Ataques de retransmisión inteligente en protocolos de pago NFC

Cebollero Abadías, Guillermo
Rodríguez Fernández, Ricardo Julio (dir.)

Meseguer Hernaiz, José Javier (ponente)

Universidad de Zaragoza, EINA, 2018
Informática e Ingeniería de Sistemas department, Lenguajes y Sistemas Informáticos area

Graduado en Ingeniería Informática

Abstract: La inclusión de nuevas medidas de seguridad en las tarjetas de pago a crédito o a débito ha mejorado notablemente la seguridad con la que se realizan estas transacciones. De realizar operaciones usando la banda magnética de las tarjetas (siendo una tecnologı́a muy insegura) se pasó a usar un chip electrónico, con las llamadas tarjetas EMV o tarjetas chip-and-PIN (tecnologı́a algo más segura). Estas tarjetas implementan el protocolo EMV (de donde toman su nombre), que permite autorizar las transacciones realizadas con la tarjeta mediante la introducción de un código numérico personal (PIN) por parte del titular de la tarjeta. Dichas tarjetas EMV han sido recientemente actualizadas con la adición de un chip que permite la comunicación inalámbrica. Estas nuevas tarjetas, denominadas tarjetas contactless, permiten realizar pagos aproximando únicamente la tarjeta al punto de venta, es decir, sin necesidad de insertarlas en un lector de chip. Además, si la cuantı́a del pago no supera cierto lı́mite se elimina la obligatoriedad de autorizar la transacción mediante un PIN. La comunicación inalámbrica de las tarjetas contactless se basa en el protocolo de comunicación en el campo cercano o Near Field Communication (NFC), que usa la banda de alta frecuencia de Radio Frequency IDentification (RFID). Debido a que NFC no introduce seguridad ni cifrado en la realización de las comunicaciones, la adopción de esta tecnologı́a en las tarjetas permite investigar nuevas formas de atacar a las transacciones realizadas. Por ejemplo, pueden realizarse ataques eavesdropping realizando escuchas en las perturbaciones del campo electromagnético, ası́ como ataques man-in-the-middle permitiendo la inserción, manipulación o corrupción de los datos. Este proyecto se centra en los riesgos introducidos relativos a los ataques de retransmisión, permitiendo realizar una comunicación entre una tarjeta de crédito o débito y un punto de venta malicioso separados por una distancia arbitrariamente grande. Paralelamente a la realización de estos experimentos, se detallan las mejoras introducidas a la aplicación Android NFCLeech. Esta aplicación es un prototipo inicialmente desarrollado en 2014 para probar los ataques de retransmisión y que ahora permite realizar las pruebas de concepto relativas a los ataques de retransmisión extendidos en este trabajo, ası́ como una mejor depuración de la retransmisión de los mensajes y el protocolo utilizado para realizar los pagos.

Tipo de Trabajo Académico: Trabajo Fin de Grado