En ændring i chipstandarden på Visa/Dankort og Dankort betyder, at alle nye kort potentielt kan anvendes med en vilkårligt indtastet pinkode ved en kortterminal.

Hidtil er alle indtastede pinkoder på Visa/Dankort og Dankort blevet kontrolleret op mod bankernes centrale servere, men med de nye kort bliver pinkoden nu kontrolleret op mod den kode, der ligger på chippen på selve kortet, valideringen sker altså ikke længere online, men offline.

Det kan være praktisk, hvis terminalen befinder sig i udlandet og ikke er online med de danske systemer, men offline-valideringen åbner også de danske kort for en særlig type angreb, hvor en person med det rette udstyr kan få en terminal til at godkende en hvilken som helst pinkode.

Gammel sårbarhed

I februar 2010 demonstrerede forskere ved Cambridge University i England, hvordan den såkaldte chip and pin-combination (chip og pinkode-kombination) kunne omgås i det udbredte chipkortsystem EMV (Europlay, MasterCard og Visa).

Angrebet går ud på at narre en kortlæser til at acceptere en vilkårlig pinkode - altså hvilke som helst fire cifre der bliver indtastet i terminalen. Der er tale om et såkaldt man in the middle-angreb, hvilket vil sige, at forskerne manipulerer kommunikationen mellem terminal og kort.

Det foregår med en bærbar computer, et FPGA-board, en smartcard-læser, der læser det originale kreditkort, og så betalingskort-terminalen, der kommunikerer med kortudstederen.

I forbindelse med en almindelig offline-godkendelsesproces testes den indtastede pinkode op mod en kode, der ligger på chippen i kortet. Hvis pinkoden er den rigtige, sender kortet beskeden '0x9000' retur til terminalen. Det betyder, at den indtastede kode er accepteret.

Med opstillingen er det lykkedes at omdirigere godkendelsesprocessen, hvorefter beskeden 0x9000 bliver returneret til terminalen hver gang, mens chippen på kortet får at vide, at der er brugt en anden valideringsform, nemlig underskrift. Dermed kan det lade sig gøre at få en terminal til at godkende enhver pinkode, såfremt det rette udstyr er til stede.

I forbindelse med Cambridge-demonstrationen rettede ing.dk henvendelse til Nets, hvor kommunikationschef Søren Winge afviste, at der var et problem for hovedparten af de danske kort med henvisning til, at pinkoden blev valideret online. I dag erkender Søren Winge, at nye danske kort - i hvert fald i teorien - er sårbare over for Cambridge-angrebet:

»På det tidspunkt fulgte vi en helt anden chipstandard, og der var det korte svar, at casen (Cambridge-forsøget, red.) ikke er relevant for Danmark. Nu er den så til dels relevant for Danmark i og med, det er den samme chipstandard. Men der er stadigvæk en masse gode grunde til, at det her højst er et teoretisk eksempel og ikke noget, vi mener, kan ske i praksis, når denne chipstandard nu i større grad kommer ud på danske kort,« siger han.

»Det er vigtigt at understrege, at der hverken er tale om en kompromittering af terminalen, eller en egentlig kloning eller kompromittering af chippen som sådan,« siger Søren Winge.

Nets: Ingen eksempler i praksis

Han mener ikke, Cambridge-angrebet udgør en trussel som sådan, da det dels kræver en del hardwareudstyr, et betalingskort, der ikke er spærret, og så en butik med en terminal, hvor svindelnummeret kan gennemføres, uden at nogen fatter mistanke.

»Der har ikke været nogen eksempler på, at det her har været gennemført i praksis, hvor det har afstedkommet misbrug. Når vi ser på misbrug internationalt, så er det sjældent, det sker ved en terminal i en forretning, simpelthen fordi de personer, der svindler, ikke vil afsløre sig selv,« siger han med henvisning til personale og overvågningskameraer i en butik.

Derudover vil angrebet mod offline-betalingskort ikke kunne gennemføres ved en pengeautomat, understreger Søren Winge:

»Normalt ser vi afluringsmetoder ved pengeautomater, og der kan denne her metode i hvert fald ikke bruges, fordi pengeautomater altid går online (og validerer pinkoden, red.).«

Nets: Andre måder er nemmere

Endeligt vurderer kommunikationschefen, at der er andre, lavthængende frugter, betalingskort-svindlere vil gå efter, før de kaster sig over Cambridge-metoden.

»De kriminelle vil nok anvende de fremgangsmåder, som er nemmest at gennemføre i praksis, og det her er bestemt ikke en af dem,« siger Søren Winge.

Og skulle det alligevel lykkes for nogen at udnytte Cambridge-metoden - eksempelvis ved at gøre som i BBC-videoen til venstre for denne artikel, hvor alt hardwaren er proppet i en rygsæk - så vil ofret, jf. danske regler, blive holdt skadesløs, forsikrer Søren Winge:

»Vi kan jo se efterfølgende i kryptogrammet, at der ikke har været brugt pin. Så det betyder, at man vil kunne se et misforhold mellem det, vi får at vide, og det, terminalen har fået at vide. Så vi vil faktisk kunne afdække, hvis der var en mistanke. Men hvad vigtigere måske er, så vil vi kunne bekræfte, at den enkelte kunde, som måtte blive berørt af det her, ikke har gennemført en pin-indtastning og dermed ikke kan holdes ansvarlig for noget som helst. Så vil de blive holdt skadesfri.«

Nets: Samme standard alle steder

I løbet af 2012 forventer Nets at sende ca. 3,5 mio. nye Visa/Dankort med offline-validering ud til danskerne. Og derudover vil de eksisterende Dankort løbende blive udskiftet over de kommende år med kort, der følger den nye chipstandard.

Overgangen til den nye chipstandard sker ifølge Søren Winge blandt andet fordi, den kan være med til at gøre betalinger ved offline-terminaler i udlandet mere sikre. Tidligere kunne en offline-validering nemlig klares med en underskrift, fremadrettet skal der som udgangspunkt en pinkode til.

»Der er en række - også sikkerhedsmæssige - fordele i den nye standard, idet man ikke er afhængig af, at der er forbindelse til omverdenen, når man har interaktion med terminalen. Det gælder så også i udlandet, hvor man måske før har oplevet, at man ikke kan få valideret sin pin, fordi de ikke er online med Danmark og sådan nogle ting,« siger Søren Winge og tilføjer:

»Det kan man fremadrettet, fordi det kommer til at være den samme standard, man bruger alle steder.«

Dokumentation

Forskningsresultatet (PDF): Chip and PIN is Broken
BBC Video der demonstrerer sårbarheden i praksis (engelsk)