Newsgroup: it.economia.carte-di-credito
Titolo: Carte di credito con chip. Sono più sicure?

Le carte di credito con chip sono più sicure?? Perchè??
Togli "NOSPAM" per le risposte

E' vero, mi chiedevo anch'io se fossero meno vulnerabili agli skimmers....
Qualcuno ne sa di piu'?

 Qualcuno ne sa di piu'?
Lo Skimmers copia la banda magnetica, non i chip.
Ma poi secondo me di realmente sicuro in questo settore c'e'
poco. In ogni caso, oggi come oggi una carta con il chip
serve ancora a niente, POS che leggono il chip chi li ha visti?
-- 
Bluto.

"Bluto" <bluto@-NOSPAM-libero.it> ha scritto nel messaggio
news:c0va28$91u$3...@news.ngi.it...

Per le carte di credito lo ignoro... penso nulla...
Per il bancomat invece c'è un progetto abi in corso che vede installati già
diversi pos; tutti quelli delle città campione, per le banche che hanno
aderito (se non sbaglio Lecco Alessandria Prato e Taranto).
In queste stesse città le stesse banche emettono solo bancomat con microcip
e  le transazioni si chiudono in buona parte con il microcircuito anziché
con la banda magnetica
Qui la transazione è più sicura (ci crediamo???, fino a quando???) ma per il
merchant!!!!
Se non ho capito male sia per il credito che per il debito l'obiettivo
sicurezza è per l'emittente e per il merchant. Mi spiegate, infatti cosa può
intteressare a me che ora posso disconoscere la transazione se c'è una
truffa???? Con il nuovo sistema mi sa tanto che si inverte tutto e starà a
noi dimostrare il contrario... bella sicurezza: preferisco come stanno le
cose ora. Se mi arriva un addebito cannato lo disconosco e stop!
Come al solito in Italia siamo più avanti... anche con i costi che ci
cascheranno addosso, immagino!!!

 se c'è una truffa????
Visto che le carte a microchip non sono clonabili e probabilmente non lo
saranno per un po' e' ovvio che la tua carta e' responsabilita' tua. Allo
stesso modo dei tuoi contanti.
Saluti.
Stefano.

 Stefano.
Mmm...io seguo anche dei NG dedicati alla telefonia mobile. Lì si parla
molto ovviamente delle SIM dei telefonini. Sono anche quelli dei microchip e
sono disponibili da parecchio delle apparecchiature a prezzo
abbordabilissimo che clonano le SIM stesse. Ditte notissime e serissime -
per la cronaca - mi pare le utilizzino per inserire nella stessa SIM due
numeri diversi. Non sono per nulla un esperto, ma non vedo allo stato della
logica comune quale problema vi sia nel clonare un chip di una carta di
credito quando la cosa è fattibilissima con quello della SIM di un
telefonino. L'unico limite che a lume di naso posso ipotizzare è che per la
clonazione della SIM è necessario il possesso fisico della SIM originaria,
cosa che nel caso della carta di credito porrebbe logicamente dei problemi e
ne minerebbe ovviamente l'utilizzo illecito (che me ne faccio del clone di
una carta quando già mi sono appropriato dell'originale?). Comunque non si
sa mai....Graditissime le smentite di qualche addetto ai lavori che spero mi
confermerà l'esistenza di qualche algoritmo particolare o feature avanzata
che impedisca la cosa.

 prezzo abbordabilissimo che clonano le SIM stesse.
Io sapevo, ma sono dati non molto aggiornati, che in una carta a
microprocessore ci sono almeno 4 livelli di memoria e di accessibilita'.
Posso supporre che il primo (e probabilmente anche il secondo) livello sia
facilmente accessibile per chiunque. Ma al terzo/quarto non so se sia facile
arrivarci ed almeno per le carte di pagamento in quel livello risiede la
chiave privata della carta, e senza quella chiave non si fanno pagamenti. Ma
ripeto, sono rimasto un po' indietro.
Saluti.
Stefano.


cIAO

 ripeto, sono rimasto un po' indietro.
Provo ad aggiungere qualche altra informazione su quello
che mi ricordo di aver letto dello standard EMV, per i più tecnici e curiosi
:
- la carta contiene delle chiavi segrete simmetriche (per algoritmo
TriploDES cioè di 128bit) nella sua memoria; le chiavi sono diverse carta
per carta; l'accesso a queste chiavi dall'esterno è protetto dai meccanismi
propri del Sistema Operativo della carta (il caso GSM è completamente
diverso, sia come algoritmo che come chiavi utilizzate)
- tali meccanismi di protezione sono oggetto di verifica/approvazione da
parte dei circuiti (Visa, MC, ecc.); i possibili attacchi a tali meccanismi
sono costosi e richiedono skill e attrezzature specializzate
- inutile dire che tali chiavi vengono inserite sulla carta al momento della
personalizzazione in ambienti sicuri e poi la carta viene "chiusa".
- tali chiavi segrete servono alla carta per firmare la transazione di
pagamento, sia quando essa viene completata off-line che quando viene
autorizzata on-line dall'issuer: la firma viene verificata subito
dall'issuer nella transazione on-line oppure quando riceve il batch delle
offline
- prima di eseguire l'operazione di pagamento, la carta chip viene
*autenticata* dal terminale : la carta restituisce un dato firmato con
chiave RSA e il terminale lo verifica con la corrispondente chiave pubblica.
Questo può avvenire in modalità "statica" (è sempre lo stesso dato che viene
restituito) oppure "dinamica" (la carta calcola ogni volta una diversa firma
RSA). Le carte statiche costano di meno e sono meno sicure delle dinamiche.
- il possessore viene autenticato con il PIN, che viene verificato o dalla
carta stessa oppure dall'issuer (come avviene oggi per Bancomat e Maestro),
che protegge le carte rubate o perse
Avendo una carta con Sistema operativo EMV (che ha i suoi costi) ed avendo i
dati di autenticazione statica di una ed una sola carta vera (cosa non così
semplice come avere il numero della carta e la scadenza) ed avendo la
possibilità di inserire delle proprie chiavi TriploDES ed un proprio PIN, la
carta simulerebbe il comportamento di quella carta vera finchè la
transazione è offline.
Questo si verifica solo per importi sotto un certo limite e fino ad un certo
numero limitato di transazioni, superati i quali la transazione va
*inesorabilmente* online, dove la carta verrebbe subito riconosciuta.
Altro elemento da considerare è che il terminale può inviare online
*casualmente* l'operazione (oppure permettere al merchant di forzarla
online, se non gli piace la faccia del possessore).
Si ritiene quindi che il *gioco* della emulazione di una carta vera non vale
assolutamente la *candela* dei guadagni.
Per le carte dinamiche l'emulazione diventa pressochè impossibile.
E non ci sono dubbi che per combattere frodi da carte contraffatte o
perse/rubate il "chip&pin" è la soluzione migliore: vedi Francia e UK.
ciao
Adriano

 Adriano
Ottima ed esuriente la tua esposizione. Io non sono un esperto, ma mi sembra
esaustiva. Rimane l'interrogativo di cosa quei volponi delle società
emittenti si studieranno per lucrare astutamente su questi nuovi scenari
tecnologici. Mi spiego meglio: anni fa mi aveva sorpreso uno studio
dettagliato su una rivista di informatica che trattava delle SIM dei
telefonini GSM (scusate se torno lì). Il sistema di criptazione delle
comunicazioni GSM era teoricamente ottimo - si sottolineava - peccato che
volontariamente NON fosse stato adeguatamente implementato. Si era optato
quindi per un livello di sicurezza estremamente basso, nonostante le SIM
stesse e la tecnologia potessero offrire molto di più. La mia scarsa
conoscenza tecnica e il tempo trascorso mi impediscono di darvene qui i
dettagli. Esemplificando potrei presentare l'esempio di una serratura con
una chiave che, anzichè un profilo frastagliato, lo presenta invece poco più
che liscio. Non vorrei che nel futuro prossimo ci trovassimo quindi di
fronte al seguente scenario. Gli emettitori distribuiranno carte di credito
dichiarate assolutamente sicure, e l'onere della prova dell'acquisto verrà
caricato in termini assoluti sul titolare della carta, che non avrà più
difesa alcuna in eventuali contenziosi. Mentre le carte stesse disporranno
di crittografie (si dice così vero?) apparentemente inviolabili ma in realtà
deficitarie. E qesto per motivi di costo. E per l'indubbio vantaggio (del
merchant e dell'emettitore) di mettere a tacere sempre e comunque il
titolare, che non potrà mai disconoscere un bel nulla.

 Provo ad aggiungere qualche altra informazione su
Premetto che non sono un tecnico del settore, però leggendo quello che hai
scritto mi viene in mente che forse non è così impossibile copiare un carta
con microchip se lo si fa nel modo giusto. Mi spiego meglio: tutto quello
che c'è sulla carta è di difficilissima se non impossibile interpretazione,
dunque non è possibile leggere i dati che contiene; è vero però che tutto
ciò che è digitale è in sostanza un sequenza di 0 e 1, quindi se invece di
leggere i dati della carta si legge soltanto la sequenza binaria senza
preoccuparsi di interpretarla e la si copia tale e quale il gioco è fatto.
Non so se mi sono spiegato... potrei metaforizzare il mio ragionamento per
chiarirlo meglio: se avete un file con qualsivoglia contenuto criptato e
protetto da password e lo salvate su un floppy disk non potrete leggerlo se
non avete la password e l'algoritmo che l'ha criptato; però è facilissimo
leggere la sequenza binaria contenuta nel floppy e con questa creare una
copia identica all'originale.
Mi sbaglio?
Ciao.
Luca.

 Mi sbaglio?
Si', perche' nella carta non hai accesso alla sequenza di 0 e di 1. Non per
nulla e' una carta con microprocessore e non una semplice memoria. Dunque tu
puoi mandarle dei dati e lei ti rispondera' nel metodo migliore, ma non
potrai leggere la sua memoria liberamente.
Saluti.
Stefano.

 nulla e' una carta con microprocessore
Dove hai preso questa notizia? Ribadisco che sono assolutamente ignorante in
materia ma mi sembra del tutto improbabile che la carta contenga un
processore... Da dove prende l'alimentazione per funzionare?
Come funzionerebbero questi micro computer?
Conosci qualche sito dove reperire informazioni su queste cpu o in generale
su questi sistemi informatici?
Ciao.
Luca.


 Stefano.
ciao
Adriano

 Luca.
ciao
Adriano

 anche un RISC ?
Stica$§i!!! Non credevo proprio che esistesse qualcosa del genere!
Grazie delle info.
Ciao.
Luca.

 Luca.
ciao
Adriano


Non ti preoccupare, non dirņ a nessuno da chi ho imparato come funzionano i
chip delle carte  ;)))
Ciao.
Luca.

 generale su questi sistemi informatici?
Non sono micro computer, ovvero lo sono ma le loro funzioni sono limitate
alla protezione e gestione dei dati interni.
http://www.partnerdata.it/sc-info.htm
 per una panoramica.
http://www.technesecurity.it/ase/cardtech.htm
 per i prodotti.
Saluti.
Stefano.