ITU Desak RIM Buka AKses Informasi Kepada Semua Negara

Semua pemerintah dan negara yang memerangi terorisme berhak menuntut kepada pembuat BlackBerry untuk memberikan akses informasi pengguna BlackBerry, ungkap Kepala Badan Telekomunikasi Perserikatan Bangsa-Bangsa.

Pejabat tersebut menyatakan bahwa RIM harus mengizinkan semua lembaga penegak hukum untuk mengakses data pelanggannya, semua pemerintahan di seluruh dunia memiliki hak yang sah untuk mengupayakan keamanan yang tak boleh diabaikan.

Sekeretaris Jenderal International Telecommunication Union, Hamadoun Toure, dilansir TheStar.com (2/9/2010) menyatakan bahwa semua pemerintah yang melakukan perang melawan teroriosme memiliki hak untuk menuntut akses ke data informasi pengguna BlackBerry yang berbasis di Waterloo, Ontario Kanada.

"Tuntutan-tuntutan tersebut memiliki dasar yang kokoh," ujarnya kepada Associated Press pada Rabu (1/9/2010)." Sehingga dibutuhkan kerjasama antara pemerintah dan sektor privat dalam menangani isu-isu keamanan.

RIM telah menyatakan akan mematuhi semua ketentuan hukum, namun tidak dapat memberikan informasi teks semua email yang dikirimkan melalui layanan korporat RIM, yang didisain berdasarkan keamanan komunikasi.

ITU memang tidak memiliki kekuatan sebagai regulator, tetapi pernyataan Toure menjadi barometer sentimen 192 negara anggota ITU, yang berharap agar Toure kembali terpilih kembali pada pemilihan untuk periode kedua pada akhir tahun ini.

Setidaknya ada 5 negara anggota ITU - India, Indonesia, Liabnon, Saudi Arabia dan United Arab Emirates- yang telah mempertimbangkan pemblokiran beberapa layanan BlackBerry tertentu terkait sistem enkripsi yang sangat ketat pada perangkat BlackBerry dan berpotensi disalahgunakan untuk menggelapkan aktivitas terorisme dan kriminal.

Isu ini memang tak sepenuhnya disambut gembira. Bagi kelompok kemerdekaan sipil tekanan terhadap BlackBerry tak disambut baik, faktanya menurut kelompok ini, tekanan terhadap RIM lebih banyak dimotori oleh pemerintah-pemerintah yang otoriter dan tak mampu memantau warganya yang menggunakan BlackBerry.

Tentu saja pendapat ini tidaklah tepat sebab penentangan terhadap teknologi RIM juga datang dari Jerman dan Uni Eropa.

Berbagai pemerintahan di Amerika Serikat dan negara-negara lain tak memiliki masalah dengan teknologi enkripsi. Email masih dapat diselidiki malalui jalur-jalur legal, misalnya melalui surat perintah pengadilan untuk memeriksa server-server korporat milik perusahaan-perusahaan pengguna BlackBerry.

Namun solusi semacam ini belum memuaskan banyak pejabat di Asia dan Timur Tengah, yang telah mengajukan tuntutan agar RIM melakukan modifikasi sehingga mereka dapat melakukan akses penuh terhadap semua email BlackBerry saat ditransmisikan.

RIM telah menegaskan bahwa sistemnya dirancang untuk menangkal siapapun kecuali pelanggannya dari komunikasi yang dideskripsi.

Perwakilan RIM di London belum menanggapi permintaan Toure tersebut.

(Martin Simamora)

Source:http://plazaegov.blogspot.com/2010/09/itu-desak-rim-buka-akses-informasi.html

07 Sep 2010

EMV PIN verification “wedge” vulnerability

by Steven J. Murdoch, Saar Drimer, Ross Anderson and Mike Bond

Executive summary

The EMV protocol is used worldwide for credit and debit card payments and is commonly known as “Chip and PIN” in the UK. Our analysis of EMV has discovered flaws which allow criminals to use stolen cards without knowing the correct PIN. Where these flaws are exploited – in the “wedge” attack – the receipt and bank records would show that the PIN was correctly verified, so the victim of this fraud may have their request for a refund denied. We have confirmed that this attack works in the UK, including for online transactions (where the terminal contacts the bank for authorization before completing the purchase). It does not apply to UK ATM transactions, which use a different method for PIN verification.

Our academic paper which describes the vulnerabilities in detail, along with ways in which they can be protected against, was circulated privately within the banking industry since early December. The paper will be published at the IEEE Security and Privacy Symposium in May 2010; a working draft is available now.

Background

In a normal transaction the customer enters their PIN into the payment terminal, and the terminal sends the PIN to the card to check if it is correct. The card then sends the result to the terminal so that the transaction continues if the PIN was correct (see top part of above figure).

The attack uses an electronic device as a "man-in-the-middle" in order to prevent the PIN verification message from getting to the card, and to always respond that the PIN is correct. Thus, the terminal thinks that the PIN was entered correctly, and the card assumes that a signature was used to authenticate the transaction (see bottom part of above figure).

Questions and answers

Is this the same as the “Yes-card” attack?

Statements from the French banking industry have incorrectly claimed that the attack we have identified is the same as the “Yes-card” attack. Here, a criminal copies a legitimate EMV smart card, but modifies the copy such that it will accept any PIN. The attack we have discovered is different.

The yes-card attack works for transactions for which the point-of-sale terminal does not contact the bank before completing the purchase (an offline transaction). The attack we have discovered works for both online and offline transactions. We have confirmed this by successfully placing an online point-of-sale transaction in the UK, despite entering the wrong PIN.

In this new attack, the criminal must first steal the legitimate card and insert a device, known as a “wedge” between the card and the terminal. It does not involve copying the card.

In what types of transaction does the “wedge” attack work?

We have confirmed this attack to work in online chip-based point of sale transactions, and believe it to work in offline transactions too (although these are rare in the UK). It does not work for ATM transactions, at least in the UK, because a different method of PIN verification is used here. It does not apply to Internet or phone purchases because the PIN is not used to authorize these transactions.

Is this attack too sophisticated for criminals to use?

No, the expertise that is required is not high (undergraduate level electronics) and the equipment can be well hidden without the merchant detecting it. Remember that it only takes a single criminal to design and industrialize the kit required to carry out the attack. Then, other criminals simply buy it online and use it without needing to understand how the attack works

How easy would it be to miniaturize the equipment needed?

For our evaluation of the vulnerability we used cheaply available off-the-self equipment. However, should criminals wish to exploit the vulnerabilities, they would find it easy to create a small and unobtrusive device which would serve the same purpose. We dispute the assertion by the banking industry that criminals are not sophisticated enough, because they have already demonstrated a far higher level of skill than is necessary for this attack in their miniaturized PIN entry device skimmers.

Have you communicated your findings with the banking industry?

Yes, we sent a copy of our findings to various industry representative and regulatory bodies in early December 2009. We have yet to receive any response from the industry, other than through their press releases.

Aren't you helping criminals?

No, security systems improve as vulnerabilities are disclosed to the people that can fix them.

Source:http://www.cl.cam.ac.uk/research/security/banking/nopin/

EMVCo Investigasi Celah Keamanan Chip & PIN Kartu Kredit dan Debit

Pihak MasterCard telah mengkonfirmasi, sedang berkoordinasi dengan semua penyelenggara kartu pembayaran untuk melakukan peninjauan kemanan menyeluruh pada Chip dan PIN, dan prosesnya masih berlangsung.

Lembaga yang bertanggungjawab terhadap seluruh proses pembayaran berbasiskan Chip dikabarkan akan melakukan investigasi terkait sejumlah celah keamanan yang diungkapkan sejumlah lembaga semisal Cambridge University. Sikap yang ditunjukan EMVCo dapat dipahami dan layak mendapat apresiasi mengingat transaksi finansial selalu menjadi target para kriminal keuangan cyber.

EMVCo sebagai lembaga spesifikasi berujar akan menganalisa sebuah paper yang dikeluarkan oleh para ilmuwan Cambridge University yang telah mendemonstrasikan sebuah serangan dengan menggunakan sebuah kartu pembayaran (kartu kredit/debit) yang valid, yang bahkan tak memerlukan PIN untuk melakukan transaksi dengan mulus.

EMVCo yang dimiliki oleh American Express, JCB, MasterCard and Visa bilang bahwa lembaga keuangan atau bank penerbit kartu kredit dan debit yang digunakan dalam demonstrasi pun akan turut serta meneliti makalah ilmiah celah kemanan Chip & PIN yang dilakukan oleh Cambridge University.

"EMVCo akan melakukan analisa dan akan menyimpulkannya," jelas lembaga ini pada Rabu (17/2) lalu. Demikian juga dengan seluruh sistem pembayaran akan melakukan hal yang sama.

Beberapa waktu lalu para peneliti dari Cambridge University mengungkapkan hal paling sensitif berkait keamanan transaksi kartu kredit dan debit yaitu; adanya celah keamanan yang sangat fundamental pada EMV, sebuah protokol yang bekerja di dalam Chip dan PIN kartu-kartu kredit/debit.

Celah kemanan ini memungkinkan tim Cambridge University dapat menciptakan sebuah alat yang dapat memodifikasi dan mengintersepsi seluruh komunikasi antara sebuah kartu dengan sebuah POS terminal, dan memperdaya terminal tersebut sehingga menerima verifikasi PIN sebagai valid, yang jelas-jelas palsu.

Pihak MasterCard telah mengkonfirmasi, sedang berkoordinasi dengan semua penyelenggara kartu pembayaran untuk melakukan peninjaun kemanan menyeluruh pada Chip dan PIN, dan prosesnya masih berlangsung.


"Standard EMV selalu dalam peninjauan berkala oleh MasterCard dan oleh banyak pemain utama dalam industri ini untuk memastikan sistem keamanannya selalu berkembang seiring dengan bertumbuhnya kebutuhan produk," terang pihak MasterCard. Termasuk didalamnya peninjau rutin dan berkala agar sistem keamanan terkinilah yang diterapkan demikaina juga mekanisme prakteknya.

Sementara itu Professor Ross Anderson, Cambridge University yang memimpin riset Chip dan PIN berujar tak akan ada cara yang mudah untuk memperbaiki protokol yang bekerja dibalik Chip dan PIN ini.

"Ada terlalu banyak ketidaksepakatan dengan aspek keefektifitas untuk memperbaiki celah keamanannya, jika anda memperhatikan ulasan blog kami yang mempublikasikan kelemahan Chip dan PIN, sejumlah pihak yang mengklaim dirinya sebagai pakar pun tak menyetujuinya,"ujarnya.


Seorang peneliti Cambridge University dalam makalah tersebut (Chip and Pin is Broken) menyatakan bahwa konsumen akan menanggung risiko transaksi atas kartu kredit/debit jika transaksi-transaksi yang terekam menunjukan adanya PIN lain yang masuk ke terminal.

UK Payments Administration yang berkapasitas sebagai Advisor bagi para penyelenggara kartu pembayaran berpendapat bahwa serangan cyber semacam ini dapat dideteksi, dan menegaskan sehingga sangat mungkin bagi bank atau penerbit kartu kredit/debit untuk menentukan mana transaksi yang menjadi tanggung jawab konsumen dan mana yang bukan tanggung jawab konsumen.


"Jejak forensik atau "forensic signature" yang diciptakan oleh serangan cyber terhadap transaksi finansial kartu kredit/debit dapat dilihat dengan meneliti 3 elemen data yang muncul, baik pada saat sebuah permintaan otorisasi berlangsung dan dalam tahapan penyelesaian pembukuan yang diterima oleh penerbit kartu, ungkap UK Payments Administration.


Dalam sebuah serangan yang diskenariokan oleh tim Cambridge University, atau yang dikenal sebagai "Wedge Attack" , yang terjadi adalah: terminal diduplikasi oleh sebuah alat yang disisipkan di tengah-tengah proses verifikasi pembayaran. Sebagai akibatnya, terminal menjadi 'percaya" bahwa PIN telah diverifikasi oleh kartu. Tetapi terminal tidak akan merekam bahwa sebuah PIN yang valid telah dimasukan, sebab dalam proses manipulatif ini, PIN sama sekali tak diperlukan, dan transaksi dianggap sebagai sebuah verifikasi offline atau signature. Dalam kasus semacam ini maka tanggungjawab resiko tidak dibebankan kepada konsumen.


Menanggapi pendapat UK Payments Administration, Anderson berkomentar bahwa dalam prakteknya, bank masih akan tetap mempertanyakan apakah konsumennya yang harus menanggung resiko. Anderson mengacu hal ini dengan perselisihan hukum antara Halifax dengan nasabahnya, Alin Job yang menuduh Halifax telah menghilangkan catatan-catatan data yang telah diotentifikasi berkait dengan transaksi-transaki bermasalah.

Anderson menyatakan jika mengacu ke skenario yang digunakan oleh UK Payments maka fraud hanya akan terdeteksi setelah adanya fakta dan bukan saat fraud berproses. Anderson pun mengungkapkan bahwa semua sitem nampaknya tak melakukan deteksi secara otomatis, deteksi baru dapat terjadi sangat bergantung pada permintaan konsumen untuk melakukan pemeriksaan forensik jika konsumen mencurigai sejumlah transaksi yang fraud telah terjadi.

Anderson mengungkapkan, kala salah satu tim Cambridge University menggunakan kartunya yang diterbitkan oleh Halifax Bank untuk melakukan transaksi tanpa PIN tak ada peringatan atau "warning" yang dimunculkan oleh bank saat transaksi bermodus jahat dilakukan.

"Inti soal adalah, fraud tak pernah terdeteksi, Halifax telah menjadi korban dan hingga kini bank tersebut tak jua menemukan fakta atas semua transaksi manipulatif.

(ZDNet | Martin Simamora)


Source:http://plazaegov.blogspot.com/2010/02/emvco-investigasi-celah-keamanan.html

Cambridge University Nyatakan Keamanan Chip dan PIN Telah Runtuh

Juru bicara UK Payments Administration mengakui kebenaran sebuah laporan riset yang dirilis ke publik oleh para peneliti Cambridge University tetapi menolak kesimpulannya."Kita sangat serius memperhatikan laporan riset Cambridge University, dengan menyempurnakan semua level keamanan hingga kepuncaknya, tetapi dengan tegas menolak kesimpulan yang menyatakan CHIP dan PIN telah runtuh", jelas Mark Bowerman pada Kamis 11 Februari 2010.

Seputar keamananan transaksi finansial :

+ EMVCo Respon Laporan Riset Cambridge University : PIN & CHIP is Broken

Penggunaan smart card kini demikian meluas di berbagai belahan dunia, tak hanya sebatas sebagai instrumen transaksi finansial secara elektronik, namun kini diterapkan pada kartu identitas penduduk berformat smart card. Tetapi Cambridge University mengungkapkan temuan adanya celah keamanan kritikal pada CHIP dan PIN setelah melakukan serangkaian uji keamanan.

Para peneliti di Cambridge University telah menemukan sebuah celah keamanan pada protokol EMV (Europay,MasterCard,Visa). EMV adalah sebuah standar bagi pengoperasian (interoperation) semua kartu berfitur Chip dan yang berkemampuan berkomunikasi dengan semua terminal POS (Point of Sale) dan mesin-mesin ATM yang mengeksekusi otentifikasi pembayaran kartu kredit dan debit.

EMV yang awalnya dibangun sebagai sebuah standar oleh tiga perusahaan; Europay,MasterCard dan Visa (kemudian JCB-2004 dan American Express-2009 bergabung) menjadi sistem bagi semua kartu ber-IC dan digunakan secara luas di dunia dengan nama-nama seperti; "IC Card" dan "CHIP" dan "PIN".

EMV mendefinisikan bagaimana interaksi antarkartu IC dengan berbagai alat pemroses transaksi keuangan pada semua level;fisikal, elektronik, data dan aplikasi. Porsi terbesar penerapan standar terletak di dalam antarmuka IC Chip Card yang mengacu kepada ISO/IEC 7816.

Saat ini implementasi standard EMV yang dikenal secara luas adalah:
1.VSDC :VISA
2.MChip : MasterCard
3.AEIPS :American Express
4.J Smart - JCB



Cambridge University menyatakan kelemahan Protokol EMV terletak pada validasi Chip dan PIN pada kartu kredit dan kartu debit. Konsekuensi dari kelemahan tersebut adalah: terbukanya peluang untuk membuat sebuah alat dengan fungsi untuk memodifikasi dan mengintersepsi komunikasi antara sebuah kartu dengan sebuah terminal POS, dan memperdaya terminal tersebut untuk menerima verifikasi PIN.


Professor Ross Anderson kepada ZDNet UK menegaskan:"Chip dan PIN secara fundamental berhasil ditaklukan. Semua Bank dan toko (merchant) bergantung dengan performa "PIN yang terverifikasi" secara aman untuk menuntaskan transaksi, namun kini semuanya tak berarti.


Para peneliti Cambridge University melakukan serangkaian uji kemananan dan menemukan celah keamanan CHIP-PIN dengan sampel: 6 penerbit Kartu Kredit yaitu; Barclaycard,Co-operative Bank, Halifax, Bank of Scotland, HSBC dan John Lewis.

Cambridge University kemudian melancarkan "serangan" untuk memperdaya "Card reader" agar mengotentifikasi sebuah transaksi sekalipun transaksi menggunakan PIN yang tidak Valid. Pada tes berikutnya, tim Cambridge melakukan otentifikasi berbagai transaksi tanpa menggunakan PIN yang valid dengan menggunakan Kartu Kredit yang diterbitkan oleh; Barclaycard, Co-operative Bank, Halifax,Bank of Scotland, HSBC dan John Lewis.

Sentral masalah pada Protokol EMV : manipulasi pada protokol EMV menyebabkan kartu dan terminal menghasilkan data yang ambigu pada proses verifikasi, dimana Bank akan menerima verifikasi tersebut sebagai valid.

Terutama, terminal POS tetap merekam bahwa sebuah verifikasi PIN berlangsung sukses, sementara kartu menerima sebuah pesan verifikasi yang tak mengindikasikan bahwa PIN telah digunakan (oleh pihak lain). Otorisasi yang dikeluarkan oleh terminal selanjutnya diterima oleh Bank, dan transaksi pun berproses.

Sehingga dengan demikian saat sebuah PIN dimasukan dalam hal ini PIN apa pun,tetap dapat diterima dan diakui oleh terminal, jelas peneliti Cambridge dalam sebuah laporan bertajuk" "Chip and PIN is Broken".

Cambridge University menyatakan untuk memanipulasi celah keamanan ini, maka pelaku kejahatan membutuhkan seseorang yang memiliki keahlian tehnikal dan pemrograman untuk melancarkan aksinya. Steven Murdoch, Peneliti Cambridge University berujar: "Penyerangan tak memerlukan keahlian tehnikal yang terlalu hebat untuk mengemulasi.

Serangan akan menyasar ke serangkaian mekanisme keamanan interaksi saat pemegang kartu melakukan proses verifikasi. Dalam proses ini, CHIP di dalam Kartu dan Terminal memutuskan bagaimana mengotentifikasi transaksi. Kartu-kartu yang diteliti oleh Cambridge didapati melakukan runutan otentifikasi "menurun" sebagai berikut: PIN verification; signature verification; dan tanpa verifikasi.


Mayoritas transaksi membutuhkan verifikasi PIN. Konsumen akan memasukan angka pada alat untuk memasukan PIN, lalu PIN dikirimkan ke kartu dan membandingkannya dengan data PIN yang tersimpan di kartu pada Chip. Jika PIN benar, maka kartu akan mengirimkan kode verifikasi-0x9000 —ke terminal yang akan merampungkan transaksi.

Cambridge dalam uji keamanan yang dilakukannya berhasil menempatkan "seorang yang ahli dalam hal tehnik dan pemrograman, pada posisi antara alat yang membaca sebuah kartu dan, pada waktu yang tepat saat proses verifikasi berlangsung, mengirimkan sebuah kode 0x9000 ke terminal, dan terminal pun mengabaikan PIN yang dimasukan oleh konsumen.


Sebagai sebuah demonstrasi, Cambridge university menyisipkan sebuah kartu asli ke dalam sebuah Smartcard Reader dari Alcor Micro yang telah dikoneksi dengan sebuah Laptop yang menjalankan Pyton Script. Laptop tersebut dihubungkan dengan papan Field Programmable Gate Array (FPGA) melalui sebuah Serial Link. FPGA board yang digunakan oleh Cambridge University adalah: Spartan-3E Starter Kit, yang biasa digunakan untuk mengkonversi antarmuka kartu dan PC. Sekali saja sebuah kartu palsu dimasukan, Phyton Script pada Laptop akan merilei transaksi, menekan perintah verifikasi PIN yang diperintahkan terminal, dan meresponnya dengan kode 0x9000.


Cambridge University mengungkapkan bahwa para pelaku kejahatan keuangan elektronik dapat saja menggunakan sebuah kit yang serupa dengan yang digunakan dalam uji coba, yang disimpan di tas punggung (backpack), dengan sebuah kabel menjulur dibalik lengan baju, yang digunakan bersama dengan kartu kredit/debit asli yang dicuri.


Anderson menyatakan dalam perselisihan transaksi, jika transaksi telah diverifikasi berdasarkan PIN maka tanggung jawab kehilangan terletak pada konsumen ketimbang dibebankan kepada pihak bank atau toko / merchant.

UK Payments Administration yang mewakili kepentingan perusahaan-perusahaan kartu pembayaran, menyatakan:"Hampir semua transaksi melalui mesin kasir (POS) di Inggris-lebih dari 90%-dilakukan melalui CHIP dan PIN. Pada tahun 2008, Kartu Kredit,debit dan berbagai kartu transaksi telah digunakan untuk melakukan 7,4 miliar transaksi pembelian atau senilai £380 miliar untuk semua jenis kartu.

Jubir UK Payments Administration mengakui kebenaran laporan riset yang dirilis oleh para peneliti Cambridge University tetapi menolak kesimpulannya."Kita sangat serius memperhatikan laporan riset Cambridge University, dengan menyempurnakan semua level keamanan, tetapi dengan tegas menolak kesimpulan yang menyatakan CHIP dan PIN telah runtuh.

Sejauh ini belum ada bukti jenis serangan yang diskenariokan oleh Cambridge University pernah terjadi di Inggris, tegas Bowerman. Tetapi ia menambahkan bahwa riset yang dilakukan oleh Cambridge University sangat membantu UK Payments Administration untuk memetakan tren kriminal yang akan berkembang dan yang akan dihadapi.

(ZDNet UK |The Register | Martin Simamora)

Source:http://plazaegov.blogspot.com/2010/02/cambridge-university-nyatakan-keamanan.html

Universitas Cambridge Nyatakan Chip dan PIN Rentan Fraud

News and Events

Cambridge researchers show Chip and PIN system vulnerable to fraud

11 February 2010

Researchers at the University of Cambridge Computer Laboratory have uncovered flaws in the Chip and PIN system that allow criminals to use stolen credit and debit cards without knowing the correct PIN.

Fraudsters can easily insert a "wedge" between the stolen card and terminal, which tricks the terminal into believing that the PIN was correctly verified. In fact, the fraudster can enter any PIN, and the transaction will be accepted, Steven Murdoch, Saar Drimer, Ross Anderson and Mike Bond have found.

According to Dr Murdoch: "We have tested this attack against cards issued by most major UK banks. All have been found to be vulnerable."

Victims of this attack may have a difficult time being refunded by their bank. The receipt produced will state "Verified by PIN", and bank records will show that the correct PIN was used. Banks may then argue that the customer must have been negligent and had allowed the criminal to know their PIN.

Dr Drimer says: "The technical sophistication for carrying out this attack is low, and the compact equipment will not be noticed by shop staff. A single criminal can develop and industrialise a kit to be used by others who do not need to understand how the attack works."

The Cambridge attacks - being broadcast on BBC Two's Newsnight - call into question both the design of the Chip and PIN system, and the security of card payments. Victims of fraud are commonly told that bank systems can be relied upon. However, this attack shows that criminals are able to not only defraud customers, but cause bank systems to make the false assertion that the PIN was verified correctly.

Professor Anderson says: "Over the past five years, thousands of cardholders have had stolen chip and PIN cards used by criminals. The banks often tell customers that their PIN was used and so it's their fault. Yet we've shown that it's easy to use a card without knowing the PIN - and the receipt will say the transaction was 'verified by PIN' even though it wasn't."

"This is not just a failure of bank technology. It's a failure of bank regulation. The ombudsman supported the banks and the regulators have refused to do anything. They were just too eager to believe the banks."

The attack - including a demonstration of it being deployed in practice - will be featured BBC Two's Newsnight at 10:30pm on Thursday 11 February 2010.

The Cambridge team's results are also to be presented at the academic conference "IEEE Symposium on Security and Privacy", Oakland, CA, US, in May 2010.

Source:http://www.admin.cam.ac.uk/news/dp/2010021108