Bankenverband: Deutsche EC-Karten nicht für Manipulationsversuche anfällig
Das von britischen Forschern beschriebene Verfahren, mit dem sich das EMV-Verfahren bei EC- und Kreditkarten aushebeln lässt, funktioniert nach Angaben des Zentralen Kreditausschusses bei deutschen EC- und Kreditkarten nicht.
- Daniel Bachfeld
Der von Forschern der Universität Cambridge vorgeführte Manipulationsversuch mit EMV-Chip-Karten soll nach Angaben des Zentralen Kreditauschusses (ZKA) bei deutschen girocards (ehemals ec-Karte) nicht funktionieren. "Die deutschen ec-Karten des girocard-Systems sind so konstruiert, dass die dargestellten Manipulationen effektiv verhindert werden." schreibt der ZKA in seiner offiziellen Stellungnahme. Das gelte ebenfalls für Kreditkarten mit dem Chipkarten-Betriebssystem SECCOS.
Die britischen Forscher hatten ein Verfahren beschrieben, mit dem sich das EMV-Verfahren bei EC- und Kreditkarten aushebeln lässt, sodass Karten scheinbar beliebige PINs akzeptieren. Dem Bericht zufolge ist es möglich, durch eine Man-in-the-Middle-Attacke einem Terminal vorzugaukeln, die Karte habe eine eingegebene PIN akzeptiert, während der Karten vortäuscht wird, das Terminal habe auf die Legitimation mit Unterschrift zurückgeschaltet.
Was genau die Manipulationsversuche bei deutschen Systemen verhindern soll, schreibt der ZKA nicht. Die in Deutschland verwendeten EMV-Spezifikationen böten jedoch bereits Mechanismen zur Abwehr des beschriebenen Angriffs. Diese Mechanismen seien im girocard-System bereits von vornherein implementiert. Das Vorspiegeln einer erfolgreichen PIN-Prüfung sei somit nicht möglich.
Die Antwort der Banken, "Spezifikation verhindert den Angriff", hatte Ross Anderson, Mitglied des Forscherteams, bereits vergangene Woche vorausgesagt. Auch die britischen Banken würden diese Antwort geben, obwohl Anderson und seine Kollegen den Angriff ja bereits praktisch demonstriert hätten. Daher müssten praktische Tests bei deutschen Banken zeigen, ob die Spezifikation auch korrekt umgesetzt wurde und der Angriff nicht nur theoretisch unmöglich sei. Anderson bezweifelt in einer Mail an heise Security, dass (durchschnittliche) deutsche Banken diese Tests durchgeführt haben. "Dafür fehlt ihnen vermutlich das Ingenieurswissen", schreibt Anderson weiter.
In der Tat enthält die EMV-Spezifikation mehrere Möglichkeiten, wie sich ein Manipulationsversuch durch eine Man-in-the-Middle-Attacke feststellen lässt. Dazu gehört unter anderem die Auswertung und der Vergleich bestimmter Datenelemente zwischen Terminal und Karte, beispielsweise der Cardholder Verification Method Results (CVMR), der Cardholder Verification Results (CVR) und der Terminal Verification Results (TVR). Eine der schon von den britischen Forschern vorgeschlagenen Lösungen sieht vor, den CVMR als Parameter im Rahmen des Generate-AC-Befehls zur Erzeugung sogenannter Cryptogramme an den Chip zu senden. Die Karte sollte anhand des eigenen CVR-Elementes einen Unterschied feststellen können und den Vorgang abbrechen.
Siehe dazu auch:
