> Zpět  

04.03.2008 Neplaťte čipovými kartami u obchodníků, mohli byste na to doplatit

Ve spoustě zemí včetně České republiky banky nutí uživatele nově vydávaných čipových karet zadávat PIN pro potvrzení každé platby u obchodníka. Nevadilo by to, pokud by k tomu byl použit důvěryhodný terminál vlastněný uživatelem karty (např. aplikace v mobilu), nebo jednorázový PIN, např. RSA token nebo jednorázový kód zasílaný pomocí SMS. Banky se však rozhodly ušetřit na úkor bezpečnosti svých zákazníků a nutí je zadávat statický PIN na cizí klávesnici čipového terminálu. Přitom pradávná bezpečnostní zásada je, že na cizí klávesnici se nikdy nemají vkládat citlivé informace.

Tým odborníků z Univerzity v Cambridge nedávno prokázal, že navzdory tvrzením bank jsou čipové terminály vlastněné obchodníky nedostatečně zabezpečené. Praktickým způsobem (tedy levně a rychle) lze zkompromitovat přinejmenším některé běžně používané terminály a získat z vložených karet PIN a údaje o kartě a účtu uživatele. Tyto údaje lze pak např. použít k vytvoření klonované karty s magnetickým proužkem a díky znalosti PINu pak vybírat peníze z bankomatů v zahraničí.

Dokument zmiňuje i několik dalších jednodušších způsobů, jak získat zákazníkův PIN, který pak lze zneužít, pokud útočník použitou kartu dokáže ukrást.

Potvrzuje se tak podezření, že čipové karty se statickým PINem jsou bezpečné pouze z hlediska bank, kterým použití PINu při zneužití ukradené nebo klonované karty umožňuje zbavit se zodpovědnosti tvrzením, že PIN musel být vyzrazen zákazníkem.

Z hlediska zákazníků čipové karty představují zvýšené riziko a jejich používání pro platby u obchodníků vybavených čipovým terminálem nelze doporučit.
-had-



AKTUÁLNÍ ZPRÁVY:

29.07.2010 Vyhledávač Google korunován na “krále malware “
28.07.2010 Zranitelnost IBM Tivoli Directory Server DB2
27.07.2010 Napadení počítačů skrz kritickou chybu ve Windows
23.07.2010 Zneužití osobních dat přes prohlížeč Safari
22.07.2010 Mozilla Firefox update
21.07.2010 Chyba může vystavit miliony uživatelů útokům
21.07.2010 Apple iTunes, zranitelnost Buffer Overflow
14.07.2010 Počet bezpečnostných chýb prudko stúpa; Apple na prvom mieste
13.07.2010 HP Virtual Connect Enterprise Manager, Validace vstupu a Cross-Site scripting
10.07.2010 Drupal, Cross Site Scripting zranitelnosti
RSS - RSS bezpečnostní zprávy

28.11.2007 Má váš chytrý mobil vlastní ochranu dat?
„Bezpečnostní technologie se poslední léta vyvíjejí hodně podle představ a požadavků uživatelů, což na první pohled vypadá dobře, ale když se na věc podíváte trochu pozorněji, zjistíte, že to s sebou nese poměrně vysoká rizika,“ říká Hanuš Adler, ředitel společnosti Actinet Informační systémy, v rozhovoru uveřejněném v příloze Hospodářských novin ICT Revue z 8. listopadu 2007.
-více-

22.11.2007 Tufin Secure Track - Pokročilý audit bezpečnostní politiky
Ve velkých společnostech je většinou zaměstnáno několik administrátorů bezpečnostních politik, kteří pracují na správě různých sítí, serverů, aplikací a uživatelů. Základním problémem se stává schopnost bezpečnostního oddělení udržet politiky funkční, konzistentní a odpovídající bezpečnostním standardům. Článek pro časopis READ.ME napsali Pavel Šesták a Martin Slavík.
-více-

24.07.2007 Spam chodí po lidech
Příspěvek Mirka Holého na téma spam byl připraven pro časopis BusinessWorld. Vyšel v prázdninovém čísle 7-8/2007.
-více-

13.03.2007 Juniper: Význam standardů pro řízení síťového přístupu
Probelmatika řízení síťového přístupu, jinými slovy schopnost kontrolovat a řídit přístup do sítě na základě souladu s určitými siťovými politikami (pravidly, zásadami), je pojímána různými výrobci různě. Výsledkem jsou proprietární řešení. White Paper společnosti Juniper Networks na téma významu standardů je úvodem do problematiky, přičemž ukazuje možnost řešení postaveného na standardech v rámci otevřené architektury Trusted Network Connect definované neziskovou organizací The Trusted Computing Group.
-více-

02.03.2007 Skoro všechno, co jste kdy chtěli vědět o spamu, ale báli jste se zeptat
Článek Hanuše Adlera na téma spam byl připraven pro přílohu Bezpečnost a ochrana dat časopisu Computerworld, která vyšla v první polovině března 2007.
-více-

kompletní články >>>