Seguridad de pago sin contacto NFC

17

Esto realmente me está molestando.

Hasta hace poco, las tarjetas de débito con un chip electrónico eran la forma de pago electrónico más popular disponible en Polonia (apostaría también en otros países europeos). También parece bastante seguro: para realizar cualquier tipo de compra (ya sea en un cajero automático o en una tienda), el usuario debe proporcionar un código PIN. Si bien dicho PIN no es particularmente largo, proporciona un nivel adicional de seguridad: la primera es la propia tarjeta.

En los últimos tiempos, las tarjetas PayPass (o similares) han ido ganando popularidad y parece que los bancos están empujando estas tarjetas al público. Estas tarjetas pueden actuar como las tarjetas de débito normales descritas anteriormente, pero también puede usarlas para realizar pagos utilizando NFC.

Este es el gran problema: al realizar un pago a través de NFC, el usuario no necesita ingresar el PIN.

Me parece que con una tecnología inalámbrica como esta, un PIN debería ser un requisito definido ya que considera que la tecnología no es particularmente segura. Un ejemplo de esto es el ataque proxy, donde una persona con un teléfono celular obtiene algunos artículos en una tienda y los paga, mientras que otra persona con un teléfono celular busca una tarjeta PayPass para leer (en un tren lleno de gente / bus / estacion / etc.). Dependiendo de la tecnología utilizada, esas tarjetas también se pueden leer a una cierta distancia.

Lo que me lleva de nuevo a la cuestión de los PIN ... ¿Por qué los PIN no son siempre un requisito al pagar con NFC?

EDITAR:
Me doy cuenta de que la cantidad que puede pagar por usar NFC es limitada *. Sin embargo, en lo que respecta a la conveniencia (no es necesario colocar la tarjeta en la billetera), parece que estamos intercambiando seguridad Y algo de conveniencia por ... un poco más de conveniencia.

Lo que quiero decir: tal como está, puedes pagar cosas pequeñas con solo deslizar la tarjeta. Genial. Pero ingresar un pin de 4 dígitos después de pasar el dedo no debería ser un trato, ¿verdad? Y entonces no tendría que limitar la cantidad que puede pagar. Aún podría mantener la tarjeta en su billetera, y todo sería igual de rápido. De hecho, idealmente, podría tener un límite "sin PIN" como lo es ahora, pero permitir transacciones NFC por encima de esa cantidad ... ¡solo necesita el PIN! ¿O hay otras preocupaciones técnicas / de seguridad con los PIN y NFC en general?

* Si bien parece que este límite podría cambiarse fácilmente, no he oído hablar de un banco (al menos en Polonia) que permita al cliente realizar tal cambio. Sé que intenté llamar a mi banco directamente y me informaron que esto es imposible ...

    
pregunta Shaamaan 02.09.2014 - 12:27
fuente

5 respuestas

6

Se trata de riesgos ponderados contra beneficios.

Requerir PIN para las transacciones NFC reduciría la ventaja principal de NFC: la velocidad. Los pagos NFC sin PIN se usan solo para pagos de cantidad limitada y generalmente para un número limitado de transacciones y / o una cantidad total limitada de transacciones por día. Quizás también se apliquen otras reglas específicas del banco; al menos mi banco me informó que me podrían pedir un PIN sin llegar a ningún límite. De esta manera, el banco emisor o la compañía de la tarjeta limitan su riesgo (en la UE no es responsable en caso de fraude por más de 150 EUR, siempre y cuando no haya actuado con negligencia) y lo mantiene usando la tarjeta a menudo y obteniendo ganancias. para ellos.

    
respondido por el Ktator 02.09.2014 - 14:04
fuente
5

Algunos problemas con los pagos sin contacto y las billeteras digitales:

  1. Pérdida o robo: un atacante que obtiene acceso a un dispositivo podría permitir el acceso a la información confidencial y permitir transacciones fraudulentas continuas hasta que se deshabiliten las cuentas y se detecte el fraude. Extraer una tarjeta SIM podría impedir incluso las protecciones de bloqueo y / o bloqueo más incondicionales, e incluso podría escanearse la tarjeta SIM para clonar
  2. suplantación de identidad: las etiquetas NFC pueden ser reprogramadas, reemplazadas o subvertidas (por ejemplo, cubiertas) por una nueva etiqueta maliciosa. Los dispositivos con Windows Phone son extremadamente susceptibles de etiquetar ataques, por ejemplo, controladores de protocolo basados en web, pero otros también pueden serlo
  3. Skimming: un atacante puede leer información de NFC sin el conocimiento o consentimiento del usuario, a menudo a distancia
  4. Escuchas telefónicas: usando una antena, un atacante puede escuchar un intercambio entre dispositivos NFC. Ciertamente, 100 cm de distancia no está fuera de discusión
  5. Corrupción de datos: las técnicas estándar de medición, interferencia, interferencia y intercepción (MIJI) son posibles porque la NFC se basa en la frecuencia de radio
  6. Modificación / inserción de datos: aunque son más complicados que la corrupción de datos, estos ataques son muy posibles y reales
  7. Ataques de retransmisión o proxy: NFCProxy y otros han demostrado que dos dispositivos Android pueden hacer mucho para retransmitir en vivo y / o almacenar para su reproducción en un momento posterior.

Echa un vistazo a estos prezos para obtener solo un montón de información:

O herramientas: enlace

    
respondido por el atdre 19.04.2015 - 08:08
fuente
1

Puede que me equivoque, pero creo que la NFC se usa solo para pagos pequeños, aquí en Inglaterra la cantidad no puede exceder las 15 libras

enlace

    
respondido por el Ulkoma 02.09.2014 - 12:35
fuente
1

Lo que parece que te estás perdiendo es que youou no están haciendo la compensación de riesgo-seguridad aquí. La decisión de NFC sin PIN depende del banco, porque el banco es responsable de cualquier fraude hasta el límite legal (150 EUR). Si uno de los ladrones ha rozado su pago como usted cree, será su banco el que tiene que pagar los gastos de la transacción, no usted.

Esto, por supuesto, supone que alguien detecta el fraude. Los principales bancos de EE. UU. Tienen algunos sistemas de detección de fraude bastante sofisticados; Si ven una tarjeta utilizada en dos geografías diferentes al mismo tiempo, pueden colocar un bloqueo de fraude en una tarjeta. Y es su responsabilidad leer su factura cada mes y ver los cargos, pero eso no ha cambiado: leer su factura siempre ha sido su responsabilidad. Pero si no lo ven, y tú no lo ves, sí, lo comerás.

Están tratando de hacer las tarjetas más convenientes a sus expensas. ¿Por qué? La intención es que la conveniencia sea un incentivo para que los consumidores usen su NFC por pequeñas cantidades, porque ganan dinero en cada transacción, sin importar lo pequeña que sea. Para este ingreso adicional, están dispuestos a arriesgar algo de dinero en un fraude menor.

Aceptar este riesgo no significa que estén aceptando un gran riesgo. Si le dice a su banco que no realizó un pequeño pago específico sin un PIN, lo revertirán, pero luego marcarán su cuenta y observarán sus quejas con más cuidado. Si demuestra un patrón de denuncia de fraude pero nunca hay pruebas, comenzarán a investigarlo.

Ciertamente, tienen la libertad de cambiar este enfoque si NFC-skips-skimming se convierte en una seria amenaza financiera. Ellos van a vigilar esto de cerca. Si las aplicaciones de skimming se vuelven populares entre la multitud de ladrones, o los bancos comienzan a perder millones de euros cada semana, seguramente cambiarán sus estrategias. Pero hasta que llegue ese día oscuro, esperan beneficiarse de esto.

    
respondido por el John Deters 25.02.2016 - 20:13
fuente
0

Como ya lo han dicho otros, las transacciones sin PIN están limitadas a una cierta cantidad (y opcionalmente un cierto número de transacciones después de las cuales es necesaria una transacción de contacto / PIN).

Independientemente de la distinción NFC / contacto, no requerir el PIN de los consumidores para cada transacción también puede ser beneficioso para la seguridad: los PIN que no se ingresan no pueden ser registrados por terminales de pago manipulados; por lo tanto, se reduce la oportunidad para que los skimmers graben el PIN y los datos de la banda magnética.

    
respondido por el lxgr 05.09.2014 - 16:12
fuente

Lea otras preguntas en las etiquetas