金融機関内部関係者にオープンなPIN番号

銀行のATMの暗証番号、PIN番号が、金融機関の内部関係者にとって、簡単に入手できると、セキュリティ研究者が警告を行った。

国際海外情報

2006.12.5 Tue 17:45

銀行のATMの暗証番号、PIN番号が、金融機関の内部関係者にとって、簡単に入手できると、セキュリティ研究者が警告を行った。

内部関係者が個人情報盗難を行うとすれば、口座の持ち主の誕生日などの個人情報へのアクセスがあるからと考えがちだが、今回の警告は脆弱性に関するもので、ATMのPINの暗号化処理およびそれを国際的な金融ネットワークを通して送信する方法に関するものだ。以前にも内部関係者なら10数回、トライするだけで、PINを割り出せるとして、警告されたことがあったが、今回、明らかになった脆弱性は、もっと深刻だという。

警告を行ったのは、イスラエルのオマー・バークマンとオデリア・マシュ・オストロフスキーで、「The Unbearable Lightness of PIN Cracking 」というタイトルの論文で発表されている。2人によると、攻撃はPIN処理APIに関するものだ。

金融機関の利用者は、ATMなどでPIN番号を入力、この内容はカードを発行した金融機関などの認証するための施設に送られる。ハッカーなどが、この送信内容をクラッキングして、口座の残高を盗難することを防ぐために、その際、PINブロックで暗号化をして保護している。ATMと認証施設の間で直接のコミュニケーションが行われることは通常なく、スイッチを通して送られ、このスイッチが暗号化された情報を一度、解除して、認証を行う。

攻撃の1つはこのスイッチに対してで、もう1つは…

【執筆：バンクーバー新報　西川桂子】

──
（この記事には続きがあります。続きはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec

《ScanNetSecurity》