{"id":4586,"date":"2015-12-02T00:49:35","date_gmt":"2015-12-02T03:49:35","guid":{"rendered":"https:\/\/www.kwell.net\/kwell_blog\/?p=4586"},"modified":"2015-12-01T00:51:39","modified_gmt":"2015-12-01T03:51:39","slug":"predecibilidad-en-la-asignacion-de-numeros-de-tarjetas-american-express","status":"publish","type":"post","link":"https:\/\/www.kwell.net\/kwell_blog\/?p=4586","title":{"rendered":"Predecibilidad en la asignaci\u00f3n de n\u00fameros de tarjetas American Express"},"content":{"rendered":"

\"\"<\/a>Es posible para un mismo cliente, dado un n\u00famero de tarjeta American Express, predecir el n\u00famero de la siguiente tarjeta<\/span><\/a> que se le asignar\u00eda (tras caducidad o cancelaci\u00f3n de la anterior).<\/p>\n

Samy Kamkar<\/span><\/a> (@SamyKamkar<\/span><\/a>), conocido entre otras cosas por haber desarrollado el gusano “Samy” de MySpace<\/span><\/a>, descubri\u00f3 este patr\u00f3n<\/span><\/a> al recibir una tarjeta nueva por perder la antigua. Compar\u00f3 el n\u00famero antiguo con el nuevo, y not\u00f3 que algunos de los d\u00edgitos eran similares. Tras recopilar m\u00e1s parejas de n\u00fameros nuevos y antiguos encontr\u00f3 un patr\u00f3n global que le permite predecir el n\u00famero de la siguiente tarjeta dado el anterior. <\/p>\n

Esto podr\u00eda ser \u00fatil para un atacante con una tarjeta robada de esta instituci\u00f3n, que podr\u00eda predecir el n\u00famero de la tarjeta siguiente. Con ello se reconstruir\u00eda toda la informaci\u00f3n necesaria para obtener una copia de la nueva tarjeta, si bien no funcionar\u00eda en todos los establecimientos por no ser posible predecir el CVV de la nueva tarjeta. En la reconstrucci\u00f3n de la nueva tarjeta se aprovechan ciertas caracter\u00edsticas de las tarjetas, como que la nueva fecha de expiraci\u00f3n es precedible seg\u00fan la fecha de la petici\u00f3n de la nueva tarjeta, y que otros campos internos son v\u00e1lidos simplemente copi\u00e1ndolos de la antigua o se derivan f\u00e1cilmente. Todo esto tiene sus matices y tambi\u00e9n intervienen otras protecciones adicionales, que pueden dificultar el ataque.<\/p>\n

Otra caracter\u00edstica preocupante comentada por Kamkar se da por el contexto de Estados Unidos<\/span><\/a>, al no tener generalizado el uso de Chip-and-PIN. Si una tarjeta tiene chip y el terminal lo soporta, al pasar la tarjeta usando la banda magn\u00e9tica el terminal pide que se pase usando el chip, por seguridad. El caso es que es la misma banda magn\u00e9tica la que codifica en texto claro si la tarjeta tiene chip o no, con lo que es posible cambiar esta informaci\u00f3n haciendo creer que la tarjeta no tiene chip y evadir el sistema de Chip-and-PIN.<\/p>\n

Finalmente, y en vez de usar un codificador de tarjetas magn\u00e9ticas, Kamkar ha construido un peque\u00f1o dispositivo que permite simular el paso de una tarjeta usando la banda magn\u00e9tica, pero a unos cent\u00edmetros de distancia. B\u00e1sicamente, recrea el campo magn\u00e9tico que producir\u00eda el paso de la tarjeta, pero con una potencia superior, para salvar la distancia. La construcci\u00f3n de este dispositivo se estima en 10 d\u00f3lares estadounidenses, y las instrucciones para hacerlo est\u00e1n disponibles en su p\u00e1gina web. Este tipo de dispositivos ya exist\u00eda antes<\/span><\/a>, si bien no se hab\u00eda reunido en el mismo dispositivo el ser peque\u00f1o, a distancia y barato. Hasta ahora.<\/p>\n

Comparte esto:<\/h3>