Table of Contents
Với sự phổ biến của CCCD gắn chip, hàng loạt dịch vụ tiện ích đã được tích
hợp, đặc biệt là giải pháp xác thực giao dịch tài chính do các ngân hàng cung
cấp. Với tài chính số là một trong những lĩnh vực có tập khách hàng lớn và có
giá trị giao dịch cao và đảm bảo an toàn cho 100 triệu dân không chỉ là một
bài toán kỹ thuật mà còn là tập khách hàng vô cùng lớn và có thể gây ra ảnh
hưởng nghiêm trọng. Nên ngay từ đầu, ngay từ đầu đã đươc đầu tư nghiên cứu.
GIỚI THIỆU SMART CARD
- Smart Card: sử dụng lưu trữ thông tin, giúp cung cấp thông tin nhanh chóng (xác minh danh tính người sở hữu) và thông tin chung cấp là đáng tin cậy chống giả mạo, thay người dùng đồng ý chấp thuận bằng PIN, ký chữ ký số (tính chống chối bỏ).
- Ứng dụng:
- Telecommunications: SIM Card (Subscriber Identity Modules)--
- Banking & Payment: EMV card, eBanking and eCommerce, Biometric cards Security, public sector (e-Government): e-Passports, e-Driver’s licenses, e-ID Citizen cards, e-Healthcare cards, e-Government ID.
- Electronic voting.
- Public transit.
Chuẩn áp dụng Smart Card
- EMV là chuẩn được tạo bởi 3 công ty Europay, Mastercard, Visa.
- Tổ chức quản lý: EMVCo
- Nhà sản xuất EMV card và chip:
- ABnote (American Bank Corp),
- CPI Card Group,
- Gemalto (acquired by the Thales Group in 2019), …
- EMV base: (Thiết bị đầu cuối)
- ISO/IEC 7816 – Tiếp xúc (contact cards)
- ISO/IEC 14443 – Không tiếp xúc (contactless cards)
- CCCD:
- Infineon: đơn vị cung cấp thẻ ID CARD sử dụng con chip SLC37 security controller
- Entrust: là nhà cung cấp hệ thống phát hành, phần mềm cho dự án e-ID đối tác của MKGroup tại Việt Nam.
Quy trình sản xuất và phát hành thẻ
Căn cước công dân (CCCD) gắn chip được sản xuất với sự hợp tác của Infineon,
đơn vị cung cấp hệ điều hành và các cơ chế bảo mật cho thẻ. Việc phát hành
CCCD thuộc trách nhiệm của cơ quan nhà nước có thẩm quyền, đảm bảo tích hợp
đầy đủ thông tin cá nhân của gần 100 triệu công dân. Sau đó, được giao cho
MkGroup dưới sự giám sát của nhà phát hành, đơn vị chịu trách nhiệm quản lý
và vận hành hệ thống.
Trong dự án e-ID, Entrust đóng vai trò là đối tác chiến lược của MkGroup,
cung cấp các giải pháp bảo mật và phần mềm nhằm đảm bảo tính toàn vẹn và an
toàn của hệ thống định danh điện tử.
THẺ VẬT LÝ
Các thành phần có trong thẻ Smart Card
App:
- Mastercard: M/Chip
- Visa: VSDC
- AMEX: AEIPs
- ...
Căn cước công dân sử dụng hệ điều hành uJavalin-OS 1.0 được đọc thông qua gói ATR (Answer To Reset)
|
| uJavalin-OS1.0 |
Mã định danh cho môi loại thẻ
Tổ chức lưu trữ và trường thông tin
- APPLICATION DEFINITION FILE
- Mỗi ứng ứng dụng có một mã Application duy nhất
- Trong ADF, mỗi AEF có mỗi SFI (Short File Identifier) duy nhất .
- RECORDS/AEF
- DATA ELEMENT & OBJECT
Data Element: PAN number, Cardholder Name, Track 1, Track 2, Service code,
Currency code
- Mỗi Data element được gắn bởi một TAG duy nhất
- Mỗi DE được lưu trữ với định dạng Tag-Length-Value được gọi Data Object
Example: TAG & TLV
PAN = 5441 2232 9999 8888 (Số tài khoản)
Tag: 5A - Length: 16
=> Data object: 5A 16 54 41 22 32 99 99 88 88
CƠ CHẾ XÁC MINH DỮ LIỆU
Do không biết được tài liệu kỹ thuật chính xác của CCCD nên tôi sử dụng cơ
chế của thẻ EVM.
Static data authentication (SDA): Đảm bảo dữ liệu đọc từ đã được ký bởi nhà
phát hành thẻ. Tránh thay đổi dữ liệu, không có khả năng chống cloning.
Dynamic data authentication (DDA): cung cấp bảo vệ chống sửa đổi và cloning.
Lịch sử các cuộc tấn công vào thẻ EMV
1. Infineon's RSA key generation flaw: lỗ hổng thư viện được phát triển
Infineon được sử dụng trong một số sản phẩm smart card, TPMs được gọi là
ROCA vulnerability cho phép suy ra private keys thông qua public
keys. Ảnh hưởng 750,000 card định danh điện tử quốc gia - Gemalto nxs
chip phải bồi thường 2.2tr EUR do thông thông báo kịp thời 2014-2017
2. Security flaws in key management: Lỗ hổng xảy ra trong quá trình quản lý
thẻ, trái với yêu cầu bảo mật. Nhà sản xuất chip ID card Gemalto đã tạo khóa
private key bên ngoài CHIP, Các bản sao của private key đã được nhập
vào trong thẻ ID card của các chủ thẻ khác nhau cho phép họ mạo danh lẫn
nhau.
3. Module broken: Lỗ hổng trong quá trình sản xuất, module RSA public key bị
hỏng(hardware) được đưa vào trong certificates dẫn tới việc khôi phục lại
khóa private key.
4. Theo tài liệu bị đánh cắp bởi Edward Snowden, NSA’s và GCHQ’s Mobile Handset
Exploitation Team xâm nhập và đánh cắp khóa xác thực SIM, cho phép họ bí mật
theo dõi các liên lạc di động.
5. Clone magnetic stripes, EMV SDA, PIN harvesting: Thiếu cơ chế xác minh dữ
liệu an toàn cho phép sao chép thẻ mới khi biết thông tin dữ liệu. Mã PIN sẽ
được thu thập bằng việc gắn thêm vào thiết bị đầu cuối.
6. CVM downgrade allows arbitrary PIN harvest 2011: Lỗ hổng cho phép hạ cấp
phương thức xác thực CVM xuống Offline. Mã PIN vẫn được chấp nhận bởi POS
terminals mặt dù chữ ký không hợp lệ.
7. PIN Bypass 2020 (contactless): thiếu bảo vệ dữ liệu quan trọng liên quan
giao dịch giữa card và terminal. Nhóm nghiên cứu chứng minh có thể sửa đổi
phương thức xác thực (CVM như PIN-offline) đánh lừa terminal rằng không cần
mã PIN do đã xác thực bởi thiết bị smartphone (Discover and China's
UnionPay).
8. PIN bypass 2021 (contactless): nhóm nghiên cứu khám phá lỗ hổng cho
phép bỏ quá mã PIN với Mastercard contactless card khi thực hiện giao dịch
với terminal thông qua kết nối contactless. Nhóm đã lừa terminal đó là Visa
card. Thẻ visa card không yêu cầu mã PIN.
Từ đó có thể thấy được một số rủi ro phổ biến sẽ gặp phải.
- Lưu Thông tin: Sửa đổi, sao chép.
- Triển Khai Vận Hành: Triển khai không đúng chuẩn (Khóa được ghi vẫn vào trong thẻ).
- Chức năng mã hóa và xác minh dữ liệu trên card
- Bypass cơ chế mã hóa
- Lỗ hổng thư viện khôi phục cho phép khóa
- Lỗ hổng phần cứng cho phép khôi phục khóa
- Rủi ro tích hợp tương thích ngược
- EMV vs POS
- Cố gắng thỏa thuận với POS Terminal sử dụng cơ xác xác minh thiếu an toàn.
- POS có chứa mã độc
- Dịch cung cấp khai thác thông tin quá mức trên thẻ
Theo dõi tôi tại đây và fanpage: iothacking
Phần 2: Giao tiếp đọc thông tin trên CCCD and thẻ ATM VISA
Nguồn: https://v-xs.com/
Backup: https://archive.org/