"Атака" начинается с установки поддельного терминала (и ПИН-пада, в данном случае он встроен в терминал), который для начала перехватывает ПИН и... на этом можно было бы уже остановиться!
Проблема "фальшивых" ПИН-падов действительно существует и это простой и достаточно эффективный способ воровать ПИН-ы. Он требует предварительно сговора с кассиром (или "фальшивого" кассира или даже "фальшивого" магазина -- ведь вряд ли можно заменить настоящий терминал на фальшивый без ведома кассира, хотя... почему нет?), что наверное дороже, чем "подглядывание" ПИН с помощью камеры, но все же этот способ работает и уже даже был испытан в Турции (и еще и еще) и в Англии в 2006 году.
Что можно сделать зная ПИН чиповой карты?
Самый частый ответ -- воспользоваться украденной копией трека в любом магнитном банкомате (съездить для этого в Россию, например, или в Америку). Другая возможность -- воспользоваться той же копией в чиповом банкомате, поскольку fallback транзакции никто еще не отменял все будет работать (с большой вероятностью)! Копию магнитного трека в "фальшивом" терминале получить не сложно (в "настоящем" терминале для этого нужно чуть больше потрудиться, ведь копия трека "на чипе" может отличаться от магнитного трека).
Однако ребята, получив ПИН код, не остановились и затеяли весь это relay фактически "подключив" настоящую карту, вставленную в фальшивый терминал в кафе, к настоящему терминалу в книжном магазине. Фальшивый терминал напечатал чек на 5 фунтов, а настоящая транзакция была совершена на 50.
Что это меняет?
Мне кажется, с точки зрения жуликов -- ничего! Лишнее усложнение. Как только получили ПИН и трек деньги уже в кармане!
Почему же такое внимание?
Я думаю потому, что такая "замороченная" атака существенно меняет всю картину только для владельца карты. Судя по сюжету, для полных чиповых и ПИН-овых транзакций английские банки перекладывают всю ответственность на владельца карты! Отсюда я думаю и такой шум, ведь в остальных случаях владелец карты защищен от потерь законами. Банки же считая, что подделка чиповой карты невозможна, считают, что раз транзакция была полной чиповой и подтверждена ПИН-кодом, то в ней использовалась настоящая карта, а значит это проблема клиента -- следить мол надо за своей картой и ПИН-ом! Весь пафос сюжета похоже направлен именно на это.
Однако, вряд ли целью жуликов является украсть деньги именно у владельца карты, им все равно кто несет потери и специально стараться, чтобы насолить именно владельцу карты, а не его банку, никто не будет -- нет экономического смысла!
Так что на самом деле, в этой атаке продемонстрировано насколько уязвимым является ПИН в торговой сети, а весь relay происходит только от желание авторов куда-то применить свой протокол, который по их мнению решает проблему relay атак. (Ее то он может быть и решает, только вот есть ли сама проблема?)
Как же можно бороться с компрометацией ПИН?
- Сильно могло бы помочь отсутствие магнитной полосы на карте (как Visa V-Pay)
Вряд ли это возможно, чиповая миграция далека от завершения и даже от начала в некоторых странах. - Использование разных ПИН-кодов для чиповых и магнитных транзакций.
Два ПИН кода было бы кошмаром для владельцев карт! Но можно наверное просто не использовать ПИН в торговых терминалах. Нет ПИН кода, нет проблемы. - Запрет fallback.
Думаю это можно сделать хотя бы в банкоматах, но и это не спасает от жуликов, пока на рынке много не-чиповых банкоматов. Хотя от жуликов это не спасает эквайера, а банк эмитент и может быть его клиент будут защищены, если транзакция происходит в liability shift зоне.
Мне кажется это самая разумная мера. Запретить" можно либо перенеся ответственность на эквайера (он тогда сам их запретит), либо эмитентам сообща посылать отказы по таким транзакциям.
