http://www.heise-online.pl/news/item/2016

Kody zabezpieczające karty kredytowe słabo nas chronią



Trzycyfrowy kod zabezpieczający znany również jako CVN (Credit Card
Validation Number) figurujący na rewersie kart płatniczych nie
zabezpiecza przed nadużyciami - słowa takie padły w programie
biznesowym WISO wyemitowanym w poniedziałek w niemieckiej telewizji
ZDF. Kod zabezpieczający, zwany też kodem weryfikacyjnym, stworzono,
by upewnić się, że karta używana jest wyłącznie przez jej właściciela.
Jednak w telewizyjnym doniesieniu zauważono, że wystarczy zdobyć numer
karty i jej datę ważności, by dokonywać transakcji w Sieci. W testach
eksperci z firmy Syss zajmujący się bezpieczeństwem odkryli, że w
przypadku 80% sklepów online istnieje możliwość sprawdzenia, jaki kod
jest właściwy, używając metody brute force, czyli odgadywania
kolejnych cyfr.

Ani sklepy, ani organizacje zajmujące się obsługą kart, takie jak
VISA czy Mastercard, nie zapobiegają atakom przez odgadywanie, na
przykład blokując kartę po kilku czy kilkunastu nieudanych próbach,
podobnie jak robią to bankomaty, gdy kilka razy z rzędu klient poda
nieprawidłowy numer PIN. Dyrektor wykonawczy z firmy Syss, Sebastian
Schreiber, potwierdził w rozmowie z heise Security, że taki problem
istnieje. W jego przekonaniu odpowiedzialność za zmianę tego stanu
rzeczy leży po stronie wymienionych organizacji. Powinny one
wprowadzić mechanizm, który po kilku próbach wprowadzenia wadliwego
kodu weryfikującego nakłada blokadę na kartę. Zauważa on, że przemysł
związany z rynkiem kart kredytowych w reklamach chwali się
wielowarstwowymi zabezpieczeniami antywłamaniowymi, co w
rzeczywistości jest zwykłym mydleniem oczu - systemy te nie zadziałały
w przypadku testów z odgadywaniem kodów zabezpieczających.

Jego zdaniem, by skutecznie zapobiegać celowemu blokowaniu kart przez
sieciowych szkodników, wystarczy użyć numeru karty i daty jej
ważności. Jeśli dane te są zgodne i poprawne, to można poczynić
założenie, że system ma do czynienia z właścicielem karty lub
złodziejem, a nie przypadkowym "dzieckiem Neostrady"