summaryrefslogtreecommitdiff
diff options
context:
space:
mode:
-rw-r--r--updates/2007/postfinance-postcard.md83
1 files changed, 83 insertions, 0 deletions
diff --git a/updates/2007/postfinance-postcard.md b/updates/2007/postfinance-postcard.md
new file mode 100644
index 00000000..b76c37ad
--- /dev/null
+++ b/updates/2007/postfinance-postcard.md
@@ -0,0 +1,83 @@
1title: Schweizer PostFinance: Aussitzen und Gras drüber wachsen lassen
2date: 2007-02-21 00:00:00
3updated: 2009-04-18 19:12:40
4author: webmaster
5tags: update
6
7
8Seit zumindest 2002 ist in CCC-Umkreisen bekannt,
9dass die schweizer Debitkarte der PostFinance von POS-Terminals als
10"echt und vertrauenswürdig" erkannt wird, wenn sie eine gültige
11Signatur des Kartenausgebers trägt. Diese Signatur basiert auf einem nur
12320 Bit langen RSA-Schlüssel, der auf handelsüblichen Rechnern innert Stunden
13geknackt werden kann.
14
15
16<!-- TEASER_END -->
17
18Die "Postcard" der PostFinance basiert auf dem Design der französischen
19"Carte bleue", die 1979 erstmals vorgestellt wurde. Serge Humpich hat
20bereits 1998 in Frankreich das Verfahren ausgemacht und die Unsicherheit
21dieser Karte 2000 [öffentlich](http://www.parodie.com/monetique/)
22angeprangert. Nach viel Medienrummel und insbesondere auf Druck der
23Kartenversicherer wurde die Sicherheit der Karte erhöht, mit der
24Verlängerung der Schlüssellänge auf 768 Bit.
25
26In der Schweiz wurde 2002 die PostFinance auf die Unsicherheit ihrer auf
27derselben Technologie der Franzosen aufsetzenden Karte aufmerksam
28gemacht. Ebenfalls wurde das UVEK (Departement für Umwelt, Verkehr,
29Energie und Kommunikation), politisch verantwortlich in der Sache, auf
30die Problematik aufmerksam gemacht, welches sich in der Folge dafür
31bereit erklärt hat die nötigen Schritte einzuleiten, um die Sicherheit
32zu erhöhen. Die PostFinance hatte ein Treff mit den Sicherheitsanalysten
33abrupt beendet als diese forderten, dass die PostFinance ihre
34[Teilnahmebedinungen](http://www.postfinance.ch/medialib/de/pf/globale_mediendateien/agb_und_tnb/tnb.Par.0012.File.tmp/tnb_pcd_de.pdf)
35überdenken sollten, um Kunden davor zu schützen im Missbrauchsfalle
36selber zu haften. Die Teilnahmebedingungen nehmen vom Kunden an, dass
37die Beweislast bei einer Kontenräumung bei ihm liegt.
38
39Nicht mehr als die Postcardnummer sowie das Ausgabe-/Ablaufdatum sind
40nötig, um eine gültige Postcard, die an ein bestimmtes Konto gebunden
41ist, herzustellen. Die PIN lässt sich bei der Kartenreproduktion selber
42setzen und ist für die Authentifikation der Karte an einem Terminal
43damit unerheblich.
44
45Es lassen sich zudem auch Karten herstellen, welche nicht an ein
46existierendes Konto gebunden sind. Damit wird die PostFinance selbst
47durch eventuelle Beanspruchungen von Dienstleistungen belastet. Dies
48weil jede und jeder im Besitz des errechneten privaten Schlüssels der
49PostFinance Postcards herstellen kann, die an den Terminals angenommen
50werden.
51
524 Jahre lang wurde Gras über die Geschichte wachsen gelassen, in der
53Hoffnung die PostFinance und das UVEK würden sich um die Beseitigung der
54Sicherheitsmängel bemühen - doch weit gefehlt. Nach Analysen in 2006
55zeigte sich, dass neu ausgegebene Postcards immer noch das alte
56Verfahren unterstützten. Bei seit Sommer 2006 ausgegebenen EMV-Karten,
57die theoretisch eine erhöhte Sicherheit aufweisen sollten, stellt sich
58heraus, dass diese zumindest an schweizer Terminals weiterhin auf das
59alte Authentifikationsverfahren setzen und die gegebene
60[EMV-Funktionalität
61unberührt](http://www.postcard-sicherheit.ch/de/emv.html) lassen. Damit
62bleiben Postcards, welche über Laufzeiten von 47, 48 oder 49 Monaten
63verfügen, auch bis nach 2010 - zumindest innerhalb der Schweiz -
64missbrauchbar.
65
66Am 23C3 hat Bernd R. Fix in seinem Vortrag ["A not so smart
67card"](http://events.ccc.de/congress/2006/Fahrplan/events/1449.en.html)
68auf die Sicherheitslücke öffentlich hingewiesen, weil weder die
69PostFinance noch das UVEK sich kooperativ gezeigt haben.
70
71Der Chaos Computer Club und der Chaos Computer Club Zürich fordern von
72der PostFinance die Sicherheit der Postcards umgehend zu erhöhen oder
73zumindest ihre Teilnahmebedinungen dahingend abzuändern, dass die
74Beweislast in Fällen, wo einem Kunden das Konto geräumt wird, umgekehrt
75wird und damit - wie bei Kreditkarten üblich - Entschädigungen gegenüber
76diesem geleistet werden.
77
78Im Detail informieren die Seiten
79[Postcard-Sicherheit.ch](http://www.postcard-sicherheit.ch) über die
80Unsicherheit der Postcard.
81
82Lange genug ist Gras drüber gewachen - es ist Zeit, dass der Rasenmäher
83angesetzt wird!