Javier Perez-Gabriel Bergel/

Congreso Seguridad en Computo 2014

P4ym3n7´5 Fr4ud

Contexto

Point of Sale (POS)

Crimen Organizado

Modalidades de Fraude

Modelos de POS Vulnerados

Noticias

Videos

Contramedidas: EMV – PCI DSS 3.0

Sistemas de Pagos NFC

• NFC - Tipos de comunicación

• NFC - Mifare Crypto 1

• NFC - Mifare Crypto 1: Ataques

• NFC - Mifare Crypto 1: Ataques : Herramientas

• NFC - Mifare Crypto 1 - DEMO Ataque

• NFC - Tarjetas de Crédito y Debito

• NFC - Tarjetas de Crédito y Debito Como Protegerse

Recomendaciones

Conclusiones

P4ym3nt´5 Fr4ud

Contexto

Point of Sale (POS)

2 marcas principales en Latam: Verifone (USA) e Ingenico (Francia).

Sistema Operativo propietario, Linux. Poseen tamper (secuencial y paralelo). Poseen Hardware Security Module (HSM) para llaves de

encriptacion. Soportan protocolos de encriptación (DES, 3DES,

DUKPT). Control de acceso con clave, perfiles. Cumplen con normativa PCI PTS (1.0-4.0)

• Tienen la motivación. • Tienen tiempo. • Conocimientos tecnicos, know how. • Estan muy organizados y

“comparten la información”. • Negocio muy lucrativo, genera igual

o mas dividendos que el Narcotrafico

Crimen Organizado

Modalidades de Fraude

Skimmer clasico, no depende de la tecnologia (pasado de moda).

Extraccion y Copia de la data almacenada en POS (almacenamiento local y no encriptada).

Evesdroping (Dial Up) POS Fantasma o de Palo (software factory, SO no

firmado) Tampering:

Circuito integrado (cabezal magnetico y Pinpad) + Memoria

Circuito integrado + Bluetooth (Activo, on demand) Circuito integrado + GPRS, GSM

Modelos de POS Vulnerados

VX 510 VX 670 Pinpad VX800 Pinpad VX810

Todos PCI PTS 1.0, en proceso de caducación, ya no se pueden comprar mas equipos despues de abril 2014.

5100 Pinpad 3070

Noticias

Videos

https://www.youtube.com/watch?v=Bw6Ah8RXcLg

https://www.youtube.com/watch?v=eyR_rY0lgHM

https://www.youtube.com/watch?v=UdAIvxbnTkA

https://www.youtube.com/watch?v=5rETaIUYXZo

Contramedidas: EMV – PCI DSS 3.0

El estándar EMV define la interacción entre las tarjetas IC y los dispositivos de procesamiento de tarjetas IC a nivel físico, eléctrico, de datos y de aplicación, para transacciones finales. 2010 S.J. Murdoch, S. Drimer, R Anderson, M Bond, “Chip and Pin is Broken” – University of Cambridge. 2011 A. Barisani, D. Bianco, A. Lauri, Z. Franken “Chip & PIN is Definitely Broken” Vulnerabilidades:

Permite comprar sin PIN CVM Downgrade Schim, Skimer para Chip

…Y PCI DSS 3.0?

Sistemas de Pago

NFC

NFC

NEAR FIELD COMUNICATION - Conjunto de protocolos- Comunicación entre 2

dispositivos - Basados en estándares de RFID - ISO 14443 - Frecuencia 13.56 MHz- Menos de 4 cms.

NFC - Tipos de comunicación

Pasivo: El dispositivo Iniciador genera el campo electromagnético y el dispositivo destino se comunica con éste modulando la señal recibida. En este modo, el dispositivo destino obtiene la energía necesaria para funcionar del campo electromagnético generado por el Iniciador.

NFC - Tipos de comunicación

Activo: Tanto el dispositivo Iniciador como el destino se comunican generando su propio campo electromagnético. En este modo, ambos dispositivos requieren de una fuente de alimentación para funcionar.

NFC - Mifare Crypto 1

Karsten Nohl y Henryk Ploetz, presentaron la ingeniería inversa de la criptografia de los chips MIFARE Classic en diciembre de 2007 en la edición número 24 del Chaos Computer Congress de Berlín, para ello usaron un microscopio ademas de un lector RFID open-source.

NFC - Mifare Crypto 1: Ataques

Tres ataques conocidos1. - Interceptar el trafico (ProxmarkIII+CRAPTO1) - Llaves por defecto (NESTED)3. - Sin llaves (DarkSide Attack)

NFC - Mifare Crypto 1: Ataques : Herramientas

1.- Proxmark III: Es un dispositivo que permite interceptar, leer, escribir,emular y clonar tarjetas RFID. Implementa el estandar ISO14443a el cual es usado por Mifare para la comunicacion - http://proxmark3.com/

NFC - Mifare Crypto 1 - DEMO Ataque

Transporte Chile: “Transantiago” y “Metro” Tarjeta Mifare: “ bip!”

NFC - Mifare Crypto 1 - DEMO Ataque

Transporte Chile: “Transantiago” y “Metro” Tarjeta Mifare: “ bip!”

NFC - Tarjetas de Crédito y Debito

- Nombre y Apellidos. - Número de tarjeta de crédito. - Fecha de Caducidad. - Track2 de la banda magnética. - Historial de compras.

NFC - Tarjetas de Crédito y Debito

“Hacking the NFC credit cards for fun and debit ;)” Renaud Lifchitz - renaud.lifchitz@oppida.fr 8.8 Computer Security Conference October 24-25, 2013 – Santiago, Chile

NFC - Tarjetas de Crédito y Debito

NFC - Tarjetas de Crédito y Debito Como Protegerse

o también ……

Recomendaciones

Mantener un inventario, Auditar el inventario. Hacer Ethical Hacking a los POS, ATM, etc. A todo!!!!(por lo menos anual). Auditar nuevos protocolos como EMV, NFC, etc. Modificar, afinar los sistemas de monitoreo y detección de fraude. Incluir al área de Riesgos o Seguridad de la Información en los procesos de compra de nuevas tecnologías. Cumplir con la exigencias de las marcas. Capacitar y sensibilizar a los colaboradores, proveedores sobre estos riesgos. “Compartir” la información, investigaciones e incidentes, actuar en bloque, como industria.

Conclusiones

La tecnología avanza…. Avanzan las modalidades de fraude. El fraude es parte del negocio, se deben buscar las formas de disminuirlo, no se puede eliminar… Es necesario adelantarse a las amenazas, mas inteligencia… Compre con billetes ;)

Gabriel Bergel

gabriel.bergel@dreamlab.net @gbergel

Javier Pérez javier.perez@Dreamlab.net

@the_s41nt

GRACIAS