I risultati del lookup 3-D Secure possono rivelare segnali sugli account
The 3DS Oracle: BIN Attack via the Network · arXiv:2610.32206
In parole semplici
Nei pagamenti online, 3-D Secure controlla una carta prima che il pagamento venga autorizzato. Lo studio chiede se il primo risultato mostrato a chi invia una richiesta possa rivelare qualcosa sull’account, anche quando non segue né una verifica aggiuntiva né un pagamento.
I ricercatori hanno inviato richieste a una sola integrazione di pagamento senza eseguire il software del browser. In sei dei sette gruppi di numeri di carta esaminati, una carta che controllavano ha ricevuto un primo risultato diverso da quello di tre numeri vicini.
Questo segnala una possibile distinzione in questo test, ma non prova che i numeri vicini fossero invalidi o inutilizzabili.
La ricerca
Un controllo di autenticazione nei pagamenti online può rivelare informazioni relative a un account prima che il pagamento venga autorizzato? Una verifica aggiuntiva potrebbe restare incompleta, eppure il risultato mostrato al primo lookup potrebbe variare tra gli input.
La distinzione conta perché quel risultato, da solo, potrebbe aiutare qualcuno a filtrare i numeri candidati, senza provare che una carta sia valida o utilizzabile.
Lo studio esamina se i primi risultati 3-D Secure rivelino differenze legate agli account e osserva una distinzione in alcuni casi dal vivo circoscritti.
I ricercatori hanno confrontato ciascuna carta di riferimento, di cui conoscevano l’emissione, con tre numeri adiacenti dello stesso intervallo in un’integrazione Braintree/Cardinal esaminata.
Un client indipendente ha inviato richieste senza eseguire il software del browser e ha registrato il primo risultato visibile al client, fermandosi prima di proseguire con una verifica aggiuntiva o di autorizzare un pagamento.
Il risultato della carta di riferimento differiva da tutti e tre i numeri di confronto in sei dei sette gruppi esaminati; in un gruppo, tutti hanno ricevuto lo stesso esito che richiedeva una verifica aggiuntiva.
Ciò mostra che i primi risultati possono distinguere gli input in alcuni casi esaminati, mentre la richiesta di una verifica non prova che l’autenticazione sia stata completata o che l’account sia valido.
Il risultato osservato dal vivo proviene da una sola integrazione Braintree/Cardinal sul canale browser e da un insieme ristretto di input.
Lo studio non ha verificato se le carte candidate fossero state emesse, osservato l’elaborazione interna, completato verifiche aggiuntive né tentato autorizzazioni di pagamento; quindi non dimostra un test universale di validità degli account né quanto il fenomeno sia diffuso sull’intera rete.
Cosa mostrano le prove
- La domanda prima dell’autorizzazione
Il paper esamina se chi invia una richiesta possa ricavare informazioni relative a un account dal primo risultato di 3-D Secure (3DS), prima dell’autorizzazione finanziaria. L’esito può riflettere il modo in cui viene gestita una richiesta di autenticazione, ma una richiesta di verifica aggiuntiva non significa che la verifica sia stata completata, e il risultato non dimostra che una carta sia utilizzabile per un pagamento.
Gli autori combinano l’analisi del protocollo e dell’integrazione con test dal vivo circoscritti e una revisione separata di materiali pubblici.
- Testare il risultato visibile
Per esaminare ciò che può vedere chi invia la richiesta, i ricercatori hanno usato un client HTTP indipendente con un’autorizzazione valida per la propria integrazione commerciale. Il client ha inviato informazioni sintetiche su browser e dispositivo e ha ricevuto risultati di lookup senza eseguire il software del browser.
Si è fermato prima di proseguire con una verifica aggiuntiva o di autorizzare un pagamento. La misura osservata era il primo risultato visibile al client nell’integrazione, non i messaggi grezzi scambiati internamente dai sistemi della rete di pagamento o dell’emittente.
- Uno schema con un’eccezione
I ricercatori hanno confrontato una carta di cui conoscevano l’emissione e che controllavano con tre numeri adiacenti, dello stesso intervallo e conformi a un controllo di formato di base. In sei dei sette gruppi di numeri di carta esaminati, la classe del primo risultato della carta di riferimento differiva da quella di tutti e tre gli input di confronto.
Nel gruppo restante, tutti e quattro gli input hanno ricevuto un risultato che richiedeva una verifica aggiuntiva. L’unità di confronto era il gruppo, non ciascuna sessione ripetuta; il risultato mostra una distinzione in alcuni casi esaminati, non un classificatore convalidato.
- Interpretare gli indizi con cautela
Lo studio interpreta anche gli identificativi di transazione restituiti applicando una regola del protocollo: quando il Directory Server crea una risposta per conto del sistema dell’emittente, gli identificativi dovrebbero coincidere.
Se i campi sono mappati correttamente e la specifica viene rispettata, identificativi coincidenti o distinti possono quindi essere compatibili con livelli diversi di elaborazione. Non rivelano direttamente l’elaborazione interna né provano che un account esista.
Un controllo separato sull’instradamento ha rilevato che input prima bloccati ricevevano risposte a livello dell’emittente attraverso proxy residenziali distribuiti, in una sola integrazione e con un piccolo gruppo di proxy.
- Che cosa sostengono le prove
Una revisione separata dei materiali pubblici ha trovato esempi di servizi a pagamento e software che usano i risultati 3DS per filtrare credenziali candidate. Gli autori interpretano questi indizi insieme alle osservazioni dal vivo come un motivo per limitare i dettagli esposti nelle risposte e gestire in modo coerente i diversi esiti.
Poiché il test dal vivo ha coperto una sola integrazione principale e non ha verificato se i candidati fossero stati emessi né osservato l’elaborazione interna della rete, le prove non dimostrano un test universale di validità degli account né quanto il segnale sia diffuso.
Dettagli
- Autori del paper originale
- Wasif Faisal, Suprava Saha Dibya
- Inviato ad arXiv
- Licenza
- arXiv non-exclusive