Serge Humpich (1998)
O que aconteceu?
Em 1998, Serge Humpich conseguiu explorar fragilidades no sistema francês de cartões bancários com chip.
O sistema utilizava cartões que recorriam a mecanismos de autenticação estática (SDA). Humpich demonstrou que era possível construir cartões falsificados capazes de serem aceites em determinadas condições pelos terminais de pagamento.
O episódio tornou-se conhecido porque demonstrou que a presença de um chip não garantia, por si só, que o cartão fosse impossível de clonar ou falsificar.
Qual foi a vulnerabilidade técnica?
O problema estava relacionado com a utilização de RSA com uma chave pública de aproximadamente 320 bits, considerada demasiado pequena para resistir aos recursos de fatorização disponíveis na altura.
Humpich conseguiu recuperar a chave privada correspondente à chave pública utilizada na autenticação dos cartões.
Com essa chave privada, conseguiu produzir cartões falsificados que conseguiam passar determinadas verificações de autenticidade dos terminais.
O ponto essencial era:
- O sistema utilizava autenticação estática.
- A segurança dependia de uma chave RSA demasiado pequena.
- Ao recuperar a chave privada, tornou-se possível falsificar os dados de autenticação.
- Os terminais que aceitavam essas verificações podiam ser enganados.
O que aconteceu depois?
- 1997: Humpich terá conseguido quebrar a proteção criptográfica, segundo a cronologia publicada sobre o caso.
- Julho de 1998: demonstrou a vulnerabilidade ao GIE Cartes Bancaires, utilizando cartões falsificados para comprar bilhetes de metro.
- 4 de agosto de 1998: o GIE apresentou uma queixa.
- Setembro de 1998: Humpich foi detido.
- 25 de fevereiro de 2000: foi condenado a dez meses de prisão com pena suspensa.
- Dezembro de 2000: a condenação foi confirmada em recurso.
Qual foi o impacto na segurança dos cartões?
O caso evidenciou a importância de três aspetos:
| Problema identificado | Evolução da segurança |
|---|---|
| Chaves RSA demasiado pequenas | Aumento dos tamanhos das chaves criptográficas. |
| Autenticação baseada em dados estáticos (SDA) | Desenvolvimento e adoção de mecanismos dinâmicos, como DDA e CDA. |
| Confiança excessiva na autenticação local do cartão | Maior importância da validação criptográfica e da autorização online. |
O caso também contribuiu para chamar a atenção para o risco de utilizar algoritmos e parâmetros criptográficos que deixam de oferecer segurança suficiente com o passar do tempo.