保护互联网芯片和PIN

戴夫:近年来，信用卡和借记卡发卡机构已经用电脑芯片取代了签名条，现在我们想买东西的时候输入一个密码。据说它更安全，但这项技术实际上是如何工作的，它是否也有致命弱点?史蒂文·默多克(Steven Murdoch)来自剑桥大学计算机安全小组，他负责调查银行系统的安全性。现在芯片和密码是我每天使用的东西。我没怎么想过。它到底是怎么工作的，史蒂文?

史蒂文:那么，你的信用卡或借记卡里面有一个电脑芯片，这实际上是一个小型电脑。就计算能力而言，它与20世纪80年代人们桌上的个人电脑相差不远，而且它还装了一些特殊的软件。更重要的是，信用卡上有一些密码密钥是由发卡银行输入的。这些密钥用来让卡证明它在特定的时间点存在，并允许它计算交易的数字签名，然后向你发卡的银行可以验证数字签名。

戴夫:所以，基本上就是当你把你的密码输入机器，商店告诉它你想支付20英镑，所有这些都混在一起，然后被送回银行?

Steven:所以，对于芯片和密码，密码方面和数字签名方面几乎是完全分开的。事实上，这是一些安全漏洞的根源。所以除了所有的数字签名和密钥，它还有你的密码的副本，当你输入你的密码时，它会被发送到卡上。卡片会比较，如果满意就说是，如果不满意就说不是。希望它还能告诉银行PIN是否正确，但这实际上是Chip和PIN中犯的一个错误。

戴夫:如果你是一个邪恶的人，你怎么能攻击这个呢?

Steven:嗯，我们在2010年发现的一种可能被攻击的方式是——就像我说的，数字签名没有和PIN码混在一起。你能做的是在卡片和终端之间放一点电子设备，然后当PIN被发送到卡片时，这一点电子设备拦截它，然后把答案“是”发送回终端。终端会很高兴的。这张卡从来没有收到密码，但事实证明，这些卡很高兴没有看到密码因为至少它没有失败，它只是没有看到任何东西，而银行，当他们从卡上收到信息时，看到卡上的信息，一张合法的卡，数字签名说一切正常，但实际上，输入的密码是错误的。

戴夫:所以，只要你能把电子产品藏起来，不让店里的人看到，你就可以在没有人知道的情况下使用偷来的信用卡。

史蒂文:是的，所以当我们最初向银行提到这个问题时，我们在公开披露之前告诉他们，允许他们解决这个问题。他们没有，但我们至少我们给了他们一个机会。他们说这是不可能做到的，事实上，我的一个同事，Omar Choudary，制造了一些可以放在袖子上的电子设备，他可以在不被发现的情况下使用它，结果他们抓住了一些罪犯，他们正在进行更复杂的攻击。他们把邪恶的电脑嵌入到一张偷来的卡片中，这样卡片看起来就完全合法了，它只有一个好的芯片和一个邪恶的芯片。

克里斯:当你做这项工作的时候，史蒂文，你是不是在你的办公室里有一种芯片和密码机器，为了测试这些东西，你是不是不断地积累巨额的信用卡账单?人们会把他们的小玩意给你试用吗?是这样的吗?

史蒂文:所以，我们做的一件事是，我们从易趣上买了很多芯片和PIN终端。当一家商店破产或升级时，他们会卖掉旧的。我们做的另一件事是，当我们去大学里的当地咖啡馆，然后通过5英镑的最低交易，并以这种方式进行实验。

戴夫-那么，当地的人对你很怀疑吗?

史蒂文:我想他们认识我们，当我们把邪恶的电子设备插入他们的终端时，他们并不太担心，因为他们得到了报酬，最后我们用自己的卡做所有的实验。

戴夫:有道理。那么，这个问题有可能解决吗?我想它只是涉及到一些检验的方法，将两者结合在一起。

史蒂文:是的，这是可以解决的。我们在我们的学术论文中提到了一些银行可以做到这一点的方法，这实际上是对银行进行更有力的检查。事实证明，这很难做到，因为系统中有很多漏洞，有时银行会看到可疑的交易。看起来像是攻击发生了，但实际上，这只是系统中某个地方的一个bug，数据被破坏了。银行在这方面面临很大的挑战，因为他们有太多的交易。其中只有很小很小的一部分是欺诈的。因此，如果他们开始拒绝交易，因为他们认为他们是可疑的，他们将主要拒绝合法交易，而不是欺诈交易。

克里斯:史蒂文，你知道这个制度被滥用的程度吗?你知道人们是否在实施你证明可行的策略吗?如果是的话，这要花我们多少钱?

史蒂文:这很难说，因为在这方面没有很好的统计数据。我们非常有信心，在我们告知银行之前，这些银行并没有预料到这次攻击，这意味着我们无法知道在此之前发生了什么。我们现在知道，一些罪犯正在这样做，因为他们在法国被捕，目前正在进行审判。但总的来说，当欺诈发生时，如果它不是银行所知道的标准技术之一，客户就会损失钱，银行不会记录客户损失的总额，只记录他们和商店损失的金额。

Chris -而且方便的是，他们说它非常安全，如果有人进行交易，他们一定和别人分享了密码。所以这不再是银行的责任，而是你的问题。所以他们也很方便地把责任推给了顾客，不是吗?

史蒂文:是的，这是Chip和PIN发生的非常不公平的事情之一。现在，欺诈的责任被推到了客户身上，即使这是银行计算机系统的一个缺陷。

克里斯-史蒂文，非常感谢。