How a Payment Lookup Oracle Confirms Predictable Identifiers
Diese Arbeit zeigt auf, dass nationale Zahlungsabwicklungs-Oracles, wie Thailands PromptPay, die deterministische Bestätigung vorhergesagter nationaler Identifikatoren ermöglichen, indem sie Angreifern erlauben, Vermutungen gegen öffentliche Daten und geleakte Datensätze zu verifizieren, eine Schwachstelle, die dadurch verschärft wird, dass Empfängernamen trotz Bemühungen um eine Teilmaskierung der Namen unmaskiert zurückgegeben werden.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der modernen Welt der Sofortüberweisungen ist eine einfache Sicherheitsprüfung zu einem mächtigen Werkzeug für die Verletzung der Privatsphäre geworden. Wenn Sie Geld an einen Freund über eine Telefonnummer oder eine nationale Identifikationsnummer anstatt einer langen Bankkontonummer senden, führt Ihre Banking-App eine schnelle Abfrage durch. Sie fragt ein zentrales System: „Wem gehört diese Nummer?“ und zeigt den Namen auf Ihrem Bildschirm an, damit Sie sicher sein können, dass Sie Geld an die richtige Person senden. Diese Funktion, bekannt als Auflösungs-Orakel (Resolution Oracle), dient dazu, Fehler und Betrug zu verhindern. Forscher haben jedoch entdeckt, dass derselbe Mechanismus, der dazu gedacht ist, eine bekannte Identität zu bestätigen, auch dazu verwendet werden kann, die Identität eines Fremden zu entdecken. Das Problem entsteht, wenn dieses offene Abfragesystem mit der Tatsache kombiniert wird, dass viele nationale Identifikationsnummern nicht zufällig sind; sie folgen einem vorhersehbaren Muster basierend auf Geburtsdaten und Standorten. In der Vergangenheit wussten Sicherheitsexperten zwar, dass diese Nummern erraten werden konnten, aber sie glaubten, es gäbe keine Möglichkeit zu wissen, ob eine Vermutung korrekt war. Die neue Erkenntnis ist, dass das Zahlungssystem selbst die Antwort liefert und so eine bloße Vermutung in eine bestätigte Tatsache verwandelt.
Zwei Forscher der King Mongkut's University of Technology Thonburi in Thailand machten sich daran, genau zu messen, welche Gefahr diese Kombination darstellt. Sie konzentrierten sich auf Thailands PromptPay-System, ein weit verbreitetes Netzwerk für Sofortzahlungen, bei dem Menschen ihre Mobilfunknummern oder nationalen ID-Karten registrieren, um Geld zu empfangen. Die Forscher versuchten nicht, Geld zu stehlen oder die Computersysteme einer Bank zu hacken. Stattdessen betrachteten sie die Zahlungs-App als ein Werkzeug, um Fragen zu stellen, und analysierten die Antworten, die sie gab. Sie begannen mit der Untersuchung der Struktur der thailändischen nationalen ID-Karte. Es handelt sich um eine dreizehnstellige Nummer, bei der die ersten Ziffern die Provinz und den Bezirk angeben, in denen die Person registriert wurde, und die letzte Ziffer eine mathematische Prüfziffer ist, die sicherstellt, dass die Nummer gültig ist. Aufgrund dieser Struktur ist die Gesamtzahl der möglichen gültigen ID-Nummern viel geringer, als es scheint. Die Forscher berechneten, dass die Regeln des Systems den Pool der potenziellen Kandidaten bereits um den Faktor einhundertfünfunddreißig reduziert, noch bevor eine spezifische Information über eine Person bekannt ist.
Die Studie untersuchte dann, was passiert, wenn ein Angreifer bereits eine Liste geleakter ID-Nummern besitzt, was in der digitalen Welt eine bekannte Realität ist. Ein kürzlicher öffentlicher Leak legte über 1,2 Millionen thailändische nationale ID-Nummern offen. In der Vergangenheit war der Besitz einer solchen Liste nur die halbe Miete; ein Angreifer hatte zwar eine Nummer, aber keine Möglichkeit zu wissen, welcher Name damit verknüpft war. Die Forscher zeigten, dass das Zahlungsabfragesystem dieses fehlende Puzzleteil löst. Durch die Eingabe einer geleakten ID-Nummer in eine Banking-App liefert das System sofort den vollständigen Namen des Kontoinhabers zurück. Dies verwandelt eine statische Liste von Nummern in ein lebendiges, verifiziertes Namensverzeichnis. Die Forscher demonstrierten, dass selbst wenn einige Ziffern einer ID-Nummer in einem Dokument verborgen oder geschwärzt sind, die mathematischen Regeln der ID-Karte die Anzahl der möglichen fehlenden Kombinationen auf einen sehr kleinen Satz begrenzen. Ein Nutzer könnte einfach jede dieser wenigen Möglichkeiten in der Zahlungs-App ausprobieren, und das System würde die korrekte durch die Anzeige des Namens bestätigen, während es die falschen ablehnt.
Um zu verstehen, wie gut aktuelle Datenschutzmaßnahmen funktionieren, untersuchten die Forscher auch eine neue Richtlinie, die in Singapur eingeführt wurde, bei der Zahlungs-Apps Teile eines Namens auf dem Bildschirm verbergen, um das Lesen durch flüchtige Beobachter zu verhindern. Sie testeten diese Idee anhand einer Datenbank mit tausenden thilen Namen. Sie fanden heraus, dass die singapurische Methode, die nur die zweite Hälfte eines Namens verbirgt, überraschend schwach ist. Da thailändische Nachnamen oft einzigartig für eine einzige Familie sind und da die erste Hälfte eines Namens oft ausreicht, um eine Person zu identifizieren, lässt die Maskierung den Namen in mehr als der Hälfte aller Fälle effektiv sichtbar. Die Forscher fanden heraus, dass die maskierte Bezeichnung für einen großen Teil der Bevölkerung einzigartig genug ist, dass eine Person die Einzelperson immer noch identifizieren könnte. Wichtiger noch, sie zeigten, dass diese Art der Maskierung einen entschlossenen Angreifer, der bereits einen Kandidatennamen zum Testen hat, nicht aufhält. Wenn ein Angreifer vermutet, dass ein Name zu einer bestimmten ID-Nummer gehört, kann er einfach prüfen, ob die maskierte Version mit seiner Vermutung übereinstimmt, was den Display-Schutz gegen einen gezielten Angriff nutzlos macht.
Die Forscher wandten sich dann direkt an die Banken selbst, um zu sehen, was in Thailand tatsächlich geschieht. Sie nutzten ihre eigenen Bankkonten und Mobiltelefone, um das System bei sieben verschiedenen Banken zu testen, darunter staatliche, private, ausländische und islamische Institute. In jedem einzelnen Fall, ohne Ausnahme, zeigten die Apps den vollständigen, unmaskierten Namen des Kontoinhabers an. Es gab keine Schwärzung, keine Verbergung von Buchstaben und keine Variation zwischen den verschiedenen Banken. Dies bestätigte, dass das System im ganzen Land einheitlich ist und dass die aktuellen Datenschutzbestimmungen nicht existent sind. Die Forscher beobachteten auch, dass das System sie nicht verlangsamte oder stoppte, wenn sie wiederholt nach demselben Namen fragten, was darauf hindeutet, dass es keine strengen Limits für die Anzahl der Abfragen einer ID-Nummer in einem kurzen Zeitraum gibt.
Die Kernschlussfolgerung der Arbeit ist, dass die Gefahr nicht in der Anzeige des Namens liegt, sondern in der Fähigkeit, die Frage zu stellen. Die Forscher argumentieren, dass das bloße Verbergen des Namens auf dem Bildschirm die falsche Lösung ist, da es den zugrunde liegenden Bestätigungsprozess nicht stoppt. Wenn ein Angreifer eine Liste geleakter Nummern besitzt, fungiert das Zahlungssystem als eine Maschine, die bestätigt, welche Nummern echt sind und wem sie gehören. Die Forscher schlagen vor, dass die Lösung darin bestehen muss, die Fragen zu kontrollieren, nicht die Antworten. Das bedeutet, dass das System begrenzen sollte, wie oft ein einzelner Nutzer verschiedene Nummern pro Tag abfragen kann, oder ungewöhnliche Suchmuster melden sollte. Sie betonen, dass dies kein Softwarefehler ist, der behoben werden kann, sondern ein Designmerkmal des Zahlungssystems, das einem ehrlichen Nutzer einen nützlichen Zweck dient, während es gleichzeitig ein Risiko für die Privatsphäre schafft. Die Studie kommt zu dem Schluss, dass für Instant-Payment-Systeme die Betreiber strikte Limits implementieren müssen, wie oft diese Abfragen durchgeführt werden können, um sicherzustellen, dass das System ein Werkzeug zur Bestätigung eines bekannten Empfängers bleibt und nicht zu einem Verzeichnis zur Entdeckung von Fremden wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.