NFC-nutitelefonid võimaldasid teadlastel häkkida müügikohtade süsteeme ja sularahaautomaate

Hoolimata sellest, et sularahaautomaatidel on liikvel olles üks ainukesi viise oma pangakontolt raha välja võtta, on neil aastate jooksul olnud kurikuulsalt mitmeid turvaprobleeme. Isegi praegu ei takista häkkeril palju raha sularahaautomaadile kaardikoorijat panemast, kuna enamik inimesi ei märka kunagi, et see seal on. Muidugi on aastate jooksul ette tulnud ka mitmeid teisi rünnakuid, mis on sellest keerulisemad, kuid üldiselt tasub sularahaautomaati kasutades olla alati ettevaatlik. Nüüd on pangaautomaadi häkkimiseks uus viis ja selleks on vaja ainult NFC-ga nutitelefoni.

Nagu Ühendatud aruanded, Josep Rodriguez on Washingtoni osariigis Seattle'is asuva turvafirma IOActive teadur ja konsultant ning viimase aasta on ta otsinud turvaauke sularahaautomaatides ja müügipunktides kasutatavates NFC-lugerites. Paljud sularahaautomaadid üle maailma võimaldavad teil PIN-koodi sisestamiseks ja sularaha väljavõtmiseks puudutada deebet- või krediitkaarti, selle asemel et nõuda selle sisestamist sularahaautomaati. Kuigi see on mugavam, aitab see vältida ka probleemi, mis on seotud kaardilugeja kohal oleva füüsilise kaardi koorijaga. Ka müügipunktide kontaktivabad maksed on praegu üldlevinud.

NFC-lugejate häkkimine

Rodriquez on loonud Androidi rakenduse, mis annab tema telefonile võimsuse jäljendada krediitkaardisuhtlust ja kasutada ära NFC-süsteemide püsivara vigu. Telefoniga NFC-lugeja kohal vehkides saab ta mitu äpardust kokku aheldada, et müügikoha seadmed kokku kukkuda ja neid häkkida. kaardiandmete kogumiseks ja edastamiseks, tehingute väärtuse muutmiseks ja isegi seadmete lukustamiseks lunavarasõnumiga.

Lisaks ütleb Rodriguez, et ta võib isegi sundida sularaha väljastama vähemalt ühte nimeta sularahaautomaati, kuigi see töötab ainult koos sularahaautomaadi tarkvarast leitud vigadega. Seda nimetatakse "jackpoting", mille jaoks on kurjategijad aastate jooksul üritanud sularaha varastamise eesmärgil sularahaautomaadile ligi pääseda mitmel viisil. Ta keeldus kaubamärgi või meetodite täpsustamisest sularahaautomaatide müüjatega sõlmitud mitteavaldamise lepingute tõttu.

"Saate muuta püsivara ja muuta hinna näiteks ühele dollarile, isegi kui ekraan näitab, et maksate 50 dollarit. Saate muuta seadme kasutuks või installida teatud tüüpi lunavara. Siin on palju võimalusi," räägib Rodriguez avastatud müügikoha rünnakutest. "Kui aheldate rünnaku ja saadate ka spetsiaalse kasuliku koorma sularahaautomaadi arvutisse, saate sularahaautomaadi jackpoti võita – näiteks raha välja võtta, lihtsalt telefoni puudutades."

Allikas: Josep Rodriguez

Mõjutatud müüjad on ID Tech, Ingenico, Verifone, Crane Payment Innovations, BBPOS, Nexgo ja nimetu sularahaautomaadi müüja ning kõiki neid teavitati 7 kuud kuni aasta tagasi. Kuid enamik müügikohasüsteeme ei saa tarkvaravärskendusi või saavad seda harva ning tõenäoliselt vajavad paljud neist füüsilist juurdepääsu. Seetõttu on tõenäoline, et paljud neist jäävad haavatavaks. "Nii paljude sadade tuhandete sularahaautomaatide füüsiliselt lappimine on midagi, mis nõuaks palju aega," Rodriguez ütleb.

Haavatavuste demonstreerimiseks jagas Rodriguez videot Ühendatud näidates teda vehkimas nutitelefoniga Madridis asuva sularahaautomaadi NFC-lugeja kohal, mistõttu masin kuvab veateate. Ta ei näidanud jackpoti rünnakut, kuna sai seda seaduslikult testida ainult IOActive'i turvanõustamise käigus hangitud masinatel, mis rikuks nende mitteavaldamise lepingut. küsis Rodriguez Ühendatud õigusliku vastutuse kartuses videot mitte avaldada.

Leiud on "suurepärane uurimine manustatud seadmetes töötava tarkvara haavatavuse kohta," ütleb Karsten Nohl, turvafirma SRLabs asutaja ja püsivara häkker, kes Rodrigueze tööd üle vaatas. Nohl mainis ka, et pärismaailma varastel on mõned puudused, sealhulgas häkitud NFC lugeja lubaks ründajal varastada ainult mag triibuga krediitkaardi andmeid, mitte PIN-koodi ega EMV andmeid laastud. ATM jackpoti rünnak nõuab ka sularahaautomaadi püsivara haavatavust, mis on suur takistus.

Sellegipoolest on nendes masinates koodi käivitamiseks juurdepääsu saamine iseenesest suur turvaviga ja see on sageli esimene sisenemispunkt igas süsteemis, isegi kui see on ainult kasutajataseme juurdepääs. Kui olete välisest turbekihist üle saanud, on sageli nii, et sisemised tarkvarasüsteemid pole kaugeltki nii turvalised.

Red Ballooni tegevjuht ja juhtivteadlane Ang Cui avaldas avastustes muljet. "Ma arvan, et on väga usutav, et kui olete mõnes neist seadmetest koodi käivitanud, peaksite saama otse põhikontrollerile, sest see asi on täis turvaauke, mida pole juba üle aasta parandatud kümnendil," Cui ütleb. "Sealt," ta lisab, "saate kasseti jaoturit täielikult juhtida" mis hoiab ja annab kasutajatele sularaha.

Kohandatud koodi täitmine

Võimalus käivitada kohandatud koodi mis tahes masinas on suur haavatavus ja annab ründajale võimaluse uurida masina aluseks olevaid süsteeme, et leida rohkem turvaauke. Nintendo 3DS on selle suurepärane näide: mäng nimega Kuubikujuline ninja oli kuulsalt üks varasemaid viise 3DS-i ärakasutamiseks ja kodupruuli teostamiseks. Ninjhaxiks nimetatud ärakasutamine põhjustas puhvri ületäitumise, mis käivitas kohandatud koodi täitmise. Kui mängul endal oli süsteemile juurdepääs ainult kasutaja tasemel, sai Ninjhaxist 3DS-is kohandatud püsivara käitamiseks edasiste ärakasutamiste aluseks.

Lihtsustuseks: puhvri ületäitumine käivitub, kui saadetud andmete maht ületab nende andmete jaoks eraldatud salvestusruumi, mis tähendab, et üleliigsed andmed salvestatakse seejärel külgnevatesse mälupiirkondadesse. Kui külgnev mälupiirkond suudab koodi käivitada, võib ründaja seda puhvri täitmiseks kuritarvitada prügiandmed ja lisage seejärel käivitatav kood selle lõppu, kus see loetakse kõrvuti mälu. Mitte kõik puhvri ületäitumise rünnakud ei suuda koodi käivitada ja paljud lihtsalt jooksevad programmi kokku või põhjustavad ootamatut käitumist. Näiteks kui väli võib võtta ainult 8 baiti andmeid ja ründaja sunnitud sisestama 10 baiti, voolavad lõpus olevad täiendavad 2 baiti üle teise mälupiirkonda.

Loe lisaks: "PSA: kui teie arvutis töötab Linux, peaksite Sudot kohe värskendama"

Rodriguez märgib, et puhvri ületäitumise rünnakud NFC-lugejatele ja müügikoha seadmetele on võimalikud, kuna ta ostis paljud neist viimase aasta jooksul eBayst. Ta märkis, et paljud neist kannatasid sama turvavea all: nad ei kinnitanud krediitkaardilt NFC kaudu saadetud andmete suurust. Tehes äpi, mis saatis andmeid sadu kordi suuremaks, kui lugeja eeldab, oli võimalik käivitada puhvri ületäitumine.

Millal Ühendatud võtsid kommentaaride saamiseks ühendust mõjutatud ettevõtetega, ID Tech, BBPOS ja Nexgo ei vastanud kommentaaritaotlustele. Ka sularahaautomaatide tööstuse liit keeldus kommentaaridest. Ingenico vastas avalduses, et turvalisuse leevendamine tähendas, et Rodriguezi puhvri ületäitumine võib ainult seadmeid kokkujooksda, mitte kohandatud koodi käivitada. Rodriguez kahtleb, kas nad oleksid tegelikult koodi täitmist takistanud, kuid pole loonud kontseptsiooni tõestust, mida demonstreerida. Ingenico ütles, et "arvestades ebamugavusi ja mõju meie klientidele", tegi ta siiski paranduse.

Verifone ütles, et leidis ja parandas müügikoha haavatavused 2018. aastal enne neist teatamist, kuigi see näitab ainult seda, kuidas neid seadmeid kunagi ei värskendata. Rodriguez ütleb, et katsetas eelmisel aastal restoranis oma NFC-rünnakuid Verifone'i seadmele, leides, et see jäi endiselt haavatavaks.

"Need haavatavused on püsivaras olnud juba aastaid ja me kasutame neid seadmeid iga päev oma krediitkaartide ja raha haldamiseks." Rodriguez ütleb. "Neid tuleb kindlustada." Rodriguez kavatseb lähinädalatel nende haavatavuste tehnilisi üksikasju jagada veebiseminaril.