Poniżej znajduje się artykuł znalazłem niedawno. To jeden z najbardziej wszechstronnych opisy PIN Verification Value (PVV) hackingu.
Myślałem, że będzie replikować go tutaj dla moich lokalne odniesienia.
Jako komentarz zostały dokonane w odniesieniu do gramatyki użyte w tekście oryginalnym, mam poprawione niektóre z oczywistych błędów przy jednoczesnym zachowaniu kontekście pierwotnego materiału.
http://69.46.26.132/ ~ biggold1/fastget2you/tutorial. php
--- Tekst oryginalny ----
Przedmowa
Czy zdarzyło Ci się zastanawiać, co by się stało, jeśli stracisz kartę kredytową lub debetową, i ktoś go znajdzie. Czy dana osoba jest w stanie wycofać gotówkę z bankomatów guessing, somehow, kod PIN? Ponadto, jeśli stwierdzi, którzy byli czyjejś karty Pan spróbować odgadnąć PIN i podejmują szansę niektóre łatwe pieniądze? Oczywiście odpowiedź na oba pytania powinny być "nie". Praca ta nie zajmuje się drugie pytanie, to kwestia etyki osobistej. Niniejszym próbuję odpowiedzieć na pierwsze pytanie.
Wszelkie informacje wykorzystywane do tych prac jest publiczna i można swobodnie znaleźć w Internecie. Reszta jest sprawą z zakresu matematyki i programowania, w ten sposób możemy dowiedzieć się czegoś i zabawy. I ujawniają żadnych tajemnic. Ponadto, w celu (i ostatecznego zawarcia) tej pracy jest wykazanie, że PIN algorytmy są jeszcze wystarczająco silne, aby zapewnić wystarczające bezpieczeństwo. Wszyscy wiemy, technologia nie jest słabym punktem.
Ta praca analizuje jedną z najczęstszych PIN algorytmów, VISA PVV, używanego przez wiele bankomatu karty (kart kredytowych i debetowych) i próbuje dowiedzieć się, jak odporna jest PIN guessing ataków. Według "zgadywaniu" Nie oznacza wybór losowy PIN i próbuje je w bankomacie. Jest powszechnie wiadomo, że generalnie mamy kolejne trzy próby, aby wprowadzić prawo PIN, jeśli nie prowadzi do bankomatu karty. W VISA PIN jest czterocyfrowym długo można łatwo wywnioskować, że szansa na losową PIN guessing jest 3 / 10000 = 0,0003, wydaje się wystarczająco niski, aby być bezpieczne, to znaczy musisz tracić karty więcej niż trzy tysiące razy ( lub utratę ponad trzy tysiące karty w tym samym czasie:), dopóki istnieje uzasadnione szansę utraty pieniędzy.
Co naprawdę oznacza "zgadywaniu" został łamiącym PIN algorytm tak, że biorąc pod uwagę wszelkie karty możesz natychmiast znać związane PIN. Dlatego ten dokument badania możliwości, analizując algorytm i proponuje metody ataku. Wreszcie dajemy narzędzie, które implementuje ataku i obecne wyniki o szacunkowej szansę uszkodzenia systemu. Należy pamiętać, że tak długo, jak innych banków związane z bezpieczeństwem algorytmów (inne PIN formatach, takich jak IBM PIN lub karty walidacji podpisów jak CVV CVC lub) są podobne do VISA PIN, to samo można zrobić analizę przynosi prawie takie same wyniki i wnioski.
VISA PVV algorytmu
Jedną z najczęstszych PIN algorytmów jest VISA PIN Verification Value (PVV). Klient otrzymuje PIN i paskiem magnetycznym karty. Zakodowany w paskiem magnetycznym to czterocyfrowy numer, zwany PVV. Ta liczba jest kryptograficzny podpis PIN i inne dane dotyczące karty. Gdy użytkownik wpisze swój kod PIN w bankomacie czyta paskiem magnetycznym, szyfruje i wysyła te informacje do centralnego komputera. Nie procesu PVV jest obliczana za pomocą klienta wpisać PIN i karty kryptograficzne informacje o algorytmie. Proces PVV jest w porównaniu z PVV przechowywane w karcie, jeżeli zgadzają się z centralnym komputerem powraca do bankomatu zezwolenia na transakcję. Zobacz więcej szczegółów.
Opis z PVV algorytmu można znaleźć w dwóch dokumentach związanych z poprzedniej strony. W skrócie polega na szyfrowanie z 8 bajtów (64 bitów) ciąg danych, zwany Transformed Bezpieczeństwa Parametr (TSP), z DES algorytm (DEA) w Electronic Code Book trybie (EBC) za pomocą 64 bitowego klucza tajnego. W PVV jest pochodną wyników szyfrowania, który jest 8 bajtowy ciąg. Cztery cyfry z PVV (od lewej do prawej) odpowiada pierwszych czterech cyfr (od lewej do prawej) na wyjście z DES kiedy uznać za 16 znaków szesnastkowych (16 bit x 4 = 64 bit) string. Jeśli nie ma czterech cyfr spośród 16 znaków szesnastkowych następnie PVV zakończone podjęte (od lewej do prawej) nie decimal znaków i decimalizing je za pomocą konwersji A-> 0, B-> 1, C-> 2, D -> 3, E-> 4, K-> 5. Oto przykład:
Wyjście z DES: 0FAB9CDEFFE7DCBA
PVV: 0975
Strategia unikania decimalization przez skipping znaków aż czterech cyfr znajdują się (co zdarza się prawie wszystkie razy, ile będziemy patrz poniżej) jest bardzo mądry, gdyż unika się ważnym stronniczość w dystrybucji cyfr, który okazał się śmiertelny dla innych systemów, chociaż wpływ tego systemu będzie znacznie niższa. Zobacz również związanym z tym problemem nie stosuje się do VISA PVV.
W TSP, postrzegana jako 16 znaków szesnastkowych (64 bit) string, powstaje (od lewej do prawej), z prawej 11 cyfr PAN (numer karty) z wyłączeniem ostatniej cyfry (sprawdź cyfrowy), jedną cyfrę od 1 do 6 które wybiera szyfrowanie tajnego klucza i wreszcie cztery cyfry numeru PIN. Oto przykład:
PAN: 1234 5678 9012 3445
Klucz wyboru: 1
PIN: 2468
TSP: 5678901234412468
Oczywiście problem łamania VISA PIN polega na znalezieniu tajnego klucza szyfrowania DES. Metoda to zrobić brutalnej siły wyszukiwania z kluczowych miejsca. Należy pamiętać, że nie jest to jedyna metoda, można spróbować znaleźć słabość DEA, wielu próbowało, ale to stary standard jest jeszcze w powszechnym użyciu (obecnie został zastąpiony przez AES i RSA, chociaż). Pokazuje to, jest odporny na tyle, że tak brutalnej siły jest tylko opłacalne metody (istnieją lepsze ataki, ale nie praktyczne w naszym przypadku, na podsumowanie patrz LASEC pamięć i za brudne szczegóły patrz Biham & Shamir 1990, Biham & Shamir 1991 r., Matsui 1993, Biham i Biryukov 1994 i Heys 2001).
Klucz wyboru cyfrowy jest bardzo prawdopodobne, wprowadzono przepisy dotyczące możliwości kluczową kompromisu. W takim przypadku nie wystarczy do wydania nowej karty przy użyciu innego klucza wyboru. Starsze karty mogą być zastąpione nowymi lub po prostu może ATM przejrzysty napisać nową PVV (odpowiednio do nowego klucza i zachowaniem tego samego kodu PIN) następnym razem klient używa swojej karty. Do wytrząsnąć bezpieczeństwa wszystkich użytkowników powinna być wyznaczona do zmiany kodów PIN, jednakże byłoby kłopotliwe dla banku, w celu wyjaśnienia przyczyny, więc bardzo prawdopodobne, że nie złożenia takiego wniosku.
Przygotowanie ataku
A brutalna siła ataku polega na szyfrowaniu TSP jeden ze znanych PVV użyciu wszystkich możliwych kluczy szyfrowania i porównać uzyskane każdego PVV ze znanych PVV. Gdy mecz jest znaleźć mamy kandydata kluczowych. Ale jak wielu kluczy musimy spróbować? Jak już wspomniano powyżej kluczowych jest 64-bitowa długo, to znaczy musimy spróbować 2 ^ 64 kluczy. Jednak nie jest to prawda. Właściwie jedynie 56 bitów są skuteczne w DES kluczy, ponieważ jeden bit (najmniej znaczący) obecnie każdego oktet historycznie była zarezerwowana jako kontrolna dla innych, w praktyce te 8 bitów (po jednym dla każdego z 8 bajtów) są ignorowane.
Dlatego DES kluczowych przestrzeń składa się z 2 ^ 56 kluczy. Jeśli spróbujemy wszystkich tych klawiszy będzie znaleźć jeden i tylko jeden mecz, co odpowiada bank tajnego klucza? Na pewno nie. Będziemy uzyskać wiele pasujące klucze. Dzieje się tak, ponieważ PVV jest tylko niewielka część (jedna czwarta) z DES wyjście. Ponadto PVV jest zdegradowanych ponieważ niektóre cyfry (tych od 0 do 5 po ostatniej, widziana z lewej do prawej, cyfry pomiędzy 6 i 9) mogą pochodzić z postaci cyfr lub z decimalized szesnastkowe cyfry z DES wyjście. Tak wiele kluczy powstanie DES rentowności produkcji, którą do tej samej pasujące PVV.
Wtedy to, co możemy zrobić, aby odnaleźć prawdziwą kluczowych Wśród innych fałszywych pozytywnych klucze? Po prostu mamy do szyfrowania drugiego różnych TSP, także ze znanymi PVV, ale tylko przy użyciu klawiszy kandydata który wydał pozytywną pasujące z pierwszym TSP-PVV pary. Jednak nie ma gwarancji, to nie będzie znowu wiele fałszywych alarmów wraz z prawdziwego klucza. Jeśli tak, to musimy jedna trzecia TSP-PVV pary, powtórz ten proces i tak dalej.
Zanim zaczniemy naszą ataku musimy wiedzieć, ilu TSP-PVV par musimy. Do tego musimy obliczyć prawdopodobieństwo dla losowego DES wyjścia, aby uzyskać odpowiedni PVV tylko przez przypadek. Istnieje kilka sposobów na obliczenie tej liczby i tutaj będę używać proste podejście łatwe do zrozumienia, ale która wymaga pewnych matematyki prawdopodobieństwa.
A prawdopodobieństwo, może być postrzegane jako stosunek korzystnych przypadkach możliwych przypadków. W naszym problemem liczby możliwych przypadków jest podawany przez permutacja z 16 elementów (0 F szesnastkowe cyfry) w grupie 16 z nich (do 16 cyfr szesnastkowych z DES wyjścia). To przez 16 ^ 16 ~ 1,8 * 10 ^ 19 co oczywiście zbiega się z 2 ^ 64 (różnych numerów na 64 bity). Ten zbiór liczb mogą być podzielone na pięć kategorii:
Osoby z co najmniej czterech cyfr (0 do 9) wśród 16 szesnastkowych cyfr (0 do F) z DES wyjście.
Dokładnie z tych tylko trzech cyfr.
Dokładnie z tych dwóch cyfr.
Te właśnie tylko z jednego miejsca cyfry.
Osoby bez cyfr (wszystkie pomiędzy A i K).
Let's obliczyć ile spadek liczby w każdej kategorii. Jeśli etykiecie 16 cyfr szesnastkowych z DES wyjścia jak X1 do X16 następnie możemy etykiecie pierwszych czterech cyfr dowolnej liczby pierwszej kategorii jako Xi, XJ, XK i XL. Liczbę różnych kombinacji z tego profilu jest podana przez producenta 6 I-1 * 10 * 6j-i-1 * 10 * 6k-j-1 * 10 * 6 P.-1 * 10 * 1616-l gdzie 6 ' y od liczby możliwości A do F cyfrowy, 10's pochodzić z możliwości dla cyfry od 0 do 9, a 16 pochodzi z możliwości stosowania 0 do F cyfry. Teraz całkowitej liczby w pierwszej kategorii jest po prostu przez sumowanie tego produktu nad i, j, k, l od 1 do 16, ale z i <j <k <l. Jeśli niektóre matematyki pracy będzie to równa iloczynowi 104 / 6 z ponad zsumowanie i od 4 do 16 (i-1) * (i-2) * (I-3) * 6i-4 * 16 16-i ~ 1,8 * 1019.
Analogicznie liczba przypadków, w drugiej kategorii jest przez sumowanie nad i, j, k od 1 do 16 z i <j <K produktu 6i-1 * 10 * 6j-i-1 * 10 * 6k-j -1 * 10 * 616-k, które można pracować go do 16! / (3! * (16-13)!) * 103 * 6 13 = 16 * 15 * 14 / (3 * 2) * 103 * 613 = 56 * 104 * 613 ~ 7,3 * 1015. Podobnie w przypadku kategorii trzeciej mamy ponad zsumowanie i, j od 1 do 16 z I <J 6 I-1 * 10 * 6j-i-1 * 10 * 616-j, który wynosi do 16! / (2! * (16-14)!) * 102 * 614 = 2 * 103 * 615 ~ 9,4 * 1014. Również na czwartej kategorii mamy ponad zsumowanie i od 1 do 16 6i-1 * 10 * 616-I = 160 * 615 ~ 7,5 * 1013. I wreszcie kwotę przypadkach w piątej kategorii podanych przez permutacja sześciu elementów (od A do F cyfr) w grupie 16, czyli 616 ~ 2,8 * 1012.
Mam nadzieję, że po obliczeniach do tego punktu, twardy część jest wykonywana. Teraz, jako dowód, że wszystko jest w prawo można suma liczby przypadków w 5 kategorii i zobaczyć równa całkowitej liczby możliwych przypadkach obliczona przed. Czy z wykorzystaniem 64-bitowej liczbie lub zaokrągleń (dla pływaków) lub przepełnienia (dla całkowitych) błędy nie pozwalają uzyskać dokładny wynik.
Do tej pory mamy oblicza liczbę możliwych przypadków w każdej z pięciu kategorii, ale są zainteresowani uzyskaniem wielu przypadkach zamiast korzystne. Jest to bardzo łatwe do uzyskania drugiego z byłych jak to tylko ustalające kombinacja czterech cyfr (lub wymaganego cyfr szesnastkowych, jeżeli nie istnieją cztery cyfry) z PVV zamiast najmu je bezpłatnie. W praktyce oznacza to, obracając 10 we wzorze powyżej 1 i do wymaganej kwoty na 6 w 1's jeżeli nie ma czterech cyfr. Oznacza to, że musimy najpierw podzielić wynik przez 104, drugi przez 103 * 6, trzeci przez 102 * 62, czwarty jeden przez 10 * 63 i piątym o 64. Następnie liczba korzystnych przypadkach w pięciu kategoriach około 1,8 * 1015, 1,2 * 1012, 2,6 * 1011, 3,5 * 1010, 2,2 * 109 odpowiednio.
Teraz jesteśmy w stanie uzyskać to, co jest prawdopodobieństwo na DES wyjście będzie odpowiadała PVV przez przypadek. Musimy tylko dodać do pięciu numerów przypadkach korzystne i podzielić ją przez liczbę możliwych przypadkach. Wskutek tego otrzymujemy, że prawdopodobieństwo jest bardzo ok. 0,0001 lub jeden z dziesięć tysięcy. Czy to dziwne tym dobrze zaokrąglone wynik? Wcale nie, wystarczy spojrzeć na numery my z powyższymi obliczeniami. Pierwsza kategoria dominuje kilka rzędów wielkości liczbę korzystne i możliwe przypadki. To jest raczej intuicyjna, jak wydaje się jasne, że jest to bardzo mało prawdopodobne, nie czterech cyfr (10 z 16 szans na cyfrowy) wśród 16 cyfr szesnastkowych. Widzieliśmy wcześniej, że związek między liczbą możliwe i korzystne w przypadku pierwszej kategorii był podział przez 10 ^ 4, czyli gdzie wynik p = 0,0001 pochodzi.
Naszym celem dla wszystkich tych obliczeń było dowiedzieć się, jak wiele TSP-PVV par musimy przeprowadzić udaną brutalnej siły ataku. Teraz jesteśmy w stanie obliczyć oczekiwane liczba fałszywych alarmów w pierwszej wyszukiwania: będzie to liczba prób razy prawdopodobieństwo dla jednej losowej fałszywie dodatnie, tj. t * p gdzie t = 2 ^ 56, rozmiar klucza miejsca. Wynosi to około 7,2 * 10 ^ 12, dość duża liczba. Spodziewana liczba fałszywych alarmów w drugim wyszukiwania (ograniczona do pozytywnych kluczy znalezionych w pierwszej wyszukiwania) będzie (T * p) * p, jedna trzecia dla wyszukiwania będzie ((t * p) * p) * p tak dalej. Zatem dla n wyszukiwań oczekiwane liczby fałszywych alarmów będzie t * p ^ n.
We can obtain the number of searches required to expect just one false positive by expressing the equation t * p^n = 1 and solving for n. So n equals to the logarithm in base p of 1/t, which by properties of logarithms it yields n = log(1/t)/log(p) ~ 4.2. Since we cannot do a fractional search it is convenient to round up this number. Therefore what is the expected number of false positives if we perform five searches? It is t * p^5 ~ 0.0007 or approximately 1 out of 1400. Thus using five TSP- PVV pairs is safe to obtain the true secret key with no false positives.
The attack
Once we know we need five TSP- PVV pairs, how do we get them? Of course we need at least one card with known PIN , and due to the nature of the PVV algorithm , that’s the only thing we need. With other PIN systems, such as IBM, we would need five cards, however this is not necessary with VISA PVV algorithm . We just have to read the magnetic stripe and then change the PIN four times but reading the card after each change.
It is necessary to read the magnetic stripe of the card to get the PVV and the encrypting key selector. You can buy a commercial magnetic stripe reader or make one yourself following the instructions you can find in the previous page and links therein. Once you have a reader see this description of standard magnetic tracks to find out how to get the PVV from the data read. In that document the PVV field in tracks 1 and 2 is said to be five character long, but actually the true PVV consists of the last four digits. The first of the five digits is the key selector. I have only seen cards with a value of 1 in this digit, which is consistent with the standard and with the secret key never being compromised (and therefore they did not need to move to another key changing the selector).
I did a simple C program, getpvvkey.c, to perform the attack . It consists of a loop to try all possible keys to encrypt the first TSP, if the derived PVV matches the true PVV a new TSP is tried, and so on until there is a mismatch, in which case the key is discarded and a new one is tried, or the five derived PVVs match the corresponding true PVVs, in which case we can assume we got the bank secret key, however the loop goes on until it exhausts the key space. This is done to assure we find the true key because there is a chance (although very low) the first key found is a false positive.
It is expected the program would take a very long time to finish and to minimize the risks of a power cut, computer hang out, etc. it does checkpoints into the file getpvvkey.dat from time to time (the exact time depends on the speed of the computer, it’s around one hour for the fastest computers now in use). For the same reason if a positive key is found it is written on the file getpvvkey.key. The program only displays one message at the beginning, the starting position taken from the checkpoint file if any, after that nothing more is displayed.
The DES algorithm is a key point in the program, it is therefore very important to optimize its speed. I tested several implementations: libdes, SSLeay, openssl, cryptlib, nss, libgcrypt, catacomb, libtomcrypt, cryptopp, ufc-crypt. The DES functions of the first four are based on the same code by Eric Young and is the one which performed best (includes optimized C and x86 assembler code). Thus I chose libdes which was the original implementation and condensed all relevant code in the files encrypt.c (C version) and x86encrypt.s (x86 assembler version). The code is slightly modified to achieve some enhancements in a brute force attack : the initial permutation is a fixed common steep in each TSP encryption and therefore can be made just one time at the beginning. Another improvement is that I wrote a completely new setkey function (I called it nextkey) which is optimum for a brute force loop.
To get the program working you just have to type in the corresponding place five TSPs and their PVVs and then compile it. I have tested it only in UNIX platforms, using the makefile Makegetpvvkey to compile (use the command “make -f Makegetpvvkey”). It may compile on other systems but you may need to fix some things. Be sure that the definition of the type long64 corresponds to a 64 bit integer. In principle there is no dependence on the endianness of the processor. I have successfully compiled and run it on Pentium-Linux, Alpha-Tru64, Mips-Irix and Sparc-Solaris. If you do not have and do not want to install Linux (you don’t know what you are missing ;-) you still have the choice to run Linux on CD and use my program, see my page running Linux without installing it.
Once you have found the secret bank key if you want to find the PIN of an arbitrary card you just have to write a similar program (sorry I have not written it, I’m too lazy :) that would try all 10^4 PINs by generating the corresponding TSP, encrypting it with the (no longer) secret key, deriving the PVV and comparing it with the PVV in the magnetic stripe of the card . You will get one match for the true PIN . Only one match? Remember what we saw above, we have a chance of 0.0001 that a random encryption matches the PVV . We are trying 10000 PINs (and therefore TSPs) thus we expect 10000 * 0.0001 = 1 false positive on average.
This is a very interesting result, it means that, on average, each card has two valid PINs: the customer PIN and the expected false positive. I call it “false” but note that as long as it generates the true PVV it is a PIN as valid as the customer’s one. Furthermore, there is no way to know which is which, even for the ATM; only customer knows. Even if the false positive were not valid as PIN , you still have three trials at the ATM anyway, enough on average. Therefore the probability we calculated at the beginning of this document about random guessing of the PIN has to be corrected. Actually it is twice that value, ie, it is 0.0006 or one out of more than 1600, still safely low.
Results
It is important to optimize the compilation of the program and to run it in the fastest possible processor due to the long expected run time. I found that the compiler optimization flag -O gets the better performance, thought some improvement is achieved adding the -fomit-frame-pointer flag on Pentium-Linux, the -spike flag on Alpha-Tru64, the -IPA flag on Mips-Irix and the -fast flag on Sparc-Solaris. Special flags (-DDES_PTR -DDES_RISC1 -DDES_RISC2 -DDES_UNROLL -DASM) for the DES code have generally benefits as well. All these flags have already been tested and I chose the best combination for each processor (see makefile) but you can try to fine tune other flags.
According to my tests the best performance is achieved with the AMD Athlon 1600 MHz processor, exceeding 3.4 million keys per second. Interestingly it gets better results than Intel Pentium IV 1800 MHz and 2000 MHz (see figures below, click on them to enlarge). I believe this is due to some I/O saturation, surely cache or memory access , that the AMD processor (which has half the cache of the Pentium) or the motherboard in which it is running, manages to avoid. In the first figure below you can see that the DES breaking speed of all processors has more or less a linear relationship with the processor speed, except for the two Intel Pentium I mentioned before. This is logical, it means that for a double processor speed you’ll get double breaking speed, but watch out for saturation effects, in this case it is better the AMD Athlon 1600 MHz, which will be even cheaper than the Intel Pentium 1800 MHz or 2000 MHz.
In the second figure we can see in more detail what we would call intrinsic DES break power of the processor. I get this value simply dividing the break speed by the processor speed, that is, we get the number of DES keys tried per second and per MHz. This is a measure of the performance of the processor type independently of its speed. The results show that the best processor for this task is the AMD Athlon, then comes the Alpha and very close after it is the Intel Pentium (except for the higher speed ones which perform very poor due to the saturation effect). Next is the Mips processor and in the last place is the Sparc. Some Alpha and Mips processors are located at bottom of scale because they are early releases not including enhancements of late versions. Note that I included the performance of x86 processors for C and assembler code as there is a big difference . It seems that gcc is not a good generator of optimized machine code, but of course we don’t know whether a manual optimization of assembler code for the other processors (Alpha, Mips, Sparc) would boost their results compared to the native C compilers (I did not use gcc for these other platforms) as it happens with the x86 processor.
Update
Here is an article where these techniques may have been used.
http://redtape.msnbc.com/2008/08/could-a-hacker.html
