¿Cómo se protegen Visa payWave y MasterCard PayPass contra el uso no autorizado?

Visa payWave y MasterCard PayPass tienen una descripción similar: la tarjeta está equipada con una antena que usa para comunicarse con el terminal. Para compras pequeñas (algo así como menos de $50) la transacción se autoriza acercando la tarjeta (algo así como no más de dos pulgadas) a la terminal.

Ahora, ¿qué pasa si mi tarjeta está en mi bolsillo y alguien se acerca a mí en una multitud con un dispositivo fraudulento que se comporta como una terminal? ¿Qué pasa si pierdo mi tarjeta y alguien la recoge y la usa para muchas compras pequeñas? ¿Cómo se aborda el hecho de que la tarjeta esté cerca del terminal es el único requisito para la transacción y no se requiere ninguna otra participación del titular de la tarjeta para autorizar una transacción?

Consulte la pregunta relacionada sobre la seguridad de las tarjetas con chip de la variedad RFID (también llamada EMV) más que la variedad de tarjeta inteligente: money.stackexchange.com/questions/1080/… No estoy seguro si esta pregunta es sobre tarjetas con chip como etiquetadas, o No realmente...?
@Feral Oink: nunca he visto un payWave o un PayPass sin chip y ambos sistemas de pago afirman que usaron alguna criptografía extrema y eso requeriría un chip de todos modos.
¡Pensé que entendía cómo funcionaba esto, y ahora estoy más confundido que antes! He leído lo que acabas de decir, también de otras fuentes.

Respuestas (5)

Ellos no están. Básicamente, aparte de los datos que se transmiten mediante el chip RFID , la protección es exactamente la misma que la que tiene en su banda magnética: NINGUNA .

Pero, lo etiquetó como "tarjeta con chip". No se confunda, una tarjeta con chip es algo diferente. Las tarjetas con chip se utilizan en Europa y en muchos otros lugares donde la privacidad y la seguridad son una preocupación para las personas. Este tipo de tarjetas es muy segura y está muy bien protegida . El chip de la tarjeta es en realidad un procesador de tarjeta inteligente , que transmite datos encriptados que solo se pueden usar con un pin que se ingresa por separado. Robar la tarjeta o copiar los datos en el chip, incluso si es posible, no proporciona nada útil para el ladrón, de la misma manera que robar su tarjeta de cajero automático sin saber su pin la hace totalmente inútil. En muchos lugares de Europa no aceptan las tarjetas americanas con solo banda magnética.

Sin embargo, muchas tarjetas brindan protección de responsabilidad cero y siempre puede disputar cargos fraudulentos. Por lo tanto, dejemos que los minoristas sufran los daños del inseguro sistema bancario estadounidense y es posible que presionen a los bancos para que adopten el sistema europeo de tarjetas con chip.

Siempre esperé en secreto que una tarjeta inalámbrica de este tipo fuera una tarjeta inteligente con un microprocesador que ejecutara un protocolo encriptado criptográficamente por el aire para que, si bien alguien pudiera escuchar la señal, aún no pueda "leer" la tarjeta y no pueda reproducir el protocolo porque el protocolo utiliza desafíos desechables (nonces).
¿Puede respaldar la afirmación de que no hay protección en la comunicación RFID con una referencia? Porque pensé que dientes afilados tenía razón.
Los lectores RFID @DJClayworth están disponibles gratuitamente y son bastante baratos. Estoy seguro de que puede encontrar suficientes referencias con una simple búsqueda en Google. Si bien los lectores de tarjetas inteligentes también son bastante baratos, las tarjetas inteligentes en sí mismas son costosas y muy difíciles de aplicar ingeniería inversa, definitivamente no sobre la marcha mientras tiene su tarjeta en el bolsillo trasero. Tienen su propio procesamiento y brindan seguridad adicional a través del cifrado de clave pública-privada además del PIN. Entonces, incluso sin los lectores cerebrales para obtener el PIN, las tarjetas inteligentes son mucho más difíciles de falsificar que un dispositivo RFID (esos no tienen procesamiento).
Los dispositivos RFID @sharptooth no tienen capacidades de procesamiento ya que no tienen fuente de alimentación. La respuesta RFID se transmite utilizando la energía del lector (la caja registradora), por eso es necesario acercar mucho la tarjeta. Lo que describe se hace en tarjetas inteligentes y requiere una fuente de alimentación adicional. Dado que no es probable que adjunte un Duracell a su tarjeta de crédito, las tarjetas inteligentes requieren contacto físico con los lectores.
@littleadv: Las tarjetas inteligentes inalámbricas tienen una fuente de energía: es el sistema de energía de inducción que usa la antena y es alimentado por el campo magnético del lector.
@sharptooth: nuevamente estás confundiendo términos. Los chips RFID no son tarjetas inteligentes. No tienen ningún poder de procesamiento . Utilizan la energía eléctrica recopilada del campo magnético del lector para una transmisión unidireccional de una porción constante de datos pregrabados . Eso es exactamente como usar su tarjeta de empleado para abrir una puerta pasándola por el lector. Mismo tipo de chip y mismo tipo de operación. Nada inteligente allí. "Tarjeta inteligente" es un nombre que se le da a una tarjeta que tiene un procesador en su interior, y es capaz de comunicaciones bidireccionales y realiza su propio procesamiento de datos.
@littleadv: Bien, ¿afirma que una tarjeta "inalámbrica" ​​Visa/MC no tiene un procesador para ejecutar un protocolo criptográfico?
@littleadv: tiene razón: el chip rfid se vincula a una base de datos que tiene la información de la tarjeta. Por lo tanto, obtener la información del chip rfid no es suficiente. Dicho esto, es fácil para un atacante obtener una cuenta para usar esa información, pero sería mucho más difícil sacar provecho de ella. Pero es posible un ataque de estilo anónimo en el que crean transacciones falsas para lolz .
@Chad: las tarjetas RFID son propensas al clásico ataque "Man in the middle", exactamente como las bandas magnéticas.
@sharptooth sí, eso es lo que estoy diciendo. Es posible que los datos transmitidos por la tarjeta ya estén encriptados, pero están encriptados cuando se registran en ella, no por la propia tarjeta. La principal diferencia entre la tarjeta inteligente y los chips RFID es que la tarjeta inteligente produce información diferente cada vez que se lee, mientras que RFID proporciona información constante . Por lo tanto, no importa si está encriptado o no, puede copiarse y retransmitirse tal cual.
@littleadv: lo son, pero la información real de la cuenta reside en una base de datos en lugar de la banda magnética que lo tiene todo perfectamente codificado y listo para usar. Necesitaría obtener la información del rfid. Luego consulte la base de datos para obtener la información de la tarjeta sin procesar.
@Chad: no importa dónde esté la información real, siempre que pueda engañar al lector para que piense que tiene la tarjeta real. Si vas de compras, realmente no te importa, siempre y cuando pases la caja registradora.
Tenga en cuenta que he vuelto a etiquetar este "pago sin contacto" mientras estaba aquí.
@littleadv payWave y PayPass usan tarjetas inteligentes, no simples etiquetas RFID. Estos contienen memoria persistente y una CPU para realizar operaciones criptográficas en los datos de la transacción. Si bien hay ataques contra algunos esquemas sin contacto, simplemente copiar la tarjeta no funcionará.

Desde un punto de vista técnico, existen dos versiones principales de tarjetas de pago sin contacto: para MasterCard, PayPass M/Chip y PayPass MagStripe. Creo que la versión Mag Stripe solo se puede usar en los EE. UU., donde hay menos tarjetas con chip, mientras que M/Chip se usa en tarjetas que tienen chips EMV. ( referencia )

Creo que las versiones actuales de PayPass M/Chip realizan criptografía en el chip y producen hashes dinámicos, lo que significa que las transacciones no se pueden reproducir. Este valor se llama CVC3 y puede ser estático o calculado dinámicamente según su emisor. ( ref ) Creo que la dinámica es más común ahora, pero no soy un experto. Naturalmente, solo los valores CVC3 generados dinámicamente no se pueden reproducir.

Escuché a muchas personas hacer la pregunta sobre alguien en una multitud con una terminal PayPass. No puedo creer que ningún comerciante permita que esto suceda, porque MasterCard y VISA, y probablemente su banco, estarían muy, muy molestos y cerrarían al comerciante rápidamente. Como el fraude lo realiza un comerciante, no un cliente, creo que se encontraría y se detendría rápidamente. Tal vez sea ingenuo, pero parece que este sería un método terrible para cometer fraude.

Desde el punto de vista bancario, al menos en Australia, siempre que denuncie la pérdida o el robo de su tarjeta, su responsabilidad se limita a una cantidad nominal (no soy abogado; consulte a su banco). Los montos de transacción aquí están limitados a $100. Supongo que los bancos/MasterCard/VISA han calculado los números y aún sienten que la posibilidad de más transacciones y las tarifas de transacción asociadas supera los riesgos.

Además, ahora también estamos viendo transacciones VISA de pequeño valor que no requieren un PIN o una firma, por lo que este tipo de problema ahora existe para las transacciones que no son de pago.

Independientemente de todo esto, estoy bastante seguro de que VISA y MasterCard exigirán en algún momento la inclusión de PayPass/Paywave en las tarjetas recién emitidas.

No mezcle seguridad con RFID. Una Chip-card de contacto NO es más o menos segura que una sin contacto. Tienes que pensarlo como la capa de transporte que no es segura de ninguna manera. La seguridad está en otra parte: protocolo, criptografía, claves, etc...

Las tarjetas sin contacto EMV (que ahora deberían incluir casi todas las tarjetas emitidas recientemente) utilizan un contador de transacciones fuera de línea para aumentar la seguridad. Este contador se mantiene dentro de la tarjeta y se incrementa cada vez que la tarjeta confirma una transacción sin contacto.

Al menos algunos emisores usan ese contador para limitar la cantidad de transacciones sin contacto antes de que la tarjeta deba usarse para una transacción de contacto, lo que generalmente requeriría la verificación del titular de la tarjeta mediante la entrada o firma del PIN.

Esto limita el riesgo a la cantidad de transacciones sin contacto permitidas multiplicada por la cantidad máxima por transacción.

Creo que el contacto tiene una forma en la que es inherentemente más seguro. La tarjeta tiene que ir dentro del lector. ¿Qué pasaría si un ladrón pudiera sacar dinero de su billetera simplemente pasando su mano cerca de su bolsillo? Sin la implementación adecuada de PDOL, parece que esto podría ser posible.

Pensé que la RFID era como un campo cercano, es decir, simplemente estar cerca de mí. ¿Hay tipos que no sean así?
¿Cómo se protegen Visa payWave y MasterCard PayPass contra el uso no autorizado?
RespuestasAquíPolítica de privacidad1y, 0v