Rsac: keamanan berbasis chip menawarkan keuntungan terbaik

Penelitian Kriptografi yang berbasis di San Francisco adalah pemberi lisensi terbesar kedua dari teknologi semikonduktor, setelah ARM. Jika perangkat memiliki perangkat keras keamanan bawaan, kemungkinan bagus ada chip CRI yang terlibat. Pada Konferensi RSA di San Francisco, Paul Kocher, Presiden dan Kepala Ilmuwan perusahaan, mendidik saya tentang mengapa pergeseran yang datang ke kartu chip, jauh dari kartu kredit strip magnetik adalah Hal yang Sangat Baik.

"Anda melihat teknologi yang sama pada kartu chip, kartu SIM ponsel Anda, kartu akses umum yang dikeluarkan pemerintah, dan banyak lagi, " kata Kocher. "Di bawahnya terdapat mikroprosesor kecil, memori yang dapat ditulis ulang, ROM, sedikit RAM, akselerator crypto, beberapa fitur keamanan. Ukuran dan kecepatan bervariasi, tentu saja."

"Dari sudut pandang keamanan, kartu chip adalah peningkatan lompatan kuantum atas strip magnetik, " kata Kocher. "Ini seperti membandingkan jet jumbo dengan kuda dan kereta. Jika kita sudah beralih ke kartu chip, pelanggaran Target tidak akan menjadi masalah. Orang jahat mungkin telah mencuri kode untuk satu transaksi, tetapi itu tidak akan membiarkan mereka melakukan transaksi di masa depan. Dengan data yang mereka tangkap, mereka dapat membuat salinan lengkap kartu strip magnetik yang dikompromikan."

"Keripik dalam aplikasi pasar massal menawarkan keamanan per dolar secara dramatis lebih tinggi daripada hampir semua hal lain, " kata Kocher. "Keripik berjalan dalam kisaran 25 sen ke kisaran dolar. Sebagian besar vendor berada di sekitar generasi kesepuluh. Ini membuat lima atau enam iterasi, beberapa desain ulang besar, tetapi sekarang mereka cukup luar biasa."

Kartu Cerdas Datang

"Beberapa masalah akan diperbaiki ketika AS masuk ke kartu pintar tahun depan, " kata Kocher. "Sekarang Anda memiliki masalah di mana Eropa menggunakannya dan kami tidak, sehingga Anda dapat menggunakan mag-stripe di sini. Kami adalah titik serangan untuk sistem Eropa. Jika Anda mencuri kartu di sana, mereka tidak selalu memiliki kontrol risiko yang sama."

"Di Eropa, keamanan didasarkan pada chip; di sini didasarkan pada PIN, " lanjutnya. "Di Eropa, PIN sering kali tidak dienkripsi, jadi orang jahat bisa mendapatkan PIN dan menggunakannya di sini. Ketika kami sinkron, kedua belah pihak akan mendapatkan peningkatan besar. AS adalah satu-satunya pasar raksasa yang masih menggunakan strip magnetik era 1960-an. teknologi."

Tidak Semua Masalah Terselesaikan

"Semua kategori penipuan yang melibatkan kartu penipuan, salinan, itu akan hilang ketika AS mengadopsi kartu chip, " kata Kocher. "Dua kategori lain tidak. Pencurian fisik tidak akan berhenti, tentu saja, meskipun memiliki PIN akan membantu dalam transaksi yang memerlukannya. Yang lain, tentu saja, adalah transaksi online yang tidak ada kartu."

Kocher mencatat bahwa kemungkinan untuk keamanan transaksi online itu ada. Kartu canggih dengan tampilan bawaan untuk kode keamanan ada, tetapi dengan harga $ 12 per kartu harganya terlalu mahal. Dan penyaringan penipuan bisa sangat bagus, hanya berdasarkan data yang ada tentang transaksi. "Selain itu, dengan kartu chip, pedagang tidak menerima informasi yang diperlukan untuk memalsukan salinan, " katanya. "Kompromi oleh pedagang jahat tidak lagi menjadi ancaman."

Yang Paling Bisa Diperbaiki

"Dari semua area di mana keamanan berada dalam krisis, " kata Kocher, "keamanan kartu bank adalah yang paling bisa diperbaiki. Anda memiliki hal fisik, pelanggan terbiasa, ada kebutuhan kecil untuk perubahan perilaku, dan kompleksitasnya dapat dikelola."

"Perubahan ini sudah terlambat, " lanjutnya. "Saat ini, bank mengkompensasi penipuan yang tak terhindarkan dengan membangun biaya untuk pedagang. Tidak ada insentif bagi pedagang untuk meningkatkan keamanan. Perubahan nyata datang dengan aturan sederhana yang menggeser tanggung jawab. Jika pembelian yang curang dilakukan dengan kartu chip dan pengecer gagal memverifikasi, itu pengecer yang membayar harganya, bukan bank. Sekarang pengecer memiliki insentif keuangan untuk memverifikasi dengan benar kartu bank."

Pada Konferensi RSA sebelumnya, Kocher mendemonstrasikan teknik untuk meretas smartphone dengan mengukur radiasi RF yang dipancarkannya. "Ada cara untuk menyerang kartu pintar, " aku Kocher, "tetapi teknologi kami melindungi dari serangan konsumsi daya, serangan RF, dan banyak lagi. Perangkat ini bocor jika tidak dilindungi."

Taruhan Bug

"Pengembang perangkat lunak tidak akan pernah bisa mengeluarkan semua bug, " kata Kocher, "dan manusia bisa keliru. Dalam solusi perangkat keras Anda dapat memisahkan operasi keamanan kritis dari prosesor yang sama yang memungkinkan Anda memainkan Flappy Bird. Itu keamanan nyata."

"Pendekatan itu adalah apa yang terjadi dengan kartu pintar, " kata Kocher. "Itu tidak tergantung pada pedagang menyingkirkan bug. Anda mendapatkan keamanan tanpa memperbaiki perangkat lunak. Mungkin menyedihkan, tetapi secara ekonomi itu benar. Orang optimis berpikir dia dapat menyingkirkan bug terakhir. Kartu pintar cukup sederhana sehingga mungkin Anda bisa, tetapi bukan PC, atau sistem operasi."