Madrock

Bij het overwegen van Mobile Banking veiligheid en de daaraan verbonden risico's, de aanpak van een beoordeling in hoge mate afhankelijk is van de oplossing worden gemaakt of verstrekt.
Algemeen de aanpak is gebaseerd op gelaagde standaarden te ondersteunen en rond de technologieën en technieken gebruikt.

Hier zijn een paar dingen te overwegen.

Veiligheidsbeoordelingen algemeen richt zich op twee belangrijke dingen.

1 / De gevoeligheid van de gegevens
Wat wordt verzonden. Bijv. Pin, credit card nummers, saldo, adres, bankrekeningnummer, enz.
De gegevens mogen niet gevoelig is voor de bank, maar kan worden beschouwd door de cliënt als gevoelig.
etc ... ... ....

2 / mogelijkheid om toegang te krijgen tot de gegevens.
Welk medium wordt gebruikt?
Is het makkelijk te hacken?
Wat encryptie wordt gebruikt?
Zijn alle gegevens paden veilig (client-en back-end)?
Is er een 3de partij die betrokken zijn bij de omschakeling van de transacties?
etc ... ... ...

Dingen te overwegen:

• Pin opnieuw verstuurd via sms naar klant, mag niet worden gebruikt als de enige methode van het openen van rekeningen. Een extra klant specifieke (eventueel statische) pass woord / zin moet worden gebruikt als aanvulling op een dynamisch gegenereerde pens. SMS kan worden snuffelde (afhankelijk van de modus en locatie).
• Als WAP wordt gebruikt, zijn alle apparaten in staat van encryptie? Als hulpmiddelen zijn niet in staat de encryptie, hebben we toegang tot deze apparaten? Als client side Java of intelligent apparaat (Win CE, etc), ervoor zorgen dat dit niet kan worden aangetast door een Trojan's en andere belangrijke houtkap technieken.
• Heeft de organisatie beschouwd client certificaten te controleren of het apparaat voor de transacties worden geaccepteerd? Overweeg meerdere apparaat en gebruiker identificatie methoden (zeer oplossing laste).
• De meeste mobiele POS terminals versleutelen de klant opgegeven pincode, maar niet versleutelen alles binnen de transactie. Als de transmissie midden in het gedrang komt, moeten we overwegen of de encryptie kan worden gekraakt en als ongecodeerde gegevens is gevoelig. Aanvullende gegevenscodering inkapseling dwz het gebruik van alle bericht encryptie (SSL, IPSEC) of gebruik maken van een terminal die gebruikt Afgeleide unieke sleutel per transactie (DUKPT).
• Veel banktoepassingen zijn aangetast door de typische hacks zoals sessies, SQL injectie, niet willekeurig sessiesleutels (client en server-side), enz ... Deze typische hacks moet worden gezien in uw Secure SDLC en QA Processen zodra u zich bewust zijn van de gebruikte technologie en / of ingezet.
• PBX-systemen en bekabeling distributie frames kunnen apparaten aangesloten op het verzamelen van transacties. Draadloze apparaten zijn nu aangesloten op deze systemen. De aanvaller zit in hun auto op het parkeerterrein buiten. Dit gebeurt vaak in super-markten.
• Draadloos transactie gateways indien niet versleuteld zijn gemakkelijk verzameld door iedereen binnen draadloos bereik. 802.11 en andere draadloze / infrarood media worden gebruikt (de beoordeling van de technologie en het midden wordt gebruikt).
• Heeft de organisatie beschouwd dynamische sleutels voor mobiele gebruikers? Er zijn enkele zeer lage kosten SecureID soort oplossingen die vandaag beschikbaar zijn, maar klanten moeten deze apparaten bij hen toen zij willen doen van een transactie.

Ik heb sinds kort werkzaam in een van de grotere banken in Australië.
Door dit werk heb ik gekeken naar de controles en mechanismen rond de verwerking van krediet-en debetkaarten rondom de Azië-Pacific.

Ik krijg het uitvoeren van een groot aantal veiligheidsrisico architectuur en betalingssystemen evaluaties.
In de loop der jaren heb ik altijd beschouwd als de bescherming van de kaart gegevens als een van de belangrijkste overwegingen.

Tot gisteren had ik nog nooit gezien een CVV of PVV decryptie tools. Ik denk dat sommige gescripte gebruik van deze instrumenten kunnen zeer interessant.
De site hziggurat29.com

Veel van de andere instrumenten op deze site zijn ook heel uniek en de moeite waard een kijkje.
Grote dank aan ziggurat29 voor het verstrekken van dergelijke hulpmiddelen awesome.

Zoals veel van deze sites zijn van deze aard zijn moeilijk te vinden en vaak lijken te verdwijnen in de loop der jaren, heb ik ervoor gekozen te worden van de tekst van deze pagina en lokale kopieën van de bestanden.
Het is de moeite waard periodiek bezoek aan de ziggurat29 site af en toe om te zien of aanvullende instrumenten zijn geplaatst.

Een van de buitengewone-bestanden is het Atalla Hardware Security Module (HSM) en BogoAtalla voor Linksys emulatie (simulatie) tools. Dus ik vraag me af of Eracom en Thales schudden in hun laarzen. Sommige hoe ik denk het niet. ;-)

--- Ziggurat29 tekst ---

Dit zijn alle Windows command-line utilities (tenzij anders vermeld); voeren met de optie-help
te bepalen gebruik.

DUKPT decrypteren (<- de werkelijke bestand te downloaden)

Dit is een hulpprogramma dat zal decoderen Gecodeerde PIN Blokken die zijn verkregen via de DUKPT triple DES-methode. Gebruikte ik dit voor het testen van de output van sommige PIN Pad software Ik had aangemaakt, maar het is ook handig voor andere doeleinden te debuggen.

VISA PVV Calculator (<- de werkelijke
bestand te downloaden)

Dit is een hulpprogramma dat zal berekenen en verifiëren Pinverificatie Waarden die zijn geproduceerd met behulp van de VISA PVV techniek. Het heeft een heleboel hulpfuncties, zoals het controleren en vaststellen van een PAN (Luhn berekeningen), het creëren en het versleutelen van de PIN-blokken, decoderen en winning van pincodes van versleutelde pincode blokken, enz.

VISA CVV Calculator (<- de werkelijke bestand te downloaden)

Dit is een hulpprogramma dat zal Compute Card Verification Waarden die zijn geproduceerd met behulp van de VISA CVV techniek. MasterCard CVC maakt gebruik van de CVV-algoritme, zodat hij zich zal inzetten voor dat ook. Het zal berekenen CVV, CVV2, CVV3, iCVV, CAVV, aangezien Dit zijn slechts variaties op service-code en de
formaat van de vervaldatum. Controle is gewoon een vergelijking van de berekende waarde met wat u hebt ontvangen, er is dus geen expliciete controle functie.

Atalla AKB Calculator (<- de werkelijke bestand te downloaden)

Dit is een hulpprogramma dat beide zullen genereren en decoderen Atalla AKB cryptogrammen. U moet het leesbare MFK voor het uitvoeren van deze handelingen. Wanneer decoderen, het MAC zal ook worden gecontroleerd en worden de resultaten weergegeven.

BogoAtalla (<- de werkelijke bestand aan
download)

Dit is een Atalla emulator (of simulator). Deze software-emulatie (simulatie) van de bekende Atalla Hardware Security Module (HSM) dat wordt gebruikt door banken en processoren voor cryptografische operaties, zoals het controleren / vertalen van de PIN-blokken, waarbij de transacties door verifiëren
CVV / CSC-nummers, en het uitvoeren van belangrijke uitwisseling procedures, is geproduceerd voor test doeleinden. Deze uitvoering is niet van de volledige HP Atalla commando ingesteld, maar de net
delen dat ik mezelf nodig. Dat gezegd zijnde, het is compleet genoeg als je de prestaties van het verwerven en / of de afgifte van de verwerking van functies, en zijn met behulp van meer moderne zoals Visa PVV en DUKPT, en moet doen generatie, de verificatie en de vertaling.

Dit loopt als een luisterend socket server en zorgt voor de inheemse Atalla commando set. Ik heb enkele vrijheden met de fout terug waarden en zijn niet altijd voor high-fidelity er (dat wil zeggen, kunt u een andere fout antwoord van native hardware), maar zeker moeten krijgen identieke positieve
antwoorden. Sommige functies geïmplementeerd zou hier normaliter aankoopsystemen premie commando's, maar alle opdrachten uitgevoerd zijn hier beschikbaar. Voorbeelden zijn het genereren van PVV waarden en coderen / decoderen plaintext pincode waarden.

BogoAtalla voor Linksys (<- de werkelijke bestand te downloaden)

Dit is de Atalla emulator voor Linux, en bouwen voor installatie op een OpenWRT systeem. Zorgt voor een echt goedkoop ($ 60 USD) ontwikkeling / test apparaat.

Lokale bestanden

bogoatalla002
atallaakbcalc
bogoatalla_10-1_mipsel
dukptdecrypt
visacvvcalc
visapvvcalc