RFID-Kreditkarten geknackt

1. Februar 2012, 9:44 Uhr | Archiv

Hackerin Kristin Paget hat bei einer aufsehenerregenden Vorführung am vergangenen Wochenende in Washington bewiesen, wie einfach die Daten von US-Kreditkarten mit RFID-Chip zum kontaktlosen Bezahlen ausgelesen und missbraucht werden können. Die Hackerin konnte vor dem erstaunten Publikum 15 Dollar von der Kreditkarte eines Freiwilligen abbuchen und auf ihr Konto transferieren, wie Forbes berichtet. „Ich bin verwundert, dass keine sichere Authentifizierung des Lesegerätes erforderlich ist. Auch mit anderen Maßnahmen könnte der Aufwand zum Auslesen der Daten deutlich erhöht werden“, sagt Enso-Detego-CTO Matthias Weitlaner.

Kreditkarten: RFID-Daten günstig auslesbar - (Foto: pixelio.de, manwalk)

Paget verwendet für ihre Demonstration ein Lesegerät, das sie für 50 Dollar bei eBay erstanden hat. Ohne die Testperson zu berühren, liest die Hackerin durch Kleidung und Brieftasche hindurch die Daten auf dem Kreditkartenchip aus. So erhält sie die Kreditkartennummer, das Verfallsdatum und einen für jede Transaktion notwendigen, zufällig generierten CVV-Code. „Kreditkarten mit Kontaktlos-Schnittstelle haben eine Reichweite von maximal ein bis zwei Zentimetern. Das Mehr an Convenience geht mit gestiegenem Risiko einher. Mit entsprechendem Aufwand ist jedes System zu knacken“, so Weitlaner.

Paget transferiert die ausgelesenen Daten mit einem Schreibgerät für rund 300 Dollar auf einen leeren, im Handel frei erhältlichen Kreditkartenrohling. Das Lesegerät wird dazu verwendet, ein autorisiertes Modul für Bezahlvorgänge zu emulieren. Mit der illegalen Kopie kann sie zwar nur eine Transaktion tätigen, da der CVV-Code danach verfällt, aber durch das Auslesen mehrerer Karten könnte trotzdem ein rentables Geschäftsmodell entstehen. Bei der Vorführung wird die Abbuchung mithilfe einer iPhone-App getätigt, die die Annahme von Zahlungen via Smartphone erlaubt. In den USA sind etwa 100 Mio. RFID-Kreditkarten im Umlauf.

Die Verwundbarkeit von kontaktlosen Bezahlsystemen ist bei weitem nicht neu. Die Vorführung von Paget beweist nur, dass die Industrie noch nicht entsprechend reagiert hat. „Der Hack ist beschämend einfach. Durch die Emulation der kontaktlosen Bezahl-Terminals können sämtliche Sicherheitsmaßnahmen umgangen werden, da der Chip von einem legalen Bezahlvorgang ausgeht und die nötigen Informationen ausspuckt“, sagt Paget.

Auch in Europa sind schon ähnliche Systeme im Einsatz. „Seit dem vergangenen Jahr geben wir Gold-Cards im Olympia-Design mit contactless-Funktion aus. Einige Tausend Karten sind bereits im Umlauf. In diesem Jahr geben wir auch die passenden Lese-Terminals an Geschäfte aus“, sagt Georg Huemer, ein Sprecher der Firma Card Complete in Österreich.

Was meinen Sie zu dem Thema? Tauschen Sie sich über die Kommentarfunktion mit unseren anderen Lesern aus. Zudem können Sie sich täglich über unsere Facebook-Seite auf dem neuesten Stand halten oder dort unsere Beiträge kommentieren.

(Markus Keßler/Marco Schürmann | Quelle: pressetext.com)

Über den Autor

Marco Schürmann

0 Kommentare


Was meinen Sie zu diesem Thema?

Wir freuen uns über Ihren Kommentar.

Schreibe einen Kommentar

* Pflichtangaben; Ihre E-Mail-Adresse wird nicht veröffentlicht.
 

Copyright

Copyright 2015 Bernd Zipper, zipcon consulting GmbH

Archiv