Banken proberen beschrijving pin-beveiliging te weren

De UK Cards Association (UKCA) heeft namens de grote Britse banken een brief gestuurd naar de universiteit wegens een doctoraal scriptie over een apparaatje waarmee zonder pincode met iemands pinpas kan worden betaald. UKCA vreest dat het publiek door deze informatie het vertrouwen in het betalingssysteem verliest. Ook zouden er te veel details in staan over hoe te frauderen met een apparaatje van enkele tientjes. Verschillende Britse media berichten hierover.

Thijs Doorenbosch/anpMeer van deze auteur

Professor Ross Anderson heeft laten weten door te gaan met het publiceren van controversieel onderzoek, zoals de universiteit in het verleden deed met onderzoeken van befaamde wetenschappers als Isaac Newton en Charles Darwin.

Betalingssysteem moet open en eerlijk zijn
Volgens hem zou het vertrouwen in het betalingssysteem juist toenemen als banken open en eerlijk zouden zijn over zwakke plekken en ijverig naar oplossingen zouden zoeken. De brief laat volgens hem juist zien dat de banken die aangesloten zijn bij UKCA "hun uiterste best doen om het werk van diegenen die niet bij die gezellige club horen te bagatelliseren en inderdaad te censureren''. De zwakke plek zou verder al eerder aan het licht zijn gekomen.

Om het makkelijker te maken om het rapport te vinden en eruit te citeren heeft hij het als speciaal technisch onderzoeksrapport geclassificeerd, zodat het permanent op de website van de Cambridge blijft staan.

Met nogal wat kassa's is geknoeid
Het doel van het MPhil-programma waar het doctoraalscriptie-onderzoek deel van uitmaakt, is gericht op het bestrijden van fraude met chipkaarten. De Smart Card Detective (SCD), zoals het apparaatje van student Omar Choudary heet, moest een betrouwbaar apparaatje voor creditcardgebruikers worden dat aangeeft welk bedrag daadwerkelijk werd afgeboekt. Er bestaat nogal wat kassa-apparatuur waar mee geknoeid is, die een hoger bedrag afboeken dan op de bon en de display staat.

Choudary onderzocht tevens de recent ontdekte kwetsbaarheid in het pin-systeem waarbij het mogelijk is een transactie te voltooien zonder pin-code in te voeren. Hij beschrijft in zijn scriptie zijn implementatie van de 'No PIN'-aanvalssoftware op de SCD en de proeven daarmee op terminals in een lokaal cafetaria en een aantal winkels in Cambridge.