diff options
Diffstat (limited to 'updates')
-rw-r--r-- | updates/2007/postfinance-postcard.md | 83 |
1 files changed, 83 insertions, 0 deletions
diff --git a/updates/2007/postfinance-postcard.md b/updates/2007/postfinance-postcard.md new file mode 100644 index 00000000..b76c37ad --- /dev/null +++ b/updates/2007/postfinance-postcard.md | |||
@@ -0,0 +1,83 @@ | |||
1 | title: Schweizer PostFinance: Aussitzen und Gras drüber wachsen lassen | ||
2 | date: 2007-02-21 00:00:00 | ||
3 | updated: 2009-04-18 19:12:40 | ||
4 | author: webmaster | ||
5 | tags: update | ||
6 | |||
7 | |||
8 | Seit zumindest 2002 ist in CCC-Umkreisen bekannt, | ||
9 | dass die schweizer Debitkarte der PostFinance von POS-Terminals als | ||
10 | "echt und vertrauenswürdig" erkannt wird, wenn sie eine gültige | ||
11 | Signatur des Kartenausgebers trägt. Diese Signatur basiert auf einem nur | ||
12 | 320 Bit langen RSA-Schlüssel, der auf handelsüblichen Rechnern innert Stunden | ||
13 | geknackt werden kann. | ||
14 | |||
15 | |||
16 | <!-- TEASER_END --> | ||
17 | |||
18 | Die "Postcard" der PostFinance basiert auf dem Design der französischen | ||
19 | "Carte bleue", die 1979 erstmals vorgestellt wurde. Serge Humpich hat | ||
20 | bereits 1998 in Frankreich das Verfahren ausgemacht und die Unsicherheit | ||
21 | dieser Karte 2000 [öffentlich](http://www.parodie.com/monetique/) | ||
22 | angeprangert. Nach viel Medienrummel und insbesondere auf Druck der | ||
23 | Kartenversicherer wurde die Sicherheit der Karte erhöht, mit der | ||
24 | Verlängerung der Schlüssellänge auf 768 Bit. | ||
25 | |||
26 | In der Schweiz wurde 2002 die PostFinance auf die Unsicherheit ihrer auf | ||
27 | derselben Technologie der Franzosen aufsetzenden Karte aufmerksam | ||
28 | gemacht. Ebenfalls wurde das UVEK (Departement für Umwelt, Verkehr, | ||
29 | Energie und Kommunikation), politisch verantwortlich in der Sache, auf | ||
30 | die Problematik aufmerksam gemacht, welches sich in der Folge dafür | ||
31 | bereit erklärt hat die nötigen Schritte einzuleiten, um die Sicherheit | ||
32 | zu erhöhen. Die PostFinance hatte ein Treff mit den Sicherheitsanalysten | ||
33 | abrupt beendet als diese forderten, dass die PostFinance ihre | ||
34 | [Teilnahmebedinungen](http://www.postfinance.ch/medialib/de/pf/globale_mediendateien/agb_und_tnb/tnb.Par.0012.File.tmp/tnb_pcd_de.pdf) | ||
35 | überdenken sollten, um Kunden davor zu schützen im Missbrauchsfalle | ||
36 | selber zu haften. Die Teilnahmebedingungen nehmen vom Kunden an, dass | ||
37 | die Beweislast bei einer Kontenräumung bei ihm liegt. | ||
38 | |||
39 | Nicht mehr als die Postcardnummer sowie das Ausgabe-/Ablaufdatum sind | ||
40 | nötig, um eine gültige Postcard, die an ein bestimmtes Konto gebunden | ||
41 | ist, herzustellen. Die PIN lässt sich bei der Kartenreproduktion selber | ||
42 | setzen und ist für die Authentifikation der Karte an einem Terminal | ||
43 | damit unerheblich. | ||
44 | |||
45 | Es lassen sich zudem auch Karten herstellen, welche nicht an ein | ||
46 | existierendes Konto gebunden sind. Damit wird die PostFinance selbst | ||
47 | durch eventuelle Beanspruchungen von Dienstleistungen belastet. Dies | ||
48 | weil jede und jeder im Besitz des errechneten privaten Schlüssels der | ||
49 | PostFinance Postcards herstellen kann, die an den Terminals angenommen | ||
50 | werden. | ||
51 | |||
52 | 4 Jahre lang wurde Gras über die Geschichte wachsen gelassen, in der | ||
53 | Hoffnung die PostFinance und das UVEK würden sich um die Beseitigung der | ||
54 | Sicherheitsmängel bemühen - doch weit gefehlt. Nach Analysen in 2006 | ||
55 | zeigte sich, dass neu ausgegebene Postcards immer noch das alte | ||
56 | Verfahren unterstützten. Bei seit Sommer 2006 ausgegebenen EMV-Karten, | ||
57 | die theoretisch eine erhöhte Sicherheit aufweisen sollten, stellt sich | ||
58 | heraus, dass diese zumindest an schweizer Terminals weiterhin auf das | ||
59 | alte Authentifikationsverfahren setzen und die gegebene | ||
60 | [EMV-Funktionalität | ||
61 | unberührt](http://www.postcard-sicherheit.ch/de/emv.html) lassen. Damit | ||
62 | bleiben Postcards, welche über Laufzeiten von 47, 48 oder 49 Monaten | ||
63 | verfügen, auch bis nach 2010 - zumindest innerhalb der Schweiz - | ||
64 | missbrauchbar. | ||
65 | |||
66 | Am 23C3 hat Bernd R. Fix in seinem Vortrag ["A not so smart | ||
67 | card"](http://events.ccc.de/congress/2006/Fahrplan/events/1449.en.html) | ||
68 | auf die Sicherheitslücke öffentlich hingewiesen, weil weder die | ||
69 | PostFinance noch das UVEK sich kooperativ gezeigt haben. | ||
70 | |||
71 | Der Chaos Computer Club und der Chaos Computer Club Zürich fordern von | ||
72 | der PostFinance die Sicherheit der Postcards umgehend zu erhöhen oder | ||
73 | zumindest ihre Teilnahmebedinungen dahingend abzuändern, dass die | ||
74 | Beweislast in Fällen, wo einem Kunden das Konto geräumt wird, umgekehrt | ||
75 | wird und damit - wie bei Kreditkarten üblich - Entschädigungen gegenüber | ||
76 | diesem geleistet werden. | ||
77 | |||
78 | Im Detail informieren die Seiten | ||
79 | [Postcard-Sicherheit.ch](http://www.postcard-sicherheit.ch) über die | ||
80 | Unsicherheit der Postcard. | ||
81 | |||
82 | Lange genug ist Gras drüber gewachen - es ist Zeit, dass der Rasenmäher | ||
83 | angesetzt wird! | ||