Abo
  • Services:
Anzeige
EC-Karten-Terminals lassen sich leicht manipulieren - wie Hacker auf dem 32C3 demonstrieren wollen.
EC-Karten-Terminals lassen sich leicht manipulieren - wie Hacker auf dem 32C3 demonstrieren wollen. (Bild: Tim WInborne/Reuters)

Terminals können übernommen werden

Die mangelhaften Sicherheitsmechanismen von ZVT ermöglichen ausweislich einer Präsentation des Hacks, die uns vorliegt, auch die komplette Übernahme von Terminals. Angreifer könnten das Terminal so umprogrammieren, dass die Einnahmen an sie und nicht den eigentlichen Betreiber gesendet werden. Dazu ist es notwendig, das Passwort des Terminals zu kennen. Das ist jedoch kein allzu großes Problem: Viele Terminals benutzen ein einheitliches, statisches Passwort - das vor einigen Jahren zusammen mit einem Handbuch der Geräte veröffentlicht wurde.

Anzeige

Der Angriff von Nohl und seinen Kollegen geht jedoch über den lokalen Zugriff auf die Geräte hinaus: Das Poseidon-Protokoll sorgt für die Anbindung an den Zahlungsdienstleister über das Netz. Auch hier gibt es große Sicherheitsprobleme. "Die beiden Angriffe sind voneinander unabhängig" sagt Nohl, aber sie könnten natürlich kombiniert werden. Poseidon nutzt vorab getauschte Schlüssel, ähnlich wie viele VPNs. Viele Terminals benutzen jedoch genau den gleichen vorab getauschten Schlüssel - wer also Zugriff auf ein Gerät hat, kann viele andere ebenfalls manipulieren. Poseidon ist nach Angaben der Hacker der De-Facto-Standard in Deutschland, wird aber auch in Frankreich, Luxemburg und Island genutzt. Für den Hack werden drei Informationen benötigt: das bekannte Passwort, die ID des anzugreifenden Terminals und der TCP-Port.

Das Passwort gibt es bei Google

Das Passwort lässt sich ergoogeln. Auch die Geräte-ID ist leicht herauszubekommen: Auf jedem Kassenzettel steht, wenn mit Karte bezahlt wurde, die Geräte-ID des jeweiligen Terminals. Angreifer könnten sich diese ID zunutze machen, um ein Terminal im eigenen Besitz als legitimes Gerät auszugeben. Den TCP-Port schließlich ermitteln die Forscher durch eine nicht näher beschriebene Brute-Force-Attacke.

Sind die Voraussetzungen gegeben, kann der Angreifer sich selbst im Namen des Terminals Gutschriften ausstellen. Denn die Geräte prüfen nicht, ob für eine Gutschrift zuvor wirklich eine Einzahlung beziehungsweise eine Transaktion vorgelegen hat. Die Gutschriften können auf vom Angreifer angegebene Bankkonten erfolgen. Alternativ ist es auch möglich, Prepaid-Guthaben für Mobiltelefone zu generieren.

Die Deutsche Kreditwirtschaft (DK) sieht keine großen Gefahren durch den Hack. Zeit Online sagten sie: Beim 32C3 sollen "Angriffsszenarien auf Kartenzahlungsterminals vorgestellt werden, die unter Laborbedingungen, das heißt theoretisch, möglich sind. Die DK hat diese Angriffe geprüft." Schäden für Karteninhaber seien jedoch ausgeschlossen. Tatsächlich sind in den vorgestellten Angriffsszenarien vor allem die Händler die Geschädigten.

Noch haben die Banken Zeit, die Probleme zu lösen

Nohl kommentiert die Antwort wie folgt: "Die Banken sollten froh sein, dass es bislang keine Angriffe gibt. Noch haben sie vermutlich einige Wochen oder Monate lang Zeit, um die Probleme zu beheben." Als kurzfristige Lösung schlagen die Sicherheitsforscher vor, die Möglichkeit zum Ausstellen von Gutschriften nur dann zu aktivieren, wenn sie wirklich gebraucht wird - sie ist voreingestellt immer aktiv.

Auch die Funktion zum Ausstellen von Prepaid-Guthaben kann deaktiviert werden. Die anderen notwendigen Änderungen würden wohl etwas mehr Zeit benötigen. Nohl freut sich auf internationale Hacker, die verschiedene Implementationen des Iso-Standards 8583, auf dem Poseidon basiert, testen. "Bis zum Beginn des 32C3 kann da noch viel passieren", sagt er.

 Security: Hacker übernehmen EC-Terminals

eye home zur Startseite
zilti 23. Dez 2015

"Blackout" gelesen?

der_wahre_hannes 23. Dez 2015

Genau so kann man auch hoffen, dass die frei zugänglichen RJ45-Ports gar nicht erst im...



Anzeige

Stellenmarkt
  1. Hessischer Rundfunk, Frankfurt am Main
  2. Robert Bosch GmbH, Leonberg
  3. Broetje-Automation, Rastede
  4. Robert Bosch GmbH, Stuttgart-Feuerbach


Anzeige
Blu-ray-Angebote
  1. 24,99€ (Vorbesteller-Preisgarantie)
  2. 18,99€ (ohne Prime bzw. unter 29€-Einkaufswert zzgl. 3€ Versand)
  3. (u. a. Der Hobbit 3 für 9,99€ u. Predator für 12,49€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Tinker-Board

    Asus bringt Raspberry-Pi-Klon

  2. Privatsphäre

    Verschlüsselter E-Mail-Dienst Lavabit kommt wieder

  3. Potus

    Donald Trump übernimmt präsidiales Twitter-Konto

  4. Funkchips

    Apple klagt gegen Qualcomm

  5. Die Woche im Video

    B/ow the Wh:st/e!

  6. Verbraucherzentrale

    O2-Datenautomatik dürfte vor Bundesgerichtshof gehen

  7. TLS-Zertifikate

    Symantec verpeilt es schon wieder

  8. Werbung

    Vodafone will mit DVB-T-Abschaltung einschüchtern

  9. Zaber Sentry

    Mini-ITX-Gehäuse mit 7 Litern Volumen und für 30-cm-Karten

  10. Weltraumteleskop

    Erosita soll Hinweise auf Dunkle Energie finden



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Autonomes Fahren: Laserscanner für den Massenmarkt kommen
Autonomes Fahren
Laserscanner für den Massenmarkt kommen
  1. BMW Autonome Autos sollen mehr miteinander quatschen
  2. Nissan Leaf Autonome Elektroautos rollen ab Februar auf Londons Straßen
  3. Autonomes Fahren Neodriven fährt autonom wie Geohot

Halo Wars 2 angespielt: Mit dem Warthog an die Strategiespielfront
Halo Wars 2 angespielt
Mit dem Warthog an die Strategiespielfront

Reverse Engineering: Mehr Spaß mit Amazons Dash-Button
Reverse Engineering
Mehr Spaß mit Amazons Dash-Button
  1. Online-Einkauf Amazon startet virtuelle Dash-Buttons

  1. Re: und nun?

    GenXRoad | 00:25

  2. Re: Nur zu 50% versichert

    My1 | 00:22

  3. Re: Die man sich nicht leisten kann...

    GenXRoad | 00:20

  4. Re: Wer mietet denn eine PS4?

    GenXRoad | 00:18

  5. Soo viele Firmen..

    Vielfalt | 00:00


  1. 16:49

  2. 14:09

  3. 12:44

  4. 11:21

  5. 09:02

  6. 19:03

  7. 18:45

  8. 18:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel