Předmluva

• OS
  • Operační systém, software, na kterém bezi jiný software.
• Android
  • Operační systém od společnosti Google, Inc. pro chytré telefony.
• GOS
  • GrapheneOS, zkratka pro tento OS založený na OS Android
• LOS
  • LineageOS, zkratka pro tento OS založený na OS Android.
  • LineageOS je založený na AOSP.
• AOSP
  • Android Open Source Project, jedná se o Android, který je "očištěný" od služeb Google a má v sobě pouze licenčně svobodné programy.
• Raspberry Pi
  • Raspberry Pi je jednodeskový počítač, zaměřený hlavně pro kutily.
  • Tento počítač má tzv. GPIO pinout, ke kterému lze připojit čidla a ty poté přímo z OS programovat.
• DDNS
  • Dynamic DNS, neboli dynamická domena.
  • Jedná se o domenu, kterou vam přideli nejaky poskytovatel (třeba freedns.afraid.org), který vam doménu aktualizuje periodicky, což se hodi, kdyz mate dynamickou IP adresu.
• Desktop Mode
  • v kontextu OS Android se jedná o funkcionalitu operačního systému, který umožňuje ovládat telefon připojený k počítačovému monitoru (společně s periferiemi jako myš a klávesnice) jako klasicky stolni počítač, byť s jinou filozofií ovládání.
  • Telefon se tak chová jako klasický stolní počítač, ačkoliv si ponechává své rozhraní pro dodatečnou funkcionalitu.
  • Jinymi slovy lze říci, že telefon plní funkci stolniho počítače i telefonu zároveň.
  • Subjektivně si myslim, že budoucnost výpočetní techniky půjde i tímto směrem.

Co předcházelo

V květnu 2022 jsem se po delší době používání svého tehdejšího telefonu Nokia 5 (Čistý Android) rozhodl k zakoupení nového přístroje, jelikož Nokia přestávala stačit mým potřebam, stejně tak i co se velikosti displeje týče.
Volba tehdy padla na Xiaomi Mi 11 Lite 5G, verze 8G/128G v černé barvě.

Společně s tím jsem pořídil i ochranné prvky, jako je ochranné sklo, pouzdra. Jinymi slovy snaha o to, aby telefon vydržel užívání v dalších letech.

Nicméně, nebylo to pouze o pozitivech.

Pomerně rychle jsem si zvykl na nové prostředí, s ním však přišly i věci jinak mě neznámé a kolikrát i "podezřelé". Jelikož Xiaomi je čínského "návrháře" (rozlišuji zde, že produkt je vyrobený v Číně / ČLR, kdo jej však navrhuje je pro mě subjektivně další entita), byly zde i aplikace, které jsem k dispozici mít nechtěl, místy to bylo i podivné chování OS.

Je pravdou, že krátce po koupi přišla slíbená aktualizace na Android 13, nicméně tím jinak nedůležité aktualizace ze strany výrobce (v tomto případě považuji jak fyzicky výrobce HW, tak i dodavatel OS) ustaly. Vlastně jedinými aktualizacemi - dodám, že pouze akutními, řešícími konkrétní bezpečnostní problém - byly pouze bezpečnostní.

Příchod Garmin Pay

Časem jsem se rozhodl si pořídit i chyté hodinky, jelikož jsem v té době rozhodl vyzkoušet si placení právě chytrými hodinkami.

První pokus byl s Xiaomi Watch 2. Paradoxní volba pro tohoto výrobce byla pro "čistý" operační systém s možností Google Wallet/Pay přímo v hodinkách.
Nicméně nepovedlo se mi tohoto docilit, hodinky při pokusu nahlásily chybu a odmítly platební kartu přidat. Původní způsob užití bylo "zpohodlnit" placení (při nástupu do MHD, v obchodě...). Už v té době jsem se snažil najít myšlenku "Jak separovat platby od (relativně permanentně) k datům připojeného telefonu. Dá se říci, že o sledování fyzického pohybu bankovními institucemi jsem tušil, nicméně čím dál více jsem měl potřebu toto oddělit. V této době (duben 2025) mi "stačilo", kdyz na domácí Wi-Fi jednorázově sesynchronizuji peněženky.

Ač se mi Xiaomi Watch 2 líbily, vrátil jsem je zpět a rozhodl se jít cestou Garmin Forerunner 255, společně s Garmin Pay.

Záhy jsem zjistil, že hodinky od Garminu nejenže nabídly styl placení, který jsem hledal, ale také možnost si napsat vlastní program. Garmin jako takový má sice uzavřený systém, nicméně má k němu k dispozici SDK (Software Development Kit, sadu programu na vývoj softwaru pro daný produkt, zjednodušeno), což mi otevřelo cestu časem i k tomu si naprogramovat vlastní "statistiky" k jednomu mému oblíbenému sportu/relaxaci.

Lze tedy říci, že Garmin vyřešil nejen problém v té době pro mě aktuální, ale přidal mi do života i možnost žít aktivněji s možností si to sledovat.

Závěrem, mé současné hodinky mi doporucil člověk jménem Valentino Hesse, čímž mu za doporučení chci poděkovat i formou tohoto textu.

Nástup VPN

V pozdějších fázích, asi tak rok před změnou jsem ve zvýšeném měřítku začal užívat domácí VPN. Konkretne jsem na svoji Raspberry Pi 3. generace (verze B) nastavil WireGuard. Jelikož už v té době jsem měl na své DDNS i certifikát přes LetsEncrypt, vlastnictví VPN dávalo smysl, hlavně kvůli bezpečnosti týkající se bankovních aplikací.

S nástupem a nastavením VPN se trochu pojí i nová filozofie užívání telefonu. Na Xiaomi jsem si všiml tzv. "sekundárního prostoru", přeloženě jde o jiný profil/uživatele na stejném telefonu. Telefon s touto funkcionalitou se chová, jako kdyby byl právě čerstvě nainstalován / zapnut, de facto jde o stejné prostředí. Výhodou tohoto prostředí je možnost mít separované aplikace (takže třeba "normální" profil bez bankovních věcí a "bankovní" profil s bankovními aplikacemi různých bank, aplikace na nákup, popřípadě komunikátory se separovaným účtem).

S tímto se však pojí vyšší nároky na baterii telefonu, jelikož "klasický" Android / LineageOS / AOSP "neumí" ukončit profil, kdyz není potřebný. Znamená to tedy, že profil běží na pozadí i nadále (což není vždy nevýhoda). Nezřídka se stávalo, že i po jedné cestě do obchodu telefon dokázal "propálit" i 20 %. To sice na cestu tam i zpět stačilo, místy bylo však užívání s ohledem na maximální dostupnost náročné, což ne vždy bylo příjemné, zvláště při delších cestách.

Od ledna 2026 jsem začal řešit, čím Xiaomi Mi 11 Lite 5G nahradím.

Google Pixel 10 Pro XL

Postupne jsem začal zkoumat specifikace různých telefonu, co by daný přistroj měl umet. V zasade jsem měl tyto požadavky:

• Profiling (rozšířená forma "sekundárního prostoru" od Xiaomi, alespoň 2 profily), ideálně s možností daný profil ukončit,
• Always-On VPN (čili zablokování veškerého provozu, není-li VPN aktivní)
• Dual-SIM (historicky mám více SIM karet, které i do dnešního dne udržuji v "provozu")
• větší display (hodně dobré zkušenosti u Xiaomi Mi 11 Lite, který měl velký display)
• Na základě zkušeností u Xiaomi i dlouhodobá podpora výrobce/dodavatele OS.

Volbou po cca 4 měsících, rešeršovaného výzkumu i za pomocí jazykových modelů (Gemini, ChatGPT) v několika instancich (tímto mám na mysli opakované využití AI "Jaký telefon? Zde jsou mé požadavky"), tak i dotazování různých diskusních fór jsem dospěl ke konečnému závěru, kterým se stal Google Pixel 10. generace, verze Pro, velikost XL. Formalním jménem "Google Pixel 10 Pro XL 16/256 GB".

Telefon jsem se rozhodl po delším váhání objednat a jelikož jsem v té době měl i členství v jednom větším internetovém obchodě, definitivně jsem se rozhodl pro koupi, konkretně zelené verze "Jade", která mi "zapadala do korporatního stylu".

Lze říci, že další den mi byl telefon doručen a já se tak mohl začít radovat z nového stroje. Samozřejmě, pro maximalni ochranu nového stroje jsem i jako v případě Xiaomi Mi 11 Lite přiobjednal ochranné prvky.

GrapheneOS

Zjednoduším-li to, Pixel jsem si neobjednal pouze jako náhradu, ale i jako cilený důvod. Už asi 2 měsíce před koupí jsem měl povedomí o operačním systému "GrapheneOS", který oproti standardnímu Androidu nabízel i od základu přeimplementovanou funkcionalitu týkající se bezpečnosti a soukromí.

I to byla součást mého předchozího rešeršovaného vyhledavání, který OS chci použít. Ano, jinymi kandidaty byla i Motorola, nicméně některé funkce jako GrapheneOS nenabízela a byť s autory GrapheneOS uzavřela partnerství na oficiálního dodavatele hardware (tím rozumím telefony), první přístroje od Motoroly mající jako OS GrapheneOS nebudou k dispozici dříve, než v roce 2027.

Funkcionalita společná a rozdilná

Jednou z motivaci pro nový telefon byla i funkcionalita tzv. "Desktop Mode", která se předchozích verzích Androidu objevovala pouze od výrobce Samsung, tzv. "DeX". Jiná varianta - která hovořila i v prospěch dříve zmíněné Motoroly - byl "Smart Connect", nicméně důvodem pro Pixel (a později i GrapheneOS) byly aktualizace operačního systému samotného.

"Zakladní" Android

Desktop Mode

Základní Android - záleží zde i na hardwaru telefonu - funkcionalitu Desktop Mode umí. Předchůdcem jím bylo USB OTG (USB On-The-Go), což je možnost připojit USB flash do telefonu a zacházet s ním podobným stylem, jako kdyby šlo o počítač, stejně tak ovladaní přes klávesnici a myš.
Desktop Mode přidává DisplayPort Alt Mode přes USB-C, která vyjma datového/ovladacího přenosu přenáší i obrazové data možné zobrazit právě na externím monitoru. Je to umožněné tzv. propustností rozhranní, v tomto případě USB-C.

Aktualizce

Ač společnost Google má snahu o snižovaní tzv. e-waste (elektronický odpad), ne každý výrobce je tomu nakloneň. Ano, stále jde o výdělek, nicméně funguje-li telefon i po své moralní zastaralosti, výrobce zpravidla nechce poskytovat opravy jinak starým strojům.

Řada Pixel od Google má v tomto případě jinou filozofii, jelikož jde o "vlajkové lodě" pro Android, filozofie aktualizaci je zde jiná a mnohem otevřenější k tomu udržet stroj v aktuálním stavu, jelikož hardware je poměrně schopný.

Rozdíl GrapheneOS oproti "základu"

Co se GrapheneOS týče, většína funkcí je v tomto systému oproti zakladnímu OS Android zachována, nicméně GrapheneOS má zaměření hlavně na bezpecnost.
Velkým rozdilem je zde nejen Always-On VPN (formalně dostupná již od verze Androidu 7/8), nicméně společně s profilovaním (které oproti zakladu má funkci cíleného vypnutí) je možnost zablokovat veškerý síťový provoz, neběží-li VPN na pozadí.

Toto je především zajímavé, má-li uživatel domácí VPN.

Základní Android nabízí aplikacím tzv. "pískoviště", nicméně v GrapheneOS je této funckionalitě věnována mnohem větší pozornost po stránce zabezpečení a soukromí. Lze i v určitých ohledech aplikaci dovolit, kam bude moci pristupovat (což je hodně zajimavé u některých aplikací typu Messenger od Meta, stejně tak WhatsApp).

Dále je hodně zajimavé - především s užitím vypínatelného profilu - právě pro bankovní aplikace, kdy nejenže dovolíte této aplikací běžet explicitně pouze tehdy, kdy je potřeba, ale také donutíte její provoz jít třeba přes vaši domácí síť. Lze tak říci, že telefon máte elektronicky stále připojený přes síťový prvek, kterému důvěřujete (což o "datech" - datovému připojení přímo z telefonu platí dvojnásob).

Jinou variantou jsou i aplikace, které chcete mít "zamknuté" za specialním heslem a dostupné pouze a pouze majiteli přístroje.

Post Scriptum ke GrapheneOS

Mám-li v krátkosti udělat výtah, lze říci, že GrapheneOS jsem na svůj Pixel 10 Pro XL nainstaloval v podstatě hned druhý den po přijetí telefonu. Možnost vyzkoušet si zakladní OS přímo od Google jsem zde moc nevyužil, jelikož i přes vlastnictví nového telefonu (a s tím spojenym "WOW" efektem) jsem měl jasný záměr.

Nicméně musím dodat, že byl by nějaký závažnější problém s GrapheneOS, příručka, respektive postup pro instalaci "sériového" Androidu je velmi jednoduchá. V zásadě stačí upravený webový prohlížeč, USB kabel do počítače a trocha času. Je to tedy změna lehce zvrátitelná a dívám se tedy na GrapheneOS s "mentalitou" "Lze to vrátit, bude-li třeba".

Vedlejší efekt na předchozím telefonu

Ač jsem zmínil, že Pixel 10 Pro XL s GrapheneOS se stal hlavním "tažným koněm" mobilního života, otevřelo mi to možnost si "hrát" do té doby s "produkčním" telefonem od Xiaomi.

Měl jsem povědomí, že telefony od Xiaomi - nachází-li se na uzemí Evropské Unie - lze tzv. odemknout a nainstalovat jiný operační systém, v mem případě LineageOS / LOS. Je to forma AOSP, která v sobě nemá predinstalované aplikace od spolecnosti Google a i daného výrobce/návrháře. Jedná se tak o "De-Googled" software, místy i "de-bloated" systém.

Učinil jsem tak a telefon jsem začal užívat jako "záložní". Ač LineageOS podporu pro vypínání profilů nemá, Always-On VPN funkcionalita je zde také přitomna a lze ji užít podobným způsobem, jako na GrapheneOS.

Kdyz zmíním paradox, že Xiaomi Mi 11 Lite 5G po instalaci LineageOS "ožilo", nebudu daleko od pravdy. Pominu-li některé funkcionality řešitelné externě, telefon je plně funkční a stačilo by jej prodat s poznamkou "Toto nefunguje, je to záměr nikoliv můj, ale dodavatele systému".

Přislušenství k telefonum přidané

V kratkosti zde zminím i "obnovu" přislušenství pro oba přístroje. Puvodní, originální nabijecí adaptér pro Xiaomi postupně ztrácel na výkonu, rozhodl jsem se tedy - i s ohledem na pracovní Samsung Galaxy S25 - vyzkoušet si bezdrátové nabíjení, které jsem doteď neměl možnost využít.

Postupne volba padla na nejen GaN nabíjecí adaptér (vzhledem k dobrým referencím jsem užil "AlzaPower Ultímate X500 67W"), tak nabíjecí "puk" "AlzaPower WQT110" s podporou Qi2.

Jelikož jsem 3Dtiskař a 3Dmodelář, návrh a 3Dtisk stojánku přímo pro tento puk (zohledňuící proporce i slabší "MagSafe" u Samsungu Galaxy S25) byl logickym krokem.

Paradox s ohledem na bezpečnost aktualizovaného OS Android

Dostavám se tímto do poslední kapitoly, kde budu řešit a pokládat otázky, na které nejspíše nedostanu odpovědi.
Jakožto člověk IT-znalý (pro kontext, pracuji jako automation engineer, server administrator a on-call ve větší IT firmě) vnímám paradox, kdy výrobcem dodaný software má "certifikaci" pro určité funkce - v tomto případě třeba Google Wallet. Funkcionalitu Tap-n-Pay zde musím nahrazovat právě Garmin Pay.

Lze se na to i dívat z jiného úhlu pohledu, kdy platba hodinkami je paradoxně bezpečnější (NFC čip v hodinkách je jinak vypnut, zapíná se pouze, když uživatel funkci pro placení explicitně zapne v daný okamžik).

To platí jak pro GrapheneOS, tak pro LineageOS.

Telefony, obecně systémy (jak Android, tak i Debian, Arch Linux) se snažím držet v aktualním stavu a nezřídka si sám zajišťuji i aktualizace / opravy.

Otázka - kterou si kladu - je "Proc je alternativní systém jinak pravidelně aktualizovaný méně bezpečný, než zastaralý systém dodaný výrobcem, který nemá dalšího důvodu se o daný přistroj / hardware starat?"

Narážím tak na paradox, kdy i pravidelně aktualizovaný - ale necertifikovaný - software je bezpečnější, než jinak "certifikovaný" software od výrobce, který se rozhodl od určitého data aktualizace nedodavat. Pokud telefon nadále funguje, proč jeho funkcionalitu ořezávat, když by to samé mohl zvládat i dalších - dejme tomu - 5 let a tím tak ještě více "rozprostřít" náklady na iniciální pořízení?

Závěrem

GrapheneOS byl cílem snažení nejen o na to najít soukromí ve světě stále více a více připomínající 1984, ale také i tom, že jinak morálně zastaralé přístroje mají i nadále svůj důvod existovat.

Mým pohledem GrapheneOS - byť s určitými nedostatky, které jsem akceptoval - plní přesně to, co jsem od něj očekával, tedy nabídnout alespoň soukromí ve světě, kdy je každý krok monitorován.

Jako přidaným benefitem i nabídnout funkcionalitu, která by v roce rozmachu informačních technologií na začátku 21. stoleti mohla působit jako sci-fi - mít skoro plnohodnotný počítač ne v batohu, ale přímo v kapse.

Galerie

| Nabíjecí stojánek pro Qi2 wireless | "Dockovací" stanice s užitím 3Dtisku |
| | |

The post GrapheneOS, poznatky z užívání first appeared on Hard Wired.

Disclaimer (protože bez něj by se někdo určitě tvářil překvapeně):
Ano, v tomhle článku se detailně rozebírá, jak fungují útoky na platební technologie. A ano, skutečně existuje jistá pravděpodobnost, že si to přečte někdo, kdo z toho bude chtít vyrobit „návod k použití“. Jenže hádej co – pokud někdo opravdu touží hrát si na malého cyberkriminálníka, žádný disclaimer na světě ho nezastaví. Maximálně si připadáme morálně v bezpečí, že jsme řekli svoje.

Takže, aby bylo jasno: tenhle text má informační a vzdělávací charakter, teoretické shrnutí, bezpečnostní osvětu, říkejme tomu jakkoliv. Pokud tě ale napadne strčit skimmer na bankomat, koupit si čínskou NFC čtečku a pak fňukat, že tě někdo chytil – to je čistě tvoje osobní tragikomedie, ne naše zodpovědnost.

V současné době máme k dispozici několik různých platebních technologií - od tradičních magnetických pruhů přes čipové karty až po moderní NFC platby v telefonech. Každá z těchto technologií má svá specifická zranitelná místa a vyžaduje jiný přístup ze strany útočníků. Podívejme se detailně na to, jak fungují jednotlivé typy útoků a jak se jim můžeme bránit.

Magnetický pruh: Nejzranitelnější cíl

Anatomie magnetického pruhu

Magnetický pruh na zadní straně karty obsahuje tři stopy dat, přičemž pro platební účely jsou klíčové stopa 1 a 2:

Stopa 1 obsahuje:

%B1234567890123445^DOE/JOHN^25121011000062000000?

• Číslo karty (PAN): 1234567890123445
• Jméno držitele: DOE/JOHN
• Datum platnosti: 2512 (12/25)
• Servisní kód: 101
• Dodatečná data pro ověření

Stopa 2 obsahuje:

;1234567890123445=25121011000062000000?

• Komprimovaná verze dat ze stopy 1
• Stejné základní informace v kratším formátu

Skimming útok krok za krokem

Fáze 1: Instalace zařízení

1. Útočník si obstará skimming zařízení (lze koupit na internetu za 100-500 USD)
2. Vybere cílové místo - bankomat, čerpací stanice, nebo platební terminál
3. Nainstaluje tenký skimmer na slot pro karty (tloušťka často jen 2-3 mm)
4. Současně umístí miniaturní kameru nebo falešnou klávesnici pro zachycení PIN

Fáze 2: Sběr dat

1. Karta prochází přes skimmer při normálním používání
2. Magnetická hlava skimmeru čte a ukládá všechna data z magnetického pruhu
3. Kamera nebo falešná klávesnice zachytí PIN kód
4. Data se ukládají v interní paměti zařízení

Fáze 3: Zneužití dat

1. Útočník data stáhne (často bezdrátově nebo při opětovné návštěvě)
2. Pomocí card writeru zapíše data na prázdnou plastovou kartu
3. Vzniklá kopie obsahuje všechna původní data
4. S kopií karty a PIN kódem může vybírat hotovost nebo platit

Proč je skimming tak účinný:

• Data jsou uložena v plain textu bez šifrování
• Jedna kopie stačí pro úplnou repliku karty
• Technologie je stará a nemá moderní zabezpečení
• Funguje na všech starších terminálech

Detekce skimming zařízení

Vizuální indikátory:

• Neobvykle tlustý nebo výčnívající slot pro karty
• Jiná barva nebo materiál čtečky
• Uvolněné nebo špatně usazené části
• Podezřelé kamery nebo zrcátka

Fyzické testování:

• Pokuste se "zatřást" čtečkou karet
• Zkontrolujte, zda nejsou části pohyblivé
• Porovnejte s jinými terminály stejného typu

Čipové karty EMV: Pokročilejší, ale ne neprůstřelné

Jak funguje EMV čip

EMV čip je mikropočítač, který obsahuje:

• Kryptografické klíče pro ověřování
• Čítač transakcí (ATC - Application Transaction Counter)
• Aplikační data specifická pro každou banku
• Certifikáty pro ověření pravosti

Shimming útok na čipové karty

Technologie shimming zařízení:

1. Ultra-tenká konstrukce - tloušťka často jen 0.1 mm
2. Kontaktní body přesně odpovídající rozložení čipu
3. Mikropočítač pro zachycení komunikace
4. Bezdrátový modul pro vzdálené stahování dat

Průběh shimming útoku:

1. Útočník vloží shim do čtečky čipů (téměř neviditelný)
2. Při vložení karty se shim dostane mezi čip a čtečku
3. Zachytí komunikaci mezi kartou a terminálem
4. Zaznamená cryptogramy a další transakční data

Získaná data z chimmingu:

• Application Cryptogram - šifrovaná data transakce
• ATC (Application Transaction Counter) - počítadlo transakcí
• UN (Unpredictable Number) - náhodné číslo transakce
• Amount - částka transakce
• Terminal data - informace o terminalu

Limitace shimming útoku:

• Zachycená data obsahují časové razítko - nelze znovu použít
• Replay protection - každý cryptogram je unikátní
• Bez PIN kódu jsou data prakticky nepoužitelná
• Moderní EMV implementace mají dodatečné ochranné mechanismy

Pokročilé EMV útoky

Downgrade útok:

1. Útočník přinutí terminál používat magnetický pruh místo čipu
2. Zablokuje komunikaci s čipem pomocí šumu nebo hardware
3. Terminál přejde do "fallback" režimu
4. Transakce proběhne přes nezabezpečený magnetický pruh

SIM swap pro EMV:

1. Útočník získá kopii SIM karty obětí
2. Zachytí SMS s autorizačními kódy
3. Použije kombinaci EMV dat a SMS kódů pro neautorizované transakce

RFID/NFC karty: Bezkontaktní rizika

Struktura NFC platební karty

NFC karta obsahuje několik vrstev zabezpečení:

Aplikační vrstva:

• PPSE (Proximity Payment System Environment) - seznam aplikací
• AID (Application Identifier) - identifikátor platební aplikace
• Application data - šifrovaná data aplikace

Bezpečnostní vrstva:

• DDA/SDA klíče - pro digitální podpis
• AC (Application Cryptogram) - pro ověření transakcí
• CVN (Cryptogram Version Number) - verze kryptografického algoritmu

RFID Skimming - bezkontaktní kopírování

Vybavení pro RFID útok:

1. NFC čtečka s upraveným firmwarem (100-300 USD)
2. Anténa s vysokým ziskem pro čtení na větší vzdálenost
3. Software pro analýzu NFC protokolů
4. Power amplifier pro zesílení signálu

Proces RFID skimmingu:

1. Proximity detection - detekce karty do 10 cm
2. APDU commands - poslání standardních NFC příkazů
3. Data extraction - extrakce dostupných dat
4. Response analysis - analýza odpovědi karty

Co lze získat z NFC karty:

✓ PAN (Primary Account Number) - číslo karty
✓ Expiration Date - datum platnosti
✓ Cardholder Name - jméno držitele (ne vždy)
✓ Transaction Log - historie posledních transakcí
✓ Application Data - některá metadata
✗ CVV/CVC - není na čipu
✗ PIN - není uložen na kartě
✗ Static Authentication Data - jsou šifrovaná

Relay Attack - propojování signálů

Princip relay útoku:

1. Reader device - u oběti, zachytí NFC signál
2. Writer device - u platebního terminalu
3. Communication link - spojení mezi zařízeními (WiFi/4G)
4. Real-time relay - přenos signálu v reálném čase

Technické provedení:

1. Útočník s NFC čtečkou se přiblíží k oběti (metro, fronta)
2. Druhý útočník s NFC emulátorem je u platebního terminalu
3. Signál z oběťovy karty se v reálném čase přenese k terminalu
4. Transakce proběhne, jako by oběť platila osobně

Ochrana proti relay útokům:

• Time-based protection - měření času odpovědi
• Distance bounding - ověření vzdálenosti karty
• Motion detection - detekce pohybu karty během transakce

NFC platby v telefonu: Moderní zabezpečení

Tokenizace - základ bezpečnosti

Jak tokenizace funguje:

1. Enrollment - registrace karty do telefonu
2. Token request - požadavek na vytvoření tokenu
3. Token provisioning - vytvoření unikátního tokenu pro kartu
4. DPAN creation - Device PAN nahrazuje skutečné číslo karty

Struktura tokenu:

Původní PAN: 4532 1234 5678 9012
Device Token: 4532 4815 XXXX XXXX
Token Expiry: 12/26 (nezávislé na kartě)
Cryptogram Key: Unikátní pro každou transakci

Secure Element a Hardware Security Module

Secure Element (SE) architektúra:

• Embedded SE - čip přímo v telefonu
• SIM-based SE - využití zabezpečené SIM karty
• Cloud-based SE - Host Card Emulation (HCE)

Hardware Security Module funkce:

1. Key generation - generování kryptografických klíčů
2. Cryptographic operations - šifrování/dešifrování
3. Secure storage - bezpečné ukládání citlivých dat
4. Tamper resistance - ochrana proti fyzickým útokům

Biometrická autentifikace

Typy biometrického ověření:

• Fingerprint - otisk prstu (nejčastější)
• Face recognition - rozpoznání obličeje
• Iris scan - skenování duhovky
• Voice recognition - rozpoznání hlasu

Bezpečnostní protokol:

1. Biometric capture - zachycení biometrických dat
2. Template matching - porovnání s uloženým vzorem
3. Liveness detection - ověření živé osoby
4. Secure unlock - odemčení platební aplikace

Dynamic Cryptogram - revoluce v zabezpečení

Generování cryptogramu:

Input data:
- ATC (Application Transaction Counter): 0001
- UN (Unpredictable Number): A1B2C3D4
- Amount: 00000050000 (500,00 CZK)
- Terminal ID: 12345678

Processing:
Cryptogram = HMAC-SHA256(MasterKey, InputData + TimeStamp)
Result: 8F4A2B1C (unikátní pro tuto transakci)

Proč je to bezpečné:

• Každá transakce má jiný cryptogram
• Starý cryptogram nelze znovu použít
• Časové razítko zabraňuje replay útokům
• Master klíč není nikdy přenášen

Srovnání bezpečnosti platebních metod

Bezpečnostní matice

Technologie	Šifrování	Tokenizace	Biometrie	Replay ochrana	Celkové skóre
Magnetický pruh	Žádné	Ne	Ne	Ne	1/10
EMV čip	Základní	Částečné	Ne	Ano	6/10
NFC karta	Ano	Částečné	Ne	Ano	7/10
NFC telefon	Pokročilé	Úplné	Ano	Ano	9/10

Praktická rizika v realném světě

Pravděpodobnost úspěšného útoku:

• Skimming magnetického pruhu: 85% úspěšnost
• Shimming EMV čipu: 15% úspěšnost
• RFID skimming: 5% úspěšnost
• NFC telefon útok: <1% úspěšnost

Finanční dopad při kompromitaci:

• Magnetický pruh: Úplný přístup k účtu
• EMV čip: Omezené na bezkontaktní limit
• NFC karta: Omezené na bezkontaktní limit
• NFC telefon: Téměř nulový (tokenizace)

Obranné strategie pro jednotlivé technologie

Ochrana magnetického pruhu

Preventivní opatření:

• Preferujte terminály s čiprových čtečkou
• Vizuálně kontrolujte čtečku před každým použitím
• Zakrývejte PIN celou rukou, ne jen prsty
• Používejte bankomaty uvnitř bank
• Nastavte si SMS notifikace pro všechny transakce

Detekční techniky:

• Sledujte neobvyklé transakce v aplikaci banky
• Pravidelně kontrolujte výpisy účtu
• Nahlaste jakékoli podezřelé aktivity do 24 hodin

Ochrana EMV čipů

Technické postupy:

• Vždy preferujte čip před magnetickým pruhom
• Při chybě čipu požadujte jiný terminál
• Nepovolte "fallback" na magnetický pruh
• Používejte contactless místo vkládání čipu

Monitorování:

• Kontrolujte, zda terminál skutečně čte čip
• Sledujte proces ověření PIN na displeji
• Ověřte si částku před potvrzením transakce

Ochrana RFID/NFC karet

Fyzická ochrana:

• Používejte RFID blocking peněženky
• Nosice maximálně 2 bezkontaktní karty současně
• Udržujte karty v ochranných obalech
• Vypněte bezkontaktní funkci, pokud ji nepoužíváte

Behaviorální ochrana:

• Buďte si vědomi svého okolí při platbách
• Neplaťte bezkontaktně v přeplněných prostorách
• Sledujte vzdálenost od cizích osob s elektronickými zařízeními

Maximalizace bezpečnosti NFC telefonů

Nastavení zabezpečení:

• Aktivujte nejpřísnější biometrické ověření
• Nastavte krátký timeout pro uzamčení telefonu
• Používejte silné heslo/PIN pro telefon
• Pravidelně aktualizujte operační systém

Aplikační bezpečnost:

• Používejte pouze oficiální platební aplikace (Apple Pay, Google Pay)
• Nezkoušejte alternativní nebo upravené aplikace
• Pravidelně kontrolujte oprávnění aplikací
• Nastavte notifikace pro každou transakci

Pokročilá opatření:

• Aktivujte remote wipe pro případ krádeže
• Používejte VPN při připojení k veřejným WiFi
• Pravidelně měňte biometrické vzory
• Monitorujte aplikační logy bezpečnosti

Budoucnost platební bezpečnosti

Kvantová kryptografie

Vyvíjí se kvantové šifrování, které bude prakticky neprůstřelné:

• Quantum key distribution - distribuce kvantových klíčů
• Post-quantum cryptography - algoritmy odolné vůči kvantovým počítačům
• Quantum random number generators - skutečně náhodná čísla

Pokročilá biometrie

Nové biometrické technologie přinášejí vyšší bezpečnost:

• Vein recognition - rozpoznání žil v ruce
• Heartbeat analysis - analýza srdečního rytmu
• Brain-computer interfaces - přímé rozhraní mozek-počítač
• DNA verification - ověření DNA z pouhého dotyku

Blockchain a distribuované technologie

• Decentralized identity - distribuovaná správa identit
• Smart contracts - automatické ověřování transakcí
• Zero-knowledge proofs - ověření bez odhalení dat
• Distributed ledger - nehacknutelný záznam transakcí

Závěr: Evoluce zabezpečení vs. evoluce útoků

Bezpečnost platebních karet prošla dramatickou evolucí od jednoduchých magnetických pruhů po sofistikované biometrické systémy s kvantovou kryptografií. Každá nová technologie přinesla vyšší úroveň zabezpečení, ale současně vyvolala nové typy útoků.

Klíčové pozorování:

• Magnetický pruh zůstává nejzranitelnější a nejčastěji zneužívanou technologií
• EMV čipy poskytují významné zlepšení, ale nejsou imunní vůči pokročilým útokům
• NFC karty nabízejí dobrou rovnováhu mezi pohodlím a bezpečností
• NFC telefony představují současný vrchol platební bezpečnosti

Doporučení pro uživatele:

1. Migrujte na nejmodernější technologie - používejte NFC platby v telefonu kde to jde
2. Zůstaňte informovaní - sledujte nové typy útoků a obranné techniky
3. Implementujte vrstevnatou obranu - kombinujte technická opatření s opatrným chováním
4. Pravidelně monitorujte - kontrolujte transakce a nahlašte podezřelé aktivity

Budoucnost platební bezpečnosti bude závisit na našech schopnostech předvídat a předcházet novým typům útoků dříve, než se stanou rozšířenými. Kombinace pokročilých technologií s osvětou uživatelů zůstává naším nejlepším nástrojem v tomto neustálém boji mezi bezpečností a kriminalitou.

The post Kopírujeme aneb platební karty: Anatomie útoků na platební technologie first appeared on Hard Wired.