Журнал «Компьютерра» № 31 от 28 августа 2007 года

Следует подчеркнуть, что достоверно и подробно узнать, как устроена защита информации в банковских RFID-чипах карт для бесконтактных платежей, пока не представляется возможным. Ибо это есть великая коммерческая тайна, которую индустрия раскрывать не намерена. На сегодняшний день известно лишь одно независимое исследование данной технологии с точки зрения безопасности, совместно проведенное учеными Массачусетского университета в Амхерсте и сотрудниками фирмы RSA Security (www.rfid-cusp.org). Поскольку обратная инженерная разработка устройств трактуется законами США как преступление, исследователи ограничились лишь внешним изучением реакций бесконтактных карт на сигналы считывателя, проанализировав около двух десятков разных RFID-карт, выпущенных в 2006 году компаниями Visa, MasterCard и American Express. Было выявлено четыре основных разновидности форматов передаваемых в эфир данных о кредитке и ее владельце, и ни одна из них не использовала шифрования. Что же касается декларированной изготовителями криптографической защиты данных, то она применялась, судя по всему, лишь для обеспечения уникальности каждой транзакции.

Быть может, кто-то сочтет, что беды в таком подходе нет, ибо открыто выдаваемая информация о реквизитах кредитки не является конфиденциальной и доступна любому, кто видит карточку. Однако владелец традиционной кредитной карты обычно сам решает, кому и где ее показывать, в случае же с RFID считать информацию с чипа можно незаметно и втайне от владельца. А это открывает возможности для самых разных злоупотреблений. Исследователи, в частности, показали, что на основе скрытно считанных данных можно изготовить работоспособный клон обычной кредитной карты, то есть записать эту информацию на магнитную полосу другой карточки. По считанному имени и фамилии можно определить адрес владельца, а в сочетании с известными реквизитами кредитной карты этого достаточно для совершения покупок во многих интернет-магазинах (что также продемонстрировано на практике). Наконец, легкий и скрытный радиодоступ к кредитке делает возможной и более изощренную атаку типа "человек посередине" – когда устройство рядом с жертвой имитирует поведение торгового терминала, а само передает получаемую от карточки информацию на другой прибор, повторяющий отклики карточки вблизи реального терминала. При такой организации хищения злоумышленникам не требуется вскрывать криптографию, достаточно лишь организовать ретрансляцию протокола оплаты.

Отчет об этой работе был опубликован на рубеже 2006—07 годов. Достоверно известно, что в индустрии платежных карточек внимательно изучили полученные результаты, однако выводы были сделаны весьма специфические. По словам вице-президента Visa Брайена Триплета (Brian Triplett), эксперты компании пришли к выводу, что на самом деле в карточках обеспечен "правильный уровень" безопасности для всех участников платежной системы: и потребителей, и банков, и продавцов. А результаты отчета CUSP были расценены как «нереалистичные», ибо, по мнению экспертов индустрии, перехватить сигнал от RFID-карты за пределами лаборатории практически невозможно. Кроме того, исследовались бесконтактные карты первого поколения, а новое поколение кредиток с чипами скрывает имя владельца специальной маской (не шифрует, подчеркнем, лишь маскирует). Наконец, что перед жуликами воздвигнут непреодолимый барьер из других средств безопасности (включая так называемые CVC, то есть коды верификации карты, которые генерируются динамически для каждого платежа) и продвинутых автоматизированных систем выявления мошенничества.

Едва ли не единственным признанием промахов со стороны индустрии карт стало то, что в соответствии с рекомендациями упомянутого отчета RFID-карты начали рассылать по почте в экранирующей обертке. По свидетельству Кевина Фу (Kevin Fu), доцента Массачусетского университета и одного из главных участников исследовательской команды, за последний год фирмы индустрии карточных платежей устранили некоторые из самых крупных дыр в защите карт. Тем не менее и в своей новой инкарнации большинство бесконтактных карт продолжает передавать в эфир информацию о владельце карты в незашифрованной форме. И самое тревожное, по мнению Фу, что клиенты банков об этом, как правило, не подозревают, а независимые исследователи не получают от индустрии никакой информации для анализа стойкости системы.

Таким образом, единственной "гарантией безопасности" являются лишь настойчивые, но голословные заверения компаний, внедряющих технологию. Опыт же свидетельствует, что слепо верить подобным обещаниям по меньшей мере наивно.

Альтернативы есть всегда

ПЛЮС

Помимо бесконтактных платежных карточек, гонконгская фирма Octopus Cards Limited продает наручные или карманные часы и мобильные телефоны, которые наряду с выполнением своих основных функций служат анонимными платежными устройствами.