde punten recht op de chip waarbij de des keys en dergelijke zo voorbij kwamen op het scherm.
Toen is dus wel bewezen dat het mogelijk is met de benodigde kennis en apparatuur, maar is uiteindelijk niet alles vatbaar wanneer de juiste kennis en materialen voorhanden zijn.
Lui die dit doen werken waarschijnlijk dagelijks met dit soort systemen, het lijkt mij dat ze de daders in bijna alle gevallen binnen de betalingsafhandelingssector zelf moeten zoeken.

[Edgarz]

Hoe veilig wil je het hebben? Ze kunnen ook gewoon een pistool op je hoofd zetten en de code opeisen. Oftewel: er blijven altijd manieren om de codes te onderscheppen, desnoods door bij Currence of banken zelf servers te kraken. Nagenoeg onmogelijk scenario, maar niet geheel onmogelijk natuurlijk. Het is ook logisch dat er van tijd tot tijd opnieuw een beveiliging gedefinieerd wordt, hoe langer een beveiligingsmethode gebruikt wordt deste meer kans er is dat via omwegen de hand kan worden gelegd op essentiele onderdelen die vervolgens benut worden door krakers. Gooi er een paar miljoen Euro tegenaan (als crimineel) en moet jij eens kijken waar je de hand op kunt leggen. De ultieme, eeuwigdurende beveiliging bestaat niet, criminelen zijn altijd op zoek naar mogelijkheden om te jatten; puur kosten-baten verhaal.

[Reactie gewijzigd door Edgarz op 22 juli 2024 20:04]

[Havelock]

Zelfs eenvandaag tv uitzending over uit geweid:
http://www.eenvandaag.nl/...34650,34651,34646,34649,0

Zo laat Rob Gonggrijp weer van ze goede kant zien.

[DennusB]

Baart me toch wel zorgen als je dat leest.
Ja ze zeggen wel dat het in Nederland is opgelost, maar is dat ook echt zo?
Of is onze pinpas net een OV kaart van de RET?

[Data-base]

Je hebt een hele hoop kennis nodig om zo'n aanval uit te voeren. De huis tuin en keuken crimineel heeft die kennis niet. Skimmen is een ding, maar zon aanval uitvoeren is iets heel anders.

Als zo'n hsm module de pincode alleen met een masterkey encrypt, en de masterkey zit in de hsm, dan kun je aannemen dat de hsm tamperresistant is.
Om deze tamper resistance (ervan uitgaande dat het enigszins fatsoenlijke tamper resistance is) te omzeilen heb je gespecialiseerde hardware nodig waarvan de kosten ver boven de 10.000 € liggen. Bovendien moet je bijzonder veel verstand van zaken hebben aangezien je met de tools alleen er niet komt.

Daar komt nog bij dat het extracten van de private key van een hsm niet zomaar op locatie kan. Dus dan moet een pin-automaat die zon hsm bevat eerst mee naar t lab en vervolgens moet ie weer terug zonder dat iemand dat door heeft.

Ik zie dat niet gebeuren, tenzij de winkelier je naait (maar dan kan die dat sowieso wel met een skimmer, veel makkelijker en efficienter) of je te maken hebt met de maffia.

Kortom, ik zoe me er niet druk om maken (mits mn aannamen en de informatie in t artikel beide correct zijn)

[Reactie gewijzigd door Data-base op 22 juli 2024 20:04]

[Cheetah]

@Data-base:

Als zo'n hsm module de pincode alleen met een masterkey encrypt, en de masterkey zit in de hsm, dan kun je aannemen dat de hsm tamperresistant is.
Om deze tamper resistance (ervan uitgaande dat het enigszins fatsoenlijke tamper resistance is) te omzeilen heb je gespecialiseerde hardware nodig waarvan de kosten ver boven de 10.000 € liggen. Bovendien moet je bijzonder veel verstand van zaken hebben aangezien je met de tools alleen er niet komt.

Ik zie hier al 3 aannames gemaakt worden die bepaald niet door het artikel ondersteund worden... sterker nog minimaal 1 en beargumenteerbaar zelfs alle 3 aannames worden in het artikel tegengesproken
Het gaat om de volgende aannames:
1. De HSM zal wel tamperresistant zijn
2. Het zal wel een 'fatsoenlijke' tamperresistance zijn
3. Er zal wel hardware van "ver boven de 10.000 €" nodig zijn om de hack uit te voeren (hoe kom je daar eigenlijk bij, en waar haal je dat bedrag vandaan?)

In feite is je argument gebaseerd op de volgende basis-aanname: "Omdat het belangrijk is zal het wel goed beveiligd zijn". Dat dit - om het even voorzichtig te stellen - bepaald geen waterdichte aanname is, is in het verleden helaas wel vaker gebleken

Om even naar het artikel te kijken:

Het probleem is volgens Verizon dat een deel van deze hsm-modules door derden wordt onderhouden. [...] software onnodig complex en vatbaar voor misbruik [...] kan een slechte configuratie van een hsm-module het mogelijk maken om versleutelde pincodes te achterhalen. Vervolgens zouden een aantal pincodes met brute-force-aanvallen achterhaald kunnen worden [...]

Ofwel: derden hebben fysiek toegang in ieder geval bepaalde HSM's voor onderhoud en de software is vatbaar voor misbruik. Daar gaat al een belangrijk deel van de 'tamperresistance'.

Gezien de versleutelde pincodes in combinatie met de onversleutelde overige gegevens uit de HSM kunnen worden 'opgehaald' (alleen een stukje software/malware voor vereist), kan vervolgens ge-brute-forced worden om de pincodes te achterhalen. Dat laatste hoeft m.i. helemaal niet op locatie. Heb je vervolgens enkele pincodes achterhaald middels brute-force dan kun je met die info zo de masterkey van de HSM backwards engineeren, en vervolgens elke versleutelde pincode die erop langskomt daarmee ontcijferen.

Ten tweede:

Verizon beschrijft ook een methode waarbij criminelen malware installeren op de server waar transacties worden afgewerkt. Omdat pincodes tijdens het afhandelen van transacties gedurende korte tijd onversleuteld in het werkgeheugen van de server aanwezig zijn, kunnen ze door de malware worden teruggevonden. Volgens Verizon-onderzoeker Bryan Sartin wordt er te veel op virusscanners vertrouwd en worden onbekende bestanden op de server nauwelijks opgemerkt. Zeker een derde van alle pin-diefstallen zou op deze manier worden uitgevoerd.

Ofwel: installatie van malware - software - die de keys unencrypted uit het geheugen van de server trekt is voldoende. Totaal geen specialistische hardware van €10.000 vereist dus, maar alleen een stukje software dat de inhoud van het geheugen kan analyseren... en gezien zaken die unencrypted in het geheugen staan door iedere huis-tuin-en-keuken-hacker (geautomatiseerd) kunnen worden uitgelezen gaat daar de aanname van de 'fatsoenlijke tamperresistance' i.m.h.o. de deur uit.

Ik hoop oprecht dat Currence het hier anders geregeld heeft zoals ze stellen, want het systeem zoals in het artikel beschreven is vriendelijk gezegd zo lek als een mandje... en dat blijkt wel gezien blijkbaar minimaal 1/3 van de pindiefstallen zo wordt uitgevoerd

[Reactie gewijzigd door Cheetah op 22 juli 2024 20:04]

[pizzaislekker]

Ook in Nederland gaat we over niet al te lange tijd betalen door middel van de chip die op de bankpassen zit. De nieuwe betaalpas van de ING heeft bijvoorbeeld een chip op de pas zitten die in het buitenland al wordt gebruikt voor betalingen. De geld- en pinautomaten in Nederland worden ook beetje bij beetje aangepast om gebruik te maken van de chip. Dit is mij allemaal verteld tijdens een ING-cursus. Ben daar werkzaam geweest.

De "nieuwe" automaten kijken of een ingevoerd pasje een dergelijke chip heeft. Is dat niet het geval dan zal de magneetstrip worden gebruikt. Dit gaat allemaal automatisch en vereist geen keuze van de gebruiker. Dit is zo gedaan omdat we nu in de overlappingsperiode zitten. Veel mensen hebben bijvoorbeeld nog een oud postbankpasje (Met alleen een magneetstrip). Tot September trekt de ING ervoor uit om deze allemaal te vervangen.

[Reactie gewijzigd door pizzaislekker op 22 juli 2024 20:04]

[peak]

Vraagje,

Waarom komt er niet gewoon 1 systeem dat wereld wijd te gebruiken is, zonder dat backward compatibility. Of een heel nieuw beveiligingsmethoden voor pasjes?

Oke, wellicht kost dat gigantisch veel geld om dat te implementeren, maar volgens mij raken burgers nu veel geld kwijt door dit gezeik. Er wordt reclame gemaakt dat men zoveel/zovaak mogelijk moet pinnen.( Zelfs als je een mars koopt bij wijze van)

Wat gebeurt er eigenlijk met een persoon waarvan de rekening is leeg gehaald? kan die geld terug krijgen van de bank? denk het niet hè...

Dus ik denk, zolang de banken niet voor de kosten hoeven op te draaien, dat ze er niet zo'n haast mee hebben om alles om te gooien.
Elke keer als ik bij een appie heijn of NS automaat sta, zit ik te kijken naar een dubbele kop of dat het ding niet gelijk is aan het plaatje.. Jah sorry hoor, maar dit geeft mij geen fijn gevoel!

Hoe dan ook, Het is weer terug naar de tijd dat men z'n geld onder het matras bewaart.

[Reactie gewijzigd door peak op 22 juli 2024 20:04]

[Verwijderd]

Jawel, als je geskimmed of wat dan ook bent krijg je gewoon je geld terug.

http://www.telstar-online.nl/nieuws.php?id=906

[Reactie gewijzigd door Verwijderd op 22 juli 2024 20:04]

[peak]

Ok bij NS, Appie Heijn en alle andere duizenden winkels? (denk ook aan kleine sigaarboeren etc)

Dat het vergoed wordt door ABN omdat het gewoon HUN automaat is, kan ik nog begrijpen... Maar ik denk dat ABN je echt niet gaat helpen als het niet bij hun automaat is gebeurt.

[Reactie gewijzigd door peak op 22 juli 2024 20:04]

[Verwijderd]

Volgens mij staat de Nederlandse Bank daar gewoon garant voor toch?

[Omied]

Nee, je hebt een rekening bij je eigen bank. Als zij jou schade toebrengen (bijvoorbeeld door je een onveilige bankpas te verlenen) zijn zij er verantwoordelijk voor dat die schade vergoed wordt, net zoals elk ander persoon of bedrijf die je schade toebrengt of een wanprestatie levert verantwoordelijk is voor de schade.

En in praktijk is het ook zo dat banken, in geval van skimming, je schade vergoeden. En ongetwijfeld zullen ze dat proberen te verhalen op de skimmers en zo nodig op de winkelier die niet goed op zijn/haar apparatuur heeft gelet, maar daar heb jij dan niets meer mee te maken.

Edit ter verduidelijking: NS, AH en andere winkeliers met pinautomaten zijn normaal gesproken niet aansprakkelijk voor skimming. Immers, zij hebben niet bedacht dat pinpassen onveilige magneetstrips moeten hebben, maar dit is een keuze van banken. De banken zijn dus in de eerste plaats verantwoordelijk. De winkelier pas als blijkt dat deze duidelijk nalatig is geweest. Zo plaatst NS allerlei dingen op hun automaten, om te voorkomen dat daar skimapparatuur, camera's, lampjes, etc. kan worden geplaatst. Ze zijn dus wel degelijk bezig om de kans op skimming te verkleinen. Stel dat ze dat niet zouden doen, dan zou een bank ze theoretisch gezien mede aansprakkelijk kunnen stellen (naast het feit dat massale skimming bij NS het bedrijf een slechte naam zou geven)

[Reactie gewijzigd door Omied op 22 juli 2024 20:04]

[FreezeXJ]

Een globaal systeem betekent dat a. iedereen z'n eigen (echt veiligste!) systeem moet opgeven, en massaal kosten moet maken om de boel aan te passen. Daarnaast geldt dan ook dat als de boel in de VS lek is, het hier ook raak is. Nu moet men nog even uitvissen waar het nog meer werkt (niet echt een groot voordeel, maar het werkt toch).

Terugbetalen gebeurt gewoon netjes, en zo lang die kosten beperkt blijven (als in minder dan de kosten voor een nieuw systeem) houdt men het zo...
"If the cost of out-of-court settlements is less than the cost of a new system, we don't do one." ... What bank do you work for? "A major one"

offtopic:
(en nee, ik ben gewoon meelezer)

[cire]

Er staat in ieder geval 1 onzin opmerking in het nieuwsbericht. PIN codes staan niet tijdelijk in het geheugen van de server. In een beetje fatsoenlijke implementatie in elk geval niet. Normaliter worden de gegevens encrypted naar de HSM gestuurd en die zegt goed of fout.

[Woy]

De pin-code word inderdaad op verschillende nivo's encrypted. Echter is het niet zo dat de HSM in bijvoorbeeld een pin apparaat de pin-code controleert. Deze encrypt deze alleen door gebruik te maken van de masterkey.

Nadat de pin-code op het pin automaat encrypted is word deze naar de payment provider gestuurd en deze controleert alle gegevens weer.

[cire]

Mijn punt is dat de PIN niet in plaintext in het geheugen van de server staat of in elk geval hoort te staan.

[Woy]

Dat ontken ik ook niet

[cire]

Weet iemand trouwens over wat voor soort attack het nu eigenlijk gaat waarvan Currence zegt dat het in Nederland al is opgelost?

[Treenaks]

Alle PIN-apparatuur praat in Nederland via Currence. Er is dus geen "man in the middle" waar de pin gedecrypt en opnieuw ge-encrypt wordt.

Er is dus alleen een gat als je je magneetstrip buiten Nederland gebruikt.

Gok ik, als betaalsysteem-n00b

(alsnog: tijd voor EMV)

[Reactie gewijzigd door Treenaks op 22 juli 2024 20:04]

[Woy]

Ik ben er ook benieuwd naar eigenlijk. In het artikel kan ik weinig lezen over de daadwerkelijk zwakte die ze gevonden hebben. Ik zal straks eens beter de bron doorlezen om te kijken of ik er wat van kan vinden.

De daadwerkelijk encryptie gebeurt volgens mij gewoon in de HSM d.m.v. RSA, het lijkt me ook sterk dat de HSM zelf gekraakt is want dan zou het enorm grote impact hebben, aangezien deze vorm van security op veel meer plaatsen gebruikt word.

Het gedeelte dat er mal-ware op de servers zou staan vind ik ook wel erg verontrustend, het lijkt me dat dergelijk servers onder streng toezicht staan, en dat alle wijzigingen daarop gemonitord worden.

[et36s]

Om de beveiligingsgaten in het betalingssysteem van de banken te kunnen dichten, moet volgens Verizon een geheel nieuw systeem voor bancaire transacties worden ontwikkeld. Backwards compatibility zou daarbij uit den boze zijn.

Net of dat wel ineens veilig is?

Is patchen niet afdoende? Als je een compleet nieuw systeem ontwikkelt is die waarschijnlijk nog vatbaarder dan het huidige systeem. Omdat het snel ontwikkelt moet worden en dus niet genoeg getest wordt. Dat is pas geldverspilling.

[Reactie gewijzigd door et36s op 22 juli 2024 20:04]

[Edgarz]

Patches kunnen wel of niet toegepast worden. En de keten is zo sterk als de zwakste (ongepatchte) schakel. Een nieuw systeem zorgt er voor dat iedereen gelijk veilige apparatuur gebruikt en geen onveilige meer kan gebruiken. En definieer veilig. Totdat de heren criminielen weer een gat gevonden hebebn over een jaar of 5. Want 100% beveiliging betaat niet. Neem je eigen huis maar als voorbeeld. Als je dat 100% niet-inbreekbaar wilt maken dan kom je er zelf waarschijnlijk ook niet meer in (of uit)