संपर्क रहित बैंक कार्ड अटैक

पोस्ट करनेवाले: cuamckuu

मानचित्र सामग्री को पुनः प्राप्त करना और ईएमवी टीमों के साथ काम करना न केवल अनुसंधान उद्देश्यों के लिए दिलचस्प हो सकता है। संपर्क रहित बैंक कार्डों पर कई तरह के हमले होते हैं, जिनके क्रियान्वयन पर कटौती के तहत चर्चा की जाएगी।

परिचय

इस वर्ष मैंने डिजिटल सिक्योरिटी में हैक 2019 के समर में इंटर्नशिप की और कॉन्टैक्टलेस ईएमवी कार्ड पर शोध के विषय पर काम किया। इंटर्नशिप के दौरान, यह जानने के लिए बेहतर था कि बैंक कार्ड कैसे काम करते हैं, और संपर्क रहित कार्ड के साथ काम करने के लिए एक नई उपयोगिता बनाते हैं। डेटा रीडिंग मोड का प्रदर्शन यहां पाया जा सकता है ।

हमलों के प्रकार

कार्ड और टर्मिनल ईएमवी मानक (Europay + MasterCard + VISA) का उपयोग करके संवाद करते हैं, जिसे भुगतान की सुरक्षा बढ़ाने के लिए विकसित किया गया था। इस संबंध में, संपर्क रहित कार्डों पर कई हमले वैक्टर नहीं हैं। लेख निम्नलिखित पर ध्यान केंद्रित करेगा:

• ऑनलाइन स्टोर में किसी और का कार्ड लिंक करें
• सोशल इंजीनियरिंग में सहायक कदम
• कॉन्टैक्टलेस DoS जो कार्ड को ईंट में बदल देता है

ईएमवी मानक के अनुसार कार्ड के साथ बातचीत करते समय ऐसे हमले संभव हैं। कई कार्ड आपको उपयोगकर्ता की निजी जानकारी, विशेष रूप से पैन, समाप्ति तिथि और धारक के नाम को आसानी से पढ़ने की अनुमति देते हैं। रीड डेटा कुछ ऑनलाइन स्टोर में कार्ड को मैप करने के लिए पर्याप्त है, उदाहरण के लिए, अमेज़ॅन। और प्राप्त निजी डेटा का उपयोग अधिक व्यक्तिगत फ़िशिंग या स्पैम भेजते समय किया जा सकता है।

इसी तरह से, एक DoS हमले को लागू किया जाता है। आवश्यक ईएमवी-कमांडों को कॉल करने से आप आंतरिक लेनदेन काउंटर को ओवरफ्लो कर सकते हैं या गलत पिन-कोड प्रविष्टि का अनुकरण कर सकते हैं, जिससे कार्ड अवरुद्ध होता है।

पहिया को क्यों मजबूत करें?

विकास शुरू करने से पहले, मौजूदा समाधानों का अध्ययन करने का निर्णय लिया गया था। विशेष रूप से, उन्होंने विचार किया: RFIDIOt / ChAP.py , Jaccal , nfcmillionaire , कॉन्फ़्रेंस PoC , "रूबी" स्क्रिप्ट , Android ऐप्स / libs ।

अधिकांश कार्यक्रमों की समीक्षा में पीओएस टर्मिनल के संचालन का अनुकरण करने और समर्थित कार्ड के पहचानकर्ताओं के साथ शब्दकोशों का उपयोग करने की कोशिश की जाती है, इसलिए अक्सर ऐसे समाधान केवल वीज़ा और मास्टरकार्ड के साथ काम करेंगे।

एक अन्य समस्या एक पूर्ण डंप डंप करने के बजाय डेटा का एक छोटा हिस्सा पढ़ रही है। लगभग सभी कार्यक्रम मक्खी पर जितना संभव हो उतना ईएमवी पार्स करने की कोशिश करते हैं और पार्सिंग त्रुटियां करते हैं।

यदि कोई भी समस्या अनुपस्थित है या इतनी स्पष्ट नहीं है, तो सबसे अधिक संभावना है कि हम एंड्रॉइड के लिए एक एप्लिकेशन / लाइब्रेरी के बारे में बात कर रहे हैं, और आपको एनएफसी रीडर के साथ एक फोन की आवश्यकता होगी, जो हर किसी के पास नहीं है।

वर्णित समस्याओं को हल किया जा सकता है, इसके लिए यह आवश्यक है:

• शब्दकोशों का उपयोग करने के बजाय, गतिशील रूप से मानचित्र प्रकार का पता लगाएं
• पूर्ण फ़ाइल पढ़ने के लिए कई ऑपरेटिंग मोड जोड़ें
• मक्खी पर EMV मानक को अलग करने का प्रयास न करें
• एक सस्ते पाठक PN532 (~ 5 $) का उपयोग करें

कार्ड से डेटा पुनर्प्राप्त करना

कार्ड और टर्मिनल ( एक , दो , तीन ) के बीच बातचीत की प्रक्रिया के बारे में विस्तार से वर्णन करते हुए हबेरा पर पहले से ही लेख हैं, इसलिए मैं खुद को दोहराने और व्यावहारिक भाग पर ध्यान केंद्रित नहीं करने की कोशिश करूंगा।

कार्ड के साथ संवाद करने के लिए, हम सुखद कीमत और libnfc लाइब्रेरी के कारण PN532 रीडर का उपयोग करेंगे। सहज व्यापार के लिए नीचे उतरो। मानचित्र पर डेटा निम्नानुसार व्यवस्थित है:
पर्यावरण -> अनुप्रयोग -> फ़ाइलें -> रिकॉर्ड।

पढ़ने का उद्देश्य सभी रिकॉर्ड से डेटा प्राप्त करना है, इसके लिए आपको एक पूरी श्रृंखला से गुजरने की आवश्यकता है, और संचार की शुरुआत में पर्यावरण और आवेदन का विकल्प केवल एक बार होता है।
EMV कमांड के संदर्भ में समान प्रक्रिया:

• PPSE का चयन करें // एक गैर संपर्क वातावरण का चयन करें
• चयन आवेदन // AID द्वारा एक आवेदन का चयन करें
• READ RECORD // फ़ाइल और रिकॉर्ड संख्या निर्दिष्ट करें

टीमों में से एक के गठन के उदाहरण पर विचार करें। संपर्क रहित वातावरण का चयन करने का पहला आदेश हमेशा एक जैसा होता है और ऐसा दिखता है:

byte_t const command[] = { 0x40, 0x01, // Pn532 InDataExchange 0x00, 0xA4, // SELECT ppse 0x04, 0x00, // P1:By name, P2:_ 0x0e, // Lc: Data length 0x32, 0x50, 0x41, 0x59, 0x2e, 0x53, 0x59, // Data string: 0x53, 0x2e, 0x44, 0x44, 0x46, 0x30, 0x31, // 2PAY.SYS.DDF01 (PPSE) 0x00 // Le }; 

उदाहरण प्रतिक्रिया: 6F 23 84 0E 32 50 41 59 2E 53 59 53 2E 44 44 46 30 31 A5 11 BF 0C 0E 61 0C 4F 07 A0 00 00 00 03 10 10 87 87 01 01 90 00

अगले आदेश को कॉल करने के लिए, हमें पिछली कमांड की प्रतिक्रिया को पार्स करने की आवश्यकता है।



हम आवेदन पहचानकर्ता एआईडी में रुचि रखते हैं। हम इसे याद करते हैं और एक नई SELECT क्वेरी बनाते हैं, लेकिन इस बार हम प्राप्त AID को सेलेक्ट कमांड में पास करते हैं, और PPSE को नहीं, जैसा कि पहले कमांड में है।

उदाहरण: 00 ए 4 04 00 07 ए 00 00 00 03 10 10 00

जैसा कि पहले उल्लेख किया गया है, तैयार किए गए शब्दकोश का उपयोग करने के बजाय गतिशील रूप से एआईडी प्राप्त करना महत्वपूर्ण है, फिर आपके आवेदन में विभिन्न प्रकार के कार्डों को पढ़ने में सक्षम होने की संभावना है, उदाहरण के लिए, एमआईआर कार्ड।

एप्लिकेशन के चयन के बाद, हम READ RECORD कमांड का उपयोग करके आवश्यक रिकॉर्ड पढ़ सकते हैं और फ़ाइल नंबर और रिकॉर्ड नंबर को पैरामीटर के रूप में पास कर सकते हैं।

टीम गठन का एक उदाहरण: (इसके बारे में मानक में पाया जा सकता है। EMV Book1। 11.2 READ RECORD)

  byte_t const sfi_param = (sfi << 3) | (1 << 2); byte_t const command[] = { 0x40, 0x01, // Pn532 InDataExchange 0x00, 0xB2, // READ RECORD record_number, sfi_param, // P1:record_number and P2:SFI 0x00 // Le }; 

कॉल उदाहरण: 00 B2 02 14 00

ध्यान दें कि एक पूर्ण बाइट फ़ाइल संख्या के लिए आवंटित नहीं है, क्रमशः, कुल में 31 (2 ^ 5 - 1) फाइलें और 255 प्रविष्टियां हो सकती हैं। पहली से 10 वीं तक की फाइलें आंतरिक डेटा के भंडारण के लिए आवंटित की जाती हैं, और शेष को भंडारण के लिए आवंटित किया जाता है। यदि कार्ड लॉगिंग का समर्थन करता है तो लेनदेन लॉग।

अब दो नेस्टेड लूप का उपयोग करके, हम प्रत्येक जोड़े के लिए READ RECORD कमांड को कॉल करके सभी मैप रिकॉर्ड का डेटा प्राप्त कर सकते हैं। यदि आप कार्ड द्वारा दिए गए स्थिति शब्द (प्रतिक्रिया के अंतिम दो बाइट्स) पर ध्यान देते हैं तो खोज प्रक्रिया में काफी तेजी आ सकती है। स्थिति हमें बता सकती है कि फ़ाइल मौजूद नहीं है (SW = 0x6A82) या कि इस फ़ाइल में और प्रविष्टियाँ नहीं हैं (SW = 0x6A83)।

व्यवहार में, यह पता चला कि यह केवल गैर-मौजूद फ़ाइल के मामले पर विचार करने के लिए समझ में आता है, क्योंकि कभी-कभी ऐसे कार्ड होते हैं जो गुम प्रविष्टियों के लिए स्थिति कोड का गलत तरीके से उपयोग करते हैं। डेटा पढ़ने के बाद, आप इसे ऑनलाइन पार्सर में से एक को भेज सकते हैं, मुझे यह पसंद आया।

नक्शे के रिकॉर्ड से निकाले गए आंकड़ों का टुकड़ा:



रीड डेटा कुछ ऑनलाइन स्टोर (मुख्य रूप से विदेशी लोगों) में कार्ड को मैप करने के लिए पर्याप्त है, और प्राप्त जानकारी का उपयोग सोशल इंजीनियरिंग का उपयोग करके अधिक व्यक्तिगत हमले के लिए किया जा सकता है।

हम संपर्क रहित DoS का आयोजन करते हैं

हम अगले प्रकार के हमले के लिए आगे बढ़ते हैं। DoS-a के लिए कम से कम 2 कार्यान्वयन विधियाँ हैं।

धीमा रास्ता

धीमी विधि को लागू करने के लिए (हमले में लगभग 4 मिनट लगेंगे), आंतरिक कार्ड लेनदेन काउंटर (एटीसी) को ओवरफिल करना आवश्यक है। ऐसा करने के लिए, कॉल करें:

• PPSE का चयन करें // एक गैर संपर्क वातावरण का चयन करें
• चयन आवेदन // एक आवेदन का चयन करें
• डेटा प्राप्त करें // पता करें कि एटीसी अतिप्रवाह से पहले कितना बचा है (वैकल्पिक)
• प्राप्त करने का विकल्प प्राप्त करें // लेन-देन प्रारंभ करें
• ...
• ओवरफ्लो होने तक लेनदेन को दोहराए जाने के विकल्प प्राप्त करें

अधिक विस्तार से चरणों पर विचार करें। संपर्क रहित वातावरण और अनुप्रयोग का विकल्प डेटा निष्कर्षण के साथ आइटम के समान है, केवल अंतर यह है कि इस बार हमें चयन आवेदन आदेश की प्रतिक्रिया को संसाधित करने की आवश्यकता है।



हम PDOL क्षेत्र में रुचि रखते हैं, क्योंकि इसके लिए GET PROCESSING OPTIONS कमांड की बाद की कॉल की आवश्यकता होगी, जिससे प्रत्येक कॉल के लिए लेनदेन काउंटर बढ़ेगा।
पीडीओएल में, कार्ड हमसे टर्मिनल और भुगतान के बारे में जानकारी मांगता है।

ऊपर के उदाहरण में, नक्शा हमसे पूछता है:

• 9F66 04 // टर्मिनल ट्रांजेक्शन क्वालिफायर (4 बाइट्स)
• 9F02 06 // राशि (6 बाइट)
• 9F37 04 // अप्रत्याशित संख्या (4 बाइट्स)
• 5F2A 02 // लेनदेन मुद्रा कोड (2 बाइट्स)

चूंकि हम DoS को लागू करते हैं, वास्तविक भुगतान नहीं, हम मूल्यों की शुद्धता के बारे में चिंता नहीं कर सकते हैं और केवल पूर्व-तैयार मूल्यों का उपयोग करते हैं जो कार्ड स्वीकार करेगा। मानक में आवश्यक मानों के बारे में और पढ़ें। (ईएमवी बुक 3. एनेक्स ए डेटा एलिमेंट्स डिक्शनरी)।

व्यावहारिक उपयोग की सुविधा के लिए, मैं तालिका उद्धृत करता हूं:

कार्ड द्वारा अनुरोधित डेटा बनाने के बाद, हम GPO को कॉल करने के लिए तैयार हैं।

उदाहरण: 80 ए 8 00 00 12 83 10 79 00 40 80 00 00 10 00 00 82 3D DE 7A 01 24 00

उत्तर- 10 ४ एफ : २ २० ०२ ०२ ०२ १० ०२ ०३ १ 00 ०१ ०१ ०४ ०४ ०४ ५ 42 ५३ ४३ ५३ ४३ ५६ 82३ ५३ २३ ५२ ४१ २० ४२ २० ०० १ एफ ५ एफ २० ०२ २ एफ २ ९ १० ० ०१ ०१ ११ ०३ 06० २० ०० ९ एफ ६ सी ०२ ३० ०० ९ एफ २६ ०३ ३३ ४ ९ 5 ९ डी ५० ए ३ डी ३ 01 ९ २ 9 २ 36 ०१ ९ ० ९ ६२ ०२ ४ 90 ९ ० ९ ००

GPO कॉल को 65 536 बार दोहराएं, और कार्ड अवरुद्ध है। आप GET DATA का उपयोग करके वर्तमान ATC मान को पढ़ने के लिए आवश्यक कॉल की संख्या को कम कर सकते हैं।

त्वरित तरीका है

त्वरित तरीका बहुत अधिक सुविधाजनक (और अधिक खतरनाक) है, चूंकि कार्ड को लॉक करने में लगभग 2 सेकंड लगेंगे, इसलिए कार्यान्वयन विवरण का एक विस्तृत विश्लेषण पर्दे के पीछे रहेगा।

विधि पिछले एक के समान है, लेकिन इस बार लेन-देन काउंटर बढ़ाने के बजाय पिन कोड दर्ज करने के प्रयासों के काउंटर को कम करना आवश्यक होगा। ट्राई काउंटर का पिन मान GET DATA के माध्यम से भी प्राप्त किया जा सकता है, लेकिन इस मामले में गति में कोई उल्लेखनीय वृद्धि नहीं होगी।

आवश्यक संचालन:

• PPSE का चयन करें // एक गैर संपर्क वातावरण का चयन करें
• चयन आवेदन // एक आवेदन का चयन करें
• डेटा प्राप्त करें / जानें कि पिन दर्ज करने के कितने प्रयास हैं
• प्राप्त करने का विकल्प प्राप्त करें // लेन-देन प्रारंभ करें
• बहुत // और गलत पिन दर्ज करें
• ...
• वैरीफाई // जब तक कार्ड ब्लॉक नहीं हो जाता

परिणाम

इंटर्नशिप के दौरान, संपर्क रहित बैंक कार्ड के साथ काम करने और मौजूदा समाधानों में मौजूद कई समस्याओं को हल करने के लिए एक नया उपकरण बनाना संभव था, और एक सस्ते पाठक का उपयोग करने से एक शोध किट की लागत काफी कम हो जाती है और नए लोगों को संपर्क बैंक कार्ड की सुरक्षा का अनुसंधान करने में मदद मिल सकती है। कार्यक्रम का स्रोत कोड गितुब पर उपलब्ध है ।