基于Mastercard-Visa混合的银行卡品牌混淆攻击

基于Mastercard-Visa混合的银行卡品牌混淆攻击

大多数 EMV 交易需要发卡机构的在线授权。 即商户的支付终端通过支付网络向发卡机构发送授权请求，该网络通常由拥有 Visa 或 等品牌的公司运营。 本文表明，从终端角度来看，有可能造成卡品牌与支付网络的不匹配。 由此产生的卡品牌混淆攻击会带来严重的安全后果。 特别是，它使攻击者能够在不知道卡的 PIN 码的情况下使用受害者的非接触式万事达卡来支付昂贵的物品。

具体来说，攻击者欺骗终端，让其相信所使用的卡是 Visa 卡，然后应用最近在 Visa 上报道的 PIN 绕过攻击。 这项研究构建了一个应用程序，并成功使用它对借记卡和信用卡交易进行攻击，包括使用借记卡进行超过 400 美元的交易。 最后，EMV 非接触式协议的正式模型被扩展以执行机器检查和发现问题的修复。

0x01

全球流通的 Visa 信用卡和借记卡数量超过 33 亿张。 万事达卡品牌下有超过 20 亿张卡（不包括 和 产品）。 两家公司共同创立了 EMV，这是店内智能卡支付事实上的协议标准。 美国运通、JCB、银联等其他公司也加入了 EMV 联盟。

大额 EMV 交易需要发卡机构在线授权。 为此，支付终端向发卡机构发送授权请求，其中携带交易详细信息以及卡根据这些详细信息计算出的加密消息验证码（MAC，Code）。 发卡机构收到后会进行多项检查，包括相关账户内是否有足够的资金以及MAC是否正确。 虽然这些检查为持卡人和商户提供了可加密验证的保证，但人们必须了解整个支付系统的属性，包括终端和发卡机构交换请求和响应的过程。

上图展示了在线授权过程的通信流程，涉及四方：（1）支付终端； （二）商户收单机构、代表商户处理卡支付的银行或金融机构； (3) 收单机构与发卡机构支付网络之间的链接； （四）发行人本身。 有多种支付网络，例如 Visa 或 Web，收单机构选择向其发送授权请求的机制称为路由。 通常，路由基于支付卡的品牌。 例如，如果该卡是 Visa 品牌的，则授权请求将被路由至 Visa 支付网络。

支付终端可以根据卡在交易过程中提供的不同数据对象来确定卡品牌。 这些对象包括主帐号 (PAN) 和应用程序标识符 (AID)。 从 PAN（通常称为卡号）中，可以从前导数字推断出卡品牌。 例如，如果 PAN 以 4 开头，则它是一张 Visa 卡，并且可以从称为注册应用程序提供商标识符的共享前缀获取指示该卡支持的 EMV 应用程序（例如 Visa 或 V Pay）的 AID推断卡品牌时，标识符通常是 10 位数字（5 个字节）。

本文证明，可以欺骗终端，进而欺骗收单机构，接受使用 PAN 和 AID 指示不同卡品牌的非接触式交易。 具体来说，这项研究发现了一种中间人攻击，该攻击欺骗终端使用万事达卡完成 Visa 交易。 本文中的攻击被称为银行卡品牌混淆，会带来灾难性的后果。 特别是，它允许攻击者使用受害者的万事达卡支付昂贵的物品，而无需输入 PIN 码。 该攻击有效地将卡转变为 Visa 卡，然后应用最近的 PIN 绕过攻击。 换句话说，PIN 码也可以被万事达卡绕过，迄今为止，万事达卡被认为可以通过要求输入卡所有者的秘密 PIN 码来防止未经授权的购买。

这种新的攻击利用了EMV非接触式协议的两个基本缺点：（1）缺乏终端卡品牌的认证，以及（2）攻击者可以依赖非Visa卡（包括来自Visa卡的交易）的交易授权发行人。 密码证明。 概念验证应用程序已构建并成功用于绕过万事达卡信用卡和借记卡交易的 PIN 验证，包括两张借记卡和两张万事达卡信用卡，两者均由不同银行发行。 其中一笔交易金额超过 400 美元。

0x02 .Visa中继攻击和PIN绕过

虽然刷卡支付的体验无可否认，但非接触式支付技术仍然面临着诸多安全问题。 支付终端与卡进行无线通信，攻击者也可以进行无线通信。 特别是，近场通信（NFC）是非接触式支付所使用的一种通信技术，它允许任何合适的支持 NFC 的设备与非接触式卡进行通信并进行欺诈交易。 虽然 NFC 信号的范围通常只有几厘米，但可以通过中继攻击将其扩展到更大的范围。 中继攻击者使用两个无线连接的移动设备使受害者的卡能够与远程支付终端进行交易。 请参阅下图了解图形表示。

然而，中继攻击似乎对攻击者来说并不有利可图，因为它们可能只适用于小额购买（例如，在大多数欧洲国家低于 25 欧元），而较大额购买则需要卡的 PIN 码。 交易金额。 然而，在之前的工作中，发现了一种中间人攻击，该攻击不仅允许攻击者执行中继攻击，还可以绕过 PIN 使用 Visa 卡进行非接触式交易（演示于）。

在技​​术层面上，这种攻击只是将卡交易限定符（CTQ，Card）设置为一个值。 CTQ 是从卡传输到终端的数据对象，并向终端指示必须使用哪种持卡人验证方法（CVM，）来进行交易。 CTQ 值告诉终端不需要 PIN 验证，并且持卡人已在消费者的设备上经过身份验证。 Visa 协议中允许这种攻击的缺陷是缺乏 CTQ 数据对象的身份验证。 这种攻击在 协议上不起作用，因为与 Visa 协议相比，该卡（缺乏）对消费设备上持卡人验证的支持受到加密保护，无法被修改。

B.EMV非接触式协议

EMV 的非接触式交易规范包含 1,200 多页的文档。 本节总结了该规范。 将摘要分为非接触式交易的四个重叠阶段，并在适用的情况下，简要识别本文攻击所利用的潜在安全缺陷。

(1)应用选择

使用六种 EMV 非接触式协议之一执行交易。 每笔交易都从应用程序选择过程开始，其中终端发出命令，卡为支持的应用程序（也称为内核或协议）提交应用程序标识符（AID，）。 根据收到的 AID，终端激活交易的核心，它是以下之一：

• 用于 AID 的内核 2，

• 用于签证协助的内核 3，

• 美国运通 AID 的内核 4，

• JCB AID 的内核 5，

• 用于 AID 发现的内核 6，

• 银联AID内核7。

与本文工作最相关的内核是 ，如下图所示。

(2)线下数据认证

核心被激活并通过第二条命令向卡宣告后，卡请求处理数据对象列表（PDOL），该列表向卡指示协议所需的一些特定于交易的数据对象。 这些数据对象包括但不限于交易金额、终端的国家代码以及终端生成的随机数。

使用 GET 命令，终端向卡提供请求的 PDOL 数据。 后者使用应用程序交换配置文件（AIP，）和应用程序文件定位器（AFL，文件）进行响应。 AIP 向终端通知卡的功能，而 AFL 是终端使用 READ 命令请求卡的静态数据（也称为记录）的数据对象。 这些记录包括：

• 主要数据帐号，例如卡号（称为主帐号）、卡的到期日期以及支持的 CVM 列表；

• PKI数据，如卡的公钥（PK，Key）证书、发卡机构的PK证书、证书颁发机构（CA，）的PK索引等；

·处理和风险数据，例如第一和第二卡风险管理数据对象列表（分别为CDOL1和CDOL2，卡风险数据列表。），其通常包括PDOL和其他特定于交易的数据。

此时，终端对卡进行密码验证。 此过程称为离线数据身份验证（ODA，数据）并使用以下三种方法之一：

1. 静态数据认证（SDA，数据）：发卡机构在卡的静态数据上传输签名，例如主账号（PAN，）、卡的到期日期和AIP。 该签名称为签名静态身份验证数据 (SSAD)，在生产过程中生成并存储在卡上。

2.动态数据认证(DDA，Data)：在该方法中，终端发送以动态数据对象列表(DDOL，Data List)作为有效负载的命令。 DDOL 是一个数据对象，必须包含终端的新号码，称为不可预测号码 (UN, )。 卡回复签名动态认证数据（SDAD，数据）：在其自己的新号码NC和DDOL上签名。

3、组合动态数据认证（CDA，Data）：该方法也涉及SDAD，但签名中包含额外的交易数据，例如金额。 如果终端的AC命令需要，则不使用内部认证命令并且SDAD稍后由卡提供。 这种 ODA 方法实际上按时间顺序属于交易的另一个阶段，称为交易授权。

选择的 ODA 方法通常是终端和卡都支持的上述列表中的最后一个（也是最强的）方法。 卡支持的 ODA 方法编码在 AIP 中。

(3) 持卡人验证

持卡人验证方法（CVM）如下：

1、在线PIN：终端将终端键盘输入的密码加密并发送给发卡机构验证。

2. 消费类设备CVM：持卡人验证在消费类设备上执行。 此方法主要由 Pay 和 Apple Pay 等移动支付​​应用程序使用，通过指纹或面部识别等生物识别技术对持卡人进行身份验证。

3.纸质签名：持卡人在购买收据上（用笔）签名，收银员与卡背面的实体签名核对。

如果适用，通常当金额高于 CVM 要求的限额时，终端会通过选择上述三种方法中的一种（或两种）来验证持卡人的身份。 该选择取决于卡支持的 CVM 列表（如果卡提供）。 如果未提供此 CVM 列表（例如，在 Visa 交易中），终端会建议在线 PIN 验证，并且此建议会编码在终端交易限定符 (TTQ) 或类似数据对象中，具体取决于内核。 TTQ 通常是 PDOL 的一部分。 与之前的 PIN 绕过攻击特别相关，这种新攻击是消费设备 CVM（CDCVM、CVM）。 关于如何以及是否使用 CDCVM，内核可以分为两类：

Visa 组由 Visa 和银联核心组成，卡对 CDCVM 的支持通过加密的未受保护的 CTQ 或类似数据对象向终端宣布，具体取决于特定的核心。 该组由 和 JCB 核心组成，其中卡对 CDCVM 的支持通过受加密保护的 AIP 和可能的附加数据对象向终端宣布，具体取决于特定核心。

之前的 PIN 绕过攻击针对的是 Visa 组中的卡，该组的保护能力较该组弱。 虽然 CDCVM 不适用于物理卡，但攻击者可以通过欺骗终端接受此 CVM 来滥用它，从而使用受害者的物理卡进行购买。 这里的关键点是，每当攻击者使端点相信 CDCVM 已成功执行时，后者就会错误地认为实际验证已委托给外部设备，因此不会要求提供 PIN。 这就是先前攻击所利用的缺陷的本质。

这项研究的新攻击还利用了消费设备 CVM，但包含了 EMV 应用程序选择中的缺陷。 因此，这种攻击的目标是万事达卡系列中可能受到更好保护的卡。

（四）交易授权

交易授权是通过卡计算并传输应用程序代码（AC，）来实现的。 这是基于 MAC 的交易加密证明，根据交易详细信息、AIP 和应用程序交易计数器（ATC，每笔交易都会递增）计算得出。 除了与核心相关的 AC 和其他数据外，该卡还传输：

• 加密信息数据（CID、数据），对所请求的授权类型进行编码；

• 应用程序交易台（ATC，）；

• 签名动态认证数据(SDAD)，如果在命令有效负载中请求CDA；

• 发行人应用程序数据（IAD，数据），其中包含传输给发行人的专有应用程序数据。

卡的计算（以及卡发行机构的验证）使用从 ATC 导出的会话密钥 s 和只有发行机构和卡已知的对称密钥 mk。 因此，终端无法验证AC。 交易可以由终端离线授权、由发卡机构在线授权、或者由卡离线拒绝。 选择取决于多种因素，包括终端和卡对交易详细信息的检查，例如金额、货币（交易与卡）、国家/地区（交易与发卡机构）以及有限数量的连续离线交易。 最常见的交易授权类型是由发行人在线进行。

对于使用 Visa 组内的核心执行的交易，AC 在卡对 GET 的响应中发送。 通常，不执行离线数据验证过程并且不使用AC命令。 对于组中的那些核，响应于AC命令而传输AC。 如果交易要由发行方在线授权，则AC称为授权请求码（ARQC，），CID等于0x80。 实际授权来自端点和颁发者之间的请求-响应交换。 终端的请求携带ARQC，发行方的响应编码在授权响应码（ARC，Code）中。 EMV 没有进一步指定此交换。

如果终端离线接受交易，则AC称为交易密码（TC，），此时CID等于0x40。 此外，假设终端在离线数据认证阶段已经验证了交易。 交易也可以离线拒绝，在这种情况下，AC 称为应用程序身份验证代码 (AAC, )，CID 等于 0x00。 请注意，AID 不会通过卡向终端进行身份验证。 即终端没有支持其在应用选择阶段公布的AID的密码证明卡。 事实证明，这是攻击所利用的一个新的、根本性的安全漏洞。 另请注意，EMV 未指定任何将卡的 PAN 与广播 AID 相匹配的机制。

0x03 通过卡品牌的 PIN。威胁模型

此次攻击考虑的威胁模型和下面描述的正式分析如下：

1. 攻击者可以访问受害者的卡。

2.攻击者具有在卡和终端之间的无线通道上主动（所谓的Dolev-Yao）攻击者的能力。 也就是说，攻击者可以读取、阻止和注入该通道上的消息。

3.支付终端和银行基础设施之间的通道是安全的，因为它满足真实性和保密性。

该模型在实践中具有现实意义。 攻击者可以访问丢失或被盗的受害者卡。 事实上，实际上，只需在身体上靠近受害者的卡（几厘米以内）就足够了。 此外，可以使用支持 NFC 的标准智能手机对无线通道发起主动中间人攻击。

B. 攻击描述

对于执行 核心交易的支付终端，无法绕过 PIN 验证。 根据该核心的规范，AIP（特别是字节 1 的位 2）是指示卡支持设备上的持卡人身份验证的唯一数据对象。 因此，修改 AIP 将导致交易被拒绝，因为它是使用卡的 PK 证书、应用程序密钥 (AC) 和签名动态身份验证数据 (SDAD) 进行身份验证。 已经用几张卡验证了这一点。

与 AIP 不同，卡的应用程序标识符 (AID) 不受保护。 事实上，AID仅在命令交换时使用。 这些交换完成后，终端根据从卡收到的AID激活相应的核心。 例如，如果首选 AID（或第一个，取决于终端的选择方法）= 0xA10，则终端激活 Visa 核心。 如果AID更改为= 0xA10，则终端激活内核。

由于缺乏对 AID 的身份验证，攻击者可以恶意替换它们，从而激活端点上所需的内核。 这是被攻击利用的基本安全缺陷。 上图显示了攻击的概述，下面是分步说明：

1、激活Visa内核：终端首先激活Visa内核。 为此，攻击者应用刚才描述的技巧，将卡的合法 AID 替换为 AID。

2.请求处理选项：协商AID后，攻击者从卡接收处理数据对象列表（PDOL）（即标签和长度）的请求。 攻击者将此请求转发到终端，并添加对终端交易限定符（TTQ，）和 Visa 核心指定的所有其他处理数据对象的请求。 攻击者的请求还包括万事达卡内核指定的首卡风险数据列表（CDOL1）引用的数据对象，通常是终端类型（TT，Type）和持卡人验证方法结果（CVMR，）。

3. 运行 会话：一旦攻击者从终端收到 GET，攻击者就会与该卡运行 会话。 此步骤不涉及终端。 子步骤如下：

(a) 攻击者构建 GET 命令并将其与卡请求的 PDOL 数据一起发送到卡，该数据是从终端的命令有效负载填充的。 该卡使用应用程序交换配置文件（AIP）和应用程序文件定位器（AFL）来响应攻击者的命令。

(b) 攻击者利用收到的AFL继续读取卡上的记录。 收集的相关记录包括 PAN、卡到期日期、发卡银行国家代码、应用程序使用控制以及 CDOL1 标签和长度。

(c) 攻击者构造并向卡发送一条 AC 命令，该命令的有效负载为 CDOL1 数据，其中填充了从终端 GET 命令的有效负载中解析出的 PDOL 数据。 CDOL1 通常是 PDOL 的超集。 如果卡支持 CDA（即设置了 AIP 字节 1 的位 1），则该命令应请求 CDA。 此外，命令参考控制参数（即字节3）的位7 和8 必须分别清除和设置。 这告诉银行该卡正在请求 ARQC。

(d) 根据卡对 AC 命令的响应，攻击者收集 CID、ATC、IAD 以及 AC 或 SDAD，具体取决于是否请求 CDA。 如果发送 SDAD，攻击者必须使用卡的公钥 (PK) 来提取 AC。 攻击者利用收到的银行卡记录，通过以下步骤检索银行卡的PK：

​ i. 从CA的索引中检索CA的PK，

二. 使用 CA 的 PK 从颁发者的 PK 证书中检索颁发者的 PK，

三. 使用发行者的 PK 从卡的 PK 证书中检索卡的 PK。

4. PIN绕过：此时对Visa进行PIN绕过攻击。 即攻击者注入值为 的 CTQ 数据对象，这表明端点不需要在线 PIN 验证并执行消费设备 CVM。 与 CTQ 一起，攻击者向 AIP、人工 AFL 提供值、AC、IAD 以及 Visa 核心指定的所有其他数据对象。

5、传输记录：响应终端的READ命令，由于人为的AFL，攻击者回复PAN、过期日期、应用程序使用控制（AUC，Usage）和发行国家。

C.实施攻击

为了演示 PIN 绕过攻击，本研究开发了一个概念验证应用程序，其中包含大约 3,700 行 Java 代码。 在商户端，使用的是SumUp商业化的支付工具包：英国金融行为监管局许可的EMV和PCI DSS（支付卡行业数据安全标准）认证公司。 该套件售价约 50 美元，包括用于接触式和非接触式卡的读卡器，以及用于 iOS 和设备的后端移动应用程序。 SumUp 读卡器已通过 PCI PTS（支付卡行业 PIN 交易安全）认证。 下图显示了测试环境的组件。

本文的攻击是使用两部手机实现的，通过WiFi通信使用TCP/IP服务器客户端构建的中继通道进行连接。 一部手机以 POS 模拟器模式运行应用程序（上图中的设备 4），另一部手机以卡模拟器模式运行应用程序（上图中的设备 3）。 两种设备都必须支持 NFC 并运行版本 4.4（API 级别 19）或更高版本。 此外，卡设备必须支持基于主机的卡模拟，以便手机可以启动应用程序实现的 NFC 支付服务。 实际的中间人功能在 POS 仿真器设备上运行（尽管此选择无关紧要），卡仿真器充当中继通道的代理。

使用该应用程序成功绕过了使用四张不同卡进行交易的 PIN 码输入：两张万事达信用卡和两张借记卡。 可以在以下位置找到攻击的视频演示和其他信息。 本文的实验结果总结在上表中。 其中一些交易是通过 Pay 和 Apple Pay 应用程序使用非 Visa 卡进行的。 此类交易不需要 PIN 验证，因此不需要绕过，但它们表明对 Visa 核心的不真实使用。

这里的关键是，上表中的交易都是由发行人在线授权的。 此外，尽管终端和发卡机构之间在为交易选择的 AID 方面存在差异，但除了终端卡交互之外，不存在对抗性干预。 EMV协议没有指定将哪些交易数据发送给发行者进行授权。 显然，由于攻击是可能的，因此发行者要么不发送，要么不检查 AID 和任何其他内核识别数据。 无法针对端点中的所有 EMV 实施来确认这一点。

卡品牌组合表明，接受 Visa 卡（尤其是其终端）的商家也可能会被欺骗而接受其他 EMV 卡品牌，例如万事达卡，即使他们通常不接受这些卡。 请注意，攻击甚至可能与商家串通逃税或逃费。 攻击者可能利用卡品牌混淆攻击的另一种情况如下。 他们可能会将万事达卡转为维萨卡进行大额交易，然后以自己没有维萨卡为由，声称终端故障或欺诈，要求报销。 为了支持他们的说法，购买收据上会印有“Visa”标签和 Visa AID，仔细检查后看起来很可疑。

可用性和范围：执行攻击所需的硬件极少，即两部支持 NFC 的手机，成本不到 300 美元。 对于攻击者来说，这是一项一次性投资，当他们可以使用自己的手机时，甚至可能没有必要。 此外，该硬件的使用并不引人注目，因为在支付过程中只有手机可见，并且很容易被店员发现，因为该应用程序看起来与 Pay 和 Apple Pay 等合法支付应用程序非常相似。 为了使攻击起作用，显然授权请求必须到达发卡机构。 为此，商家的收单机构必须将请求发送至：

• 与真实卡品牌相匹配的支付网络，无论终端认为该品牌是什么，

• 处理不同品牌卡交易的支付网络，包括 和Visa。

SumUp 收购方很可能会采取第一种方法。 第二种方法在一些国家通过法律手段强制执行，这使得银行卡品牌混淆攻击的范围非常广泛。 例如，在美国，一项名为“杜宾修正案”的 2010 年联邦法律要求，如果商户、持卡人或卡（通过 AID）选择，所有国内借记交易都必须可以选择路由至普通借记交易。 支付网络，称为美国通用借记网络。 无论卡品牌如何，网络都会将授权请求转发给发卡机构。 因此，如果受害者的卡是在美国发行的万事达品牌借记卡，并且商户也在美国，则在应用程序选择阶段使用 Visa US Debit AID 0xA40（而不是 = 0xA10）进行攻击应该会有效。 这种替换还会欺骗终端运行有缺陷的 Visa 内核。 其他国家，例如澳大利亚和新西兰，正在推动类似的方法，将借记交易路由到本地支付网络而不是全球支付网络。 销售点电子资金转账 (EPFT) 系统就是这些国家此类举措的一个例子。

不成功的尝试：尝试使用万事达卡和银联交易进行支付，因为这两个核心与 Visa 核心类似，在这两种情况下均不成功。 在这些测试过程中，我们发现终端没有通过选择阶段，并被要求插入一张卡或尝试使用另一张卡。 这表明在进行实验的瑞士，这些品牌的卡在非接触式接口上的使用可能会受到限制。

已对其他支付终端进行了额外测试，其中包括 SIX ( ) 提供的两个支付终端。 从万事达卡的披露流程来看，这些交易均未路由至万事达卡网络，因此，SIX 可能将授权请求路由至 Visa 支付网络，该网络将该卡标记为非 Visa 并拒绝了交易。 显然，EMV 标准应指定显式加密机制来检测并避免 AID 和 PAN 与其宣传的卡品牌之间的不匹配。 下一节将分析实现这一目标的对策。

0x04。 以前的 EMV 型号

为了设计和验证针对攻击的内核级对策，对之前的EMV非接触式协议模型进行了扩展。 本研究开发了该模型，重点关注以下三个安全属性：

1.发卡银行接受终端接受的所有交易。

2. 所有接受的交易均由卡和发卡银行（如果在线授权）向终端进行验证。

3. 所有接受的交易均通过卡和终端向发卡机构进行验证。

第一个属性表达了接受和拒绝事件的因果关系：每当交易被终端接受时，发行者也会接受它（或者同等地，发行者不会拒绝它）。 对于身份验证属性，请使用单射一致性。 简而言之，协议属性验证，每当必须验证事务的代理达到事务被接受的状态时，该代理就会观察到与身份验证代理相同的事务详细信息。 商定的交易细节属性有：PAN、AIP、CVM、ATC、AC 数据输入（即 X）、AC 本身和 IAD。

指定了 EMV 非接触式协议的通用模型，允许分析使用 Visa 和 Core 执行的交易。 其余四个核心可以用其中之一来建模。 以前的工作和当前的工作中使用的分析方法由目标配置组成。 目标配置是从下表中选择最多四个参数（取决于内核）。 目标模型源自 EMV 非接触式协议模型，并允许后者的任何执行，同时仅评估共享相同已接受交易的安全目标配置。

多种配置的使用使得人们能够将安全分析集中在由目标配置的相应选择所定义的那些感兴趣的交易上。 例如，人们可能感兴趣的是，使用万事达卡核心和支持DDA作为离线数据认证方法、在线PIN作为持卡人认证方法的卡执行的大额交易是否适合终端认证。

B. 基于PAN路由的扩展模型

以前的EMV非接触式协议模型指定了End发行者渠道，该频道允许双方始终就用于在线授权交易的核心达成一致。 换句话说，假设交易授权请求被路由到支付网络，该请求仅处理由使用的核心确定的品牌卡的卡（或等效地在应用程序选择阶段选择的援助）。 例如，如果使用Visa Core处理交易，则授权请求将路由到仅处理Visa卡的网络。

此建模假设意味着万事达卡只能用于使用万事达卡核心执行的交易。 显然，品牌混淆攻击证明了其他明智的做法。 也就是说，在某些情况下，即使卡不是由终端使用的内核确定的品牌，授权请求也可以到达卡发行人。 先前的模型通过更通用的路由模型进行扩展，其中终端将授权到由卡盘确定的付款网络路由。 所使用的建模技术是标准的。

在上表中，总结了使用扩展模型的分析结果。 平均而言，所有目标模型都有56个规则和大约800行代码。 表中的注释1和2表示原始模型首先确定的身份验证问题。 注释3和4表示新发现的缺乏EMV非接触式交易中使用的辅助和CVM身份验证。 这是一个潜在的缺陷，导致银行卡品牌混乱攻击。 对于每个受影响的目标模型，分析揭示了一项可接受的交易，其中包含以下陈述：

•使用的卡是万事达卡，

•终端使用签证核心运行交易，

•未执行持卡人验证，

•如果事务值很高，则从终端的角度来看，CDCVM已成功执行。

C.验证国防对策

为Visa Pin旁路攻击提出了两个修复程序。 这些修复程序是：

1.终端必须始终设置终端交易预选赛（TTQ）字节1的位1。

2.终端必须始终验证签名的动态身份验证数据（SDAD）。

上述修复程序可确保使用Visa Core使用Visa的安全配置（在线授权中的DDA）处理的高价值交易，该配置要求该卡提供SDAD，并且终端对其进行身份验证。 从结果（上表，第4行）中可以看到，此配置以及上面列出的两个修复程序已经过验证，以防止将万事达卡变成签证卡。 该修复程序是因为卡签名的内核特定格式来生成SDAD数据。 也就是说，Visa协议指定SDAD的输入具有用于在线授权的标头0x95，而万事家核心则指定使用0x05标头。 换句话说，对于需要在线授权的交易，生成的SDAD不会通过运行Visa Core的终端来验证。 此外，提出了以下新颖的EMV范围对策，即内核可以内部实施以保证安全的在线授权交易而无需依靠特定签证的对策：

1.所有交易都必须由卡生成并由终端验证。

1.选定的援助必须是SDAD输入的一部分。

第一个对策总结了本节前面列出的两个修复程序。 第二个对策针对本文中描述的银行卡品牌混乱攻击。 使用扩展模型为这些对策生产了机器检查的安全性证明。 这意味着它们对卡片品牌混淆攻击以及PIN旁路攻击有效。 请注意，第二个对策将很昂贵，因为它需要重新发行卡。

D.万事达卡的防御对策

作为披露过程的一部分，对这项研究的响应是与万事达卡共享的，并从中汲取了以下信息：

1.要求万事达卡收购方在授权数据中包括援助，并允许发行人检查针对PAN的援助。

2.万事达卡在授权请求中具有其他数据点，可用于识别攻击。

由于披露过程，万事达卡了解到并非所有发行人都会检查援助或其他数据点，他们就会在其网络上实施这些检查。 与万事达卡的相互作用还提供了一些有关某些终端（例如六个终端）如何检测不匹配的艾滋病和平底锅的见解，从而从一开始就拒绝了交易。

完成上述检查后，再次尝试攻击。 这次失败了：终端要求将卡插入终端并输入销钉。 因此，实验证明，万事达卡现在部署的这些检查可以防止-VISA混合攻击。

0x05

在EMV非接触式协议中发现了一个关键且容易利用的漏洞，在该协议中，付款终端未对应用程序标识符（AID）进行身份验证。 AID定义了该协议实例（也称为内核）必须激活交易。 结果，攻击者可以恶意取代合法的援助，以欺骗终点以激活有缺陷的内核。 本文展示了如何使用中型攻击来利用此漏洞，这使终端诱使使用万事达卡用于交易，同时认为它是签证卡。 这种卡片品牌混合与最近开发的针对Visa的PIN搭桥攻击相结合，产生了新颖而关键的攻击，使攻击者绕过万事达卡的PIN。 以前假定该品牌的卡受到销钉的保护。 令人震惊的是，对于在线授权交易中，终端和卡发行商不同意支付卡品牌的交易甚至是可能的。

为了启用利用，开发了概念验证申请，并成功测试了对现实世界付款终端的攻击。 例如，使用借记卡在CHF 400交易中绕过PIN。 EMV的正式模型也可以通过对终端发行人渠道进行建模来扩展，即使这些代理商不同意卡片品牌，也可以进行沟通。 使用扩展模型对签证内核的正式验证提议的现成固定是对-VISA混合攻击的有效对策。 还指定和验证了两个新的内核内部对策，可以在万事达卡内核上实现，而无需依赖签证的防御。 万事达卡在网络级别上实施了另一种防御机制，在实验上证明这是有效的。