網路ATM的弱點

現有晶片金融卡, 在網路ATM進行轉帳, 實際上存在著一些嚴重的弱點. 網路ATM都是採取Chellenge-Response的模式, 也就是由電腦送一組Chellenge, 晶片卡經過3DES運算, 然後Response一組Cipher, 依FISC II的規格使用得是秘密金鑰的認證, 你的晶片卡上的秘鑰, 銀行也留有一份, 所以ATM的伺服器也作了相同的運算,  比對Cipher是不是一樣. 讀卡機基本上是連在電腦上面的, 大多數人會把它連接在上面忘了拔下來. 這時候如果Cracker已經取得你電腦的控制權, 他可以利用你插在讀卡機上面的晶片卡作運算而得到Cipher. 此時保護你的銀行的錢, 只剩下你所知道的PIN code了. 目前市面上所有的網頁輸入方式, 不管是螢幕鍵盤, 或是滑鼠隨機點按, 對Cracker來說, 那只是多少時間的問題. 控制了你的電腦, 一樣可以控制你的IE Brower, 在IE還沒將PIN code 轉換成為SSL加密送出前, 透過COM的存取就可以直接取走PIN code了. Anyway, 我寧願多走一些路到銀行的ATM, 至少他是封閉系統, Microsoft Windows的安全性, 我一向是不敢恭維.