The researchers explain that a typical EMV transaction involves three steps: card authentication, cardholder verification, and then transaction authorization.
During a transaction using one of the altered cards, the original chip was allowed to respond with the card authentication as normal. Then, during card holder authentication, the POS system would ask for a user’s PIN, the thief would respond with any PIN, and the FUN card would step in and send the POS the code indicating that it was ok to proceed with the transaction because the PIN checked out.
そもそも、暗証番号を自前でチェックするという仕組み自体がおかしい (スコア:0)
セルフチェックでパスできる仕組なら、誰が何を認証するためのものなのだ？という話ですよ。
「合言葉を言え。その際、符号に合致するかは自分で確認して結果を知らせろ。OKなら入れてやる。」
って、そんなん何のチェックにもなってないじゃん。
磁気カードも当初はカードに暗証番号を持っていてそれと入力値を突き合わせる仕組みだったのが、それじゃ意味無いジャンと言うことでゼロ暗証になったはず。
Re:そもそも、暗証番号を自前でチェックするという仕組み自体がおかしい (スコア:5, 参考になる)
http://arstechnica.com/tech-policy/2015/10/how-a-criminal-ring-defeate... [arstechnica.com]
The researchers explain that a typical EMV transaction involves three steps: card authentication, cardholder verification, and then transaction authorization.
During a transaction using one of the altered cards, the original chip was allowed to respond with the card authentication as normal. Then, during card holder authentication, the POS system would ask for a user’s PIN, the thief would respond with any PIN, and the FUN card would step in and send the POS the code indicating that it was ok to proceed with the transaction because the PIN checked out.
このcardholder verificationのところで、「ユーザはこういう暗証を入れた。お前はこれが本人と認めるか」と聞くわけですね。ただし応答の暗号化とか署名とかがされてないので、横から大声で「大丈夫大丈夫」って応答すると通ってしまう、と。そしてカード本体は所有者の本人確認を飛ばして決済承認へ進んでしまうということのようです。