Startseite | Gemeinsame Startseite | Publizieren! | Feature Archiv | Newswire Archiv | Trasharchiv


Über Indymedia.ch/de
Indymedia-Café
Editorial Policy / Moderationskriterien
Über Sprache sprechen - Sexismus in der Sprache
Wie kann ich auf Indymedia.ch publizieren / Allgemeines zu Medienaktivismus
Kontakt
Wiki
Mailingliste
Medienaktivismus
Gedanken zu Provos & Fakes
Links









 
www.indymedia.org

Projekte
print
radio
satellite tv
video

Afrika
ambazonia
canarias
estrecho / madiaq
kenya
nigeria
south africa

Kanada
london, ontario
maritimes
montreal
ontario
ottawa
quebec
thunder bay
vancouver
victoria
windsor

Ostasien
burma
jakarta
japan
korea
manila
qc
saint-petersburg

Europa
abruzzo
alacant
andorra
antwerpen
armenia
athens
österreich
barcelona
belarus
belgium
belgrade
bristol
brussels
bulgaria
kalabrien
croatia
cyprus
emilia-romagna
estrecho / madiaq
euskal herria
galiza
deutschland
grenoble
hungary
ireland
istanbul
italy
la plana
liege
liguria
lille
linksunten
lombardia
london
madrid
malta
marseille
nantes
napoli
netherlands
nice
northern england
norway
nottingham
oost-vlaanderen
paris/île-de-france
patras
piemonte
poland
portugal
roma
romania
russia
sardinien
schottland
sverige
switzerland
thorn
toscana
toulouse
ukraine
großbritannien
valencia

Lateinamerika
argentina
bolivia
chiapas
chile
chile sur
brasilien
sucre
colombia
ecuador
mexico
peru
puerto rico
qollasuyu
rosario
santiago
tijuana
uruguay
valparaiso
venezuela

Ozeanien
aotearoa
brisbane
burma
darwin
jakarta
manila
melbourne
perth
qc
sydney

Südasien
india
mumbai

Vereinigte Staaten
arizona
arkansas
asheville
atlanta
austin
austin
baltimore
big muddy
binghamton
boston
buffalo
charlottesville
chicago
cleveland
colorado
columbus
dc
hawaii
houston
hudson mohawk
kansas city
la
madison
maine
miami
michigan
milwaukee
minneapolis/st. paul
new hampshire
new jersey
new mexico
new orleans
north carolina
north texas
nyc
oklahoma
philadelphia
pittsburgh
portland
richmond
rochester
rogue valley
saint louis
san diego
san francisco
san francisco bay area
santa barbara
santa cruz, ca
sarasota
seattle
tampa bay
tennessee
united states
urbana-champaign
vermont
western mass
worcester

Westasien
armenia
beirut
israel
palestine

Themen
biotech

Intern
fbi/legal updates
mailing lists
process & imc docs
tech
volunteer
 
 :: Postkarten der Postfinance unsicher ::
 Themen | Medien/Netzaktivismus 21-02-2007 17:37
AutorIn : chaotin : http://www.postcard-sicherheit.ch/
Auf der diesjährigen Ausgabe des Chaos Communication Congress (23C3 ->  http://ch.indymedia.org/de/2006/12/45478.shtml ) machte Bernhard R. Fix in seinem Vortrag "a not so smart card" (  http://events.ccc.de/congress/2006/Fahrplan/events/1449.en.html ) auf, schon lange bekannte Sicherheitsmängel, in der weit verbreiteten Postcard aufmerksam. Der CCC Zürich (  http://chaostreff-zh.tuners.ch/ ) ergriff dabei in enger Zusammenarbeit mit dem Chaos Computer Club (  http://www.ccc.de/ ) die Initiative um über diese gravierenden Mängel aufzuklären. Nach einiger Zeit haben die Initiantinnen nun das Gefühl, das die Postfinance die bekannte Schwäche lieber aushockt, als aktiv zu werden.
Es wurde nun die Seite Postcard-Sicherheit (  http://www.postcard-sicherheit.ch/ ) aufgeschalten, welche über die Postcard, deren Mängel, mögliche Lösungen und Stellungnahmen der Postfinance informiert. Vorerst ist die Seite nur auf Deutsch aufgeschalten, Personen, welche die Inhalte gerne auf Französisch und/oder Italienisch übersetzen wollen, sind eingeladen sich bei den Initiantinnen zu melden.

:: Was ist das Problem?
---------------------------------

Die Signatur der Postkarte, eines der elemenarsten Sicherheitsmerkmale der Postkarte, besteht nur aus einem 320 Bit langen RSA Key. RSA ist ein asymetrisches Verschlüsselungsverfahren, mit welchem auch die Authenzität überprüft werden kann. Die Sicherheit dieses Verfahren liegt dabei in der Schwierigkeit, der Faktorsierung von sehr grossen Zahlen in deren Primfaktoren. Dies bedeutet, das Zahlen, die sehr sehr gross sind (mehrere dutzend/hundert Dezimalstellen) nur sehr schwierig und langwierig in ihre Primfaktoren zerlegt werden können. Was nötig ist um das Verfahren zu knacken. (Mehr dazu hier:  http://www.postcard-sicherheit.ch/de/factorization.html ) Wenn man nun beachtet, dass in der heutigen Zeit eine Mindestlänge der Keys von 1024 Bit empfohlen ist, so ist die von der Postfinance verwendete Länge von 320 Bit geradezu lächerlich.
Durch die oben beschriebene zu kurze Wahl der Schlüssel, welche notabene bereits 1998 kritisiert wurde, ist es möglich den Key in heutiger Zeit in wenigen Stunden zu knacken. Ein vergleichbarer Key wurde übrigens bereits 1991 geknackt (  http://de.wikipedia.org/wiki/RSA-100 ) (Anmerkung: Die Postkarte wurde 1992 lanciert)

:: Was ist möglich?
-----------------------------

Durch die Möglichkeit des knacken des Keys ist es nun möglich selbstständig völlig valide Karten herzustellen und dies für x-beliebige (sogar inexistente) Konti. Der von allen verwendete PIN, welcher für viele Normalbenützerinnen das eigentliche Sicherheitsmerkmal darstellt, kann beim erstellen einer Karte beliebieg gesetzt werden und ist somit kein Hindernis. Ein knacken des Pincodes, welches bisher viele als Hürde angesehen habe, ist somit überflüssig.
Konnte der Key der Karte ausgelesen werden und geknackt werden ist neben der Postkartennummer das Ausgabe- und Ablaufdatum die beiden einzigen weiteren Sicherheitsmerkmale. Sind diese bekannt, so kann eine Kopie einer Karte erstellt werden und ohne weiteres Geld mit ihr bezogen werden. Ja es können sogar Karten für x-beliebige Konten erstellt werden und so Geld von inexistenten Konten abgebucht werden. (Anmerkung der Autorin: Womit nichtmal ein "unschuldiger" Kunde zu Schaden käme ;)

:: Geschichte
--------------------

Wie bereits erwähnt machte bereits 1998 ein Sicherheitsexperte auf diese Mängel in den vergleichbaren französischen Karten aufmerksam. Die Postfinance scheint dies jedoch nicht weiter zu interessieren und beendete Gespräche mit Sicherheitsanalysten bereits 2002 als diese sie auch auf Änderungen in den Teilnahmebediengungen hinwiesen. Da in diesen festgelegt ist, das das Beweisen einer Kontoleerräumung beim Kunden liegt. Bei derart diletantischen Mängel ist dies jedoch geradezu ein Hohn.
Das UVEK versprach zudem sich der Sache anzunehmen und die Mängel zu beheben. Doch weit gefehlt: Mehr oder weniger wurde versucht 4 Jahre lang Gras über die Sache wachsen zu lassen und auch die neuen Karten die seit 2006 ausgegeben werden, setzen nachwievor auf schweizer Terminals die alten unsicheren Verfahren ein. Mehr dazu hier:  http://www.postcard-sicherheit.ch/de/history.html

:: Fazit
----------

Es kann somit festgestellt werden, dass die Sicherheit der Postkarten sehr sehr gering sind und es möglich ist mit mehr oder weniger handelsüblichen Geräten selber Karten herzustellen und mit diesen ohne weiteres Geld von Konten (auch von nicht inexsistenten) abgehoben werden können. Umverteilungsaktionen sind also durchaus möglich und liegen innerhalb des machbaren!

Im folgenden wird noch die aktuelle Presseerklärung des CCC dokumentiert:

----

Schweizer PostFinance: Aussitzen und Gras drüber wachsen lassen

Seit zumindest 2002 ist in CCC-Umkreisen bekannt, dass die schweizer Debitkarte der PostFinance von POS-Terminals als "echt und vertrauenswürdig" erkannt wird, wenn sie eine gültige Signatur des Kartenausgebers trägt. Diese Signatur basiert auf einem nur 320 Bit langen RSA-Schlüssel, der auf handelsüblichen Rechnern innert Stunden geknackt werden kann.

Die "Postcard" der PostFinance basiert auf dem Design der französischen "Carte bleue", die 1979 erstmals vorgestellt wurde. Serge Humpich hat bereits 1998 in Frankreich das Verfahren ausgemacht und die Unsicherheit dieser Karte 2000 öffentlich ( http://www.parodie.com/monetique/) angeprangert. Nach viel Medienrummel und insbesondere auf Druck der Kartenversicherer wurde die Sicherheit für der Karte erhöht, mit der Verlängerung der Schlüssellänge auf 768 Bit.

In der Schweiz wurde 2002 die PostFinance auf die Unsicherheit ihrer auf derselben Technologie der Franzosen aufsetzenden Karte aufmerksam gemacht. Ebenfalls wurde das UVEK (Departement für Umwelt, Verkehr, Energie und Kommunikation), politisch verantwortlich in der Sache, auf die Problematik aufmerksam gemacht, welches sich in der Folge dafür bereit erklärt hat die nötigen Schritte einzuleiten, um die Sicherheit zu erhöhen. Die PostFinance hatte ein Treff mit den Sicherheitsanalysten abrupt beendet als diese forderten, dass die PostFinance ihre Teilnahmebedinungen ( http://www.ccc.de/updates/2007/postfinance-postcard?language=en) überdenken sollten, um Kunden davor zu schützen im Missbrauchsfalle selber zu haften. Die Teilnahmebedingungen nehmen vom Kunden an, dass die Beweislast bei einer Kontenräumung bei ihm liegt.

Nicht mehr als die Postcardnummer sowie das Ausgabe-/Ablaufdatum sind nötig, um eine gültige Postcard, die an ein bestimmtes Konto gebunden ist, herzustellen. Die PIN lässt sich bei der Kartenreproduktion selber setzen und ist für die Authentifikation der Karte an einem Terminal damit unerheblich.

Es lassen sich zudem auch Karten herstellen, welche nicht an ein existierendes Konto gebunden sind. Damit wird die PostFinance selbst durch eventuelle Beanspruchungen von Dienstleistungen belastet. Dies weil jede und jeder im Besitz des errechneten privaten Schlüssels der PostFinance Postcards herstellen kann, die an den Terminals angenommen werden.

4 Jahre lang wurde Gras über die Geschichte wachsen gelassen, in der Hoffnung die PostFinance und das UVEK würden sich um die Beseitigung der Sicherheitsmängel bemühen - doch weit gefehlt. Nach Analysen in 2006 zeigte sich, dass neu ausgegebene Postcards immer noch das alte Verfahren unterstützten. Bei seit Sommer 2006 ausgegebenen EMV-Karten, die theoretisch eine erhöhte Sicherheit aufweisen sollten, stellt sich heraus, dass diese zumindest an schweizer Terminals weiterhin auf das alte Authentifikationsverfahren setzen und die gegebene EMV-Funktionalität ( http://www.postcard-sicherheit.ch/de/emv.html) unberührt lassen. Damit bleiben Postcards, welche über Laufzeiten von 47, 48 oder 49 Monaten verfügen, auch bis nach 2010 - zumindest innerhalb der Schweiz - missbrauchbar.

Am 23C3 hat Bernd R. Fix in seinem Vortrag "A not so smart card" ( http://events.ccc.de/congress/2006/Fahrplan/events/1449.en.html) auf die Sicherheitslücke öffentlich hingewiesen, weil weder die PostFinance noch das UVEK sich kooperativ gezeigt haben.

Der Chaos Computer Club und der Chaos Compuer Club Zürich fordern von der PostFinance die Sicherheit der Postcards umgehend zu erhöhen oder zumindest ihre Teilnahmebedinungen dahingend abzuändern, dass die Beweislast in Fällen, wo einem Kunden das Konto geräumt wird, umgekehrt wird und damit - wie bei Kreditkarten üblich - Entschädigungen gegenüber diesem geleistet werden.

Im Detail informieren die Seiten Postcard-Sicherheit.ch ( http://www.ccc.de/updates/2007/postfinance-postcard?language=en) über die Unsicherheit der Postcard.

Lange genug ist Gras drüber gewachen - es ist Zeit, dass der Rasenmäher angesetzt wird!

-----

 :: Keine inhaltliche Ergänzungen > Ergänze diesen Artikel (.onion )
 :: Nicht inhaltliche Ergänzungen :
  1. Wenn Ihr bei Mastercard eine Sicherheitslücke findet... — Anti-CCC
  2. wieder mal unwahrheiten — anti-troll
  3. Lieber Troll, der DU bist, — gegen halbloyale technofreaks
  4. informationen müssen frei sein! — troll
  5. stimmt nicht — unwichtig
  6. ja, macht einander fertig!!! — das staunende
GNU Free Documentation License 1.2 Sämtlicher Inhalt auf Indymedia Deutschschweiz ist verfügbar unter der Creative Commons Attribution-ShareAlike 2.0 Germany.
Für sämtlichen Inhalt der jeweiligen Beiträge unter Indymedia Schweiz und Indymedia Deutschschweiz sind nur die jeweiligen AutorInnen verantwortlich!
Indymedia Schweiz läuft mit MIR 1.1
Use GNU!