How a Payment Lookup Oracle Confirms Predictable Identifiers
Dit artikel toont aan dat nationale betalingsresolutie-oracles, zoals de Thaise PromptPay, de deterministische bevestiging van voorspelde nationale identificatiegegevens mogelijk maken door aanvallers in staat te stellen gissingen te verifiëren tegen publieke gegevens en gelekte records, een kwetsbaarheid die wordt verergerd door het feit dat ontvanger namen ongemaskeerd worden geretourneerd ondanks inspanningen voor gedeeltelijke naammaskering.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de moderne wereld van directe geldtransfers is een eenvoudige veiligheidscontrole een krachtig middel voor privacyinbreuk geworden. Wanneer u geld naar een vriend stuurt met behulp van een telefoonnummer of een nationaal identificatienummer in plaats van een lang bankrekeningnummer, voert uw bankapp een snelle controle uit. Het vraagt aan een centraal systeem: "Van wie is dit nummer?" en toont de naam op uw scherm, zodat u er zeker van bent dat u het geld naar de juiste persoon stuurt. Deze functie, bekend als een resolutie-orakel, is ontworpen om fouten en fraude te voorkomen. Echter, onderzoekers hebben ontdekt dat ditzelfde mechanisme, dat bedoeld is om een bekende identiteit te bevestigen, ook gebruikt kan worden om de identiteit van een vreemde te ontdekken. Het probleem ontstaat wanneer dit open opzoeksysteem wordt gecombineerd met het feit dat veel nationale identificatienummers niet willekeurig zijn; ze volgen een voorspelbaar patroon gebaseerd op geboortedata en locaties. In het verleden wisten beveiligingsexperts dat deze nummers geraden konden worden, maar zij geloofden dat er geen manier was om te weten of een gok correct was. De nieuwe bevinding is dat het betalingssysteem zelf het antwoord geeft, waardoor een wilde gok verandert in een bevestigd feit.
Twee onderzoekers van de King Mongkut's University of Technology Thonburi in Thailand zetten zich in om precies te meten hoeveel gevaar deze combinatie creëert. Zij richtten zich op het Thaise PromptPay-systeem, een breed gebruikt netwerk voor directe betalingen waarbij mensen hun mobiele nummers of nationale ID-kaarten registreren om geld te ontvangen. De onderzoekers probeerden geen geld te stelen of de computersystemen van een bank te hacken. In plaats daarvan beschouwden zij de betaalapp als een instrument om vragen te stellen en analyseerden zij de antwoorden die de app gaf. Ze begonnen met het onderzoeken van de structuur van de Thaise nationale ID-kaart. Het is een dertiencijferig nummer waarbij de eerste paar cijfers de provincie en het district aangeven waar de persoon is geregistreerd, en het laatste cijfer een wiskundige controle is die garandeert dat het nummer geldig is. Vanwege deze structuur is het totale aantal mogelijke geldige ID-nummers veel kleiner dan het lijkt. De onderzoekers berekenden dat de regels van het systeem de pool van potentiële kandidaten met een factor honderdvijfendertig vermindert voordat er zelfs maar specifieke informatie over een persoon bekend is.
De studie onderzocht vervolgens wat er gebeurt als een aanvaller al een lijst heeft met gelekte ID-nummers, wat een bekende realiteit is in de digitale wereld. Een recente publieke lek legde meer dan 1,2 miljoen Thaise nationale ID-nummers bloot. In het verleden was het bezit van een dergelijke lijst slechts de helft van de strijd; een aanvaller had wel een nummer, maar geen manier om de bijbehorende naam te weten. De onderzoekers toonden aan dat het opzoeksysteem voor betalingen dit ontbrekende puzzelstukje oplost. Door een gelekt ID-nummer in een bankapp in te voeren, geeft het systeem onmiddellijk de volledige naam van de rekeninghouder terug. Dit verandert een statische lijst met nummers in een levende, geverifieerde directory van namen. De onderzoekers demonstreerden dat zelfs als sommige cijfers van een ID-nummer verborgen of afgeschermd zijn in een document, de wiskundige regels van de ID-kaart het aantal mogelijke ontbrekende combinaties beperken tot een zeer kleine set. Een gebruiker zou simpelweg elke van deze enkele mogelijkheden kunnen proberen in de betaapp, en het systeem zou de juiste bevestigen door de naam weer te geven, terwijl het de onjuiste afwijst.
Om te begrijpen hoe goed huidige privacymaatregelen werken, keken de onderzoekers ook naar een nieuw beleid dat in Singapore is aangenomen, waarbij betaalapps nu delen van iemands naam op het scherm verbergen om te voorkomen dat toevallige omstanders deze kunnen lezen. Zij testten dit idee met een database van duizenden Thaise namen. Zij vonden dat de Singaporese methode, die alleen de tweede helft van elke naam verbergt, verrassend zwak is. Omdat Thaise achternamen vaak uniek zijn voor een enkele familie, en omdat de eerste helft van een naam vaak voldoende is om een persoon te identificeren, laat de maskering de naam in meer dan de helft van alle gevallen effectief zichtbaar. De onderzoekers ontdekten dat voor een groot deel van de bevolking de gemaskeerde naam uniek genoeg is zodat een persoon de individu nog steeds kan identificeren. Belangrijker nog, zij toonden aan dat dit type maskering een vastberaden aanvaller die al een kandidaatnaam heeft om te testen, niet tegenhoudt. Als een aanvaller vermoedt dat een naam bij een specifiek ID-nummer hoort, kan hij simpelweg controleren of de gemaskeerde versie overeenkomt met zijn vermoeden, waardoor de weergavebescherming waardeloos is tegen een gerichte aanval.
De onderzoekers gingen vervolgens naar de banken zelf om te zien wat er werkelijk gebeurt in Thailand. Zij gebruikten hun eigen bankrekeningen en mobiele telefoons om het systeem te testen bij zeven verschillende banken, waaronder staatsbanken, private banken, buitenlandse instellingen en islamitische instellingen. In elk geval, zonder uitzondering, toonden de apps de volledige, ongemaskeerde naam van de rekeninghouder. Er was geen reductie, geen verberging van letters en geen variatie tussen de verschillende banken. Dit bevestigde dat het systeem uniform is over het hele land en dat de huidige privacybeschermingen niet-existent zijn. De onderzoekers observeerden ook dat het systeem niet vertraagde of hen tegenhield toen zij herhaaldelijk naar dezelfde naam vroegen, wat suggereert dat er geen strikte limieten zijn aan hoe vaak iemand in een korte periode een ID-nummer kan opzoeken.
De kernconclusie van het werk is dat het gevaar niet ligt in de weergave van de naam, maar in het vermogen om de vraag te stellen. De onderzoekers betogen dat het simpelweg verbergen van de naam op het scherm de verkeerde oplossing is, omdat het het onderliggende bevestigingsproces niet stopt. Als een aanvaller een lijst met gelekte nummers heeft, fungeert het betalingssysteem als een machine die bevestigt welke nummers echt zijn en wie ze bezit. De onderzoekers suggereren dat de oplossing moet liggen in het controleren van de vragen, niet van de antwoorden. Dit betekent dat het systeem moet beperken hoe vaak een enkele gebruiker per dag verschillende nummers kan opzoeken, of ongebruikelijke patronen van zoeken moet signaleren. Zij benadrukken dat dit geen softwarefout is die gepatcht kan worden, maar een ontwerpkenmerk van het betalingssysteem dat een nuttig doel dient voor eerlijke gebruikers terwijl het een risico vormt voor de privacy. De studie concludeert dat voor instant betalingssystemen de exploitanten strikte limieten moeten implementeren voor hoe vaak deze opzoeken uitgevoerd kunnen worden, om ervoor te zorgen dat het systeem een hulpmiddel blijft voor het bevestigen van een bekende ontvanger in plaats van een directory voor het ontdekken van vreemden.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.