Enkripsi yang Digunakan pada Mesin ATM

Mesin Penarik Tunai Automatik (ATM) menawarkan perkhidmatan mudah tetapi selamat, membolehkan pemegang kad berkelayakan menarik tunai dan melakukan transaksi perbankan lain tanpa mengunjungi cawangan bank. Setiap transaksi ATM diberi kelulusan oleh bank melalui rangkaian komunikasi selamat yang bergantung kepada penyandian data supaya hanya penghantar dan penerima yang dimaksudkan dapat membaca maklumat tersebut, iaitu proses penyulitan.

Kerentanan Keselamatan

Kerentanan keselamatan ATM yang biasa merujuk kepada "pencabutan palsu" (phantom withdrawals), di mana wang diborong dari akaun pemegang kad, namun pelanggan dan bank tidak mengakui liabiliti. Pencabutan palsu boleh berlaku akibat penipuan pelanggan, atau ATM diminta menerima kad palsu, yang telah diklon atau dicuri. ATM menghantar mesej tersulit, dikenali sebagai Authorization Request Cryptogram, yang digunakan oleh penerbit kad untuk mengautentikasi kad dan data kad.

DES

ATM asalnya menggunakan algoritma Data Encryption Standard (DES) untuk menyulitkan nombor pengenalpastian peribadi. DES menyulitkan data dalam blok 64-bit menggunakan kunci 56-bit dan pernah menjadi Standard Pemprosesan Maklumat Federal di Amerika Syarikat. Namun, peningkatan kuasa pengkomputeran komputer peribadi menjadikan DES tidak selamat bagi aplikasi ATM; ATM yang menggunakan DES telah terbuka dalam masa 24 jam.

Triple DES

Triple DES menggunakan dua kunci dan mengaplikasikan algoritma DES tiga kali, meningkatkan panjang kunci kepada 168-bit. Triple DES lebih selamat daripada DES kerana tidak praktikal untuk mencari bit individu kunci bagi memecahkan kod. Menurut National Credit Union Administration, semua pemasangan ATM baru sejak 2002 wajib menggunakan penyulitan Triple DES.

AES

Pada tahun 2001, National Institute of Standards and Technology mengumumkan standard penyulitan baru, Advanced Encryption Standard (AES), yang dimaksudkan menggantikan DES. AES menggunakan panjang kunci yang berubah-ubah, iaitu 128, 192 atau 256 bit, dan menyulitkan data dalam blok 128-bit. Satu-satunya cara orang tidak dibenarkan dapat menyahsulit data yang disulitkan dengan AES ialah melalui serangan kuasa paksa (brute force), yang memerlukan ujian semua permutasi kunci; oleh itu, AES lebih selamat daripada DES atau Triple DES. AES diluluskan oleh kerajaan AS sebagai standard komersial untuk menyulitkan maklumat digital sensitif, termasuk data kewangan yang digunakan oleh ATM, pada tahun 2003.