Contactloos betalen UITzetten bankpas

[incaz]

quote:

CurtPoindexter schreef op zondag 13 augustus 2017 @ 12:45:
ALS zoiets zou werken. ALS het mogelijk is om contactloos geld te stelen. ALS de betaling door het systeem heen komt.

Zoals gezegd is het betalen op afstand 'working as intended', dus ja, dat werkt. Dat zijn alvast twee alsen.

De enige vraag is eigenlijk:
- is de detectie van de banken goed genoeg dat onrechtmatige betalingen snel genoeg gedetecteerd en geblokkeerd worden, zodat het niets / niet genoeg oplevert.

Een extra probleem is dat we hier als klanten nauwelijks zicht op hebben - we weten niet hoeveel fraude er is, en of de banken daar goed mee omgaan, want dat is over het algemeen niet openbaar. En als ik de algehele omgang met fraude / misleiding bekijk, dan vind ik daar toch wel een vrij structurele tendens van onderschatting in* (en dan denk ik aan skimming, malware, phishing, ov-chipkaart die gehackt is, telefonische betaaldienstfraude, DigiD en toeslagenfraude... de algehele tendens is toch wel vaak 'dat zal wel meevallen' bij de verantwoordelijke diensten, terwijl de georganiseerde misdaad en kruimelcriminelen daar toch iets anders over denken.)

Beetje voorzichtigheid mag best.

* Edit: dit gaat dus niet alleen om banken maar allerlei diensten waarbij digitale veiligheid en betalingsverkeer een rol spelen.

incaz wijzigde deze reactie 13-08-2017 12:54 (5%)

[Raven]

quote:

incaz schreef op zondag 13 augustus 2017 @ 12:42:
@Raven: Ja, ook al tegenaan gelopen. Gelukkig was er iemand zo vriendelijk om het voor me te betalen tegen een muntje van mij maar ik vind het echt niet nodig om dat zo te limiteren.

Ik ben echter niet zo iemand die een compleet vreemde vraagt om dat te doen

Maar nu zit ik mij iets af te vragen, kun je niet (met oog op veiligheid) bepaalde verkooppunten whitelisten zodat alléén daar contactloos betalen mogelijk is en het op alle andere plekken geweigerd wordt? Of is dat te ingewikkeld voor banken om te implementeren

[Nopheros]

quote:

Ch4oZZzz schreef op zaterdag 12 augustus 2017 @ 22:22:
Zelf zit ik totaal niet te wachten op het hele contactloos betalen. Nu had ik van mijn bank (Rabobank) een nieuwe bankpas gehad waar het standaard aan staat. Dus direct uit laten zetten. Voor de grap eens bij een snack/fris automaat waar je contactloos moet betalen geprobeerd wat die dan nu met de pas doet. Blijkt dat er dan direct om de pincode wordt gevraagd.
Ik had verwacht dat als ik contactloos betalen UIT zou (laten) zetten. Ik helemaal geen gebruik meer kan maken van contactloos betalen.
De term contactloos betalen Aan-/Uitzetten wordt dus misleidend gebruikt. Want het enige wat er mee wordt gedaan is dat de limiet waarbij om een pincode wordt gevraagd wordt verlaagd van 25 euro naar 0 (nul) euro.
Een bankpas zonder NFC hebben ze niet meer bij de Rabobank.

Zijn er banken die nog passen zonder NFC leveren? Of waar 'uit' ook echt UIT is? Of moet ik het zoeken in een tweaker oplossing en de pas zo aanpassen dat ik een gat maak in de NFC chip?

Bij je bank aangeven dat je hier niet om hebt gevraagd en dat je een pas wil zonder contactloos betalen, Ik zit bij de ABN en mij hebben ze de juiste opgestuurd.

[Hahn]

quote:

Raven schreef op zondag 13 augustus 2017 @ 12:54:
[...]

Ik ben echter niet zo iemand die een compleet vreemde vraagt om dat te doen

Maar nu zit ik mij iets af te vragen, kun je niet (met oog op veiligheid) bepaalde verkooppunten whitelisten zodat alléén daar contactloos betalen mogelijk is en het op alle andere plekken geweigerd wordt? Of is dat te ingewikkeld voor banken om te implementeren

Alles kan, maar dat klinkt als een hel om te ontwikkelen, bij te houden en begrijpbaar te maken. Plus dat ik denk dat echt maar een minimale hoeveelheid mensen daar gebruik van zou maken. Ergo: hoogstwaarschijnlijk niet de moeite waard.

[Trommelrem]

quote:

Valorian schreef op zondag 13 augustus 2017 @ 12:31:
Ik heb ook eens een casus voorbij zien komen in een video waarbij globaal (weet niet meer precies zeker hoe het zat) het volgende gebeurde:

- Slachtoffer betaald in winkel, mét pincode (want > 25 euro, of gewoon omdat 'ie dit wilt) maar heeft een pas waarbij draadloos betalen mogelijk is.
- Een crimineel kijkt mee en ziet de pincode.
- Buiten wordt met een draadloos pinautomaat een betalingsverzoek op gang gebracht door de crimineel
- De crimineel loopt vervolgens dicht genoeg langs het slachtoffer om de pinpas in koppeling te brengen met automaat
- Crimineel toetst de eerder afgekeken pincode in en geld is binnen. Slachtoffer heeft niets door en hoeft zelf niets in te toetsen of te bevestigen.

Weet iemand of die 'truuk' nog steeds kan, én hoe dichtbij je bij iemand moet komen?

EDIT: Dit dus: http://www.telegraaf.nl/d...t_duizenden_euro_s__.html

Dat artikel is inmiddels achterhaald. Als je een bepaald type pin automaat weet te bemachtigen heb je dus helemaal geen pin code meer nodig: Je kunt voor iedere transactie boven de 25 euro een random pincode gebruiken, mits je maar 5 of 6 cijfers gebruikt.

[Jaaap]

quote:

Sissors schreef op zondag 13 augustus 2017 @ 12:26:
Zoals ook eerder geschreven hier, het is algemeen bekend dat dit mogelijk is. Ipv de 60cm van hun kan je ook nog wel verder komen. Maar de reden dat dit (als het goed is) weinig uitmaakt, is hetzelfde als waarom skimmers zich altijd richtte op de magneet strips: Die is onbeveiligd, de NFC communicatie is versleuteld. Beperkte range van NFC is natuurlijk een pré, maar het zou te idioot voor woorden zijn als er draadloos onversleutelde gegevens voor een transactie werden rondgestuurd.

Oftewel: No shit dat het is af te luisteren. Maar de vraag is meer wat je ermee kan.

Je kunt ermee betalen met de NFC pas van iemand anders.
Je zet 1 transceiver op een plek waar veel publiek komt en de andere houd je in de buurt van een betaalterminal.
Dit werkt alleen als er geen pincode opgegeven hoeft te worden.

[GemengdeDrop]

Ik kan me eigenlijk maar één attack-vector indenken:

1. (buitenlandse) bende criminelen richt bv'tje op, op naam van katvanger
2. bv vraagt - legaal - pin apparaat met internetverbinding aan op een legale tegenrekening
3. bende gaat an-masse 25 euro beuren op a'dam centraal voor één dag via VPN naar thuisland
4. bende zuigt rekening van katvanger leeg op dezelfde dag en doet de katvanger iets aan waardoor die nooit meer een link met de bende kan geven

Het zwakke punt zit 'm in de terminals. Als de uitgifte van die dingen goed gecontroleerd word dan is bovenstaande volgensmij het enige dat je zou kunnen doen. En dat moeten de banken dan gewoon verzekeren.

Maar, dat gezegd hebbende: ik heb liever de kans dat ze een keertje 25 euro draadloos pinnen (wat ik dan weer terug kan krijgen), dan dat ik met een honkbalknuppel in m'n hoofd in de sloot lig zonder geld omdat ze m'n pincode hebben afgekeken.

Verder: ik zou graag technische details weten. Eg, hoe werkt het nu eigenlijk. Dus, protocollen etc. Zou heel verhelderend kunnen zijn en daar hoeft geen aluhoedsje bij komen kijken.

[ANdrode]

quote:

Trommelrem schreef op zondag 13 augustus 2017 @ 12:57:
[...]

Dat artikel is inmiddels achterhaald. Als je een bepaald type pin automaat weet te bemachtigen heb je dus helemaal geen pin code meer nodig: Je kunt voor iedere transactie boven de 25 euro een random pincode gebruiken, mits je maar 5 of 6 cijfers gebruikt.

Het was ooit mogelijk (Schneier on Security/Cambridge paper) om bij PIN+CHIP "lokaal" te authenticeren, terwijl je aan de bank doorgaf dat cardholder validation ("handtekening") gebruikt was.

Als het goed is hebben banken hun EMV controles ondertussen zo geconfigureerd dat alleen online validatie mogelijk is voor betalingen > EUR 25. Daarbij moet de bank een bericht direct vanaf de chip krijgen én moet er de gekozen authenticatiemethode gebruikt worden.

Als de state of the art veranderd is: Graag een link

Ik zou eerder bang zijn voor de "shopshifting" achtige aanvallen.

[thof1]

quote:

GemengdeDrop schreef op zondag 13 augustus 2017 @ 13:09:
(...)

• bende zuigt rekening van katvanger leeg op dezelfde dag en doet de katvanger iets aan waardoor die nooit meer een link met de bende kan geven

(...)

Wordt het geld wel dezelfde dag al op die rekening overgeboekt? Als daar een vertraging in zit dan zou dat ook nog kunnen schelen in misbruik. Dan kan de boeking wellicht nog teruggedraaid worden.

[sypie]

quote:

Ch4oZZzz schreef op zaterdag 12 augustus 2017 @ 23:02:
Maar punt blijft staan. Waarom is de optie UIT bij de bank ook niet echt gewoon uit. En zijn er banken waar uit wel echt uit is?

Om echt antwoord te geven op je punt: om NFC echt uit te schakelen moet de bank je pasje fysiek in handen hebben. Zoals je hebt kunnen zien in dit topic zit er een antenne in je pasje. Om die antenne uit te schakelen zal de pas aangepast moeten worden of zul je een pas moeten aanvragen waar in z'n geheel geen NFC in zit. Ook hierop heb je antwoord gehad, een pas zonder NFC kun je bij je bank aanvragen.

Het uitschakelen betalen wat je nu hebt gedaan is alleen maar ee softwarematige instelling die bij je bank bekend is. Zodra je je pas aanbied wordt meteen pincode gevraagd, je kunt dus niet tot €25 betalen zonder pincode. Deze manier van uitschakelen zal bij alle banken het zelfde zijn omdat ook zij je pas niet fysiek onder handen hebben genomen.

Om een lang verhaal kort te maken (een iPad tikt nou eenmaal niet zo fijn): vraag een pas aan bij je bank zonder NFC. Softwarematig uitschakelen kan er niet voor zorgen dat de antenne niet meer werkt.

[Sissors]

Van een Credit Card kan ik iig pincode wijzigen in een automaat van mijn eigen bank. In theorie kunnen ze dan ook de optie geven NFC uit te schakelen.

[sypie]

Zoals gezegd: NFC uitschakelen is een fysieke handeling, door de antenne te onderbreken. Dit betekent dat je graag wilt dat er een perforator in een pinautomaat komt?

[Sissors]

quote:

sypie schreef op zondag 13 augustus 2017 @ 13:50:
Zoals gezegd: NFC uitschakelen is een fysieke handeling, door de antenne te onderbreken. Dit betekent dat je graag wilt dat er een perforator in een pinautomaat komt?

Nee, dat in de chip het bitje 'EnableNFC' op 0 wordt gezet. Er zit gewoon een beveiligde controller in een pinpas, die kan instellingen ontvangen (gezien ik dus mijn pincode iig bij de CC kan wijzigen), dus in principe kunnen ze het ook maken dat je NFC uit kan schakelen in de chip. Wel goede kans dat je nieuwe passen ervoor nodig hebt, en de vraag is waarom je het zou willen.

[incaz]

quote:

GemengdeDrop schreef op zondag 13 augustus 2017 @ 13:09:
Het zwakke punt zit 'm in de terminals. Als de uitgifte van die dingen goed gecontroleerd word dan is bovenstaande volgensmij het enige dat je zou kunnen doen. En dat moeten de banken dan gewoon verzekeren.

Het punt is natuurlijk dat wij die verzekering net zo goed betalen, betaalrekeningen kosten geld, spaarrekeningen hebben weinig rente - minstens een deel ervan (maar de omvang is niet bekend vziw) is natuurlijk omdat er gecompenseerd moet worden voor fraude en misbruik. Daarmee spreiden we de lasten en dat is goed - maar het betekent niet per se dat de veiligheid op zich voldoende gegarandeerd wordt.

quote:

Maar, dat gezegd hebbende: ik heb liever de kans dat ze een keertje 25 euro draadloos pinnen (wat ik dan weer terug kan krijgen), dan dat ik met een honkbalknuppel in m'n hoofd in de sloot lig zonder geld omdat ze m'n pincode hebben afgekeken.

Dat noemt men ook wel een 'vals dilemma' Uiteindelijk is dat namelijk niet de keuze. Het is niet dat omdat er criminelen zijn die via draadloos betalen geld incasseren, de kans kleiner is dat andere criminelen jou met geweld beroven.

[GemengdeDrop]

quote:

incaz schreef op zondag 13 augustus 2017 @ 14:04:
maar het betekent niet per se dat de veiligheid op zich voldoende gegarandeerd wordt.

true

quote:

Dat noemt men ook wel een 'vals dilemma'

Als die spreekwoordelijke honkbalknuppel opeens niet meer spreekwoordelijk blijkt te zijn valt dat opeens reuze mee

quote:

Het is niet dat omdat er criminelen zijn die via draadloos betalen geld incasseren, de kans kleiner is dat andere criminelen jou met geweld beroven.

Nou, wacht even, het maakt *mijn* attack-surface voor een dergelijke aanval wel kleiner als ik NFC gebruik ipv pin intoetsen. Nou is pin-pas beroving zowieso vrij gewelddadig, maar een crimineel moet je toch eerst de code ontfutselen. Als die de code al heeft is het veel uitnodigender om jou als individu als slachtoffer er tussenuit te pikken.
Bedenk dit: kleine transacties doe je er veel van én ze vinden plaats onder slecht gecontroleerde omstandigheden (markt/krappe winkel) zonder goede video bewaking waar het makkelijk is voor criminelen om de pin af te kijken. Ik weet inderdaad niet wat er gebeurt zodra iedereen NFC gebruikt - misschien verschuift de criminaliteit dan wel weer richting ouderwets huizen overhoop halen/mes-op-keel. Maar voorlopig heb ik nog niet van een geslaagde NFC actie gehoord. Daarnaast: je mag het en vals dilemma noemen, maar als jij op het station je rammelbakje parkeert zonder een vracht-ketting in drievoud dan moet je ook niet verbaasd staan dat daarna alleen nog je voorband in het rek staat

quote:

thof1 schreef op zondag 13 augustus 2017 @ 13:35:
[...]
Wordt het geld wel dezelfde dag al op die rekening overgeboekt? Als daar een vertraging in zit dan zou dat ook nog kunnen schelen in misbruik. Dan kan de boeking wellicht nog teruggedraaid worden.

Nouja, ik weet het dus gewoon niet. Ik kan de vermeende (on)veiligheid gewoon niet goed inschatten omdat ik verder geen idee heb hoe het achter de schermen werkt. Wel denk ik dat het spul nu lang genoeg op de markt is om het argument op te kunnen hangen dat als het vrij simpel was geweest, dat het dan al lang massaal geflikt was - al moet je wel ontzettend oppassen ivm met exploits/backdoors.

Ik had wel dit en dit gevonden, waar ik dan weer minder blij van word. Secure-by-design is iets anders als secure-by-implementation, maar ik vermoed dat de banken met zo verschrikkelijk veel legacy zooi moeten dealen dat het gewoon altijd wel ergens gaat breken.

[xFeverr]

Eens met @GemengdeDrop! Je pincode intoetsen is vele malen gevaarlijker: dat is de toegangssleutel tot meer geld. Hoe meer je die code intoetst, hoe meer de kans is dat iemand hem heeft gezien. Als je al vele kleinere betalingen kan doen zonder die code is dat veel veiliger. De tot Max 50 euro te verkrijgen poen zonder code is daartegen verzekerd. En daarbij, als je inmiddels al een euro of 35 heb betaald zonder code blijft er nog 15 euro over. Dat resterende bedrag is nergens te lezen en je staat me toch een partij voor joker als dat ding zegt 'pin vereist' en je hebt die niet.

Daarbij: voor klanten van bijvoorbeeld een Rabobank is het helemaal gevaarlijk je pincode ergens in te toetsen. Daarmee geef je gelijk de sleutel weg tot je internet bankieren. Hoeven ze alleen nog je pasje te jatten en ze kunnen aan de haal met je centen. Zo'n scanner krijg je zo in handen.

Mijn tip: aan laten staan en gebruiken. Vele malen veiliger en de risico's voor misbruik liggen bij de bank.

[ANdrode]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 17:30:
En daarbij, als je inmiddels al een euro of 35 heb betaald zonder code blijft er nog 15 euro over. Dat resterende bedrag is nergens te lezen en je staat me toch een partij voor joker als dat ding zegt 'pin vereist' en je hebt die niet.

Echt geen enkel probleem in de praktijk. Je kan zonder problemen een andere pas gebruiken op dat moment. Ik doe dat zelf regelmatig want ik vind dat makkelijker dan pin intypen…

[incaz]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 17:30:
Eens met @GemengdeDrop! Je pincode intoetsen is vele malen gevaarlijker: dat is de toegangssleutel tot meer geld.

Dat is niet zomaar waar natuurlijk: de pincode is een deel van het 2FA-systeem waar je ook je pas voor nodig hebt (of in het verleden, een kloon van de magneetstrip.)

quote:

Hoe meer je die code intoetst, hoe meer de kans is dat iemand hem heeft gezien.

Ja, maar dat is nog niet genoeg, want je moet ook toegang hebben tot de pas / chip / magneetstrip (die overigens op dit moment in veel gevallen niet meer werkt zonder activatie.) Dus je vergelijking gaat niet zonder meer op.

quote:

Als je al vele kleinere betalingen kan doen zonder die code is dat veel veiliger. De tot Max 50 euro te verkrijgen poen zonder code is daartegen verzekerd.

Ja, door andere gebruikers van de bank. Dat betalen we uiteindelijk toch nog steeds samen.

quote:

En daarbij, als je inmiddels al een euro of 35 heb betaald zonder code blijft er nog 15 euro over. Dat resterende bedrag is nergens te lezen en je staat me toch een partij voor joker als dat ding zegt 'pin vereist' en je hebt die niet.

Daarmee schets je wel een wat misleidend beeld van het mogelijke misbruik dat ermee zou kunnen optreden: als dit een vorm van gerichte criminaliteit zou worden, dan wordt dit niet gebruikt om bij de kiosk een broodje af te rekenen, maar om via een betaalterminal en een katvangersrekening snel veel geld te skimmen op locaties waar het druk is. Elke transactie die om bevestiging vraagt om een pincode breek je dan gewoon af.

quote:

Daarbij: voor klanten van bijvoorbeeld een Rabobank is het helemaal gevaarlijk je pincode ergens in te toetsen. Daarmee geef je gelijk de sleutel weg tot je internet bankieren. Hoeven ze alleen nog je pasje te jatten en ze kunnen aan de haal met je centen. Zo'n scanner krijg je zo in handen.

Daar ben ik het mee eens, en dat heeft me inderdaad een niet helemaal veilig gevoel gegeven. Ergens bevalt de aparte identifier van de ASN/SNS me wel.

quote:

Mijn tip: aan laten staan en gebruiken. Vele malen veiliger en de risico's voor misbruik liggen bij de bank.

Ik vind gewoon contant geld nog veiliger voor kleine bedragen (scheelt namelijk ook in privacy-risico's.) Het raakt helaas alleen een beetje uit de mode.

[Kapotlood]

quote:

wttj schreef op zondag 13 augustus 2017 @ 09:07:
NFC lezers werken alleen als ze maar 1 chip zien. Al zit je bankpas in je portomonee met je ID en OVchipkaart kan niemand hem lezen.

Niet iedereen heeft z'n ID en/of OV-chipkaart altijd bij zich (hooguit een rijbewijs). Ik kan me ook vaag herinneren dat er een keer een artikel over dat contactloos betalen was, ik kan alleen niet meer vinden waar... maar zelfs als een groot deel wél meerdere kaarten bij elkaar heeft in zijn/haar tas, dan blijft er nog een substantieel deel over die gescamd kan worden. En valt er door handige hackers niet iets te verzinnen dat men die NFC-lezers wél kan inlezen?

[xFeverr]

quote:

incaz schreef op zondag 13 augustus 2017 @ 18:00:
Dat is niet zomaar waar natuurlijk: de pincode is een deel van het 2FA-systeem waar je ook je pas voor nodig hebt (of in het verleden, een kloon van de magneetstrip.)
[...]
Ja, maar dat is nog niet genoeg, want je moet ook toegang hebben tot de pas / chip / magneetstrip (die overigens op dit moment in veel gevallen niet meer werkt zonder activatie.) Dus je vergelijking gaat niet zonder meer op.

Dat is dus wat ik in mijn verhaal vertel: de pincode heb je al, nu alleen nog de pas en het is kassa.

quote:

Daarmee schets je wel een wat misleidend beeld van het mogelijke misbruik dat ermee zou kunnen optreden: als dit een vorm van gerichte criminaliteit zou worden, dan wordt dit niet gebruikt om bij de kiosk een broodje af te rekenen, maar om via een betaalterminal en een katvangersrekening snel veel geld te skimmen op locaties waar het druk is. Elke transactie die om bevestiging vraagt om een pincode breek je dan gewoon af.

Dan moet je wel al een hoop pasjes hebben wil je wat geld verdienen. En je hebt een gecertificeerde terminal nodig. En je hebt inderdaad de katvangersrekening nodig waar die terminal het geld naar toe stuurt. En je zit nog met de vertraging van overboeken. Nouuu... Tegen die tijd loop je al tegen de lamp als meerdere pasjes geblokkeerd zullen zijn en er meerdere klachten komen van gebruik met die terminal.

quote:

Daar ben ik het mee eens, en dat heeft me inderdaad een niet helemaal veilig gevoel gegeven. Ergens bevalt de aparte identifier van de ASN/SNS me wel.

Of de ING methode natuurlijk, waarbij geen enkel gegeven wordt gebruikt wat vermeld staat op de bankpas. Geen rekeningnummers, niks...

quote:

Ik vind gewoon contant geld nog veiliger voor kleine bedragen (scheelt namelijk ook in privacy-risico's.) Het raakt helaas alleen een beetje uit de mode.

Contant geld is juist het ergste. Ze trekken het zo je zak uit als je even niet oplet. En dat kunnen ze echt snel hoor, vergis je daar niet in. Bovendien zie je wat er gebeurt met contant geld: plofkraken, overvallen, vandalisme... Bij NS zit er ook geen geld meer in de vendingmachines, wat mij betreft een goede zaak.

[incaz]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 18:50:
[...]


Dat is dus wat ik in mijn verhaal vertel: de pincode heb je al, nu alleen nog de pas en het is kassa.

Maar da's dus best nog wel een voorwaarde, en het schaalt heel slecht. Het is uiteindelijk vooral een handeling van 1 pas per keer waarbij je iemand fysiek wat moet ontnemen.

quote:

Dan moet je wel al een hoop pasjes hebben wil je wat geld verdienen.

Ja, maar het punt is dus dat het veel makkelijker is om in de buurt te komen van veel passen dan om ze ook daadwerkelijk te stelen. Bij beursen, concerten, in druk ov (allemaal situaties die ook zakkenrollers aantrekken) kom je ook makkelijk in de buurt van veel passen om een NFC-betaling te initieren.
De veiligheid hangt dan dus geheel af van in hoeverre de banken hun terminals en de betalingen weten te controleren, want de fysieke barriere tot passen / geld is nog lager dan bij zakkenrollen.

En ook al hebben we wel vertrouwen in de Nederlandse banken - weten we zeker dat de communicatie tussen banken net zo snel en oplettend is? Hoe makkelijk gaat het worden om via een ander land een terminal te verkrijgen, het geld te incasseren en al weg te zijn voor de diverse banken hebben gecommuniceerd dat de transacties verdacht zijn?

Ik denk daarnaast dat het, zeker bij kleinere bedragen, door veel mensen niet zomaar opgemerkt zal worden en zeker niet meteen. Lang niet iedereen loopt voortdurend alle afboekingen na, (en als dat wel verwacht zou worden, dan haalt dat het gemak en de tijdswinst ook weer onderuit eigenlijk.)

Dus ik denk dat de praktijk moet uitwijzen wat wel of niet werkt en of de detectie actief genoeg is, maar dat het echt voorbarig is dat het niet of nauwelijks misbruikt kan worden.

[Sissors]

Lijkt me dat bij een terminal van een ander land alarmbellen nog veel sneller af gaan. Als er ineens heel aantal NFC betalingen worden verricht via een Poolse terminal bij mensen die net nog bij de snackbar in Groningen een patatje hebben gekocht.

[incaz]

@Sissors Wie zou dat moeten zien dan? Hoe detecteer je dat?
De Poolse bank ziet de snackbar in Groningen niet, maar ziet slechts een lijst van betalingen op die terminal. Wel ziet de Poolse bank dat die betalingen komen van Nederlandse pashouders... maar tegelijkertijd: dat kan net zo goed legitiem gebruik zijn. Als een bedrijf bv veel op beurzen staat met een standje met verkoopwaar, dan is het helemaal niet gek.

De aanname dat die mensen net een betaling hebben gedaan met NFC hoeft bovendien niet op te gaan: juist als je zo skimmen op drukke plekken zoals het OV op bepaalde tijden / trajecten, dan betalen mensen niet precies op dat moment. Voor de Nederlandse banken is dat patroon volgens mij niet automatisch te herkennen. (Meerdere transacties op 1 pas nog wel, maar niet het skimmen van meerdere passen. Dat is ruis die wegvalt in het normale verkeer en gewoon niet te herkennen is.)

De veiligheid hangt hier volledig af van de betrouwbaarheid van de Poolse bank die de terminal uitgeeft - en die bank is vervolgens weer afhankelijk van onder andere verdachtmeldingen van Nederlandse banken.

(Wat me brengt bij een ander mogelijk scenario, iets wat bij internetverkoop regelmatig gezien wordt: verkopers die in eerste instantie betrouwbaar zijn, in de loop van hun bestaan in de problemen komen, en dan een laatste run doen. Bij terminals rust de bescherming daartegen voor het grootste gedeelte op de leesafstand van de terminal: hoe gemakkelijker het is om in de buurt te komen van passen zonder dat de paseigenaar dat wil, hoe groter de potentie voor misbruik. Dat is een vrij specifiek scenario, maar ik denk dat het wel een paar keer gezien gaat worden. Of het bijvoorbeeld ook zin zou hebben om specifiek je betrouwbaarheid op te bouwen zodat je die laatste run kunt doen lijkt me onwaarschijnlijker - maar ook dat soort dingen zijn voorgekomen.)

[markb1994]

Wat een onzin discussie. Ik heb alleen nog maar onzin argumenten gehoord. Waarom zou je het uit willen zetten? Je hoeft het niet te gebruiken.

[turtles3]

Als die verdomde chip bij jouw altijd kapot gaat dan ligt dat aan jouw en niet aan de chip. Er bestaat niets op deze wereld wat niet slijt. Bij mij is de chip nog nooit kapot gegaan, maar misschien ben ik wat zuiniger op mijn spullen.

quote:

3x3 schreef op zaterdag 12 augustus 2017 @ 22:29:
Zeker als je geld op je bankrekening hebt staan is contactloos betalen zonder het gebruik van je pincode voor kleine bedragen risico vermijdend. Je hebt minder (of geen) kans dat op drukke plekken waar je een kleine betaling doet, je pincode wordt meegekeken.

Daarnaast gaat bij mij altijd die verdomde chip van mijn bankpas stuk, dus is het fijn dat je met contactloos betalen een manier van betalen hebt die veilig is maar ook niet slijt.


ABN AMRO heeft de keuze voor een bankpas die fysiek en functioneel géén NFC mogelijkheid heeft.
[afbeelding]

Maar zoals gezegd, de techniek kent op dit moment echt significant veel minder kans op fraude dan ouderwets pinnen met de chip van de pas, en is helemaal veilig in vergelijking met de goede oude magneetstrip, want die was heel skimmingsgevoelig.

[jandebehanger]

quote:

[b]xFeverr schreef op zondag 13 augustus 2017 @ 17:30:
Daarbij: voor klanten van bijvoorbeeld een Rabobank is het helemaal gevaarlijk je pincode ergens in te toetsen. Daarmee geef je gelijk de sleutel weg tot je internet bankieren. Hoeven ze alleen nog je pasje te jatten en ze kunnen aan de haal met je centen. Zo'n scanner krijg je zo in handen.

Eigenlijk heb ik helemaal niets met betalen met een pasje, laat staan kontaktloos.
Echter dit is wel het argument om het kontaktloos betalen weer aan te zetten weer aan te zetten.

[Sissors]

quote:

incaz schreef op zondag 13 augustus 2017 @ 20:23:
@Sissors Wie zou dat moeten zien dan? Hoe detecteer je dat?
De Poolse bank ziet de snackbar in Groningen niet, maar ziet slechts een lijst van betalingen op die terminal. Wel ziet de Poolse bank dat die betalingen komen van Nederlandse pashouders... maar tegelijkertijd: dat kan net zo goed legitiem gebruik zijn. Als een bedrijf bv veel op beurzen staat met een standje met verkoopwaar, dan is het helemaal niet gek.

Dat zie de Rabobank, op het moment dat de Warschau Bank ze een verzoekje stuurt om geld te overhandigen omdat er een hoop mensen hebben gepind op hun terminal. Ervan uitgaande dus dat de Warschau Bank het zelf al niet geblokkeerd heeft.

quote:

(Wat me brengt bij een ander mogelijk scenario, iets wat bij internetverkoop regelmatig gezien wordt: verkopers die in eerste instantie betrouwbaar zijn, in de loop van hun bestaan in de problemen komen, en dan een laatste run doen. Bij terminals rust de bescherming daartegen voor het grootste gedeelte op de leesafstand van de terminal: hoe gemakkelijker het is om in de buurt te komen van passen zonder dat de paseigenaar dat wil, hoe groter de potentie voor misbruik. Dat is een vrij specifiek scenario, maar ik denk dat het wel een paar keer gezien gaat worden. Of het bijvoorbeeld ook zin zou hebben om specifiek je betrouwbaarheid op te bouwen zodat je die laatste run kunt doen lijkt me onwaarschijnlijker - maar ook dat soort dingen zijn voorgekomen.)

Oh dat denk ik ook. Dat idee heb ik heir ook al eerder geopperd. Er kan wel misbruik van worden gemaakt, als je een legitieme terminal hebt en toegang hebt tot de tegenrekening. En de ervaring hebt hoe je met een betaal terminal door een stad kan lopen zonder dat het mensen gaat opvallen.

Dat lukt je één keer, je haalt wat inkomsten op, mensen bellen hun bank, bank stort alles terug, diegene is nu een gezochte crimineel.

Maak je je erg druk over dat scenario, ja dan kan je je ertegen wapenen met een pasjes houder van aluminium bijvoorbeeld. Ik maak me niet heel erg druk over zulk soort scenarios.
Fraude gaat voorkomen, daar kan geen twijfel over bestaan! Maar hoe groot is de kans?

Ik heb nog een ander idee om fraude (diefstal) te plegen. Snackbar loopt slecht, dus ik ga wat klussen. Even een LCD schermpje over het standaard schermpje van de betaal terminal doen. Die gewoon alles netjes hetzelfde laat zien, inclusief dat je €7.50 voor je maaltijd moet betalen. Enkel op de echte terminal ben je €750 aan het betalen. Dan ben je ook opgelicht, en ook over dat scenario maak ik me niet heel veel zorgen.

[incaz]

Zolang de banken zich daar maar wel zorgen over maken, want eh... het is niet goed als er zomaar 750 euro wordt afgeschreven als je een patatje koopt. De veiligheid en betrouwbaarheid van ons geldsysteem is belangrijk - en een beetje bewustheid van de gevaren die er kunnen spelen lijkt me essentieel. Soms denken we wel erg gemakzuchtig dat het allemaal wel mee zal vallen, dat dat magischerwijs wel zal worden opgepikt - en ondertussen betalen we als maatschappij toch de rekening voor een aantal risicovolle systemen.

Dat is niet iets wat alleen maar bij een paar veiligheidstechnici bij de banken moet liggen. (De details wel, maar het in het algemeen nadenken over dergelijke zaken niet.)

[Trommelrem]

quote:

ripexx schreef op zondag 13 augustus 2017 @ 12:15:
[...]
Deze casus is bekend en betreft een fout in de terminal versie. In het normale verkeer wordt ook je PIN aan de bank kant gecontroleerd. D'r zijn ook voorbeelden waarbij tbv skimming complete terminals zijn verwisseld bij kassa's zonder dan de eigenaar het wist. Allemaal excessen in een omgeving waar we het alleen al in NL over enkele miljarden aan transacties hebben.

En nog lang niet zijn alle terminals voorzien van nieuwere firmware. Het werkt gewoon nog: Zodra je meer dan 4 cijfers intypt, dan wordt iedere pin code geaccepteerd.

En ook al wordt deze fout gerepareerd, betekent het dan niet dat het systeem vanaf begin af aan al verkeerd is ontworpen, omdat de automaat simpelweg te veel rechten heeft?

[xFeverr]

quote:

incaz schreef op zondag 13 augustus 2017 @ 20:23:
@Sissors Wie zou dat moeten zien dan? Hoe detecteer je dat?
De Poolse bank ziet de snackbar in Groningen niet, maar ziet slechts een lijst van betalingen op die terminal. Wel ziet de Poolse bank dat die betalingen komen van Nederlandse pashouders... maar tegelijkertijd: dat kan net zo goed legitiem gebruik zijn. Als een bedrijf bv veel op beurzen staat met een standje met verkoopwaar, dan is het helemaal niet gek.

Wat een complete onzin. Er gaan weldegelijk alarmbellen als je binnen een uur een betaling heb gedaan in Nederland en een plek waar je onmogelijk binnen een uur kan zijn... Dit soort controles zitten gewoon in het betaalverkeer en de centrale bank houd dat in de gaten.

[alwaysleft]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 21:02:
[...]


Wat een complete onzin. Er gaan weldegelijk alarmbellen als je binnen een uur een betaling heb gedaan in Nederland en een plek waar je onmogelijk binnen een uur kan zijn... Dit soort controles zitten gewoon in het betaalverkeer en de centrale bank houd dat in de gaten.

Precies. Ben eens geskimd, werd binnen half uur gebeld door mijn bank.

[Deathchant]

Met verbazing heb ik gekeken hoe de TS benaderd wordt over iets dat hij niet wilt.... compleet uitgehoord wordt over welke risico's hij wel niet ziet. Hij wilt weten hoe uit écht uit is. Is het zo moeilijk om te respecteren dat er mensen zijn die niét de voordelen ervan in ziet en het gewoon uit wilt hebben?

[incaz]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 21:02:
Wat een complete onzin. Er gaan weldegelijk alarmbellen als je binnen een uur een betaling heb gedaan in Nederland en een plek waar je onmogelijk binnen een uur kan zijn...

Alleen was dat het scenario niet. De Poolse terminal kan zich best legitiem in Nederland bevinden, zoals bij verkopers op beurzen.

Plus dat het helemaal niet gezegd is dat mensen ook een betaling doen: als je op drukke punten scamt is de kans groot genoeg dat mensen helemaal geen betalingen aan het doen zijn op dat moment, en dat de meeste mensen dus gewoon een onopvallende enkele transactie hebben, geen twee.

(Overigens, goed dat banken alert zijn op skimming! Dan nog is voorzichtigheid geboden. De bewustheid voor skimmen had ook even tijd nodig.)

[ripexx]

quote:

xFeverr schreef op zondag 13 augustus 2017 @ 21:02:
[...]


Wat een complete onzin. Er gaan weldegelijk alarmbellen als je binnen een uur een betaling heb gedaan in Nederland en een plek waar je onmogelijk binnen een uur kan zijn... Dit soort controles zitten gewoon in het betaalverkeer en de centrale bank houd dat in de gaten.

Sorry maar dit is echt onzin, de centrale bank (DNB? ECB?) doen niets in het cards gebeuren. Fraude detectie wordt bij diverse partijen gedaan, van card schemes, tot banken en processors. Welke controller er allemaal zijn, zullen nooit bekend worden gemaakt. Binnen een bank heeft maar een hele kleine groep inzicht in de daadwerkelijke rules.

quote:

Trommelrem schreef op zondag 13 augustus 2017 @ 21:00:
[...]
En nog lang niet zijn alle terminals voorzien van nieuwere firmware. Het werkt gewoon nog: Zodra je meer dan 4 cijfers intypt, dan wordt iedere pin code geaccepteerd.

En ook al wordt deze fout gerepareerd, betekent het dan niet dat het systeem vanaf begin af aan al verkeerd is ontworpen, omdat de automaat simpelweg te veel rechten heeft?

Nee het systeem is niet verkeerd ontworpen, er ziet gewoon een optie in de cards schemes die card holder verifcation aanbieden, dan kan je zonder PIN code verificatie een betaling doen. Zo zijn er meer van dt soort specifieke toepassingen, denk aan bijvoorbeeld TOL poorten. Daarom worden terminals ook gecertificeerd.

ripexx wijzigde deze reactie 13-08-2017 22:41 (34%)

[Xeodopel]

quote:

Ch4oZZzz schreef op zaterdag 12 augustus 2017 @ 23:02:
Risico's?: Er is geen fysiek contact nodig om de pas uit te lezen. Welke gegevens kunnen er worden uitgelezen. Wat kan je allemaal met die gegevens. Misschien is het nu nog geen probleem, maar OV chipkaart was in begin ook niet te hacken. Techniek staat niet stil.
Natuurlijk kun je pas wel in zo'n beschermend hoesje doen.
Maar punt blijft staan. Waarom is de optie UIT bij de bank ook niet echt gewoon uit. En zijn er banken waar uit wel echt uit is?

Ik was gister mijn ING pas thuis kwijt, maar wist vrij zeker waar hij was (op kantoor). Toch maar even voor de zekerheid in the ING portal Contactloos betalen uit gezet. Vandaag inderdaad mijn ING pas op kantoor gevonden. Ik wou nog even mijn werkgevers pas opwaarderen met geld wat wij nodig hebben in de kantine, dus ik dacht pin even contactloos. Werd dus mooi geweigerd. Ik kon niet contactloos betalen met mijn pas. Er werd mij ook niet gevraagd voor een PIN code, ook niet voor het kleine bedrag wat ik wou.

Dus het lijkt erop dat bij de ING pas 'UIT' ook echt 'UIT' is.

[Speedmaster]

quote:

Xeodopel schreef op dinsdag 15 augustus 2017 @ 15:09:
[...]

Dus het lijkt erop dat bij de ING pas 'UIT' ook echt 'UIT' is.

Dat klopt, bij de ING is UIT echt UIT. Aangezien de ING het risico bij mij neerlegt in geval van misbruik heb ik dit direct uitgezet. Zit niet te wachten op deze extra functionaliteit. Ik pin wel gewoon met pincode.

[Raling]

quote:

Ch4oZZzz schreef op zaterdag 12 augustus 2017 @ 22:22:
Zijn er banken die nog passen zonder NFC leveren? Of waar 'uit' ook echt UIT is?

Vergeet niet dat er ook geen NFC logo op moet staan, anders krijg je in sommige landen boze gezichten. In Spanje bijvoorbeeld is het normaal dat de ander jouw pas voor jou in de terminal doet. Men ziet een logo en probeert het pasje er tegenaan te houden. Ik zeg "Nope, doesn't work", maar het is dan al te laat en de betaling wordt dan afgebroken. De betaling moet dan opnieuw gedaan ingevoerd worden.

Ik heb een Rabobank pas en NFC uit staan, maar voor zover ik weet is dat in mijn geval ook echt uit. Ik heb namelijk nooit een terminal naar mij toe geschoven gekregen om de pincode in te toetsen, maar elke keer werd de betaling geannuleerd en opnieuw gedaan met de pas erin.

[alwaysleft]

quote:

Speedmaster schreef op dinsdag 15 augustus 2017 @ 15:20:
[...]


Dat klopt, bij de ING is UIT echt UIT. Aangezien de ING het risico bij mij neerlegt in geval van misbruik heb ik dit direct uitgezet. Zit niet te wachten op deze extra functionaliteit. Ik pin wel gewoon met pincode.

De ING legt het risico niet bij je, bij misbruik. Hoe kom je daarbij?

[Hoijong]

quote:

Deathchant schreef op zondag 13 augustus 2017 @ 21:28:
Met verbazing heb ik gekeken hoe de TS benaderd wordt over iets dat hij niet wilt.... compleet uitgehoord wordt over welke risico's hij wel niet ziet. Hij wilt weten hoe uit écht uit is. Is het zo moeilijk om te respecteren dat er mensen zijn die niét de voordelen ervan in ziet en het gewoon uit wilt hebben?

Wat heeft dat met respecteren te maken?
Moeten we allemaal hetzelfde denken?
Als hij kritische vragen krijgt en hij heeft daar een antwoord op dan is het toch een prima discussie. Zo niet, dan kan het ook een prima discussie zijn, maar wellicht bevalt het TS of gelijkgezinden dan wat minder.

Ik verbaas me vooral erover dat iemand zich hier druk over maakt, dat heeft toch niets met respect te maken?

Je hele dagelijkse leven maak je (on)bewust risicoafwegingen. Vooral onbewust. Kun je ook heel slecht van slapen als je daar gevoelig voor bent.

Gelukkig zijn er blijkbaar genoeg banken waarbij uit ook echt uit is. Dan heb je meteen een prima alternatief als het je zo hoog zit.

[Masterkiwi]

Ik heb speciaal mijn verloren wachtwoord opnieuw aangevraagd om mijn ervaringen hier even aan toe te voegen.
Zonder in details te treden het volgende:
- Er wordt inderdaad gebruik gemaakt van tracking vanuit de NFC chip. Near field is niet altijd near field.
Dit wordt daarentegen ook gedaan met Bluetooth, WiFi scanning, NFC in je mobiel en cellular contact.
- Er wordt inderdaad erg makkelijk misbruik van gemaakt, van dichtbij, zoals een gevonden pinpas misbruiken,
of op andere manieren. (je hebt geen idee hoe makkelijk het is om een 40 euro pinapparaat te vinden en
te koppelen aan een buitenlandse rekening die, ja nog steeds, niet te traceren hoeven te zijn)

Wat ik mij voor kan stellen is:
- Ik heb echt geen behoefte aan een sleeve voor mijn pinpas,
- Het voelt simpelweg veiliger om altijd een kleine beveiliging te hebben,
- De helft van de 'geskimde' mensen ziet het en boekt het terug, de andere helft niet. Makkelijk verdienen.
- Ik beslis zelf wel wat ik wel of niet wil,
- Ik hou van kaas.

Bij de ABN kon ik een andere pas zonder NFC aanvragen toen ik zomaar een nieuwe kreeg.
De Rabobank kan dat inderdaad niet.

[Kewl_one]

Topic gelezen en toch ook maar even mijn bijdrage..

Je mag er vanuit gaan dat het met de huidige stand van de techniek voor een slimmerik mogelijk is om op een redelijke afstand van 1 a 2 meter een NFC pas uit te lezen.

Vervolgens kan diezelfde slimmerik die code in zijn telefoon met een app emuleren en vrolijk bij een aantal winkels voor minder dan 25 euro gaan shoppen... per dag in 4 winkels is al 100 euro.

Ik kijk meestal eenmaal per week even op mijn rekening of er vreemde dingen gebeurt zijn en de "schade" zou in mijn geval dus zomaar 700 euro kunnen zijn.

Daarom wil ik het ook uit zetten en de ING doet dit ook braaf. Kreeg laatst een nieuwe creditcard en jawel met NFC logo... Netjes gevraagd of ICSCards dit svp willen uitzetten maar kreeg het antwoord dat dit technisch niet kan...

Dat is natuurlijk je reinste onzin want als je die antenne van je kaart haalt is het uit... Hoezo niet willen.

Ik stof mijn Dremel maar weer eens af en zoek een sterke lamp op.

Interessante stof tot nadenken over profiling:https://www.bol.com/nl/f/...italism/9200000049285848/

en de tegenlicht uitzending daarover: https://www.npostart.nl/v.../27-10-2019/VPWON_1295417

Kewl_one wijzigde deze reactie 10-11-2019 18:05 (3%)
Reden: Foute link

[RGAT]

Kewl_one schreef op zondag 10 november 2019 @ 17:59:
Topic gelezen en toch ook maar even mijn bijdrage..

Je mag er vanuit gaan dat het met de huidige stand van de techniek voor een slimmerik mogelijk is om op een redelijke afstand van 1 a 2 meter een NFC pas uit te lezen.

Vervolgens kan diezelfde slimmerik die code in zijn telefoon met een app emuleren en vrolijk bij een aantal winkels voor minder dan 25 euro gaan shoppen... per dag in 4 winkels is al 100 euro.

Ik kijk meestal eenmaal per week even op mijn rekening of er vreemde dingen gebeurt zijn en de "schade" zou in mijn geval dus zomaar 700 euro kunnen zijn.

Daarom wil ik het ook uit zetten en de ING doet dit ook braaf. Kreeg laatst een nieuwe creditcard en jawel met NFC logo... Netjes gevraagd of ICSCards dit svp willen uitzetten maar kreeg het antwoord dat dit technisch niet kan...

Dat is natuurlijk je reinste onzin want als je die antenne van je kaart haalt is het uit... Hoezo niet willen.

Ik stof mijn Dremel maar weer eens af en zoek een sterke lamp op.

Interessante stof tot nadenken over profiling:https://www.bol.com/nl/f/...italism/9200000049285848/

en de tegenlicht uitzending daarover: https://www.npostart.nl/v.../27-10-2019/VPWON_1295417

Dus je scenario is dat iemand je stiekem een week lang volgt en elke dag 4 keer een NFC betaling weet los te peuteren, dat jij dit niet merkt ondanks dat diegene constant achter je aan loopt en na een week wanneer je er wel achter komt en de bank vertelt wat er is gebeurt jij je geld terug krijgt, die grapjas die je volgde direct gevonden wordt aangezien het pinapparaat en zijn rekening geregistreerd moet staan om te kunnen werken en vervolgens is er geen schade...
Het idee dat hij je NFC chip kopieert werkt niet zo, dat is juist het hele principe ervan, anders kunnen we inderdaad terug naar de magneetstrip tijd...
Wel zo handig enigzins te begrijpen wat iets is voordat je op basis van alleen maar aannames een conclusie vormt dat het gevaarlijk is

[Wild Chocolate]

Kewl_one schreef op zondag 10 november 2019 @ 17:59:
Topic gelezen en toch ook maar even mijn bijdrage..

Je mag er vanuit gaan dat het met de huidige stand van de techniek voor een slimmerik mogelijk is om op een redelijke afstand van 1 a 2 meter een NFC pas uit te lezen.
(...)

Heb je daar een bron voor? Ik ben benieuwd hoe zoiets eruit zou zien, hoeveel vermogen je moet uitzenden om zo'n pas te laten werken op meer dan een paar cm.

[Sissors]

Dat is overigens letterlijk het enige wat niet onzin is in zijn post. Het is mogelijk op grotere afstand een NFC verbinding op te zetten, vaak worden daar dan hele grotere antennes voor gebruikt, want je moet een behoorlijk veld opwekken zodat het pasje uberhaupt werkt. Meteen nadeel: je hebt dan al snel tientallen pasjes in de omgeving die allemaal door elkaar praten, en een richtantenne werkt voor geen meter met de afstanden en frequenties waar het hier over gaat.

Een pas uitlezen/kopieren om op een app te emuleren is onzin en onmogelijk. Je pasje heeft een €50 limiet voor NFC betalingen, dus de dader moet elke keer weer wachten tot jij een normale pin transactie hebt gedaan voor hij weer maximaal €50 zou kunnen stelen van je. En als hij dat bij een eigen pinautomaat doet aan naar zijn eigen tegenrekening is hij direct gepakt zo ongeveer. Dus om €700 per week van jou te stelen moet jij minstens 2x per dag een pintransactie doen, dan moet hij daar met een enorme antenne staan om het signaal van een pinautomaat naar jouw pasje die een paar meter verderop is te versterken, zonder dat hij het signaal naar nog 20 pasjes versterkt. En dan zou hij per keer dat jij pint twee keer €25 van je kunnen stelen.

Dit is een puur theoretisch iets. Lukt het in een lab om op die manier op grotere afstand een NFC transactie op te zetten? Vast wel. Is dit een realistisch probleem? Nee echt niet. En nogmaals voor de duidelijkheid: Het is onmogelijk dat hij jouw pasje uitleest en op een 'app' kopieert.

Edit: En misschien kom ik nu 'agressief' over, maar ik irriteer me gewoon aan mensen die door gebrek aan kennis onwaarheden gaan verkondigen.

Sissors wijzigde deze reactie 10-11-2019 19:38 (4%)

[Kewl_one]

RGAT schreef op zondag 10 november 2019 @ 18:14:
[...]


Dus je scenario is dat iemand je stiekem een week lang volgt en elke dag 4 keer een NFC betaling weet los te peuteren, dat jij dit niet merkt ondanks dat diegene constant achter je aan loopt en na een week wanneer je er wel achter komt en de bank vertelt wat er is gebeurt jij je geld terug krijgt, die grapjas die je volgde direct gevonden wordt aangezien het pinapparaat en zijn rekening geregistreerd moet staan om te kunnen werken en vervolgens is er geen schade...
Het idee dat hij je NFC chip kopieert werkt niet zo, dat is juist het hele principe ervan, anders kunnen we inderdaad terug naar de magneetstrip tijd...
Wel zo handig enigzins te begrijpen wat iets is voordat je op basis van alleen maar aannames een conclusie vormt dat het gevaarlijk is

Begrijpend lezen is een vak... Nee hij hoeft maar een keer te lezen en gaat dan met een zelfgemaakte app..... die NFC chip emuleren... En toevallig kan dat wel dus hij loopt niet achter mij aan... en schrijft NIETS naar zijn rekening over hij betaald gewoon met mijn NFC gegevens...

Zoek maar eens op google play naar een cardlezer app en kijk wat er op je eigen card staat... En ja dat is echt wel te emuleren...

Heb de nodige ervaring met toepassingen voor skiliften.... chip komt uit dezelfde fabriek...

[RGAT]

Kewl_one schreef op zondag 10 november 2019 @ 20:02:
[...]


Begrijpend lezen is een vak... Nee hij hoeft maar een keer te lezen en gaat dan met een zelfgemaakte app..... die NFC chip emuleren... En toevallig kan dat wel dus hij loopt niet achter mij aan... en schrijft NIETS naar zijn rekening over hij betaald gewoon met mijn NFC gegevens...

Zoek maar eens op google play naar een cardlezer app en kijk wat er op je eigen card staat... En ja dat is echt wel te emuleren...

Heb de nodige ervaring met toepassingen voor skiliften.... chip komt uit dezelfde fabriek...

Ah ja want skilift chips zijn hetzelfde als die op de bankpassen, goed om te weten
Kom maar eens met 1 bron/onderbouwing anders dan 'jawel hoor' dat dit mogelijk is en een onderbouwing hoe dit ooit praktisch zou zijn...
Misschien iets voor Tom Cruise in de nieuwe Mission Impossible: Ethan Hunt moet Kewl_one's NFC chip kopieren om onderweg naar huis voor 25 euro aan boodschappen te betalen'

[Kewl_one]

Wild Chocolate schreef op zondag 10 november 2019 @ 18:37:
[...]


Heb je daar een bron voor? Ik ben benieuwd hoe zoiets eruit zou zien, hoeveel vermogen je moet uitzenden om zo'n pas te laten werken op meer dan een paar cm.

Wij wikkelden zelf een spoeltje van 100 windingen om de ski chips te testen...dat was op 30 cm...

Een standaard lezer heeft nog geen 10 watt zendvermogen, vandaar dat er 4 of 5 lussen nodig zijn om de kaart op 10 cm te laten werken... Vermogen neemt kwadratisch toe met afstand dus ja je hebt een flinke accu nodig in een backpack en en grote spoel, in de orde van een demagnetizeer spoel zoals ze vroeger voor kleuren beeldbuizen gebruikten... Verdiep je in de veldtheorie en doe de math... Meer windingen is minder power.... en grotere range....

[hcQd]

Kewl_one schreef op zondag 10 november 2019 @ 20:02:
Begrijpend lezen is een vak... Nee hij hoeft maar een keer te lezen en gaat dan met een zelfgemaakte app..... die NFC chip emuleren... En toevallig kan dat wel dus hij loopt niet achter mij aan... en schrijft NIETS naar zijn rekening over hij betaald gewoon met mijn NFC gegevens...

EMV is niet domweg een token waarmee je kunt betalen, het maakt gebruik van challenge-response.

[Kewl_one]

hcQd schreef op zondag 10 november 2019 @ 20:09:
[...]

EMV is niet domweg een token waarmee je kunt betalen, het maakt gebruik van challenge-response.

Denk je dat er een Xeon processor in die NFC chip zit?... eenvoudig algoritme...en als je de chip goed uitleest heb je alles... wat je nodig hebt om ook dat te doen...

[The Killer]

Kewl_one schreef op zondag 10 november 2019 @ 20:11:
[...]


Denk je dat er een Xeon processor in die NFC chip zit?... eenvoudig algoritme...en als je de chip goed uitleest heb je alles... wat je nodig hebt om ook dat te doen...

Ehm, nee. Duizend keer nee. Ik denk dat je je moet verdiepen in asymmetrische cryptografie en de toepassing daarvan in contactloos betalen voordat je jezelf onsterfelijk belachelijk maakt.

[redwing]

The Killer schreef op zondag 10 november 2019 @ 20:23:
[...]
Ehm, nee. Duizend keer nee. Ik denk dat je je moet verdiepen in asymmetrische cryptografie en de toepassing daarvan in contactloos betalen voordat je jezelf onsterfelijk belachelijk maakt.

Inderdaad, jammer dat er iedere keer zo'n onzin verkocht wordt. Het hele idee van NFC is juist dat je hem niet zomaar kunt kopiëren. Willen ze dus meerdere keren iets afschrijven zullen ze meerdere keren direct contact met de originele kaart moeten hebben.

[Sissors]

Kewl_one schreef op zondag 10 november 2019 @ 20:02:
[...]


Begrijpend lezen is een vak... Nee hij hoeft maar een keer te lezen en gaat dan met een zelfgemaakte app..... die NFC chip emuleren... En toevallig kan dat wel dus hij loopt niet achter mij aan... en schrijft NIETS naar zijn rekening over hij betaald gewoon met mijn NFC gegevens...

Zoek maar eens op google play naar een cardlezer app en kijk wat er op je eigen card staat... En ja dat is echt wel te emuleren...

Heb de nodige ervaring met toepassingen voor skiliften.... chip komt uit dezelfde fabriek...

Ik heb geen ervaring met passen voor skiliften, maar voor heel veel simpele toepassingen wordt (/werd vroeger) gewoon de unieke ID van een chip gebruikt en die wordt in een database gegooid met IDs die toegang hebben. Nu kunnen veruit de meeste chips geen ander uniek ID krijgen, en volgens mij kunnen telefoons dat ook niet zomaar. Maar los daarvan is het met een Arduino kinderspel om zelf iets te maken met een ander uniek ID,dus onder de streep levert dat weinig veiligheid. Tegelijk vaak wel genoeg voor de toepassing waar het over gaat (eg, hoeveel gaan er nu echt skipassen kopieren).

Maar uiteraard werken NFC betalingen zo niet, die werkt zoals mijn voorgangers al zeiden met asymmetrische encryptie. En daarvoor heb je geen Xeon processor nodig, er zit gewoon een stukje hardware acceleratie in die dat doet. Als iemand die encryptie heeft gekraakt dan is die zeker weten rijk genoeg om niet jouw geld te hoeven te stelen.

Dit is overigens vergelijkbaar met wanneer je de fysieke verbinding van je pinpas gebruikt. Dat is ook de reden dat traditioneel skimmen onmogelijk is met de chip. De magneetstrip is gewoon een stukje dom geheugen, dus dat kan je wel skimmen.

Sissors wijzigde deze reactie 10-11-2019 20:59 (7%)

[Kewl_one]

Ik heb mijn bijdrage aan dit topic geleverd, en hoef niet van skimmen te leven...
.
Hoeveel rom/ram zou er op zo een chip zitten denk je... en ja er zit idd een asic in maar lang niet zo complex als je zou hopen... ruimte is gewoon te beperkt...

Ik ben het met TS eens dat zoiets opt-in moet zijn en geen verplichting. Er wordt al genoeg voor ons bepaald.

Alles wat draadloos is is inherent onveilig en wat er met de "bijvangst" aan info gebeurt kan je in de tegenlicht Docu zien... Dat soort info houdt ook de kosten voor dit soort betalingen laag...

Terug naar de sok onder het bed (rente krijg je toch niet) en lekker alles cash betalen!

[hcQd]

Op een USIM, wat nog kleiner is, draait een volledige Java-omgeving.

[The Killer]

Kewl_one schreef op zondag 10 november 2019 @ 21:18:
Ik heb mijn bijdrage aan dit topic geleverd, en hoef niet van skimmen te leven...
.
Hoeveel rom/ram zou er op zo een chip zitten denk je... en ja er zit idd een asic in maar lang niet zo complex als je zou hopen... ruimte is gewoon te beperkt...

Ik ben het met TS eens dat zoiets opt-in moet zijn en geen verplichting. Er wordt al genoeg voor ons bepaald.

Alles wat draadloos is is inherent onveilig en wat er met de "bijvangst" aan info gebeurt kan je in de tegenlicht Docu zien... Dat soort info houdt ook de kosten voor dit soort betalingen laag...

Terug naar de sok onder het bed (rente krijg je toch niet) en lekker alles cash betalen!

Volg de raad in je signature op, want je hebt echt geen flauw benul waar je het over hebt.

[timberleek]

Kewl_one schreef op zondag 10 november 2019 @ 21:18:
Hoeveel rom/ram zou er op zo een chip zitten denk je... en ja er zit idd een asic in maar lang niet zo complex als je zou hopen... ruimte is gewoon te beperkt...

De huidige stand van techniek is een stukje verder dan je doet voorkomen.
Dedicated hardware hoeft hoef niet zwaar te zijn voor zoiets. De enige reden dat die "xeon" zo zwaar zou moeten zijn (als je de dedicated hardware blokken niet gebruikt) is omdat een normale cpu er hopeloos inefficiënt in is.

Er is niet zoiets als een "pinpas uitlezen", je krijgt zijn geheugen namelijk niet te zien.
Het is niet als een simpel rfid pasje met een blokje geheugen.

Je kan het een en ander aan data naar de pas toe sturen (zoals de pincode), die wordt intern verwerkt. De (encrypted) response gaat naar de bank. Klopt het, dan krijgt de pinautomaat een "domme" ok terug.

[Señor Sjon]

Dit lijkt mij beter voor PFSL of BV i.p.v. AZ. Gezien de originele TS, een tikje naar PFSL.

Señor Sjon wijzigde deze reactie 11-11-2019 10:02 (38%)

[Hydra]

Ik vind het vrij bijzonder om nu nog, terwijl contactloos betalen nu echt wel heeft laten zien dat er geen enkel probleem mee is, te gaan beweren dat het allemaal onveilig is.

[ApexAlpha]

Hydra schreef op maandag 11 november 2019 @ 12:44:
Ik vind het vrij bijzonder om nu nog, terwijl contactloos betalen nu echt wel heeft laten zien dat er geen enkel probleem mee is, te gaan beweren dat het allemaal onveilig is.

Dit is een klassieke fout in de security wereld: risico en schade bepalen op theoretische kans i.p.v. praktische kans.

Theoretisch gezien kun je een contactloze bankkaart skimmen en er €24 afschrijven per keer tot de pincode nodig is. En een pincode is 1 op 9999 dus redelijk veilig.

Maar in de praktijk is de kans dat je pincode wordt afgekeken veel groter dan de kans dat iemand met zo een apparaat langs loopt. En hoe vaker je je pincode in gaat vullen hoe groter die kans wordt!

Dit was hetzelfde verhaal bij vingerafdruk op de telefoons, toen vertelden allemaal Tweakers dat je een vingerafdruk 'makkelijk' kan kopiëren van alles wat je aanraakt en dus minder veilig is dan een pincode of swipe code op je telefoon.

Wéér de klassieke fout van theoretische veiligheid (kans van 1 op 9999 pincode raden) ten opzichte van de theoretische kans dat iemand met plakband enzo je vingerafdruk jat.

[kpg]

offtopic:
@ApexAlpha geen 9999 maar 10.000 want 0000 is ook een optie

[dragonhaertt]

Kewl_one schreef op zondag 10 november 2019 @ 20:09:
[...]


Wij wikkelden zelf een spoeltje van 100 windingen om de ski chips te testen...dat was op 30 cm...

Een standaard lezer heeft nog geen 10 watt zendvermogen, vandaar dat er 4 of 5 lussen nodig zijn om de kaart op 10 cm te laten werken... Vermogen neemt kwadratisch toe met afstand dus ja je hebt een flinke accu nodig in een backpack en en grote spoel, in de orde van een demagnetizeer spoel zoals ze vroeger voor kleuren beeldbuizen gebruikten... Verdiep je in de veldtheorie en doe de math... Meer windingen is minder power.... en grotere range....

De RFID van een skipas is een compleet andere implementatie dan pinpas-NFC. We hebben het hier over near field, waarbij de energie overdracht tussen spoelen gebeurd door middel van close-coupling. Niet zozeer een radio-golf die je maar gewoon kan versterken en opschalen met wat meer vermogen.

Als je graag de wiskunde wil weten die achter de berekeningen van lezen over afstand zit, op deze frequentie, dan heb ik nog wel wat leesvoer voor je.

Daarnaast kan ik op een logische analoge schakeling van 1/100000 keer de complexiteit van een degelijke microchip een encryptie bouwen die je met een 6core in nog geen 1000 jaar kan kraken. Zoals menigeen al heeft gezegd, lees je eens in in asymmetrische cryptografie.