Das zumindest sagt der Zentrale Kreditausschuss (ZKA) der deutschen Kreditwirtschaft in einer Pressemitteilung und bestätigt sich damit selbst den uneingeschränkt hohen Schutz des Chip- und PIN-Systems auf deutschen girocards und Kreditkarten.
“Bei der Untersuchung des Angriffsszenarios stellte der ZKA fest, dass dieser mit girocard-Karten an Geldautomaten und an POS-Terminals des girocard-Systems in Deutschland nicht möglich ist”, stellt die Pressemitteilung in Bezug auf eine neue Angriffsvariante fest, die an der Universität Cambridge erarbeitet wurde.
Die Pressemitteilung lässt bei mir mehr Fragen offen, als sie schließt. Die Frage, ob z.B. der Angriff in Deutschland mit englischen Karten funktioniert, oder umgekehrt mit deutschen Karten in England bleibt offen. Ob die Aussage für alle in Deutschland im Umlauf befindlichen Karten gilt, wird ausgeklammert. Meine Kreditkarten sind jedenfalls vier Jahre gültig. Leider kenne ich mich bei diesem Thema nur begrenzt aus. In solchen Fällen bleibt nur gesundes Misstrauen gegenüber “Alles-ist-gut”-Pressemitteilungen:
“Die deutschen ec-Karten des girocard-Systems sind so konstruiert, dass die dargestellten Manipulationen effektiv verhindert werden. Das gilt ebenfalls für Kreditkarten mit dem vom ZKA freigegebenen Chipkarten-Betriebssystem SECCOS.”
Dass es bei der Implementierung der Kartensoftware doch den einen oder anderen Unterschied gibt und die Freigabe durch den ZKA auch nicht viel bringt, hat man ja Anfang des Jahres gesehen:
“SECCOS erlangte Anfang 2010 traurige Berühmtheit als die auf Gemplus (heute Gemalto) Chips installierte Version SECCOS 5 einen grossen Teil der in Deutschland eingesetzten EC- und Kreditkarten ausser Gefecht setzte”, ist die kurze Zusammenfassung aus dem Wikipedia-Artikel zu SECCOS.
Auch Heise-Security sieht die Sache kritisch: “Die Antwort der Banken, “Spezifikation verhindert den Angriff”, hatte Ross Anderson, Mitglied des Forscherteams, bereits vergangene Woche vorausgesagt. Auch die britischen Banken würden diese Antwort geben, obwohl Anderson und seine Kollegen den Angriff ja bereits praktisch demonstriert hätten. Daher müssten praktische Tests bei deutschen Banken zeigen, ob die Spezifikation auch korrekt umgesetzt wurde und der Angriff nicht nur theoretisch unmöglich sei. Anderson bezweifelt in einer Mail an heise Security, dass (durchschnittliche) deutsche Banken diese Tests durchgeführt haben. “Dafür fehlt ihnen vermutlich das Ingenieurswissen”, schreibt Anderson weiter.”
Mit dieser Aussage widersprechen sich die Wissenschaftler natürlich selbst: Sie hatten in dem BBC-Bericht gesagt, das der Angriff relativ leicht nachzuvollziehen sei.
Der Beitrag spricht von zwei 0-Day-Exploits: Eins für Firefox 3.6 und eins für Lotus Notes, jeweils für XP und Vista Plattformen. Die Exploits kann man auf der Website von VulnDisco käuflich erwerben – Preis auf Anfrage. Das ist eigentlich das erste Mal, dass ich einen so “offenherzigen” Umgang mit dem Verkauf von Exploits erlebe. Die Kommerzialisierung der Hacker schreitet also weiter voran…
