Ladekarten sind unsicher - wie man auf fremde Rechnung lädt

[E-lmo]

Das einfachste, was mir einfällt, wäre, die Karte eines Carsharing Fahrzeugs "auszuleihen", dann braucht man nicht viel raten. Hier könnte allerdings der Anbieter den Standort des Fahrzeugs mit der Nutzung der Karte abzugleichen.
Alternativ könnten sich mehrere Nutzer die Kosten für einen Flatrate-Vertrag teilen - ohne dauernd die Karte austauschen zu müssen.
Da fällt mir gerade ein -die Karte für den ÖPNV (Berliner BVG) teilen wir bereits in der Familie. Schnell mal gescannt: Karte ist eine NXP IBM JCOP.
Ist diese sicherer

[Volker.Berlin]

Wie unterscheidet sich das Laden mit einer RFID-Karte vom kontaktlosen Bezahlen mit einer Kreditkarte per PayWave/PayPass? In beiden Fällen reden wir von Beträgen unter 25 Euro. Das Missbrauchspotential scheint mir gering (es ist nicht möglich, innerhalb kurzer Zeit große Beträge zu entwenden) und die Erkennung des Missbrauchs relativ einfach und automatisch zu lösen (analog zu den Verfahren, die bei Kreditkartenbetreibern seit langem etabliert sind). Zurzeit ist die Missbrauchsquote so gering, dass sich noch nicht mal der Einsatz automatisierter Verfahren lohnt... Wo genau ist hier der "Skandal"?

[Langsam aber stetig]

Weil ich die Kreditkarte nicht kopieren kann.

[Volker.Berlin]

Weil ich die Kreditkarte nicht kopieren kann.

Beim kontaktlosen Zahlen ohne PIN wird nach Auskunft von meinem Kreditinstitut nur die Nummer und die Gültigkeit der Kreditkarte übertragen. Inwieweit soll das fälschungssicher sein? Kannst Du hier einen Link zu einer Quelle posten, die den Kopierschutz von PayWave-Karten erklärt?

[Langsam aber stetig]

Weil ich die Kreditkarte nicht kopieren kann.

Beim kontaktlosen Zahlen ohne PIN wird nach Auskunft von meinem Kreditinstitut nur die Nummer und die Gültigkeit der Kreditkarte übertragen. Inwieweit soll das fälschungssicher sein? Kannst Du hier einen Link zu einer Quelle posten, die den Kopierschutz von PayWave-Karten erklärt?

Weil das ganze mit digitalen Signaturen authentifiziert wird. Und ohne den privaten Schlüssel, der nicht ausgelesen werden kann, ist das nicht kopierbar. Link habe ich gerade keinen zur Hand, aber das müsste eigentlich überall stehen, wo die Sicherheit von Contactless erklärt wird. Im Prinzip funktioniert es aber genauso, wie wenn eine Zahlung per Chip durchgeführt wird.

Das heißt nicht, dass Contactless komplett sicher ist, aber ein so einfacher Angriff wie bei den RFID-Ladekarten ist nicht möglich.

[LiquidCrystal]

Die Karten lassen sich leicht kopieren. OK. Aber es gibt viele Dinge, die nicht wirklich sicher sind. Warum kann man nicht einfach warten, bis es damit Probleme in der Praxis gibt. Dann würde sich auch der Betreiber um diese Dinge kümmern. So macht man Probleme, wo keine sind, und gibt den Petrolheads ein unnötiges Argument mehr...

Die Jahre werden immer heißer. OK. Aber es gibt viele natürliche Vorgänge, die sich vom Menschen halt nicht ändern lassen. Warum kann man nicht einfach warten, bis es damit Probleme in der Praxis gibt. Dann würde sich auch die Industrie um diese Dinge kümmern. So macht man Probleme, wo keine sind, und gibt den Klimawandel-Verschwörern ein unnötiges Argument mehr...

"Warten, bis es damit Probleme in der Praxis gibt" war bisher ja bekanntlich immer eine erfolgreiche Strategie!

[Volker.Berlin]

Weil das ganze mit digitalen Signaturen authentifiziert wird. Und ohne den privaten Schlüssel, der nicht ausgelesen werden kann, ist das nicht kopierbar.

Danke, muss ich wohl mal selbst googlen. Du sagst im Grunde, auf der Kreditkarte finden beim kontaktlosen Bezahlen Berechnungen statt? Was genau wird signiert? So ganz leuchtet mir das noch nicht ein, denn wenn die Kreditkarte die Kartennummer und das Gültigkeitsdatum signiert rausgibt, dann könnte man das ganze Paket inklusive der Signatur abgreifen und kopieren. Es müssen also auch transaktionsbezogene Daten signiert werden, das heißt, die Karte müsste auch Daten im Empfang nehmen können? Oder eine Uhr eingebaut haben? Irgendwo fehlt mir da noch ein wichtiges Detail für's Verständnis.

[mweisEl]

So ganz leuchtet mir das noch nicht ein, denn wenn die Kreditkarte die Kartennummer und das Gültigkeitsdatum signiert rausgibt, dann könnte man das ganze Paket inklusive der Signatur abgreifen und kopieren. Es müssen also auch transaktionsbezogene Daten signiert werden, das heißt, die Karte müsste auch Daten im Empfang nehmen können?

Für die Authentifizierung nach dem EMV-Standard (für Giro- oder Kreditkarten) gibt es verschiede Stufen (siehe hier der Abschnitt "Card authentication").

Die Static Data Authentication (SDA) ist die passive Authentisierung, die Du zuerst beschreibst. Sie kann eine 1-zu-1 Kopie der Karte nicht verhindern, wohl aber das Verändern der Kartennummer bzw. des Gültigkeitsdatum. Hier werden die signierten Daten der Karte (auch in Offline-POS-)Terminals mittels des dort hinterlegen Public Keys verifiziert.

Erst für Autenthisierungsverfahren das auch Klonen verhindert, wird die SmartCard-Funktionalität der Karte genutzt. Der gegen Angriffe (Belauschen, Beeinträchtigungen, Auslesen geheimer Schlüssel) durch verschiedenste Maßnahmen weitgehend (entsprechend dem Risiko) abgesicherte Chip auf der Karte führt dann selber kryptographische Operationen gemäß dem Protokoll aus. Die Übertragung ist dabei verschlüsselt, daher ist es egal, ob eine kontaktbasierte Karte oder eine kontaktlose Karte, deren Kommunikation ein paar Zentimeter weit abgehört werden kann, verwendet wird.

[NotReallyMe]

Leute, nochmal reality check: Wer wird denn ernsthaft versuchen auf fremde Kosten zu laden, wie auch immer das angestellt wird? Während der Aktion steht das Auto, mit dem das passiert, für alle sichtbar mit lesbarem Kennzeichen im öffentlichen Raum. Diese Betrüger wären Kandidaten für den Criminal Darwin Award :).

[Volker.Berlin]

@mweisEl: Jetzt wird langsam ein Schuh draus, danke! Dann ist im Moment nur noch die Frage offen, welches Verfahren tatsächlich von den PayWave-Terminals z.B. im Parkhaus oder an einer Mautstelle eingesetzt wird... Ich will darauf hinaus, dass es etwas willkürlich ist, dieses "Problem" an der Emobilität aufzuhängen, wenn jede Wald-und-Wiesen-Kreditkarte im Grunde dasselbe Problem hat.