Taloussanomat
Lue uutinen mobiilisivustolla
Sisäpiirihyökkäys

Pankkikorttien tunnusluvut vaarassa

24.2.2003 15:58 Cambridgen yliopiston tutkijat kertovat löytäneensä heikon kohdan pankkien pankki- ja automaattikorttien turvallisuuden takaavista tietokonejärjestelmistä. Citibank yrittää vaientaa tutkijat Iso-Britanniassa meneillään olevassa oikeudenkäynissä.

Mike Bond ja Piotr Zielenski julkaisivat aiemmin tässä kuussa "Decimalisation table attacks for PIN cracking" -tutkimuksen, jossa tutkijat selventävät miten pankin työntekijä voisi halutessaan selvittää pankki- ja automaattikortin tunnusluvun 15 yrityksellä. Normaalisti nelinumeroisen tunnusluvun murtamiseen tarvittaisiin 5 000 arvausta.

Tutkijoiden mukaan korruptoitunut työntekijä voisi varastaa menetelmällä miljoonia puntia päivässä. Menetelmän toteuttaminen vaatii hyökkääjältä pääsyä pankin järjestelmiin.

Tavalliset automaatit lukitsevat kortit kolmen yrityksen jälkeen. Järjestelmän sisällä tällaista rajaa ei ole. Työntekijä voisi valmistaa tiedoilla vääriä kortteja tai myydä tunnusluvut rikollisille, tutkijat maalailevat.

Muunnostaulukon muunnos

Vastoin yleistä uskoa tunnuslukuja ei säilytetä tietokannassa, vaan ne lasketaan kortin numerosta erillisessä turvallisuusmoduulissa. Pankkiautomaatti lähettää tunnusluvun heksadesimaali/kymmenjärjestelmä -muunnostaulukon kanssa turvallisuusmodulille, joka varmentaa tunnusluvun ja sitä kautta myös kortin käyttäjän oikeaksi.

Tutkijoiden löytämä heikkous perustuu lukujärjestelmien muunnostaulukon muuttamiseen. Tällä menetelmällä tarvittavien arvausten määrä saadaan tiputettua 15 kappaleeseen.

Puolentunnin ruokatauolla olisi näin mahdollista selvittää 7000 kortin tunnusluvut. Menetelmä toimii vanhassa IBM 3624 -automaatissa ja ilmeisesti myös monissa sen käytössä olevissa seuraajissa.

Oikeudenkäynti käynnissä

Cambridgen tutkijat o­n kutsuttu Lontoossa käytävän oikeudenkäynnin todistajiksi. Eteläafrikkalaisen Citibankin tytärpankki o­n haastanut kaksi asiakastaan oikeuteen syyttäen näitä pankkikortin luovuttamisesta rikollisiin tarkoituksiin. Asiakkaiden kortilla nostettiin yhteensä 80 000 puntaa lontoolaisista automaateista marraskuussa 2000 .

Tutkijat saapuvat oikeuteen puolustuksen todistajiksi. Syytetyt asiakkaat yrittävät todistaa "haamunostojen" takana olevan jonkun Citibankin työntekijöistä.

Mike Bondin opettaja, tietoturvaguru Ross Anderson pelkää Citibankin pyrkivän estämään oikeuden päätöksellä pankkien turvajärjestelmien tutkimisen ja tulosten julkistamisen. Anderson kertoo viimeviikkoisessa sähköpostiviestissään Citibankin pyrkivän julistamaan jo julkaistun raportin salaiseksi.

Pankit murtumattomia?

Anderson kertoo "haamunostojen" määrän olevan nousussa. Usein lasku ylimääräisistä nostoista lankeaa asiakkaalle, koska pankit eivät usko turvallisuutensa pettäneen.

- Tuomioistuimiemme ja lainsäätäjiemme pitäisi pakottaa pankit korjaamaan järjestelmänsä pankkien harjoittaman turvallisuudesta valehtelun ja asiakkaiden laskuttamisen sijaan, Andersson kirjoittaa.

Andersonin mukaan useiden maiden pankit pitävät järjestelmiään murtumattomina, joten asiakkaat ovat automaattisesti syyllisiä "haamunostoihin". Anderson kuvaa Bondin raporttia "kammottavaksi" todisteeksi pankkien turvajärjestelmien aukoista.

Jutun kirjoitti: Jaakko Kuivalainen
Kaikki oikeudet pidätetään.

Jaakko Kuivalainen

Aiheeseen liittyviä uutisia

Uudemmat

Aiemmat

Kirjoita kommentti
Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
> Lue koko keskusteluetiketti

Kevyt ja nopea

Oletko jo tutustunut m.digitoday.fi-mobiilisivustoon?

Palautetta?

Lähetä risut, ruusut ja uutisvinkit toimitukselle.

Uusimmat uutiset

Poiminnat

Yritys erotti sähköpostitse vahingossa kaikki työntekijät
Sonera pitää Skype-puhelun ilmaisena – toistaiseksi
Laskutusjärjestelmä jumittaa edelleen Helsingissä
Yle MOT: Nokian Ollila oli sokea imartelulle
Dr. Web kiistää Flashback-epidemian rauhoittumisen
Kiinnostus Nokian Lumia-malleihin osoittaa hiipumisen merkkejä

Digiyesterday

Viisi vuotta sitten

Tulevaisuuden näyttötekniikka imee energiansa auringosta

26.05.2007 Monen laitteen suurin virtasyöppö on näyttö. Nyt näytöt halutaan valjastaa tuottamaan itse oma energiansa.

Kolme vuotta sitten

F-Secure tarjoaa Mac-tietoturvaa testiin

26.05.2009 Tietoturvayhtiö F-Secure uusii tietoturvapakettiaan. Applen koneiden suosion kasvaessa F-Secure aikoo tarjota Maceille virustorjuntaohjelmaa. Ensimmäinen versio on nyt ladattavissa ilmaiseen testiin.

Taloussanomat

.