Dass Postfinance am Vortrag über die Sicherheitsprobleme ihrer Postcard am 23rd Chaos Communication Congress keine Freude hatte, hatte ich bereits hier erwähnt. Grund genug, auch den Leiter des Mediendienstes der Schweizerischen Post, Alex Josty, zu Wort kommen zu lassen:

Bernd Fix vom Computer Chaos Club hat am Chaos Communication Congress Ende Dezember 2006 in Berlin einen Vortrag über die Sicherheit der Postcard gehalten. Aus Sicht von PostFinance sind in dem über Internet zugänglichen Vortrag enthaltene Aussagen falsch und / oder in der vereinfachten Form irreführend. Die Kernaussage des Vortrages ist, dass die Postcard wesentliche Sicherheitslücken enthält und PostFinance trotz Hinweisen des CCC im Jahre 2002 nichts zu deren Behebung unternommen habe.

Folgende Fakten gilt es bei der Diskussion von Sicherheit von Zahlkarten zu berücksichtigen:

• PostFinance misst der Sicherheit im Zahlungsverkehr einen grossen Stellenwert bei. Dies gilt insbesondere auch für Zahlungen und Bezüge mit der Postcard.
• PostFinance hat in den letzten Jahren aufwändige und kostenintensive Massnahmen zur Erhöhung der Kartensicherheit ergriffen.
• Die Sicherheit der Postcard hängt nicht nur von einem, sondern von einer Kombination von mehreren Sicherheitselementen ab. Bei der Frage, ob die Postcard sicher ist, sind daher sämtliche Elemente zu berücksichtigen. Das Postcard System entspricht nicht demjenigen der französischen Bankkarten, weshalb die im Vortrag erwähnten „Sicherheitsprobleme“ für die Postcard nicht relevant sind.
• Seit dem Sommer 2006 gibt PostFinance die Postcard mit der neuen, dem letzten Stand der Sicherheitstechnik entsprechenden EMV-Chipapplikation heraus. Schon heute erfolgt ein grosser Teil der Transaktionen über diese neue Verarbeitungsart.
• Das Fälschen von Karten erfolgt heutzutage durch Kopieren des Magnetstreifens (sog. Skimming) und Ausspähen der dazugehörigen PIN. Ohne PIN, welche immer nur dem Karteninhaber bekannt ist, kann keine Transaktion mit der Postcard durchgeführt werden.

Ich bin kein Experte der Materie, doch es gibt nach wie vor Punkte, die mir nicht ganz geklärt scheinen. Nur schon die Tatsache, dass die Postcards erst seit Sommer 2006 mit EMV bestückt werden, bedeutet ja wohl, dass bei der normalen Gültigkeitsdauer von 4 Jahren noch bis ins Jahr 2010 „missbrauchsgefährdete“ Karten im Umlauf sein werden.

Infwiefern die Postcards aber nun im „real life“ tatsächlich gefährdet sind, darüber scheiden sich offenbar die Geister, wie auch in der Diskussion auf symlink.ch nachgelesen werden kann. Vielleicht kann das heutige Treffen des Chaostreff Zürich, wo das Thema nochmals aufgegriffen werden soll, etwas mehr Licht in die Sache bringen.

Der Vortrag „A not so smart card“ am 23rd Chaos Communication Congress hat bei der Schweizerischen Post bzw. Postfinance, die die „Postcard“ herausgibt, offenbar bereits im Vorfeld für Wirbel gesorgt. So hatte man dem Redner am 14. Dezember einen Brief geschickt, in dem er aufgefordert wurde, bloss keine Unwahrheiten zu behaupten, denn die Postcard sei selbstverständlich sicher und das Sicherheitssystem funtkioniere ganz anders, als von ihm dargestellt. Doch Bernd R. Fix bleibt dabei und berichtete in seinem Vortrag davon, dass die Postcard alles andere als sicher sei:

Die Postcard identifiziert sich nämlich gegenüber dem Terminal mit Hilfe eines Schlüsselpaares, das mit RSA zu 320 Bit arbeitet – während angesichts der fortschreitenden Rechenleistung Algorithmen zu 1.024 Bit bereits zur Diskussion stehen. Zwar braucht man eine PIN, um Transaktionen vorzunehmen. Aber die PIN beschützt nicht etwa das Schlüsselpaar, von dem beide Teile in einem read-only Speicher auf der Karte hinterlegt sind. Sondern die PIN wird gebraucht, um sich Zugang zu einem anderen read/write-Speicher der Karte zu verschaffen, auf dem sämtliche Transaktionsdaten gespeichert werden. Nach Auslesen und Knacken der ungeschützten Schlüssel kann die Karte geklont und zu einer „YesCard“ programmiert werden, die jeden PIN annimmt. […]

Der Vortragende verlieh seinem Anliegen Nachdruck, dass die Schweizer Postbank ihre Kunden nicht weiterhin um die vermeintliche Sicherheit ihrer Karten betrügen dürfe. Er berichtete von einem alten Mann, dessen Postcard während eines Krankenhausaufenthalts im Schrank aufbewahrt wurde und der hinterher um rund 20.000 CHF (ca. 12.500 ¤) ärmer war. Zugesprochen wurde ihm nur ein minimaler Schadensersatz. Denn die PostFinance sichert sich in ihren Geschäftsbedingungen bei Vertragsabschluss dahingehend ab, dass sie nur bei Ausschluss von Fahrlässigkeit handelt. Das bedeutet, dass der Kunde beweisen muss, dass er die PIN nicht weitergegeben hat, was praktisch unmöglich ist.

Wenn man die PIN nun aber gar nicht benötigt, um die Karte unautorisiert zu gebrauchen, ist das eine heikle Angelegenheit. Die Karte ist dann nicht sicher, was den Haftungsausschluss von PostFinance in Frage stellt. Daher der böse Brief, mutmaßt der Vortragende. Denn bei einem Test mit Karten von Freunden aus der Schweiz vor einigen Monaten habe sich gezeigt, dass die Karte sicherheitstechnisch immer noch so leicht geknackt werden kann wie 2002.

Das mag bei einem Diebstahl der Karte durch einen „einfachen“ Taschendieb zwar kein Problem darstellen, bei Personen mit grösserem technischen Wissen könnte so durchaus ein Sicherheitsproblem entstehen. Wie sich die Postfinance zum Thema äussert und wie sicherheitsrelevant die Sache aus ihrer Sicht ist, konnte ich bisher nicht in Erfahrung bringen, aber ich bleibe natürlich dran…

(Danke mds für den Hinweis in den Kommentaren!)