Ausgewählte Themen der IT-Sicherheit. Wintersemester 2010/2011

Transkript

1 Ausgewählte Themen der IT-Sicherheit Wintersemester 2010/2011 Harald Baier Kapitel 3: Sicherheit von Bankkarten

2 Inhalt Grundlegendes zu Bankkarten Moduliertes Merkmal PIN-Sicherheit Seitenkanalangriffe Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 2

3 Inhalt Grundlegendes zu Bankkarten Moduliertes Merkmal PIN-Sicherheit Seitenkanalangriffe Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 3

4 Faktor Mensch Quelle: c't 20/04, Schlagseite Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 4

5 Verbreitete Kartentypen Debitkarten: Ehemals ec-karten Typischerweise für Girokonto Besitzen Echtheitsmerkmal: MM-Merkmal Quelle: Kreditkarten: Bekannte Marken: MasterCard, Visa,... Besitzen für Internetkäufe Prüfziffern unterhalb des Unterschriftstreifens Quelle: Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 5

6 Echtheitsdaten für Kreditkarten Kartenprüfnummer (KPN) bei Kreditkarten: Drei bis vier Dezimalziffern MasterCard: Card Verification Code (CVC2) Visa: Card Verification Value (CVV2) Zitate von (Zugriff am ): Die Prüfnummer soll die Nutzung von gefälschten oder gestohlenen Kreditkartenangaben verhindern, da sich hiermit feststellen lässt, ob eine Kreditkarte tatsächlich physisch vorliegt. Der CVC darf nach den Richtlinien der Kartenunternehmen lediglich abgefragt, aber weder gespeichert noch verarbeitet Bewertung? Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 6

7 Skimming Blankokarten / White Plastic: 'Weiße' Plastikkarten mit Magnetstreifen Visuell leicht von Bankkarten unterscheidbar Skimming: Ausspionieren der PIN + Mitlesen der Magnetstreifendaten Duplizieren der Daten auf Blankokarte Cash-out: Realisierung der finanziellen Vorteile durch Betrüger Betrug beim Bezahlen mit Blankokarten erfordert oft Kooperation mit Händler Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 7

8 Zahlungsverfahren: Electronic Cash Zahlungsverfahren der deutschen Kreditwirtschaft Online-Prüfung der PIN und des Zahlungslimits Prüfung der Sperrdatei des Kartenherausgebers Zahlungsgarantie durch Kartenherausgeber, Rückgabe der Lastschrift nicht möglich Kostenschätzung: 0.3% des Umsatzes, mindestens 8 Cent Beispiel: 100 EUR Einkauf --> 30 Cent Kosten Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 8

9 Zahlungsverfahren: ELV ELV = Elektronische Lastschriftverfahren Zahlungsverfahren des Handels Keine PIN-Prüfung oder Online-Prüfung bei Karten ausgebendem Institut Authentifikation mittels Unterschrift Sperrdateien durch Händler Kunde kann Lastschrift rückabwickeln Kosten sind niedriger als bei Electronic Cash Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 9

10 Standards für Bankkarten ISO 7810ff: Identifikationskarten ISO 7810: Physikalische Eigenschaften (Länge, Breite, Höhe) ISO 7811: Aufzeichnungstechnik (Prägung, Magnetstreifen, 3 Bereiche für die 3 Spuren) ISO 7812: Nummernsystem u. Registrierungsverfahren für Ausgeberkennzeichnungen (z.b. Berechnung von Prüfziffern) ISO 7813: Bankkarten DIN ISO 4909: Bankkarten Magnetstreifen Aufbau und Inhalt der Spur 3 Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 10

11 Spuren auf Magnetstreifen Spur 1 (Nur Kreditkarten): Enthält Kontonummer + Inhaber + Gültigkeitsablauf Spur 2 (Kreditkarten u. Debitkarten): Enthält Kontonummer + Gültigkeitsablauf Spur 3 (Nur Debitkarten): Format in DIN ISO 4909 vorgeschrieben Enthält BLZ, Kontonummer, Kartenfolgenummer Prüfwert für Echtheitsprüfung der Karte (MM-Merkmal) Datum der letzten Auszahlung an fremdem Geldautomat Weitere Daten aus Abwärtskompatibilität (z.b. Tageslimit) Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 11

12 Standarddaten auf Spur 1 (nur Kreditkarten) Inhalte von Spur 1: 1 Zeichen Startmarkierung (Start Sentinel, SS): '%' 1 Zeichen für Issuer-Art ('B' für Bank) + Kontonummer 1 Trennzeichen: '^' Nachname des Kontoinhabers + 1 Trennzeichen: '/' Vorname des Kontoinhabers + ggfls. Leerzeichen 1 Trenneichen: '^' Ablaufmonat in der Form YYMM + optionale weitere Daten (z.b. verschlüsselte PIN???) 1 Endzeichen: '?' LRC-Sicherungscode (Longitudinal Redundancy Check) Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 12

13 Standarddaten auf Spur 2 (Kredit- u. Debitkarten) Inhalte von Spur 2: 1 Zeichen Startmarkierung (Start Sentinel, SS): ';' Bis zu 19 Zeichen für Kontonummer: 6 Zeichen Issuer Identification Number Max. 12 Zeichen für eigentliche Kontonummer 1 optionale Prüfziffer (Luhn-Code) 1 Trennzeichen: '=' Ablaufmonat in der Form YYMM + optionale weitere Daten 1 Endzeichen: '?' LRC-Sicherungscode Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 13

14 Standarddaten auf Spur 3 (nur bei Debitkarten) Inhalte von Spur 3: 1 Zeichen Startmarkierung (Start Sentinel, SS): ';' BLZ 01: Tabelle 01 in DIN : Branchenhauptschlüssel für deutsche Banken Trennzeichen '=' +10-stellige Kontonummer + Trennzeichen '=' 1. längerer dezimaler String (Enthält am Ende MM-Prüfwert) Zwei Trennzeichen + '1' + Trennzeichen '==1=' 2. längerer dezimaler String (Enthält Datum des Vorgangs) 1 Endzeichen: '?' LRC-Sicherungscode Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 14

15 Inhalt Grundlegendes zu Bankkarten Moduliertes Merkmal PIN-Sicherheit Seitenkanalangriffe Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 15

16 Moduliertes Merkmal MM-Merkmal: Moduliertes Merkmal In den Kartenkörper eingebrachte, geheime, maschinenlesbare Substanz (Glossar von ) Individuell für Karte vergeben Einführung: Anfang der 1980er Sicherheitsziel: Bindung Magnetstreifendaten an physische Karte Missbrauchsszenario: Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 16

17 Eigenschaften des MM-Merkmals Regionalisierung: Debitkarten deutscher Banken besitzen Echtheitsmerkmal MM-Merkmal wird von deutschen Geldausgabeautomaten (GAA) geprüft, sofern keine Chip-Prüfung stattfindet Wie gehen Betrüger also für Cash-out vor? Daten auf der Karte: MM-Prüfwert auf Magnetstreifen gespeichert (Spur 3, Feld 20) Bezeichnung laut DIN ISO 4909: Kartensicherungsnummer Datenformat: ACCCCCCCC A = Algorithmus: MM-Merkmal verwendet A = 2 CCCCCCCC: 8 Dezimalzahlen Prüfwert Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 17

18 Moduliertes Merkmal: Funktionsweise Prüfung im GAA durch MM-Box 3 Übergabeparameter GAA MM-Box Ideen, wie MM-Prozedur arbeiten könnte? Wird Sicherheitsziel erreicht? Quelle: Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 18

19 Moduliertes Merkmal: MM-Codes auf Karten Demo von MM-Codes echter Karten Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 19

20 Moduliertes Merkmal: Vermutungen Artikel 'Nur Peanuts' in c't 7/96 (Carsten Meyer): MM-Merkmal befindet sich im Kartenkörper Erwärmen bis zum Weichwerden und dann in Längsrichtung aufschlitzen Barcode-ähnliche Struktur wird sichtbar Messung über kapazitive Änderungen durch Struktur Artikel 'Hacken statt Knacken' in Spiegel 50/1986 Auf Karte aufgedruckt Soll mit speziellem Infrarotlicht sichtbar gemacht werden Duplikation durch Ausschneiden soll möglich sein!? Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 20

21 Moduliertes Merkmal: Angriffsszenarien (1/2) Grundlegendes Problem: Mittelstarker Angreifer kann MM-Code nicht selbst berechnen. Er hat nur Zugriff auf öffentlich zugängliche MM-Boxen. Jeder Angriffsversuch dauert 'lange' (z.b. >= eine Minute). Randbedingungen: Es gibt m verschiedene 'MM-Schlüssel'. Angreifer besitzt n Debitkarten. Er kopiert seine Spur3-Daten auf andere Karten und testet, ob GAA diese akzeptiert. Für Beispielrechnungen wählen wir m = 365. Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 21

22 Moduliertes Merkmal: Angriffsszenarien (2/2) Szenario: Angreifer legt sich ein Backup aller Magnetstreifen zu. Angreifer kopiert Kartendaten jeder Karte auf jede andere Karte. Er testet jeweils, ob er erfolgreich ist. Anzahl der Gesamttests: Wie groß muss n mindestens sein, um mit Wahrscheinlichkeit 10 % erfolgreich zu sein? n 20 % erfolgreich zu sein? n 50 % erfolgreich zu sein? n Geburtstagsparadoxon Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 22

23 Moduliertes Merkmal: Zusammenfassung Sehr erfolgreiches Sicherheitsmerkmal Kein (verbreiteter) Missbrauch bekannt Keine Veröffentlichung über Schwächen Beispiel dafür, dass auch Security by Obscurity erfolgreich sein kann Und das bei einer Laufzeit von 30 Jahren! Wird auslaufen, da... Chipkartentechnologie ausgeweitet wird MM-Merkmal nur in Deutschland geprüft wird Lizenzgebühren an Giesecke&Devrient zu zahlen sind Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 23

24 Inhalt Grundlegendes zu Bankkarten Moduliertes Merkmal PIN-Sicherheit Seitenkanalangriffe Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 24

25 PIN-Erzeugung bei Debitkarten 1. Variante: Kartendaten werden mit Bankschlüssel verschlüsselt Aus Chiffrat wird PIN abgeleitet 2. Variante: PIN wird zufällig erzeugt und zugewiesen Überprüfung durch Abgleich mit Datenbank 3. Variante: PIN wird zufällig erzeugt und zugewiesen Überprüfung durch Abgleich von Chiffrat, das sich aus Verschlüsselung mit PIN und Kartendaten ergibt Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 25

26 Binary Coded Decimal (BCD) Wird benötigt, wenn Dezimalziffern binär / hexadezimal dargestellt werden Wegen 10 = benötigen wir 4 Bits pro Dezimalziffer Offensichtliche Kodierung (niederwertigstes Bit rechts) Dezimal Binär Dezimal Binär Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 26

27 Alte PIN-Erzeugung bei Debitkarten (1990er) PIN leitet sich aus DES-Chiffrat ab Eingabe für DES besteht aus: 10-stelliger Kontonummer Letzte 5 Ziffern der Bankleitzahl 1-stellige Kartensequenznummer (= Kartenfolgenummer KFN) 16 Dezimalstellen per BCD als 64 Bit DES-Verschlüsselung mit Bankschlüssel 64-Bit-Ausgabeblock: 16 Hexadezimalzeichen Drittes bis Sechstes Zeichen mod 10 ergibt PIN Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 27

28 Alte PIN-Erzeugung bei Debitkarten: Übersicht 16 Ziffern: 64 Bit K INST 64 Bit: 16 Hexadezimalziffern DES Konto-Nr. BLZ (Teil) KFN ziffernweise mod 10 PIN falls 1. PIN-Ziffer = 0, dann 1. PIN-Ziffer := 1 Quelle: W. Schindler Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 28

29 Bewertung Kryptographische Angriffe: Known-Plaintext-Angriff zur Berechnung des Bankschlüssels Ist daraus berechneter Bankschlüssel eindeutig? Sicherheit des DES? Verteilung der PINs? Wahrscheinlichkeitsverteilung: Tatsächlich vs. wünschenswert Welche PINs würden Sie wählen? Sehr schwaches Verfahren, das seit 1998 durch neues Verfahren ersetzt wird Wie würden Sie ein PIN-Verfahren realisieren? Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 29

30 Zur PIN-Übermittlung Nur relevant bei Online-Prüfung der PIN Z.B. Nutzung des Magnetstreifens Zentrale Frage: Wie übermittelt GAA PIN an Institut? Wie übermittelt POS (z.b. an Tankstelle) PIN an Institut? Interessantes Szenario aus dem Alltag: Warum kann ich mit meiner deutschen Debitkarte in Peking an einem GAA Geld abheben? Wie sicher fühlen Sie sich dabei? Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 30

31 Datenakquise durch Angreifer und Cash-out Wie kommt Angreifer an PIN? Ausspähen am Point of Sale, Bankautomaten,... Aufsatz auf PIN-Tastatur des Bankautomaten Filmen am Bankautomaten, in Tankstelle,... Wie kommt Angreifer an Daten auf Magnetstreifen? Skimming: Aufsatz auf Einzugschlitz des GAA Aufsatz auf Zugangskontrollgerät Manipuliertes Gerät bei Händler Abheben an Automaten ohne MM-Prüfung (z.b. Ausland) Gegenmaßnahme: Auslandslimit auf 0 EUR setzen Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 31

32 Inhalt Grundlegendes zu Bankkarten Moduliertes Merkmal PIN-Sicherheit Seitenkanalangriffe Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 32

33 Seitenkanalangriffe: Grundlagen (1/2) Seitenkanal = Side channel Informationskanal, der bei DV 'nebenher' anfällt Teilgebiet der Kryptoanalyse Beispiele: Zeit für die Ausführung eines Algorithmus Elektromagnetische Abstrahlung Stromstärkeprofil Generelle Idee: Angreifer beobachtet Seitenkanal (passiv oder aktiv) Beobachtungen liefern Rückschlüsse über geheime Informationen (z.b. private kryptographische Schlüssel) Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 33

34 Seitenkanalangriffe: Grundlagen (2/2) Seitenkanalangriffe zielen immer auf konkrete physikalische Implementierung: Hardware (z.b. Chipkarte) oder Software (z.b. OpenSSL) Typischerweise erweisen sich nur bestimmte Implementierungen als schwach Ziele sind... symmetrische Verfahren (DES, AES) asymmetrische Verfahren (RSA, Diffie-Hellman, ECC) Details: h_da LV 'Grundlagen und Implementierung moderner Public-Key-Verfahren' oder an TUD Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 34

35 Seitenkanalangriffe: Bedeutung Moderne Kryptoverfahren werden nicht auf theoretischer Ebene gebrochen: Triple-DES, AES aktuell theoretisch sicher RSA, Diffie-Hellman, ECC bei richtiger Parameterwahl theoretisch sicher Schwächen hängen typischerweise mit Implementierungen zusammen: Padding-Verfahren von RSA Hashwertlänge bei DSA Seitenkanalangriffe Side channel attacks sind wichtige praktische Bedrohung Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 35

36 Seitenkanalangriffe: Timing Attack (1/2) Erster Seitenkanalangriff Paul Kocher stellt Timing Attack auf Crypto '96 vor: Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems Erfordert Zugriff auf Implementierungen oder Details für einen Simulator Verschiedene Granularität:... Grob: Messung der Gesamtlaufzeit Feiner: Messung von Einzelschritten (z.b. wie lange dauert das Laden des Schlüssels in den RAM) Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 36

37 Seitenkanalangriffe: Timing Attack (2/2) Szenario 1: Dauer einer Signaturerzeugung Angreifer wählt Bitstrings und lässt diese signieren Szenario 2: Dauer einer Entschlüsselung Angreifer wählt Klar- oder Chiffretexte und lässt diese entschlüsseln Szenario 3: Schlüsselaustausch Konkrete Erweiterung: Serge Vaudeney 2003 für OpenSSL Manipulierte Pakete werden an SSL-Server geschickt Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 37

38 Seitenkanalangriffe: Power Analysis Power Analysis = Analyse der Stromstärke Simple Power Analysis (SPA): Angreifer zeichnet I(t) auf (Stromstärke in Abhängigkeit der Zeit) Ggfls. Rückschlüsse auf Bits in geheimem Schlüssel Erfordert Zugriff auf Speichermedium (z.b. Karte wird kurzzeitig entwendet) Differential Power Analysis (DPA): Erweiterung von SPA Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 38

39 Seitenkanalangriffe: Weitere Abstrahlung: Angreifer zeichnet emittierte elektromagnetische Strahlen auf Damit sollen sich z.b. Bildschirminhalte bis zu mehreren hundert Metern aufzeichnen lassen... Differential Fault Analysis (DFA): Manipulation an Gerät / Implementierung soll Fehler provozieren Bug attack (Biham, Carmeli, Shamir) auf Crypto 2008: Basiert auf Hardware-Fehlern (z.b. Intels FDIV-Bug) Bugs führen zur (teilweisen) Veröffentlichung des Private Key Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 39

40 Seitenkanalangriffe: Verhinderung Eingabeunabhängige Codeausführung: Unabhängig von einem Private Key werden immer die gleichen Operationen aufgerufen Keine bedingten Sprünge Zum Beispiel: Schnelle Exponentiation führt pro Schritt immer eine Quadrierung und eine Multiplikation durch Einheitliche Reaktion auf ungültige Eingaben Einfügen von Rauschen (verunreinigt Abstrahlung) Relativ junges Gebiet, das die Community weiter beschäftigen wird Harald Baier Ausgewählte Themen der IT-Sicherheit h_da WS 10/11 40