Chip and PIN (EMV) Komediden İbaret

Evet arkadaşlar hepimiz hatırlarız TR de bu kredi kartı dolandırıcılık vakaları arttıkdan sonra bankacılar süper bir önlem aldı.... Adı Chıp & PIN .... :) Aslında bunun neden komediden ibaret olduğunu birazdan göreceğiz...
Bir çok G8 ülkesi diye tabir ülkelerinde geçilen bu sistem ülkemizde de uygulanmaya başlanan bu sistem nasıl çalışır bir hatırlayalım... Mesala bir restaurant a gittiniz ve yemek yediniz,ödemeyi de kartınız ile yapacaksınız.. Ne yapmanız gerekiyor ? Garsonun POS (Point-Of-Sale) adlı makinayi getirmesi kartın manyetik strip ini okutuukdan sonra sizinde PIN (Personal Identification Number) denen Dört haneli şifrenizi girmeniz gerekiyor...
Asıl önemli olan ise bizim için arkaplanda neler olduğu... Kişinin taşıdığı kartın manyetik kısmında cryptli olarak kayıtlı pin,POS makinası kullanıldığında terminal ile iletişime geçilir kartı sahibi nin girdiği pin doğru ise terminal den pin çağrılır kartta yazılı olan bilgiler terminal tarafından doğrulanırsa kimlik doğrulama işlemi tamamlanmış olur.. Bu anlatılan kimlik doğrulama işlemi bir çok banka ve chip & pin kartlar için kullanılır... Kullandığı sinyal tipi SDA(Static Data Authendication) olarak bilinen yöntemdir...

Bir çok kişinin kredi kartı sahibi olduğu bu yıllarda POS terminal sayısı düzenli oranda bir kolerasyon gösterdi... Ama su bilinmiyor ki fazla programlama bilgisi olmadan bunu saldırgan POS terminalleri sayesinde kartlarınızın PINleri dahil olmak üzere ele geçirebilir ??

Aslında bu zaafiyet POS makinalarına aittir ama sonuçta kötü sonuçlara sebebiyet verebilir..
Gerekenler:
1.Bir POS makinasi,birazcık EMV (chip & PIN) sistemi hakkında bilgi heçkır zekası (hacker değil)....
2.l Cypress AN2131QC microcontroller adı verilen küçük boyutlu bir mikro denetleyici....
PC ye kurunca görülen şekli;





















Gördünüz şekildeki POS makinamız klavyenin arkasındaki ise Mikro denetleyicimiz... İstersek onu kasa nin icine saklayabiliriz...

Aslında bu yeni bulanan bir yöntem değil ama size bir çok ülkede sırıf daha ucuz olduğu için kullanılan Static Data Authendication sistemin ne kadar tehlikeli olduğunu göstermeye çalışıyoruz.....
Çözümmü bir an önce Dynamic Data Authendication denen aktarım türüne geçilmeli....
Çok kolay ama bu tür saldırıları ulusal yada EMV sistemine geçmemiş ülkede arkadaşı olan saldırgan PIN siz çok rahatlıkla bu kartları daha önceden anlattığım MSR206 gibi aletlerle karta çekebilir ve kullabilir....
















Bu gördünüz de Mikro denetleyecimiz... bu konuyu daha fazla uzutmamak ve konunun TR deki hassasiyeti üzerine burda birakiyorum... Eğer sizin böle bir şey başınıza gelmemesini isityorsaniz tek yapmanız gereken bu yaziyi banka yöneticilerine maillemek :),