Rsac: Varnost na osnovi čipov ponuja najboljši trenutek za dolar

Cryptography Research iz San Francisca je drugi največji licenciralec polprevodniške tehnologije po ARM. Če ima naprava vgrajeno varnostno strojno opremo, je verjetno, da je vključen čip CRI. Na konferenci RSA v San Franciscu me je Paul Kocher, predsednik podjetja in glavni znanstvenik, poučil o tem, zakaj je prihodnji premik na čip kartice, stran od kreditnih kartic z magnetnimi črtami, res dobra stvar.

"Enako tehnologijo vidite na čip kartici, na SIM kartici telefona, na vladnih skupnih karticah za dostop in še več, " je dejal Kocher. "Spodaj je majhen mikroprocesor, zapisljiv pomnilnik, ROM, malo RAM-a, kripto pospeševalnik, nekatere varnostne lastnosti. Velikost in hitrost se seveda razlikujeta."

"Z varnostnega vidika je čip kartica kvantni preskok na magnetni trak, " je dejal Kocher. "To je tako, kot če primerjamo jumbo jet s konjem in hroščem. Če bi že prešli na čip kartice, kršitev tarče ne bi bila pomembna. Slabi fantje bi morda ukradli kode za eno transakcijo, vendar jim to ne bi omogočilo v prihodnjih transakcijah. S podatki, ki so jih zajeli, bi lahko naredili popolno kopijo ogrožene kartice z magnetnimi trakovi."

"Čipi v aplikacijah za množično trženje ponujajo dramatično višjo varnost na dolar kot skoraj vse drugo, " je dejal Kocher. "Čipi se gibljejo v razponu od 25 centov dolarja. Večina prodajalcev je približno v deseti generaciji. Dobra je pet ali šest iteracij, nekaj večjih prenov, zdaj pa so precej izjemne."

Prihajajo pametne kartice

"Nekatere težave se bodo odpravile, ko bodo naslednje leto ZDA šle pametne kartice, " je dejal Kocher. "Zdaj imate težavo tam, kjer jih Evropa uporablja, mi pa ne, zato lahko tu uporabite mag-trak. Mi smo napadalno mesto evropskih sistemov. Če tam ukradejo kartico, nimajo vedno isti nadzor tveganja."

"V Evropi varnost temelji na čipu; tukaj temelji na PIN-u, " je nadaljeval. "V Evropi PIN-ji pogosto niso šifrirani, zato lahko slabi fant pridobi PIN in ga uporabi tukaj. Ko se bomo sinhronizirali, se bosta obe strani močno izboljšali. ZDA je edini velikanski trg, ki še vedno uporablja magnetno črto iz dobe 1960. tehnologija."

Niso rešeni vsi problemi

"Vse kategorije goljufij, ki vključujejo goljufivo kartico, kopijo, bodo odšle, ko bodo ZDA sprejele čip kartice, " je dejal Kocher. "Dve drugi kategoriji ne bosta. Fizična kraja se seveda ne bo ustavila, čeprav bo PIN kode pomagal pri transakcijah, ki to zahtevajo. Druga, seveda, je spletna transakcija brez kartic."

Kocher je opozoril, da možnost za varnost teh spletnih transakcij obstaja. Napredne kartice z vgrajenim zaslonom za varnostne kode obstajajo, vendar so za 12 dolarjev na kartico preprosto predrage. Pregled goljufij je lahko precej dober, samo na podlagi obstoječih podatkov o transakciji. "Poleg tega trgovec s čip kartico ne prejme informacij, ki bi bile potrebne za ponarejanje kopije, " je dejal. "Kompromis zlonamernega trgovca ni več grožnja."

Najbolj popravljiv

"Od vseh področij, kjer je varnost v krizi, " je dejal Kocher, "varnost bančnih kartic je najbolj popravljiva. Imate fizično stvar, stranke so tega navajene, majhne potrebe po spremembi vedenja in kompleksnost je obvladljiva."

"Ta sprememba je prepozno, " je nadaljeval. "Trenutno banke kompenzirajo neizogibne goljufije tako, da trgovcem zaračunajo. Ni spodbuda, da se trgovci izboljšajo na varnosti. Prava sprememba je preprosta pravila, ki prelagajo odgovornost. Če je goljufiv nakup opravljen s čip kartico in prodajalec ne preveri, plača ceno prodajalec, ne banka. Zdaj ima trgovec finančno spodbudo za pravilno preverjanje bančnih kartic."

Na prejšnji konferenci RSA je Kocher demonstriral tehniko za kramp pametnega telefona z merjenjem radiofrekvenčnega sevanja, ki ga oddaja. "Obstajajo načini za napad na pametne kartice, " je priznal Kocher, "vendar naša tehnologija ščiti pred napadi porabe energije, RF-napadi in drugo. Te naprave ne puščajo, če niso zaščitene."

Stavite na napake

"Razvijalci programske opreme nikoli ne morejo odstraniti vseh napak, " je dejal Kocher, "in ljudje so napačni. V strojni rešitvi lahko ločite kritične varnostne operacije od istega procesorja, s katerim lahko igrate Flappy Bird. To je resnična varnost."

"Ta pristop se dogaja s pametno kartico, " je dejal Kocher. "To ni odvisno od tega, da se trgovec znebi hroščev. Dobiš varnost, ne da bi popravil programsko opremo. Mogoče pritiskaš, a ekonomsko je res. Optimist meni, da se lahko znebi zadnjega hrošča. Pametna kartica je dovolj preprosta, da jo morda lahko, vendar ne računalnik ali operacijski sistem."