BÁO CÁO BÀI TẬP LỚN tìm hiểu về hệ thống thanh toán POS (thanh toán bằng thẻ)

BAN CƠ YẾU CHÍNH PHỦ
HỌC VIỆN KỸ THUẬT MẬT MÃ
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

HỌC PHẦN

An toàn Internet & Thương mại điện tử

BÁO CÁO BÀI TẬP LỚN
Tìm hiểu về hệ thống thanh tốn POS (thanh toán bằng thẻ)

Giảng viên

:

Họ tên SV

:

Bùi Việt Thắng
Nguyễn Thu Trang – AT140247
Phan Thị Hà – AT140213
Nguyễn Tiến Nam – AT140225

Lớp

:

L03

Ngày gửi

:

22/09/2021

Hà Nội, 2021

Lời mở đầu
1


Trong những năm qua, Thương mại điện tử (TMĐT) đã dần dần khẳng định được
vai trị của mình trong việc trao đổi thông tin, giao dịch mua bán qua mạng. Vào
Việt Nam từ kể từ năm 1998 đến nay, tốc độ phát triển Internet tăng trưởng rất
nhanh. Tính đến tháng 11 năm 2009 số người sử dụng internet đã là 22.479.065
người, chiếm hơn dân số. Và trong thời gian vừa qua,, dịch bệnh gây ra nhiều xáo
trộn trong cuộc sống của mọi người khi mọi người phải thực hiện giãn cách thì
Thương mại điện tử đã càng thể hiện được những lợi ích cảu nó so với các hình
thức trước kia. Một phần không thể thiếu của Thương mại điện tử, ln đi kèm với
nó đó là Thanh tốn điện tử.
Thanh toán điện tử được định nghĩa là bất kỳ hình thức chuyển tiền nào được thực
hiện thơng qua các thiết bị điện tử. Thanh toán bằng hệ thống này có thể được thực
hiện qua Internet, hệ thống chuyển tiền điện tử, các hệ thống thanh toán bù trừ liên
ngân hàng và hệ thống trao đổi dữ liệu điện tử tài chính. Trong tài liệu này, nhóm
em sẽ thực hiện tìm hiểu hệ thống thanh tốn POS-một hình thức thanh toán tiêu
biểu của việc thanh toán điện tử
Chúng em xin chân thành cảm ơn những hướng dẫn, góp ý của thày về đề tài. Qua
buổi báo cáo nhóm em đã thực hiển bổ sung, sửa chữa bản báo cáo, Dưới đây là
bản báo cáo của nhóm chúng em!

MỤC LỤC
2


Chương 1 : Giới thiệu chung về hệ thống thanh toán POS...............................4
1. Nguồn gốc lịch sử...............................................................................................4
2. Định nghĩa.......................................................................................................5
3. Các loại hệ thống thanh toán POS................................................................5
3.1

Hệ thống điểm bán hàng di động............................................................5

3.2

Hệ thống máy tính bảng POS..................................................................5

3.4

Hệ thống điểm bán hàng trực tuyến.......................................................6

3.6 Hệ thống POS đa kênh................................................................................7
3.7 Hệ thống POS mã nguồn mở......................................................................7
Chương 2 : Cách thức hoạt động của Hệ thống thanh toán POS.....................7
1. Nguyên lý hoạt động.......................................................................................7
2. Mã hóa.............................................................................................................9
3. Chi phí khi thanh tốn bằng POS...............................................................11
Chương 3: Giải pháp bảo mật cho hệ thống thanh toán POS.........................11
1. Các vấn đề bảo mật của hệ thống POS.......................................................11
1.1 Khả năng truy cập.....................................................................................12
1.2 Thiếu mã hóa point to point (P2PE)........................................................12

1.3 Lỗ hổng phần mềm....................................................................................13
1.4 Tính nhạy cảm với mã độc........................................................................13
1.4.1 BlackPOS.................................................................................................14
Việc áp dụng EMV chậm................................................................................14
4. Các cuộc tấn công chống lại hệ thống POS................................................15
2.1 Sự xâm nhập...............................................................................................15
2.2 Truyền qua mạng.......................................................................................15
2.3. Công cụ đánh cắp dữ liệu.........................................................................16
2.4. Persistence and stealth.............................................................................16
2.5. Exfiltration ( Lọc).....................................................................................17
5. Các rủi ro trong q trình thanh tốn........................................................17
3.1. Rủi ro liên quan đến q trình thanh tốn............................................17
3.2. Rủi ro tại ngân hàng thanh toán.............................................................18
3.3. Rủi ro đối với chủ thẻ...............................................................................18
3


6. Các giải pháp bảo mật cho POS..................................................................19

4


Chương 1 : Giới thiệu chung về hệ thống thanh toán POS
1. Nguồn gốc lịch sử
Hệ thống POS phát triển từ một loại máy tính tiền cơ khí sử dụng các thanh ghi dịch
(mechanical cash registers) vào đầu thế kỷ 20. Những ví dụ của loại máy tính tiền
này như là sử dụng thanh ghi NCR(crank) và loại cao hơn đó là thanh ghi Burrough.
Các thanh ghi này ghi lại dữ liệu vào các cuộn băng từ (journal tapes) và địi hỏi
phải sao chép lại các thơng tin này vào hệ thống của người quản lý bán lẻ. Bước tiếp
theo trong quá trình phát triển là việc sử dụng điện cho các máy tính tiền. Một thí dụ

cho loại này là thanh ghi NCR Class 5. Vào năm 1973 một loại máy mới ra đời được
dẫn hướng bằng máy tính được giới thiệu, là IBM 3653 Store System và NCR 2150.
Một số loại khác dựa trên sự cơ sở máy tính như là Regitel, TRW, và Datachecker.
Vào năm 1973 lần đầu tiên giới thiệu máy đọc mã vạch UPC/EAN có trong hệ thống
POS. Năm 1986, các hệ thống POS chủ yếu dựa trên kỹ thuật máy tính với sự ra đời
của IBM 4683.
Suốt trong những năm 1980 đến 90 các thẻ tín dụng hoạt động độc lập được tích hợp
phát triển xử lý các thẻ tín dụng có trong hệ thống POS có thể dễ dàng và an tồn
Model được giới thiệu ở đây là VeriFone Tranz 330, Hypercom T7 Plus, hay
Lipman Nurit 2085. Nó là các thiết bị đơn giản. Một số hệ thống POS không dây sử
dụng cho các cửa hàng ăn không chỉ cho phép xử lý thanh tốn di động, chúng cịn
cho phép server xử lý chính xác tất cả các món ăn. Vào năm 2005, hệ thống POS
dùng cho bán lẻ không những phục vụ mục đích bán lẻ mà cho khả năng kết nối
mạng sử dụng trong thương mại. Trên thực tế, rất nhiều hệ thống bán lẻ POS hoạt
động hơn là một "point of sale". Khi chỉ phục vụ cho 4&5 nhà bán lẻ, có nhiều hệ
thống POS tích hợp nhiều account, quản lý thông minh, mở dự báo bán hàng, quản
lý quan hệ khách hàng (customer relation management CRM), quản lý dịch vụ, số
tiền thuê, và số tiền phải trả cho nhân viên.

5


Với những tùy chọn phong phú, một điều trở nên phổ biến mà dễ dàng ta sẽ phải
nghe tới đó là các sản phẩm phần mềm cho POS như: retail management software,
business management software, POS system, and point of sale software.

2. Định nghĩa
POS hay PoS là một thuật ngữ viết tắt của Point of Sale (hay point-of-sale, hoặc
point of service). Nó sử dụng cho các shop bán lẻ (retail shop), tại quầy thanh toán
tiền (check out counter) trong shop, hay là một vị trí có thể thay đổi được khi mà

giao dịch xuất hiện trong loại của môi trường kiểu này. Thêm nữa, point of sale
thỉnh thoảng đáp ứng giống như một hệ thống tính tiền (electronic cash register
system). PoS được sử dụng trong các nhà hàng ăn uống, khách sạn, sân vận động,
casino, nói chung nó thích hợp cho mơi trường bán lẻ. Tóm lại, nó là thứ phục vụ
cho việc bán hàng, một điểm bán hàng trong một hệ thống bán hàng (point of sale
system)
Là sự kết hợp sử dụng giữa phần cứng và phần mềm cho quầy tính tiền, và có thể đó
là một vị trí lưu động, với các hệ thống không dây (wireless systems)
3. Các loại hệ thống thanh toán POS
3.1Hệ thống điểm bán hàng di động
Dịch vụ POS trên điện thoại thông minh và máy tính bảng có thể xử lý thanh tốn và
quản lý một số khoảng không quảng cáo và thông tin khách hàng. Trong hầu hết các
trường hợp, ứng dụng miễn phí để đổi lấy việc xử lý thanh tốn. Các bộ xử lý thanh
toán tốt nhất sẽ gửi cho bạn trình đọc thẻ tín dụng miễn phí. Đây là một lựa chọn
POS phù hợp nếu bạn không quản lý nhiều hàng tồn kho và bạn cần phải di chuyển.
Hầu hết sẽ hoạt động với máy in hóa đơn di động hoặc bạn có thể gửi biên nhận qua
email cho khách hàng của mình trực tiếp từ ứng dụng.
3.2 Hệ thống máy tính bảng POS
Pad và các giải pháp điểm bán hàng của Android ngày càng phổ biến, kể từ khi họ
yêu cầu tối thiểu đầu tư trả trước vốn và bạn thường có thể sử dụng máy tính bảng
mà bạn đã sở hữu. Một số dịch vụ máy tính bảng POS là "miễn phí" với việc xử lý
6


thẻ tín dụng; một số khác yêu cầu đăng ký hàng tháng rất nhỏ nhưng cho phép bạn
chọn bộ xử lý thẻ tín dụng của riêng mình. Nhiều hỗ trợ phần cứng tương thích như
máy đọc mã vạch, ngăn kéo đựng tiền và giá đỡ máy tính bảng.
3.3 Hệ thống POS đầu cuối
Hệ thống điểm bán hàng đầu cuối là loại bạn quen nhìn thấy tại quầy. Mặc dù chúng
dựa trên phần cứng và phần mềm, hầu hết vẫn yêu cầu quyền truy cập internet và

thậm chí có thể sử dụng phần mềm dựa trên đám mây. Chúng thường được bán dưới
dạng các giải pháp tất cả trong một bao gồm máy quét mã vạch, ngăn kéo đựng
tiền,....Nhiều dịch vụ trong số này cung cấp hỗ trợ 24/7/365 và sao lưu đám mây.
Các hệ thống này giúp dễ dàng hạn chế quyền truy cập internet của nhân viên, vì
chúng có thể được định cấu hình chỉ để chạy phần mềm POS. Các giải pháp nhà
hàng có thể tích hợp với các thiết bị di động Wi-Fi, đặt hàng máy tính bảng khách
hàng quen và đặt hàng trực tuyến. Các loại máy bán lẻ có thể bao gồm các cơng cụ
kiểm kê mở rộng, in nhãn và tích hợp thương mại điện tử. Một số được "miễn phí"
để đổi lấy việc thanh tốn cho q trình xử lý thẻ tín dụng.
3.4 Hệ thống điểm bán hàng trực tuyến
Với POS trực tuyến, bạn có thể sử dụng phần cứng của riêng mình, có thể là PC
hoặc máy tính bảng. Một lợi thế khác là chi phí bắt đầu là rất nhỏ. Các giải pháp PC
không thể thay thế sự tiện lợi của màn hình cảm ứng; tuy nhiên, nếu doanh nghiệp
của bạn có doanh số bán vé lớn, số lượng lớn, thì doanh nghiệp của bạn có thể đủ
nhanh để đáp ứng nhu cầu của bạn. Kinh doanh số lượng ít cũng làm cho việc sử
dụng một máy in tiêu chuẩn trở nên khả thi. Bạn có thể đăng nhập vào các giải pháp
trực tuyến từ mọi nơi, sử dụng mọi thiết bị.
3.5 Self-service kiosk POS
Hầu hết các hệ thống POS kiosk là các giải pháp chuyên biệt cho một mục đích cụ
thể. Ví dụ: bạn có thể cung cấp một ki-ốt tự phục vụ cho khách hàng quen mua vé
xem phim hoặc quản lý thời gian chỗ đậu xe và các khoản thanh tốn. Một tùy chọn
hữu ích khác là thiết lập một vài ki-ốt trong cửa hàng bán lẻ lớn của bạn để cho phép
khách hàng của bạn tra cứu giá cả và tính sẵn có của sản phẩm. Các mục đích sử
dụng non-POS khác bao gồm đăng ký bệnh nhân và nguồn nhân lực (chẳng hạn như
7


chấp nhận đơn xin việc). Trong một số ngành, ứng dụng dành cho thiết bị di động có
thể thay thế một số cách sử dụng phổ biến, chẳng hạn như đăng ký và tra cứu sản
phẩm hoặc thậm chí là bán vé

3.6 Hệ thống POS đa kênh
Nếu doanh nghiệp của bạn bán sản phẩm của mình ở nhiều địa điểm trực tuyến hoặc
trực tiếp, bạn sẽ được hưởng lợi rất nhiều từ các hệ thống POS đa kênh. Loại hệ
thống POS này tích hợp tất cả doanh số bán hàng trên cửa hàng trực tuyến của bạn,
các trang mạng xã hội và phía trước cửa hàng. Do đó, bạn ít có khả năng hết hàng
hơn.
3.7 Hệ thống POS mã nguồn mở
Với các hệ thống POS mã nguồn mở, bạn có thể tùy chỉnh giao diện phần mềm POS
của mình để hoạt động theo cách bạn muốn. Bạn sẽ cần các kỹ sư phần mềm để thực
hiện điều này và vì các kỹ sư phần mềm thường tính phí cao, nên máy POS mã
nguồn mở chi phí sẽ cao hơn. Tuy nhiên, nó có thể là lựa chọn duy nhất cho các
doanh nghiệp lớn hơn với nhu cầu sử dụng máy POS độc nhất vô nhị.

Chương 2 : Cách thức hoạt động của Hệ thống thanh tốn
POS
1.

Ngun lý hoạt động
Có ba cách để thiết bị đầu cuối POS có thể chấp nhận thanh tốn bằng thẻ:
Quẹt thẻ: thẻ có dải từ được quẹt để bắt đầu giao dịch.
Chèn: thẻ có vi mạch được đưa vào máy POS và nó vẫn ở đó trong suốt q trình
giao dịch.
Nhấn: Thẻ chip Europay, MasterCard và Visa (EMV) cũng có thể sử dụng giao tiếp
trường gần (NFC) để thanh tốn khơng tiếp xúc bằng cách nhấn vào thiết bị đầu cuối
POS.

8


Dữ liệu cần thiết cho giao dịch được truyền dưới dạng mã hóa qua sóng vơ tuyến để

thiết lập kết nối giúp giao dịch nhanh chóng và an tồn. Điều này giúp loại bỏ sự cần
thiết phải quẹt hoặc lắp thẻ hoặc thậm chí giao thẻ cho người bán.

Khi thanh toán được thực hiện trong thiết bị đầu cuối POS:
Bước 1: Dữ liệu giao dịch thẻ được mã hóa và chuyển đến bộ chuyển đổi ngân hàng
bên mua
Bước 2: Thẻ được nhận dạng dựa trên loại thẻ cho dù đó là thẻ MasterCard hay thẻ
visa, v.v.
Bước 3: Mạng thanh toán trên cơ sở số BIN xác định ngân hàng của khách hàng và
định tuyến giao dịch theo đó. Thơng thường 6 chữ số đầu tiên trên thẻ được gọi là Số
nhận dạng ngân hàng (BIN) giúp xác định ngân hàng phát hành.
Bước 4: Ngân hàng phát hành xác định khách hàng và cho phép thực hiện giao dịch.
Bước 5: Thông báo thành công hoặc thất bại được tra về máy PoS và máy sẽ thông
báo gd thành công hay thất bại

9


2.

Mã hóa

Mỗi khi thẻ được quẹt trên thiết bị đầu cuối PoS, dữ liệu thẻ như số thẻ, CVV, tên và
chi tiết giao dịch được mã hóa. Việc mã hóa hoặc giải mã dữ liệu tài khoản được
thực hiện bằng DEK (Khóa mã hóa dữ liệu). DUKPT (Khố duy nhất được tạo ra
cho mỗi giao dịch) là một phương pháp quản lý khoá sử dụng khoá duy nhất cho
mỗi giao dịch và ngăn chặn việc tiết lộ bất kỳ khoá nào trong quá khứ được sử dụng
bởi PoS bắt nguồn từ giao dịch.
Về cơ bản, một Khóa khởi động cơ sở (BDK) được sử dụng để bắt đầu quá trình
DUKPT. Bản thân BDK không bao giờ được hiển thị mà thay vào đó được sử dụng

để tạo ra một khóa khác, được gọi là khóa ban đầu. Khóa ban đầu này được đưa vào
thiết bị POS mới cùng với Số sê-ri khóa chứa thơng tin nhận dạng cho ứng dụng
chủ. Khóa ban đầu được sử dụng để tạo một nhóm các khóa mã hóa và trong mỗi
giao dịch, một trong các khóa được chọn từ nhóm để mã hóa thơng tin. Sau khi dữ
liệu được gửi đi, khóa hiện tại được sử dụng để tạo các khóa bổ sung trong tương lai,
sau đó khóa sẽ bị xóa, xóa mọi thơng tin về giao dịch trước đó.
10


Các khóa có nguồn gốc giữ thơng tin an tồn. Khơng thể đảo ngược q trình để dẫn
trở lại BDK và nếu một trong các chìa khóa bị xâm phạm trong thiết bị POS, nó sẽ
ngay lập tức được thay thế bằng một chìa khóa mới trong giao dịch tiếp theo. Thông
qua việc phát sinh, DUKPT tạo thành một hệ thống tự tái chế nhằm thúc đẩy tính
bảo mật, hiệu quả và dễ thực hiện.
Quản lý khóa DUKPT thường được sử dụng cho các khóa 3DES (hoặc AES) được
sử dụng trong các thiết bị đầu cuối POS. Quản lý khóa này
chương trình có thể được sử dụng riêng để mã hóa khối PIN (số nhận dạng cá nhân)
của thẻ và cũng để mã hóa dữ liệu giao dịch thanh tốn. Những kỹ thuật này đã được
sử dụng trong thiết kế của thiết bị đầu cuối POS di động.

Khoá cơ sở (BDK) được cấp cho một máy POS(lưu ý rằng cùng một BDK có thể
được chỉ định cho máy POS).
Dãy KSN bao gồm :
-KSI(Key set indentify): dùng để xác định khóa BDK nào được dùng cho thiết bị, nó
bao gồm: Issuer Identifier Number(3 bytes),Customer ID(1 byte), Group ID(1 byte)
Hệ thống sẽ sử dụng BDK cùng với Số sê-ri khóa (KSN) duy nhất của thiết bị để tạo
Khóa mã hóa PIN ban đầu (IPEK) cho thiết bị(1 khóa BDK có thể dung cho nhiều
thiết bị).
-DID(device identifier): số serial của thiết bị
-TC(transaction counter): dãy đếm số lượng giao dịch(21 bits cuối)

BDK sẽ được kết hợp với KSN để tạo ra IPEK, IPEK này sẽ được gán cho máy POS
duy nhất, sử dụng nó để tạo danh sách 21 future keys ban đầu, nó sẽ sử dụng để mã
hóa các thơng điệp của mình.
11


KSN của máy POS được sử dụng cùng với một trong các future keys của nó để mã
hóa tin nhắn và sau mỗi lần giao dịch, nó sẽ tăng giá trị của KSN.
Bất cứ khi nào người mua thực hiện giao dịch, thơng tin giao dịch sẽ được mã hóa
bằng cách sử dụng một trong các khóa tương lai(được gọi là “Khóa phiên”) cùng với
KSN hiện tại của POS. Sau đó, nó sẽ tăng giá trị của KSN và loại bỏ khóa tương lai
mà nó đã sử dụng.
Tại thời điểm này, server sẽ nhận được một bản mã cùng với KSN mà máy POS đã
sử dụng để mã hóa nó.
Server có trách nhiệm xác định BDK được sử dụng để khởi tạo thiết bị này từ KSN
và từ đó bạn sẽ sử dụng BDK và KSN để lấy lại IPEK, từ khóa IPEK này, KSN
được sử dụng để lấy lại Khóa phiên, cuối cùng được sử dụng để giải mã thơng báo.
Lợi ích của việc sử dụng mã hóa khóa bí mật và phương pháp quản lý quá giao dịch
duy nhất(BUKPT) là kẻ tấn công sẽ không thể đảo ngược quá trình để dẫn trở lại
BDK và nếu một trong các chìa khóa bị đánh cắp trong thiết bị POS, nó sẽ ngay lập
tức được thay thế bằng một chìa khóa mới trong giao dịch tiếp theo. Thơng qua việc
phát sinh, DUKPT tạo thành một hệ thống tự tái chế nhằm thúc đẩy tính bảo mật,
hiệu quả và dễ thực hiện. Đồng thời, phương pháp mã hóa khóa bí mật này cũng làm
tăng tốc độ xử lý của các giao dịch và tiết kiệm tài nguyên trên đường truyền do nó
khơng phải truyền khóa đi trên đường truyền.

12


3.

Chi phí khi thanh tốn bằng POS

Mỗi bên liên quan tham gia vào việc hỗ trợ giao dịch sẽ tính phí. Ngân hàng người
mua sẽ chuyển tiền vào mạng lưới và ngân hàng phát hành. Các tệp BIN được chia
sẻ bởi mạng (MasterCard & Visa) với ngân hàng bên mua / PSP, các chi tiết
BIN(Bank Identification Number) này giúp nhận dạng loại thẻ và tính phí.
Mọi khoản phí giao dịch được chia cho tất cả các bên liên quan. Các khoản phí được
chia sẻ với tỉ lệ khơng cố định và phụ thuộc vào các thông số khác nhau.
Ngân hàng phát hành nhận phần lớn trong tổng số tiền phí giao dịch được tính.

Chương 3: Giải pháp bảo mật cho hệ thống thanh toán POS
1. Các vấn đề bảo mật của hệ thống POS
Nhiều hệ thống POS tất cả trong một dựa trên các hệ điều hành đa năng như
Windows Embedded, Windows XP và các phiên bản mới hơn, và hệ điều hành Unix
bao gồm cả Linux. Do đó, các hệ thống này dễ bị ảnh hưởng bởi nhiều tình huống
tấn cơng có thể dẫn đến vi phạm dữ liệu quy mô lớn.

13


1.1 Khả năng truy cập
Trong khi các vi phạm trước đây đã xảy ra bằng cách truy cập trực tiếp vào hệ thống
POS, thì con đường tấn cơng phổ biến nhất chống lại các hệ thống POS là thông qua
mạng công ty. Sau khi kẻ tấn công giành được quyền truy cập vào mạng cơng ty
Ví dụ: thơng qua một máy chủ công khai dễ bị tấn công hoặc email lừa đảo trực
tuyến, kẻ tấn cơng có thể truy cập mạng cho đến khi họ có quyền truy cập vào một
điểm vào mạng POS. Điểm vào này thường giống với quản trị viên cơng ty sẽ sử
dụng để duy trì hệ thống POS.
1.2 Thiếu mã hóa point to point (P2PE)

Khi một cá nhân thanh tốn bằng cách quẹt thẻ tín dụng tại hệ thống POS, dữ liệu có
trong dải từ của thẻ được đọc và sau đó được chuyển qua nhiều hệ thống và mạng
khác nhau trước khi đến được khoản thanh toán của nhà bán lẻ bộ xử lý. Khi dữ liệu
này được truyền qua mạng công cộng, dữ liệu phải được bảo vệ bằng cấp mạng mã
hóa (ví dụ: Lớp cổng bảo mật (SSL)).
Tuy nhiên, trong các mạng và hệ thống nội bộ, số thẻ tín dụng khơng bắt buộc phải
được mã hóa ngoại trừ khi được lưu trữ. Albert Gonzalez nổi tiếng đã tận dụng điểm
yếu này vào năm 2005 bằng cách thâm nhập vào nhiều cửa hàng bán lẻ mạng và cài
đặt các cơng cụ dị tìm mạng, cho phép anh ta thu thập hơn 100 triệu số thẻ tín dụng
như họ đã chuyển qua các mạng nội bộ.
Đáp lại, nhiều nhà bán lẻ ngày nay sử dụng mã hóa cấp độ mạng ngay cả trong mạng
nội bộ của họ. Trong khi đó thay đổi được bảo vệ dữ liệu khi dữ liệu được truyền từ
hệ thống này sang hệ thống khác, số thẻ tín dụng khơng được mã hóa
trong chính hệ thống và vẫn có thể được tìm thấy ở dạng văn bản thuần túy trong bộ
nhớ của hệ thống POS và các hệ thống máy tính chịu trách nhiệm xử lý hoặc truyền
dữ liệu. Điểm yếu này đã dẫn đến sự xuất hiện của phần mềm độc hại “RAMscraping”, cho phép những kẻ tấn cơng trích xuất dữ liệu này từ bộ nhớ trong khi dữ
liệu đang được được xử lý bên trong thiết bị đầu cuối chứ không phải khi dữ liệu
được truyền qua mạng.
Đầu đọc thẻ an toàn (SCR) tồn tại và đã được triển khai trong một số môi trường,
cho phép P2PE. Cái này có thể đánh bại các cuộc tấn công RAM-scraping hoạt động
14


bằng cách tìm kiếm trong bộ nhớ của hệ thống POS để tìm các mẫu chữ số khớp với
số thẻ thanh tốn. Các đầu đọc thẻ như vậy mã hóa dữ liệu thẻ tại thời điểm quẹt thẻ
và tín dụng số thẻ vẫn được mã hóa trong suốt q trình ngay cả trong bộ nhớ và bên
dưới cấp độ mạng mã hóa.
Sử dụng P2PE trong mơi trường POS khơng phải là một khái niệm mới. Các mục
như mã PIN, khi được sử dụng với thẻ ghi nợ, phải được mã hóa tại thiết bị đầu cuối
bảng mã PIN. Khi cung cấp thiết bị đầu cuối, nhà xử lý thanh toán hoặc nhà tài trợ

phải cung cấp thiết bị đầu cuối bằng cách thực hiện "đưa vào khóa" trong đó khóa
mã hóa duy nhất được triển khai trực tiếp tới thiết bị. Với chương trình này, mã PIN
ln được mã hóa.
1.3 Lỗ hổng phần mềm
Nhiều hệ thống POS đang chạy hệ điều hành cũ hơn, chẳng hạn như Windows XP
hoặc Windows XP Embedded. Các phiên bản này dễ bị tấn công hơn. Và sẽ khơng
có thêm bản vá nào được phát hành cho bất kỳ lỗ hổng bảo mật nào được tìm thấy
trong các hoạt động này hệ thống sau ngày giới hạn. Điều này chắc chắn đặt các nhà
khai thác POS trước nguy cơ bị tấn công cao hơn và các nhà khai thác POS nên có
kế hoạch giảm thiểu điều đó. Các tổ chức nên xác minh với Microsoft chính xác
ngày hết hạn cho các phiên bản Windows mà họ đang sử dụng và lên kế hoạch cho
phù hợp.
1.4 Tính nhạy cảm với mã độc
Vì nhiều hệ thống POS đang chạy phiên bản Windows, chúng cũng có khả năng
chạy bất kỳ phần mềm độc hại nào chạy trên Windows. Điều này có nghĩa là những
kẻ tấn cơng khơng cần các kỹ năng chuyên môn để nhắm vào các hệ thống POS và
phần mềm độc hại không được thiết kế đặc biệt để sử dụng trên hệ thống POS có thể
dễ dàng sử dụng lại để chống lại họ.
Phần mềm độc hại POS được phát hiện lần đầu tiên vào tháng 10 năm 2008, khi
Visa đưa ra cảnh báo về một kiểu khai thác mới. Trong một điều tra gian lận, họ
phát hiện ra rằng những kẻ tấn công đã cài đặt phần mềm gỡ lỗi trên hệ thống POS
có khả năng trích xuất dữ liệu dải từ đầy đủ từ bộ nhớ của nó. Có vẻ như ít chú ý đến
15


điều cảnh báo này, cho phép người phát triển phần mềm độc hại có thời gian để
hồn thiện phương pháp của họ. Trong giai đoạn can thiệp, những người phát triển
phần mềm độc hại đã làm việc để hợp lý hóa phần mềm độc hại, tích hợp tất cả các
chức năng vào một phần mềm duy nhất.
Quá trình phát triển này cuối cùng đã dẫn đến các bộ phần mềm độc hại POS có đầy

đủ tính năng nổi lên trên các thị trường ngầm từ năm 2012 trở lại đây. Những gì tiếp
theo là một loạt các vi phạm hồ sơ cao, với một số vụ POS lớn của Hoa Kỳ các cuộc
tấn công phần mềm độc hại :
1.4.1 BlackPOS
Một trong những dạng phần mềm độc hại POS được sử dụng rộng rãi nhất là
BlackPOS (được phát hiện là Infostealer.Reedum), cũng là được gọi là KAPTOXA,
Memory Monitor, Dump Memory Grabber và Reedum. Các biến thể của BlackPOS
đã được được sử dụng để gắn kết một số vụ vi phạm POS bán lẻ lớn nhất.
Sự phát triển của nó phản ánh sự phát triển của thị trường phần mềm độc hại POS
rộng lớn hơn. Các phiên bản đầu tiên của BlackPOS từ năm 2010. Theo thời gian,
nó đã phát triển thành một cơng cụ chống tội phạm mạng có khả năng cao sử dụng
mã hóa để bao gồm các bài hát của nó và có thể được tùy chỉnh để phù hợp với môi
trường mục tiêu.
Đến tháng 2 năm 2013, BlackPOS đã sẵn sàng cho thị trường đại chúng và nhóm
đứng sau một trong các biến thể của nó đã bắt đầu bán trên các diễn đàn ngầm, thu
phí của khách hàng 2.000 đơ la cho gói.
Việc áp dụng EMV chậm
Europay, Mastercard và Visa (EMV) là một bộ tiêu chuẩn cho thanh tốn thẻ. Nó
thường là được gọi là "chip và mã PIN" và là thay thế cho từ tính truyền thống thẻ
dựa trên sọc. Thẻ EMV chứa nhúng bộ vi xử lý cung cấp mạnh mẽ giao dịch an
toàn. EMV khơng bao giờ truyền dữ liệu thẻ tín dụng khơng rõ ràng, giảm thiểu
nhiều phổ biến các cuộc tấn công POS. Thẻ EMV cũng ít hấp dẫn hơn đối với những
kẻ tấn cơng vì chúng khó để nhân bản.
4. Các cuộc tấn công chống lại hệ thống POS
16


Các cuộc tấn công chống lại hệ thống POS thường có nhiều giai đoạn. Đầu tiên, kẻ
tấn cơng phải đạt được là truy cập vào mạng của nạn nhân. . Thơng thường, họ có
quyền truy cập vào một mạng liên kết chứ khơng phải trực tiếp đến CDE. Sau đó, họ

phải đi qua mạng, cuối cùng giành được quyền truy cập vào hệ thống POS. Tiếp
theo, họ sẽ cài đặt phần mềm độc hại để lấy cắp dữ liệu từ các hệ thống bị xâm nhập.
Vì hệ thống POS khơng có khả năng truy cập mạng, dữ liệu bị đánh cắp sau đó
thường được gửi đến một máy chủ dàn dựng nội bộ và cuối cùng được tách ra khỏi
mạng của nhà bán lẻ.
2.1 Sự xâm nhập
Có nhiều phương pháp mà kẻ tấn cơng có thể sử dụng để truy cập vào mạng cơng ty.
Họ có thể tìm kiếm điểm yếu trong các hệ thống đối mặt với bên ngoài, chẳng hạn
như sử dụng SQL injection trên máy chủ web hoặc tìm kiếm thiết bị ngoại vi thiết bị
vẫn sử dụng mật khẩu mặc định của nhà sản xuất. Ngoài ra, chúng có thể tấn cơng từ
bên trong bằng cách gửi một email lừa đảo trực tuyến đến một cá nhân trong tổ
chức. Email lừa đảo trực tuyến có thể chứa tệp đính kèm độc hại hoặc liên kết đến
trang web cài đặt chương trình backdoor vào máy tính của nạn nhân.
2.2 Truyền qua mạng
Khi vào trong mạng, những kẻ tấn cơng cần có quyền truy cập vào các mục tiêu cuối
cùng của chúng – các hệ thống POS. Kẻ tấn công thường sẽ sử dụng nhiều công cụ
khác nhau để vạch ra mạng nhằm xác định vị trí các hệ thống trong CDE. Trong khi
họ có thể khai thác các lỗ hổng hoặc sử dụng các kỹ thuật khác để truy cập vào các
hệ thống này, phương pháp đơn giản nhất giành được quyền truy cập là bằng cách
lấy thông tin đăng nhập của người dùng. Thông tin đăng nhập của người dùng có thể
được lấy thơng qua các Trojan keylogging, trích xuất mã băm mật khẩu, crack hoặc
tấn cơng phát lại hoặc thậm chí là tấn cơng brute force. Sau cùng, những kẻ tấn cơng
có thể có được thông tin xác thực ở cấp quản trị. Những kẻ tấn cơng thậm chí có thể
giành quyền kiểm sốt một miền bộ điều khiển, cấp cho họ toàn quyền truy cập vào
tất cả các máy tính trong mạng. Sau khi kiểm sốt, họ có thể có quyền truy cập tới
CDE ngay cả khi nó nằm trong một mạng được phân đoạn bằng cách sử dụng các
17


đường dẫn mạng và dữ liệu được thiết lập cho mục đích kinh doanh. Khi vào bên

trong CDE, chúng có thể cài đặt phần mềm độc hại cho phép chúng ăn cắp dữ liệu
thẻ từ hệ thống POS.
2.3. Công cụ đánh cắp dữ liệu
Phần mềm độc hại được xây dựng có chủ đích để lấy cắp dữ liệu từ hệ thống POS có
sẵn rộng rãi trên thị trường ngầm. Trong một số cuộc tấn cơng, các cơng cụ dị tìm
mạng được sử dụng để thu thập số thẻ tín dụng khi chúng đi qua các mạng nội bộ
không được mã hóa. Những lần khác, phần mềm độc hại quét RAM được sử dụng
để thu thập số tín dụng khi chúng được đọc vào bộ nhớ máy tính. Mọi dữ liệu được
thu thập sau đó sẽ được lưu trữ cục bộ trong một tệp cho đến thời điểm lọc. Thông
thường, tệp dữ liệu này cần được chuyển đến nhiều máy tính, nhảy qua mạng nội bộ
cho đến khi đến hệ thống có quyền truy cập vào hệ thống bên ngồi.
2.4. Persistence and stealth
Vì kẻ tấn cơng đang nhắm mục tiêu vào hệ thống POS và những cuộc tấn công này
cần thời gian để thu thập dữ liệu, chúng cần mã của chúng duy trì liên tục trên thiết
bị đầu cuối bị xâm phạm. Không giống như vi phạm cơ sở dữ liệu trong đó hàng
triệu bản ghi có thể truy cập ngay lập tức, vi phạm hệ thống POS yêu cầu kẻ tấn
công đợi cho đến khi giao dịch xảy ra và sau đó thu thập dữ liệu trong thời gian thực
khi mỗi thẻ tín dụng được sử dụng.
Các kỹ thuật ẩn khác nhau từ việc làm xáo trộn tên tệp và quy trình đơn giản đến các
kỹ thuật vượt qua phần mềm bảo mật cụ thể. Trong các môi trường an tồn hơn, để
những kẻ tấn cơng thành cơng, chúng có khả năng đã có quyền truy cập vào thơng
tin xác thực quản trị bị xâm phạm và có thể sử dụng chúng để xóa nhật ký, vơ hiệu
hóa hệ thống và phần mềm giám sát, thậm chí sửa đổi cấu hình phần mềm bảo mật
(ví dụ: thay đổi u cầu ký tệp hoặc sửa đổi các mục trong danh sách trắng) để tránh
bị phát hiện.

18


2.5. Exfiltration ( Lọc)

Những kẻ tấn cơng có thể chiếm đoạt một hệ thống nội bộ để hoạt động như một
máy chủ dàn dựng của chúng. Họ sẽ cố gắng xác định một máy chủ thường xuyên
giao tiếp với hệ thống POS và thực hiện các giao tiếp thông thường để tránh bị phát
hiện. Bất kỳ dữ liệu nào được phần mềm độc hại phá hủy RAM thu thập sẽ được gửi
đến máy chủ dàn dựng này, nơi nó được lưu trữ và tổng hợp cho đến một thời điểm
thích hợp để truyền cho kẻ tấn công. Vào thời điểm thích hợp, những kẻ tấn cơng có
thể chuyển dữ liệu thu thập được thông qua bất kỳ hệ thống nội bộ nào khác trước
khi đến một hệ thống bên ngoài, chẳng hạn như một máy chủ FTP bị xâm phạm
thuộc về một bên thứ ba. Bằng cách sử dụng các máy chủ bị xâm nhập từ các trang
web hợp pháp để nhận dữ liệu bị đánh cắp, lưu lượng truy cập vào các trang web
này ít có khả năng làm dấy lên nghi ngờ từ phía nhà bán lẻ bị xâm phạm, đặc biệt
nếu chúng là các trang web thường được người dùng trong tổ chức nạn nhân truy
cập.
5. Các rủi ro trong q trình thanh tốn
3.1. Rủi ro liên quan đến q trình thanh tốn
-

Sao chép thiết bị: Trong các hệ thống dựa trên thẻ, phương pháp tấn công là

làm giả một thiết bị khác được chấp nhận như thiết bị thật, bao gồm cả chìa khóa giải
mã, số dư và các dữ liệu khác trên thẻ. Thẻ giả sẽ có chức năng như thẻ thật nhưng
chứa số dư giả mạo.
-

Sửa đổi hoặc sao chép dữ liệu hoặc phần mềm: Mục tiêu là thay đổi trái phép

dữ liệu lưu trữ trên thiết bị của phương tiện thanh toán điện tử.
-

Lấy trộm thiết bị: Một phương pháp tấn công đơn giản là lấy trộm thiết bị

của người tiêu dùng hoặc người bán và sử dụng trái phép số sư trên đó. Giá trị lưu
trên thiết bị cũng có thể bị lấy trộm bằng sự tái tạo phi pháp.
-

Không ghi lại giao dịch: Một người sử dụng có thể cố tình không ghi lại giao

dịch, không thực hiện nghĩa vụ trả tiền, dẫn tới thất thoát cho người bán cũng như
nhà phát hành sản phẩm tiền điện tử.

19


-

Sự cố hoạt động: các phương tiện thanh toán điện tử có thể bị sự cố ngẫu

nhiên hoặc bị mất các dữ liệu lưu trên thiết bị, một chức năng nào đó ngừng hoạt
động, như chức năng kế tốn hoặc chức năng bảo mật, hoặc lỗi trong quá trình
truyền tải, xử lý thông tin
3.2. Rủi ro tại ngân hàng thanh tốn
Trong số các bên tham gia thanh tốn thì ngân hàng thanh tốn là nơi ít gặp rủi ro
nhất vì họ chỉ đóng vai trị trung gian thanh tốn giữa cơ sở chấp nhận thẻ và Ngân
hàng phát hành. Nhưng vẫn có thể xảy ra một số rủi ro như sau:
-

Ngân hàng thanh tốn có sai sót trong việc cấp phép, như chuẩn chi với giá

trị thanh toán lớn hơn trị giá cấp phép;
- Ngân hàng thanh tốn khơng cung cấp kịp thời danh sách “đen” (danh sách

Bulletin) cho cơ sở tiếp nhận thẻ, mà trong thời gian đó cơ sở chấp nhận thẻ lại
thanh tốn thẻ có trong danh sách này. Lúc đó ngân hàng thanh tốn phải chịu rủi
ro khi Ngân hàng phát hành từ chối thanh toán.
3.3. Rủi ro đối với chủ thẻ
Thông thường, các loại thẻ tín dụng quốc tế đều có hai cơng dụng là thanh tốn tiền
mua hàng hóa, dịch vụ và rút tiền mặt. Chủ thẻ là người duy nhất biết mã số định
danh cá nhân – PIN. Trong trường hợp chủ thẻ do vơ tình để lộ mã PIN này và đồng
thời bị mất thẻ mà chưa kịp báo cho Ngân hàng phát hành. Do một sự trùng hợp nào
đó, người lấy được thẻ cũng biết được số PIN và họ có thể dùng thẻ để giao dịch tại
máy POS. Do việc thanh tốn qua máy POS chỉ hồn tồn dựa vào số PIN nên khơng
thể kiểm tra người rút tiền có phải là chủ thẻ thật sự hay không. Trường hợp này chủ
thẻ phải chịu hoàn toàn trách nhiệm về số tiền bị mất.
Ở một số quốc gia, như Hoa Kỳ, có quy định về trách nhiệm của chủ thẻ khi sử dụng
thẻ tín dụng. Cụ thể, khi chủ thẻ sử dụng thẻ hay mã số thẻ tín dụng của mình vào
những hành vi gian lận, nếu bị phát hiện sẽ phải chịu khoản tiền phạt lên tới 50 USD.
Trường hợp chủ thẻ làm mất thẻ nhưng chưa kịp báo với Ngân hàng phát hành, trong
thời gian đó, người lấy được thẻ sử dụng thẻ này vào những mục dích gian lận thì
trách nhiệm sẽ hồn tồn thuộc về chủ thẻ.
20


6.

Các giải pháp bảo mật cho POS
Phân đoạn mạng - Trong mọi tổ chức, có những người hoặc tài sản có mức độ khác
nhau về đặc quyền hơn những người khác. Ví dụ, khơng có lý do gì mà ai đó trong
bộ phận nhân sự của bạn có thể truy cập vào kho lưu trữ mã nguồn hệ thống. Tương
tự như vậy, khơng có lý do mà các máy tính nhân viên đang sử dụng để duyệt
Internet trong phòng lại có thể truy xuất mạng nội bộ cùng với những khách hàng
thanh tốn qua POS (và điều này thậm chí áp dụng luôn vào mạng không dây). Tin

tốt là nhiều thiết bị bảo mật hiện nay tích hợp tường lửa UTM hoặc Firewall thế hệ
mới (NGFW) - có nhiều cổng mạng, và thậm chí khả năng gắn thẻ VLAN, cho phép
bạn phân đoạn mạng nội bộ của bạn đáng tin cậy hơn, dựa trên vai trò người sử dụng
và tài sản trong tổ chức của bạn. Phân đoạn mạng bổ sung này cho phép bạn có một
"rào cản", nơi bạn có thể thực thi các chính sách rõ ràng cho những gì được và
khơng được phép. Nếu bạn đặt hệ thống POS của bạn trên một mạng riêng biệt, bạn
có thể tạo ra các chính sách chỉ cho phép các thông tin POS lưu thông tin trong hệ
thống này. Điều này có nghĩa bất kỳ phần mềm độc hại cố gắng để đánh cắp dữ liệu
POS từ mạng của bạn sẽ bị phát hiện và ngăn chặn. Ví dụ, trong cuộc tấn công
Target, các tin tặc sử dụng giao thức FTP, bạn có thể quyết định chặn giao thức này
trên mạng POS .
• Cập nhật phần mềm Antivirus (AV)
Phần mềm AV mới nhất chưa đảm bảo, vẫn dựa nhiều vào khả năng phát hiện dựa
trên chữ ký. Tuy nhiên, các nhà cung cấp AV đã bắt đầu thực hiện các công nghệ
phát hiện chủ động hơn, sử dụng các kỹ thuật như phân tích hành vi hoặc mã để giúp
phát hiện phần mềm độc hại mới mà khơng cần có chữ ký. Các phần mềm diệt virus
thơng thường khơng có mơi trường ảo để chạy những chương trình khơng rõ nguồn
gốc, trong thời gian thực. Các giải pháp hiện nay tiên tiến hơn bằng cách chủ động
tìm kiếm phần mềm độc hại chưa được khám phá bằng cách giám sát các hành vi
đáng ngờ. Nếu bạn quan tâm tới tính năng bảo mật tiên tiến, khắc phục sai lầm
tương tự như của Target, bạn nên xem xét các loại của các giải pháp bảo mật cao cấp
hơn trong tương lai (WatchGuard là giải pháp tiên phong trong lĩnh vực này).

21


• Tập trung bảo toàn dữ liệu - Hầu hết các giải pháp mà những cửa hàng đang sử
dụng đều tập trung bảo vệ phần cứng, thiết bị. Trong khi dữ liệu là một vấn đề rất
quan trọng; do vậy nên được đầu tư công cụ DLP - chống thất thốt dữ liệu. Dịch vụ
DLP của WatchGuard có thể theo dõi và bảo vệ số thẻ tín dụng và thơng tin thẻ từ.

Trong thực tế, WG theo dõi loại dữ liệu khi gửi qua FTP, điều đó đã xảy ra khi
những kẻ tấn công Target lấy được thông tin khi dữ liệu truyền qua FTP. DLP đặt ra
rào cản khác, làm mọi thứ khó khăn hơn cho những kẻ tấn cơng.
• Đầu tư hệ thống phát hiện và phân tích - Các cơng nghệ bảo vệ được hơm nay
nhưng có thể bypass vào ngày mai, và thậm chí nếu chúng ta có các giải pháp cơng
nghệ hồn hảo, vẫn cịn mối nguy ở yếu tố con người đối với vấn đề an ninh, và bọn
tội phạm sẽ dựa vào điểm yếu này mà khai thác vào hệ thống mạng. Nếu một kẻ tấn
cơng có động cơ, kiên trì, hắn sẽ tìm mọi cách thâm nhập dẫu có tốn nhiều thời gian.
Đó là lý do tại sao bạn nên tập trung đầu tư bảo mật hệ thống và công cụ phân tích,
chẳng hạn như WatchGuard Dimension. Giải pháp này có thể giúp bạn nhanh chóng
xác định hành vi bất thường hoặc vấn đề bảo mật trên mạng của bạn, giúp xác định
và ngăn chặn ngay lập tức các lỗ hổng này.
• Xem xét các tiêu chuẩn thẻ tín dụng - Các quốc gia nên cập nhật tiêu chuẩn an tồn
tín dụng và tiêu chuẩn thẻ - Trong cuộc phỏng vấn video với CNBC, Giám đốc điều
hành của Target đã đề cập một vấn đề về ngành công nghiệp bán lẻ mà có thể là mấu
chốt của nhiều ngành cơng nghiệp tín dụng của Mỹ và các vấn đề gian lận trong thẻ
debit. Hầu hết các dữ liệu được lưu trữ trên thẻ magstripe được lưu trữ trong văn bản
rõ ràng, và bạn có thể dễ dàng khơi phục hoặc sao chép dữ liệu với một đầu đọc rẻ
tiền. Thẻ EMV có bộ vi xử lý nhỏ bên trong. Chúng bao gồm các khóa mật mã để
chứng minh thẻ là bản gốc, và theo một quá trình xác thực động, xác nhận tính hợp
lệ của cả thẻ và đầu đọc thẻ. Trong thời gian ngắn, EMV làm việc sao chép thẻ trở
nên khó khăn hơn nhiều cho những kẻ tấn cơng để sử dụng chúng trong việc thực
hiện hành vi mua bán gian lận

22


Tài liệu tham khảo
/> /> /> /> />
23