Samy Kamkars 10-Dollar-Gerät MagSpoof sagt Ihre nächste AmEx-Kartennummer voraus, bevor sie existiert

Der Sicherheitsforscher Samy Kamkar entdeckte, dass sich bei einer American-Express-Karte, die als gestohlen gemeldet wird, die Nummer der Ersatzkarte aus der ursprünglichen vorhersagen ließ – und ebenso das Ablaufdatum der Ersatzkarte, abgeleitet aus dem Datum, an dem die alte Karte gesperrt wurde. „An dem Tag, an dem die Karte gesperrt wird, sobald sie abgelehnt wird, weiß ich zwei Sekunden später, wie Ihre neue Nummer und Ihr Ablaufdatum lauten werden“, sagte er 2015 zu WIRED. „Wenn ich Betrug begehen würde, wäre das ziemlich nützlich.“ Der Trick ließ sich endlos wiederholen und neue Kartennummern so schnell stehlen, wie AmEx sie ausgeben konnte.

Drei Monate, nachdem er darauf hingewiesen hatte, hatte Kamkar den Beweis gebaut: MagSpoof, ein uhrengroßes Gerät für etwa 10 Dollar, das seinen Vorhersagealgorithmus umsetzt und den Magnetstreifen einer Karte drahtlos an Standardlesegeräten fälschen kann. Wird eine gefälschte Karte abgelehnt – das verräterische Zeichen dafür, dass sie gesperrt wurde –, schaltet ein Tastendruck das Gerät auf die vorhergesagte nächste Nummer um. Ein Betrüger könnte dann fast augenblicklich die Ersatzkarte stehlen, immer wieder.

Die Einschränkungen waren real: Der Angriff kann die vierstellige CVV nicht ermitteln, und MagSpoof sieht nicht wie eine Karte aus. Doch Kamkar zeigte, dass ein digitales Kartengerät wie Coin die vorhergesagten Nummern speichern könnte, wodurch der Trick einem Kellner gegenüber vorzeigbar würde; er demonstrierte erfolgreiche MagSpoof-Transaktionen in zwei Restaurants, darunter ein gehobenes, in dem er über 100 Dollar ausgab. Coin entgegnete, seine Sicherheitsschritte – SSN-Ziffern und die Verifizierung der Rechnungs-Postleitzahl – verhinderten Betrug, was Kamkar vor einem Kiwicon-Vortrag über die Umgehung dieser Maßnahmen bestritt.

American Express lehnte es ab, die Vorhersagbarkeit als behebbares Risiko zu behandeln. Nach wiederholten Kontaktaufnahmen durch Kamkar versicherte ihm ein AmEx-Ingenieur in einem einstündigen Gespräch, vorhersehbare Nummern seien kein ernstes Sicherheitsrisiko, das das Unternehmen zu beheben plane. Ein Sprecher fügte hinzu, AmEx-Nutzer seien durch einen zusätzlichen Sicherheitscode geschützt, der in den Magnetstreifendaten eingebettet sei – von dem Kamkar bestätigte, dass er den Angriff in manchen Fällen blockierte –, sowie durch die Einführung von Chip-and-PIN, und merkte an, der Sicherheitscode „ändert sich mit der Kartennummer und ist unmöglich vorherzusagen“.

Die Neuausstellung einer Karte wird als Sicherheits-Reset behandelt, doch wenn die neue Nummer und das Ablaufdatum deterministisch sind, veröffentlicht das Sperren einer Karte nur zwei Sekunden zu früh ihren Nachfolger.

Die Erkenntnis kehrt eine Annahme um, die in die Kartenpolitik eingebaut ist: Die Neuausstellung – die universelle Reaktion auf eine gestohlene Nummer – ist nur dann ein Reset, wenn die neue Nummer unvorhersehbar ist.

Die Angriffsschleife nährt sich selbst: Jede Ablehnung verrät die Sperrung, jede Sperrung verrät die nächste Nummer, sodass eine kompromittierte Karte nie aufhört zu kompromittieren.

MagSpoof machte die Theorie billig und physisch: 10 Dollar Hardware verwandeln einen Vorhersagealgorithmus in eine funktionierende Zahlungsfälschung, die in echten Restaurants demonstriert wurde.

Die Reaktion des Anbieters – ein Ingenieur, der den Fehler als nicht behebenswert einstufte – macht den Fall zu einer Studie darüber, wie Institutionen unattraktive Risiken bewerten.

Jede Sicherheitsrotation, die deterministisch ist, ist keine Rotation: Wenn Verteidiger das nächste Geheimnis berechnen können, können Angreifer das auch – und die Lösung muss Entropie sein, nicht Verfahren.

AmEx stützte sich öffentlich auf seinen Magnetstreifen-Sicherheitscode und die Einführung von EMV-Chips als Minderungsmaßnahmen, statt sein Nummerngenerierungsschema zu ändern. Kamkar setzte die Forschung mit einem geplanten Kiwicon-Vortrag über die Umgehung von Coins Verifizierung fort. WIRED veröffentlichte die Ergebnisse am 24. November 2015.