Abo
  • Services:
Anzeige
EC-Karten-Terminals lassen sich leicht manipulieren - wie Hacker auf dem 32C3 demonstrieren wollen.
EC-Karten-Terminals lassen sich leicht manipulieren - wie Hacker auf dem 32C3 demonstrieren wollen. (Bild: Tim WInborne/Reuters)

Terminals können übernommen werden

Die mangelhaften Sicherheitsmechanismen von ZVT ermöglichen ausweislich einer Präsentation des Hacks, die uns vorliegt, auch die komplette Übernahme von Terminals. Angreifer könnten das Terminal so umprogrammieren, dass die Einnahmen an sie und nicht den eigentlichen Betreiber gesendet werden. Dazu ist es notwendig, das Passwort des Terminals zu kennen. Das ist jedoch kein allzu großes Problem: Viele Terminals benutzen ein einheitliches, statisches Passwort - das vor einigen Jahren zusammen mit einem Handbuch der Geräte veröffentlicht wurde.

Anzeige

Der Angriff von Nohl und seinen Kollegen geht jedoch über den lokalen Zugriff auf die Geräte hinaus: Das Poseidon-Protokoll sorgt für die Anbindung an den Zahlungsdienstleister über das Netz. Auch hier gibt es große Sicherheitsprobleme. "Die beiden Angriffe sind voneinander unabhängig" sagt Nohl, aber sie könnten natürlich kombiniert werden. Poseidon nutzt vorab getauschte Schlüssel, ähnlich wie viele VPNs. Viele Terminals benutzen jedoch genau den gleichen vorab getauschten Schlüssel - wer also Zugriff auf ein Gerät hat, kann viele andere ebenfalls manipulieren. Poseidon ist nach Angaben der Hacker der De-Facto-Standard in Deutschland, wird aber auch in Frankreich, Luxemburg und Island genutzt. Für den Hack werden drei Informationen benötigt: das bekannte Passwort, die ID des anzugreifenden Terminals und der TCP-Port.

Das Passwort gibt es bei Google

Das Passwort lässt sich ergoogeln. Auch die Geräte-ID ist leicht herauszubekommen: Auf jedem Kassenzettel steht, wenn mit Karte bezahlt wurde, die Geräte-ID des jeweiligen Terminals. Angreifer könnten sich diese ID zunutze machen, um ein Terminal im eigenen Besitz als legitimes Gerät auszugeben. Den TCP-Port schließlich ermitteln die Forscher durch eine nicht näher beschriebene Brute-Force-Attacke.

Sind die Voraussetzungen gegeben, kann der Angreifer sich selbst im Namen des Terminals Gutschriften ausstellen. Denn die Geräte prüfen nicht, ob für eine Gutschrift zuvor wirklich eine Einzahlung beziehungsweise eine Transaktion vorgelegen hat. Die Gutschriften können auf vom Angreifer angegebene Bankkonten erfolgen. Alternativ ist es auch möglich, Prepaid-Guthaben für Mobiltelefone zu generieren.

Die Deutsche Kreditwirtschaft (DK) sieht keine großen Gefahren durch den Hack. Zeit Online sagten sie: Beim 32C3 sollen "Angriffsszenarien auf Kartenzahlungsterminals vorgestellt werden, die unter Laborbedingungen, das heißt theoretisch, möglich sind. Die DK hat diese Angriffe geprüft." Schäden für Karteninhaber seien jedoch ausgeschlossen. Tatsächlich sind in den vorgestellten Angriffsszenarien vor allem die Händler die Geschädigten.

Noch haben die Banken Zeit, die Probleme zu lösen

Nohl kommentiert die Antwort wie folgt: "Die Banken sollten froh sein, dass es bislang keine Angriffe gibt. Noch haben sie vermutlich einige Wochen oder Monate lang Zeit, um die Probleme zu beheben." Als kurzfristige Lösung schlagen die Sicherheitsforscher vor, die Möglichkeit zum Ausstellen von Gutschriften nur dann zu aktivieren, wenn sie wirklich gebraucht wird - sie ist voreingestellt immer aktiv.

Auch die Funktion zum Ausstellen von Prepaid-Guthaben kann deaktiviert werden. Die anderen notwendigen Änderungen würden wohl etwas mehr Zeit benötigen. Nohl freut sich auf internationale Hacker, die verschiedene Implementationen des Iso-Standards 8583, auf dem Poseidon basiert, testen. "Bis zum Beginn des 32C3 kann da noch viel passieren", sagt er.

 Security: Hacker übernehmen EC-Terminals

eye home zur Startseite
zilti 23. Dez 2015

"Blackout" gelesen?

der_wahre_hannes 23. Dez 2015

Genau so kann man auch hoffen, dass die frei zugänglichen RJ45-Ports gar nicht erst im...



Anzeige

Stellenmarkt
  1. Circular Economy Solutions GmbH, Karlsruhe
  2. operational services GmbH & Co. KG, Berlin, Dresden
  3. Kommunales Rechenzentrum Niederrhein, Kamp-Lintfort
  4. Trebing & Himstedt Prozeßautomation GmbH & Co. KG, verschiedene Einsatzorte (Home-Office)


Anzeige
Hardware-Angebote
  1. 1.029,00€ + 5,99€ Versand
  2. ab 474,76€
  3. (Core i5-7600K + Asus GTX 1060 Dual OC)

Folgen Sie uns
       


  1. Obsoleszenz

    Apple repariert zahlreiche Macbooks ab Mitte 2017 nicht mehr

  2. Komplett-PC

    In Nvidias Battleboxen steckt AMDs Ryzen

  3. Internet

    Cloudflare macht IPv6 parallel zu IPv4 jetzt Pflicht

  4. Square Enix

    Neustart für das Final Fantasy 7 Remake

  5. Agesa 1006

    Ryzen unterstützt DDR4-4000

  6. Telekom Austria

    Nokia erreicht 850 MBit/s im LTE-Netz

  7. Star Trek Bridge Crew im Test

    Festgetackert im Holodeck

  8. Quantenalgorithmen

    "Morgen könnte ein Physiker die Quantenmechanik widerlegen"

  9. Astra

    ZDF bleibt bis zum Jahr 2020 per Satellit in SD verfügbar

  10. Kubic

    Opensuse startet Projekt für Container-Plattform



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Razer Core im Test: Grafikbox + Ultrabook = Gaming-System
Razer Core im Test
Grafikbox + Ultrabook = Gaming-System
  1. Gaming-Notebook Razer will das Blade per GTX 1070 aufrüsten
  2. Razer Lancehead Symmetrische 16.000-dpi-Maus läuft ohne Cloud-Zwang
  3. 17,3-Zoll-Notebook Razer aktualisiert das Blade Pro mit THX-Zertifizierung

Matebook X und E im Hands on: Huawei kann auch Notebooks
Matebook X und E im Hands on
Huawei kann auch Notebooks
  1. Matebook X Huawei stellt erstes Notebook vor
  2. Trotz eigener Geräte Huawei-Chef sieht keinen Sinn in Smartwatches
  3. Huawei Matebook Erste Infos zu kommenden Huawei-Notebooks aufgetaucht

Debatte nach Wanna Cry: Sicherheitslücken veröffentlichen oder zurückhacken?
Debatte nach Wanna Cry
Sicherheitslücken veröffentlichen oder zurückhacken?
  1. Android-Apps Rechtemissbrauch ermöglicht unsichtbare Tastaturmitschnitte
  2. Sicherheitslücke Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon
  3. Hotelketten Buchungssystem Sabre kompromittiert Zahlungsdaten

  1. Re: WEnn Remake, dann bitte

    igor37 | 07:50

  2. Sind ja auch 6 Jahre alt

    Mastercontrol | 07:49

  3. Re: Priv

    Ratloser99 | 07:48

  4. Re: Sie sollen es lassen.

    igor37 | 07:45

  5. Re: E-Auto laden utopisch

    DY | 07:44


  1. 07:17

  2. 18:08

  3. 17:37

  4. 16:55

  5. 16:46

  6. 16:06

  7. 16:00

  8. 14:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel