Защита карт от бесконтактного считывания: нужна ли она?

Достоинства карт с RFID-технологией

Карты с бесконтактной оплатой удобны в первую очередь для крупных магазинов, супермаркетов, торговых сетей. Ведь при стандартной оплате требуется вставить карту в разъем терминала и ввести пин-код, что занимается некоторое время. При использовании RFID-технологий время, затрачиваемое на оплату, ощутимо сокращается.

Карты бесконтактной оплаты удобны и для их держателей – также за счет экономии времени и возможности оплачивать покупки даже не вынимая карту из бумажника или кошелька. Достаточно лишь поднести аксессуар, в кармашке или внутреннем отделении которого находится карта, на достаточно близкое расстояние к сканеру, чтобы считыватель и чип «связались» друг с другом.

Технология Optexx, как способ защитить карту с бесконтактной оплатой

Суть технологии – в использовании специальных экранирующих материалов. В их основе сплав нескольких металлов, обладающих различными физико-химическими характеристиками. Благодаря особой структуре кристаллической решетки такой материал становится непроницаемым для радиоволн в широком диапазоне частот.

Именно различные экранирующие свойства материалов при работе с разными радиочастотами являются основной проблемой при создании аксессуаров с RFID-защитой. Нередко оказывается, что кошелек, прекрасно защищающий карту и чип при сканировании на частоте 13,56 МГц, не является препятствием при изменении частоты сигнала. Материал Optexx лишен подобных недостатков, что подтверждено соответствующими дипломами и сертификатами.

Правила безопасности при использовании карт

Оформив в банке дебетовую или кредитную карту, мы получаем договор банковского обслуживания и конверт с PIN-кодом. Жаль, что в дополнение к этому набору не прикладывают памятку с элементарными правилами безопасности для держателей карт. В неё следовало бы включить следующие рекомендации.

• По возможности сделайте себе гибридную карту — с чипом и магнитной полосой (к сожалению, карты только с чипом в России почти не используются). Такая карта лучше защищена от взлома и подделки путём скимминга.
• Выучите PIN-код наизусть. Если же на память надежды нет, запишите его на листочек, но храните отдельно от карты.
• Никогда, ни при каких обстоятельствах не сообщайте третьим лицам PIN-код и CVV2-код карты, а также срок её действия и на кого она зарегистрирована. Ни один банк не будет спрашивать у вас эти реквизиты. А для зачисления средств на ваш счёт достаточно лишь 16-значного номера, указанного на лицевой стороне карты.
• Не используйте так называемые зарплатные карты для расчётов в магазинах и оплаты интернет-покупок. Деньги с карточного счёта лучше переводить на лицевой либо устанавливать суточные лимиты на все виды совершаемых операций.
• Выбирайте банкоматы, расположенные внутри офисов банков или в охраняемых точках, оборудованных системами видеонаблюдения.
• Не пользуйтесь подозрительными моделями банкоматов. А прежде чем вставить карту в терминал, внимательно осмотрите его. Нет ли чего-нибудь подозрительного на клавиатуре или в картоприёмнике? Не висит ли поблизости странный лоток с рекламой?
• Не стесняйтесь закрывать клавиатуру рукой и просить отойти в сторону особо любопытных товарищей в очереди. При возникновении проблем не пользуйтесь советами «случайных помощников» — никуда не уходя, сразу звоните в банк и блокируйте карту.
• Если вы потеряли карту, а также если у вас есть основания полагать, что третьи лица узнали её реквизиты, немедленно обратитесь в банк и заблокируйте её.

Проще всего позвонить. Если карта у вас на руках, номер службы поддержки можно увидеть на её оборотной стороне. Как правило, контактные центры работают круглосуточно. Если карта осталась в банкомате и вы не знаете телефон своего банка, позвоните в компанию, осуществляющую техническое обслуживание банкомата. Номер должен быть указан на терминале.

Не выходя из дома можно воспользоваться большим пакетом услуг. Например, оплатить что-нибудь или перевести деньги на свой либо чужой счёт.

Выделяют интернет- и СМС-банкинг. Первый позволяет осуществлять операции через личный кабинет клиента на сайте банка или через приложение, а второй подразумевает информирование о транзакциях посредством СМС-сообщений.

Чтобы пользоваться банкингом без риска утраты денег, необходимо соблюдать следующие базовые меры предосторожности

Защитные кошельки и чехлы

Сегодня не существует лучшего варианта защиты от кражи информации с использованием радиочастот, как их экранирование. Это в полной мере касается и банковских карт с RFID-метками. Никакой злоумышленник с самой современной аппаратурой не сможет похитить ваши данные и деньги, если не сумеет считать информацию с чипа. Помешать ему это сделать помогут специальные кошельки, бумажники и картхолдеры с RFID-защитой.

Суть такой защиты – в экранировании радиоволн, которое достигается путем использования различных металлизированных материалов. Это могут быть фольгированные вставки и сетчатые экраны, вплетенная в ткань кошелька проволока, а также полностью металлические изделия для хранения карт.

К сожалению, гарантировать 100%-ную защиту здесь также можно не всегда, так как множество из таких аксессуаров, доступных на рынке, никогда не проходило полноценной проверки и не имеет подтверждающих безопасность и надежность сертификационных документов.

Шаг 4. Придумываем значение криптографического ключа.

На уровне безопасности SL3 вступает в силу криптография AES. Но, изначально вся память MIFARE Plus открыта, все крипто-ключи, по которым осуществляется доступ к секторам памяти, имеют открытое (транспортное) значение:

– FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF.

Длина ключа 16 байт.

Для того, чтобы доступ к выбранному на шаге 1 сектору был закрыт, необходимо поменять значение крипто-ключа c транспортного на ваше секретное.

Например, вот такое значение:

– 77 77 77 77 77 77 77 77 77 77 77 77 77 77 77 77

или, такое:

– AF 02 DC BB EF 88 41 FB CE 30 56 BA FC AA 22 FD.

Это очень важный момент, так как, тот, кто знает значение вашего крипто-ключа, может изготавливать копии ваших карт доступа.

Это шаг, после выполнения которого защита карты от копирования вступает в силу.

Если выполнить все предыдущие шаги, но не поменять значения крипто-ключей, то никакой защиты не будет.

От того, кто и как будет выполнять этот шаг, зависит реальная защита карты доступа от копирования.

Типичные ошибки

Ошибка	Последствие
Значение крипто ключа придумал поставщик карт. Значение крипто ключа придумал поставщик оборудования СКУД.Значение крипто ключа придумал ваш программист или специалист по АйТи	Реальная защита зависит от добросовестности этих лиц
Значение крипто-ключа генерируется автоматически на сервере СКУД	Все что на сервере — это окно для мошенников. И потенциальная «дыра», через которую могут утекать секретные ключи заказчика.Как устроено программное обеспечение СКУД — заказчику неведомо. А вдруг там есть ловушка для скрытой от вас выдачи ваших крипто-ключей?

Распространенный пример двух первых видов ошибок — это карты доступа HID iClass.
Какой-то заокеанский менеджер придумывает значение SIO, записывает это SIO на карты доступа и отправляет карты заказчикам.
А вдруг он продаст ваш SIO злоумышленнику? От вас это не зависит.

Можно привести такую аналогию. Вы закупили сейф с кодовым замком. А с завода-изготовителя сейф пришел с уже настроенной кодовой комбинацией для открывания сейфа. Т.е., кто-то на заводе-изготовителе придумал кодовую комбинацию и ввел ее в замок. И у вас нет возможности эту кодовую комбинацию поменять.
То же самое происходит и с SIO в картах iClass.

Типичный пример ошибки третьего и четвертого типа: Некоторые поставщики оборудования пишут: « … При использовании защищенного режима идентификатором является не серийный номер карты, а данные, записываемые в защищенный сектор карты. Ключи доступа к перезаписываемому сектору MIFARE задаются администратором системы …».Ключи доступа задаются администратором системы … Вот это и есть ошибка, слабое место, если не сказать «дыра». Администратор системы уволился, стер на сервере все ключи, ничего не оставил. Кому он «сольет» потом ваши секретные ключи? Как вы будете выпускать карты новым работникам, если ключ стерт на сервере и вы его не знаете?

Если продолжить аналогию с кодовым замком для сейфа, то получается, что «системный администратор» придумал кодовую комбинацию для открывания вашего сейфа и передал вам ее на листке бумаги, оставив себе копию.

Подобные формулировки вытекают либо от поверхностного отношения к проблеме защиты, либо в виду отсутствия у поставщика технических средств хранения ключей на SAM-модуле или на мастер-карте.

Для того, чтобы собственник объекта СКУД был уверен в прозрачности процесса защиты и в надежности реализации процесса защиты карт доступа от подделок, – ему следует озадачиться этим вопросом.

Самое простое и надежное — самому придумать значения крипто-ключей.

Или поручить это доверенному лицу. Очень доверенному.

Меры по защите карт

Как защитить карту с бесконтактной оплатой? Об этом мы и поговорим. Есть несколько способов обезопасить ваши деньги. Если вы часто пользуетесь самой картой без ввода кода безопасности, есть специальные чехлы с защитой от считывания. Это надежная, недорогая и удобная защита бесконтактных карт от считывания. Решение данной проблемы таким способом может позволить себе каждый.

Банковские карты уже давно и прочно вошли в нашу жизнь, ставь неотъемлемой ее частью. Усовершенствование технологий для удобного использования «карточных» средств бесконтактным способом, когда не нужно саму карту вставлять в платежный терминал назвали NFC-картой. Данный вид карт хоть и появился относительно недавно, но уже прочно вошел в жизнь, как более удобный способ оплаты. Не нужно вводить постоянно пин-код, не нужно передавать карту в чужие руки, не нужно вставлять ее в считывающее устройство. Все просто:

• выбираете товар;
• к денежному терминалу подносите ваш пластик, чтобы тыльная сторона смотрела на терминал с расстояния примерно на 5 см;
• и терминал мгновенно оповещает вас о списании денежных средств (либо отказе платежа, если средств не хватает) и вы можете убирать карту.

Платеж совершен. Можете забирать покупки.

Как себя защитить

Сохранить карту неприкосновенной можно несколькими способами. А именно:

• приобрести экранированный кошелек для бесконтактных банковских карт – считается самым эффективным способом защиты ваших сбережений от воров. Он защитит ваш пластик от сканирования за счет инновационного покрытия;
• установить в личном кабинете лимит на карту при оплате небольших сумм, которые не требуют введения кода безопасности.

Кстати, дополнительная защита обеспечивается за счет того, что карта выпускается с микрочипом, который нельзя подделать. Также при проведении операции создается уникальный номер транзакции, что уменьшает вероятность того, что мошенники успеют воспользоваться счетом.

Способы мошенничества с картами

Начнём с «классики». Вы пришли снять деньги через банкомат. Торопитесь, буквально на бегу вводите PIN-код, при этом болтаете по телефону. Вы даже не посмотрели на неприметного паренька в бейсболке и тёмных очках, заглядывавшего вам через плечо. Зато он наблюдал за вами очень внимательно. Он подсмотрел и запомнил цифры, которые вы вводили. Дальше элементарный гоп-стоп — и прощайте, денежки.

Также в суматохе можно не разглядеть, что перед тобой не настоящий банкомат, а фальшивка. Ведь аппарат точь-в-точь как настоящий. Наклейки, инструкции — всё как надо. Вставляете карту, вводите PIN-код, а на экране высвечивается: «Устройство неисправно», «Произошла системная ошибка», «Недостаточно средств» или что-то в этом роде.

Другой приём называется «ливанская петля». Это когда в картоприёмник вставляется лассо из фотоплёнки. Если угодить в него, карту уже не вытащить. Как правило, тут же находится «помощник»: «У меня вчера точно так же банкомат съел карточку, я ввёл вот такую комбинацию и PIN-код, и всё заработало». Вы пробуете, терпите фиаско и отправляетесь за помощью в банк. В это время добрый самаритянин забирает карту и идёт опустошать её. PIN-код он знает. Вы сами только что открыто ввели его. Помните?

Впрочем, банкомат может быть настоящим и даже исправным. Это не проблема, если у злоумышленников есть скиммер. Это устройство для считывания информации, закодированной на магнитной полосе карты. Физически скиммер представляет собой накладной блок, прикрепляемый к картоприёмнику, при этом он выглядит как часть конструкции банкомата.

Слева — банкомат без скиммера, справа — со скиммером

При помощи передатчика мошенники получают информацию со скиммера и изготавливают поддельные карты. Они будут пользоваться скиммированной картой, но деньги будут списываться со счёта оригинальной. Отсюда название метода — скимминг, от английского «снимать сливки».

Как они узнают PIN-код? В дополнение к скиммеру у них есть другие девайсы. Например, накладная клавиатура. Она полностью имитирует настоящую, но при этом запоминает набираемые комбинации клавиш.

Накладка на клавиатуруСкрытая видеокамера

Разновидность скимминга — шимминг. Вместо громоздких накладок используется тонкая элегантная плата, вставляемая через картоприёмник прямо внутрь банкомата. Дальше схема такая же, как при скимминге. Но степень опасности выше: разглядеть, что в банкомате «жучок», практически невозможно. Утешает, правда, что изготовить шим довольно непросто — его толщина не должна превышать 0,1 мм. Почти нанотехнологии. 

В последнее время всё больше распространяется подвид фишинга — вишинг. Проще говоря, развод по телефону. Мошенники моделируют звонок автоинформатора. Пугающий роботизированный голос сообщает вам, что ваша карта заблокирована, или подверглась атаке хакеров, или вам срочно нужно погасить долг по кредиту.

Кстати, в связи с тем, что для использования карты необязательно её физическое наличие, мошенники всё активнее пользуются методами социальной инженерии. Так меня чуть не обманули.

Я продавала мебель. Разместила объявление с фотографиями на известном сайте. Указала номер, через который у меня не проходит ни одна аутентификация. Вскоре позвонил мужчина. Представился Василием, сотрудником фирмы, сдающей квартиры посуточно. Рассказал, что им понравился мой диван — берут не глядя!

Большинство карт сейчас привязано к номеру телефона, чтобы при помощи СМС-сообщений подтверждать операции или, к примеру, вход в интернет-банк. Чего только не делают злоумышленники, чтобы завладеть нужной SIM-картой: похищают телефоны, перехватывают СМС, делают дубликаты симок и так далее.

Аксессуары Optexx для защиты банковских карт

• Чехлы для карт. Тонкие и компактные, они тем не менее надежно защищают модуль каты от сканирования. Вы можете быть уверены в том, что ваши данные и деньги останутся в неприкосновенности, так как злоумышленник просто не сможет считать информацию. При этом чехол настолько тонкий и легкий, что вы легко можете пометить его вместе с картой в обычный кошелек или бумажник.
• Картхолдеры. Эти приспособления предназначены для хранения сразу нескольких банковских карт (от 3 до 22 штук), а также других документов ISO-формата, например, визиток, пропуска или водительского удостоверения. При нажатии на расположенный в нижней части аксессуара «курок» все карты «выкидываются» вверх удобным для вас образом, чтобы вы смогли достать нужную.
• Кошельки. В продаже представлены модели разных размеров и с разным количеством отделений, с молнией и на кнопке, предназначенные для хранения банковских карт, наличных средств, документов. Вам не составит труда выбрать аксессуар, который полностью устроит вас по внешнему виду, вместительности и функциональности. Металлизированные вставки расположены как с внешних сторон аксессуаров, так и внутри, что обеспечивает надежную защиту даже когда кошелек открыт.
• Бумажники. Идеальный вариант для хранения банковских карт, документов и наличных денег во время путешествий. В бумажниках разных моделей можно уместить до 12 кредиток и до 3-х паспортов стандартных размеров. Все внутренние отделения экранированы, что исключает возможность сканирования даже при раскрытом бумажнике.
• Обложки для паспортов. Универсальные аксессуары, которые могут использоваться для защиты чипованных документов, а также имеют дополнительные внутренние отделения для хранения банковских карт, наличных средств, некоторых других документов.

В ассортименте представлены изделия разного дизайна и цветового исполнения, что позволит подобрать аксессуары в качестве подарка, для поездки или постоянного ношения с учетом личных предпочтений, пола, финансовых возможностей.

Достоинства защитных аксессуаров Optexx:

• Надежная защита RFID-чипов от считывания с использованием терминалов, сканеров, граберов и другого специализированного оборудования, работающего в широком диапазоне частот.
• Хорошие эксплуатационные качества. Несмотря на наличие экранирующих вставок, все кошельки, бумажники, картхолдеры компактны и удобны в эксплуатации. Их можно использовать в том числе и как обычные кошельки.
• Высокая степень механической устойчивости. Использование высококачественных материалов позволяет обеспечить защиту карт и документов не только от электромагнитного излучения, но и от механических повреждения, неблагоприятных погодных условий и т.д.
• Привлекательный внешний вид. Изделия Optexx станут прекрасным подарком, который удивит и порадует не только функциональностью, но и своими эстетическими качествами.

Все товары имеют сертификаты соответствия и безопасности, что подтверждает надежность их защиты и прекрасные показатели, продемонстрированные во время испытаний.

Защита банковских карт от считывания: обзор решений

Чтобы избежать дистанционной кражи денег, нужно предусмотреть способы защиты.

Фольга для запекания

Специалисты по физике знают, что сигналы легко блокировать с помощью тонкослойного металла. Главное условие — металлическая основа.

Применение металлической фольги создает экран, защищающий банковский «пластик» от считывания.

Преимущества	Недостатки
Отсутствие необходимости затрат.	Носить карту в фольге неудобно.
Эффективность.

Хранение нескольких карточки в одной секции бумажника

Альтернативный способ — хранение в одном отсеке нескольких бесконтактных карт, к примеру, кредиток разных банковских организаций. Такие инструменты работают на разных частотах, поэтому считать информацию с нужного «пластика» труднее.

Преимущества	Недостатки
Отсутствие дополнительных устройств.	Схема работает только для бесконтактных POS-терминалов. Если злоумышленник использует специальный граббер и ПО, защититься не удастся.
Возможность использовать привычный кошелек без дополнительных девайсов.	Низкая эффективность.
	Неудобство.

Чехол для защиты банковских карт от считывания

Набирают популярности специальные чехлы. Они изготавливаются для хранения бесконтактных карт и защищают их от несанкционированного считывания данных. Внешне изделие представляет собой пластиковый чехол с металлической прослойкой, блокирующей связь между устройством злоумышленника и «пластиком».

Преимущества	Недостатки
Надежная защита от считывания и случайных выплат до 1000 р.	Занимает больше места в кошельке.
Защита чипа и магнитной полоски от повреждений.	Приходится тратить дополнительные деньги на покупку.
Эстетичность.
Защита банковских карт от попадания влаги.

Кошелек с защитой RFID

Более глобальный путь — купить кошелек, обеспечивающий защит карты банка от дистанционного считывания. При изготовлении таких портмоне применяются материалы, обеспечивающие поглощение волн от POS-терминалов и взламывающих устройств.

Преимущества	Недостатки
Блокировка любых воздействий, пока карточка находится в кошельке.	Необходимость траты денег.
Защита от размагничивания.
Исключение слежки телефона (если он лежит в бумажнике).
Удобство применения.
Современный внешний вид.

Выводы

Итак, краткий алгоритм действий при незаконном списании средств с банковской карты таков:

1. Не паникуем, звоним в банк и блокируем карту. Плюс просим оператора назвать остаток на счету и последние совершённые транзакции.
2. В течение суток бежим в банк и пишем заявление. Обязательно визируем у уполномоченного сотрудника банка свой экземпляр заявления.
3. Если сотрудники кредитного учреждения каким-либо образом препятствуют этому и отказываются принять заявление (закончились бланки, технический перерыв и так далее), обращаемся в прокуратуру.
4. Пишем заявление в полицию. Особенно если вы столкнулись с грабежом или разбоем.
5. Ждём возврата денег.