Kryptographie im Bankbereich. Prof. Dr. Jörg Schwenk Lehrstuhl für Netz- und Datensicherheit

Transkript

1 Systemsicherheit Teil 3: Prof. Dr. Gliederung 1. Die EC-Karten-PIN Aufbau des Magnetstreifens und Sicherheitsmerkmale Wahrscheinlichkeitsverteilung der alten PIN Banken, ZKA und neue PIN 2. Die Geldkarte 2

2 EC-PIN: Aufbau des Magnetstreifens Quelle: Magnetstreifen enthält 3 Spuren Spur 1: Nicht verwendet Spur 2: Kreditkartenfirmen Spur 3: EC-Geldausgabe und POS Sicherheit PIN steht nicht auf dem Magnetstreifen, sondern wird berechnet Fehlbedienungszähler Echtheitsmerkmal und Prüffeld Höchstbeträge pro Zeiteinheit für Abhebungen 3 Gliederung 4

3 Gliederung 5 Gliederung 6

4 Gliederung 7 Gliederung 8

5 Gliederung 9 Wahrscheinlichste PIN für geg. Offsets Quelle: Markus G. Kuhn, Probability Theory for Pickpockets - ec-pin Guessing (1997) Ziel 1: Bestimmung der wahrscheinlichsten PIN unter Zuhilfenahme der drei Offsets Offset 1: O 1 = (O 1,1,O 1,2,O 1,3,O 1,4 ) Offset 2: O 2 = (O 2,1,O 2,2,O 2,3,O 2,4 ) Offset 3: O 3 = (O 3,1,O 3,2,O 3,3,O 3,4 ) Gesucht: Wahrscheinlichste PIN P ˆ = ( Pˆ, Pˆ, Pˆ, ˆ ) P4 10

6 Wahrscheinlichste PIN für geg. Offsets 1. Schritt: Berechnung der Wahrscheinlichkeiten für die Häufigkeit der einzelnen PIN-Ziffern ohne die Offset- Information die relative Häufigkeit der verschiedenen Offsets unter der Annahme, dass eine bestimmte PIN-Ziffer l auftritt. Voraussetzung: Die Ergebnisse der DES-Berechnung sind statistisch gleichverteilt (sollte jeder gute Verschlüsselungsalgorithmus erfüllen). 11 Wahrscheinlichste PIN für geg. Offsets 2. Schritt: Berechnung der Ziffer mit maximaler Wahrscheinlichkeit Verwendung der Formel p(a B) = p(a B) / p(b) 12

7 Wahrscheinlichste PIN für geg. Offsets 3. Schritt: Ausnutzen der Tatsache, dass die 3 Offsets Ergebnisse einer DES-Berechnung und daher statistisch unabhängig sind: 13 Wahrscheinlichste PIN für geg. Offsets 4. Schritt: Schreiben eines kleinen Programms, das für vorgegebene Offsets die Werte aus (1) ermittelt und in (2) einsetzt: 14

8 Wahrscheinlichste PIN für geg. Offsets int main(int argc, char* argv[]) { int stelle, stelle2, offset, i; int probdivisor, probdivsum, probsum[4], prob[4][10]; int stellen[4]; double pinprob; n = atoi(argv[1]); for(stelle = 0; stelle < 4; stelle++) { probdivsum = 0; for(i=0; i<10; i++) { probdivisor = p[stelle + n][i]; for(offset = 0; offset<argc - 2; offset++) { probdivisor *= po(i, argv[offset + 2][stelle] - '0'); prob[stelle][i] = probdivisor; probdivsum += probdivisor; probsum[stelle] = probdivsum; for(stelle = 0; stelle<4; stelle++) { for(i=0; i<10; i++) { printf("%f ", (float)(prob[stelle][i]) / (float)(probsum[stelle])); printf("\n"); for(stellen[0] = 0; stellen[0] < 10; stellen[0]++) { for(stellen[1] = 0; stellen[1] < 10; stellen[1]++) { for(stellen[2] = 0; stellen[2] < 10; stellen[2]++) { for(stellen[3] = 0; stellen[3] < 10; stellen[3]++) { pinprob = 1.0; for(stelle = 0; stelle< 4; stelle++) { printf("%i", stellen[stelle]); pinprob *= ((float)(prob[stelle][stellen[stelle]]) /(float)(probsum[stelle])); printf(" %lf\n", pinprob); /* * offset.c */ #include <stdio.h> int p[15][10] = { { 0, 4, 2, 2, 2, 2, 1, 1, 1, 1, { 2, 2, 2, 2, 2, 2, 1, 1, 1, 1, { 2, 2, 2, 2, 2, 2, 1, 1, 1, 1, { 2, 2, 2, 2, 2, 2, 1, 1, 1, 1, { 2, 2, 2, 2, 2, 2, 1, 1, 1, 1, { 1, 1, 1, 1, 1, 1, 1, 1, 1, 1, { 1, 1, 1, 1, 1, 1, 1, 1, 1, 1, { 1, 1, 1, 1, 1, 1, 1, 1, 1, 1, { 1, 1, 1, 1, 1, 1, 1, 1, 1, 1, { 2, 2, 2, 2, 2, 2, 1, 1, 1, 1 ; int po(int pin, int offset) { return p[4 + n][(pin offset)%10]; 15 Wahrscheinlichste PIN ohne Offsets Ermittlung kann stellenweise erfolgen (1,2,3,4): Berechne für jede Stelle aus allen 16 4 Möglichkeiten für die 4 Halbbytes (DES mit Bankenschlüssel, Poolschlüssel 1, Poolschlüssel 2, Poolschlüssel 3) die Pin-Ziffer und die Offset- Ziffern (wie die Bank dies auch tut): 16

9 Wahrscheinlichste PIN ohne Offsets Ermittle mit dem vorigen Algorithmus für jede dieser simulierten Karten die wahrscheinlichste PIN-Ziffer. Zähle, wie oft dieser Algorithmus das richtige Ergebnis geliefert hat. Es ergeben sich folgende Ergebnisse für ein korrektes Raten der einzelnen Ziffern: digit 1: 0, % 1/3,6 (erwartet: 11%) digit 2: 0, % 1/4,9 (erwartet: 10%) digit 3: 0, % 1/4,9 (erwartet: 10%) digit 4: 0, % 1/4,9 (erwartet: 10%) Wahrscheinlichkeit, die richtige PIN in drei Versuchen zu raten: 1/150 (erwartet: 3/9000 = 1/3000) 17 Mehr als drei Versuche Teste PIN an Offline-Automaten Überschreibe den Fehlbedienungszähler mit eigenem Schreib- /Lesegerät (beides soll nach 1997 nicht mehr möglich sein) oder Teste PIN am Geldkarten-Automaten 18

10 DES-Cracker der EFF Ausblick: Electronic Frontier Foundation DESCracker 29 Boards mit je 64 Chips testen Schlüssel pro Sekunde, d.h. ein DES-Schlüssel wird im Durchschnitt innerhalb von ca. 5 Tagen gefunden. DES-Cracker der EFF Ziel: Berechnung des DES-Schlüssels (Pool oder Institut) while (Ergebnis ist nicht eindeutig) Exhaustive Search des gesamten Schlüsselraums mit Cleartext_i: BLZ KTO Seriennummer Ciphertext (partiell): Mögliche Ursprungswerte für PIN_i (Beispiel: PIN = 1234 kann aus 0234, 1234, A234, B234, 0C34, 1C34, AC34, BC34, berechnet worden sein.) i++ 20

11 DES-Cracker der EFF DVG-Protokoll vom (Auszug): Auszug: siehe hierzu auch Spiegel 36/97 Seite 104 letzter Absatz DVG = Datenverarbeitungsgesellschaft des Sparkassenverbandes 1. PIN / DES Algorhytmus Wie der Vorsitzende informiert, ist es offenbar gelungen, den der PIN-Berechnung zugrunde liegenden DES-Algorhytmus zu entschlüsseln. Genaueres können derzeit noch nicht gesagt werden. Lösungen hinsichtlich Reparatur und Austausch der betroffenen Karten liegen noch nicht fest. Der DSGV habe gebeten, von weiteren Veröffentlichungen noch einige Zeit zuzuwarten, bis die Fakten klar sind. Auf jeden Fall seien Maßnahmen zu ergreifen, die einer Kundenverunsicherung vorbeugen. Die Fragen von Herrn H. - wer haftet, - wer zahlt, - was kommt in die Presse? könnten aus den o.g. Gründen ad hoc nicht beantwortet werden. Das Knacken des "DES-Codes" sei, so merkte Schmidt an, ermögliche die PIN Nachrechnung nicht, da hierzu die jeweilige Karte bzw. deren auf dem Magnetstreifen hinterlegten Parameter benötigt werden. Der Vorsitzende machte deutlich, daß die Organisation vor dem Hintergrund von 14 Mio. ausgegebenen Karten (nur Sparkasse) unbedingt präventive Maßnahmen braucht. Das Thema wird in Kürze wieder aufgegriffen 21 Die Geldkarte Feldversuch im Raum Weingarten/Ravensburg ab April 1996 erfolgreich seit September 1997 bundesweit mit allen neuen EC- Karten als Hybridkarte ausgegeben geringe Akzeptanz Kontogebundene oder White Card (Bargeldaufladung) Quellen: ZKA ( Marcel Seelhorst (Seminarvortrag Geldkarte Stefan Fiesel: Elektronische Geldbörsen: das Konzept der GeldKarte (Uni Stuttgart, Hauptseminar 2001) 22

12 Die Geldkarte 23 Die Geldkarte 1. Aufladen der Geldkarte: Kunde muss sich mit PIN (gleiche wie EC-Karte) gegenüber dem Geldausgabeautomaten authentifizieren, Betrag eingeben (bis 200 Euro); Kontodaten werden automatisch ausgelesen. 2. Diese Daten werden (kryptographisch gesichert) an die Ladezentrale übermittelt und dort überprüft. 3. Im Erfolgsfall wird der Betrag auf der Geldkarte gutgeschrieben (MAC-gesicherter Befehl direkt von der Ladezentrale) Ladezentrale kennt den DES bzw. 3DES-Schlüssel der Karte (sternförmige Schlüsselverwaltung) 24

13 Die Geldkarte 4. Der geladene Betrag wird auf mehreren Konten verbucht: Belastung auf dem Konto des Bankkunden Gutschrift auf dem Börsenverrechnungskonto der Bank (Bank braucht für dieses Geld keine Zinsen mahr an den Kunden zu bezahlen, und darf es verleihen, bis der Betrag von einem Händler wieder eingelöst wird (7)). In der Börsenevidenzzentrale werden für jede Kartennummer (ohne Verbindung zur Kontonummer) der jeweils aktuelle Kontostand und die Buchungen geführt ( Schattenkonto ). 25 Die Geldkarte Das Händlerterminal ist frei käuflich und muss somit kryptographiefrei sein; die Personalisierung erfolgt über eine Händlerkarte. 5. Beim Bezahlvorgang, der ohne PIN erfolgt, muss die Händlerkarte in der Lage sein, ohne Hilfe des Terminals und ohne die Hilfe der Ladezentrale (offline) die Geldkarte zu identifizieren: Challenge-and-Response Authentifizierung erfordert gemeinsamen (symm.) kryptographischen Schlüssel Überprüfung eines MAC (DES oder 3DES) eines Bezahlvorganges ebenso. 26

14 Die Geldkarte 6. Im Batchverfahren werden die im Händlerterminal gesammelten Datensätze an die Börsenevidenzzentrale übermittelt 7. Das Börsenverrechnungkonto der Kundenbank wird belastet, das Konto des Händlers erhält eine Gutschrift. 27 Mögliche Angriffspunkte (I) PIN raten (III) CaR-Verfahren, MAC fälschen (insb. 2. Händlerkarte) (II) MAC fälschen, insb. Whitecard (IV) Datensätze fälschen 28

15 Mögliche Angriffspunkte I. PIN raten: Welche PIN wird verwendet: EC_alt oder EC_neu? Sind die Offsets auf der Karte gelöscht? Aber: Angriff auf Geldkarte lohnt sich wegen der Beschränkung auf 200 Euro nicht. II. MAC fälschen: Normale Geldkarte: Betrug wird über Schattenkonto erkannt, Kontoinhaber verhaftet. Whitecard: Betrug wird über Schattenkonto erkannt, Geldkarte muss an allen Händlerterminals gesperrt werden. Offene Frage: Wie funktioniert der Sperrmechanismus für Geldkarten an Händlerterminals? Blacklisting? Wie viele Einträge kann ein Terminal speichern? 29 Mögliche Angriffspunkte III. Betrug am Hädlerterminal: Wenn Angreifer DES-Schlüssel einer Geldkarte kennt, kann er Challenge-and-Response und MAC fälschen. Problem: Was ist mit 2. Händlerkarte? Betrug wird durch Schattenkonto erkannt; wenn der Angreifer aber beliebige Geldkarten klonen kann, kann der Angriff technisch nicht verhindert werden. Es bleiben nur noch polizeiliche Maßnahmen (Befragung der Händler, wer die gefälschten Datensätze erzeugt hat). IV. Datensätze fälschen: Für jeden einzelnen Datensatz ist (wahrscheinlich) ein MAC erforderlich -> Händlerkarte. 30

16 Fazit Geldkarte Durch Einsatz symmetrischer Kryptographie bestehen theoretische Angriffsmöglichkeiten. Diese Angriffe beinhalten ein Auslesen/eine Manipulation der eingesetzten Chipkarten. Viele Angriffe können durch das Schattenkonto erkannt werden. Durch die geringen Beträge, die nur nationale Einsetzbarkeit und die Notwendigkeit des persönlichen Erscheinens beim Händler ist ein praktischer Nutzen solcher Angriffe in Relation zu den Risiken aber gering. 31 Mondex 32