Abo
  • Services:
Anzeige
Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Verifone: EC-Kartenterminals in Deutschland gehackt

Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Hackern ist es gelungen, ein EC-Terminal von Verifone von außen anzugreifen und die Kartendaten sowie Geheimnummern auszulesen. 300.000 dieser Geräte stehen in Geschäften in Deutschland, die Lücke soll seit März 2012 bekannt gewesen sein.

Hacker konnten EC-Kartendaten samt Geheimnummern an einem Gerät von Verifone auslesen. Das ARD-Magazin Monitor hat dies unter Aufsicht von Gutachtern versuchsweise vorgeführt. Das Kartenlesegerät wurde von außen über die LAN-Verbindung angriffen und Kartendaten sowie Geheimnummern kopiert. Damit ließen sich neue EC-Karten produzieren, um im Ausland Geld abzuheben oder im Internet einzukaufen.

Anzeige

Rund 300.000 dieser Geräte stehen in deutschen Geschäften, berichtet Monitor. IT-Experte Karsten Nohl von der Berliner Firma Security Research Labs sagte, es könnten "theoretisch viele Terminals auf einmal gehackt werden." Der Kartenleser kann mittels Pufferüberlauf im Netzwerk-Stack angegriffen werden, um den Applikationsprozessor zu übernehmen. Der Angreifer bekam so Zugang zum Terminal und konnte den Applikationsprozessor, das Eingabefeld für die PIN und das Display kontrollieren und die PIN abfangen.

Verifone bestätigte gegenüber Monitor die Sicherheitslücke. Der Hersteller sei dabei, für die Geräte "ein Softwareupdate zu erstellen", um die "Verwundbarkeit" zu beheben.

Auch der Branchenverband Deutsche Kreditwirtschaft erklärte Monitor: "Der Hersteller ist (...) angehalten, kurzfristig ein Software-Update (...) bereitzustellen."

Doch laut Monitor ist die Sicherheitslücke dem Hersteller und den Banken seit Monaten bekannt. Security Research Labs habe Verifone schon im März 2012 darüber informiert.

Ulrike Meyer, Professorin für IT-Sicherheit an der Rheinisch-Westfälischen Technischen Hochschule Aachen, forderte: "Es muss jetzt eine ganze Reihe Dinge passieren, an verschiedenen Fronten. Zum einen ist der Hersteller von dem EC-Terminal gefragt, dass er versucht, diese existierende Lücke zu patchen. Wenn das nicht möglich ist, müssen natürlich neue Geräte verteilt werden. Langfristig muss geschaut werden, was in dem Zertifizierungsprozess fehlgeschlagen ist."

In Deutschland waren 2010 rund 670.000 Kartenterminals in Betrieb und 97 Millionen EC-Karten im Umlauf.

Nachtrag vom 12. Juli 2012, 12:16 Uhr

Laut Bundesverband der deutschen Volksbanken und Raiffeisenbanken ist das Artema-Hybrid-EC-Terminal des Herstellers Verifone betroffen. "Grundsätzlich haften Kunden nicht für Schäden aus einem Angriff, bei dem ihre Kartendaten ausgespäht und diese außerhalb des Girocard-Systems auf Magnetstreifenbasis (beispielsweise im außereuropäischen Ausland) missbräuchlich verwendet wurden", betonte der Verband.

Karsten Nohl von Security Research Labs betonte im Gespräch mit Golem.de, dass der Forscher Thomas Roth die Sicherheitslücke entdeckt habe. Der Angriff könne, so Nohl, nur dann über das Internet erfolgen, wenn Public-IPs für solche Terminals vergeben werden, was praktisch nicht passiert. Nohl: "Wenn es aber gelingt, über das Internet irgendeinen Computer in dem Netzwerk zu hacken, dann können natürlich auch alle Kassenterminals gekapert werden."

Security Research Labs: Ein Patch hilft nicht

Auch bei lokalen Angriffen sei das Ziel, eine Malware auf dem Terminal laufen zu lassen. "Die serielle Schnittstelle und die JTAG-Schnittstelle des Applikationsprozessors prädestinieren sich für lokale Angriffe. Vor allem die JTAG-Schnittstelle, weil es hier keinen Softwarepatch geben kann, der die Lücke schließt. Der Prozessor bietet keine Möglichkeit, die Schnittstelle abzuschalten. Man operiert mit JTAG unterhalb der Software, darum kann sich die Software davor nicht schützen", sagte Nohl. Selbst wenn 300.000 Geräte einen Patch hätten, könne die Lücke nicht geschlossen werden. "Per Softwareupdate ist nur ein Angriff aus irgendeinem Keller im Ausland abzuwehren, bei dem tausende Terminals auf einmal gehackt werden."

Lokale Angriffe seien auch durch ein Ablenkungsmanöver möglich, wenn der Kartenleser beispielsweise im Café auf den Tisch gestellt wird. "Ab da kann er dann alles abgreifen", erklärte Nohl.


eye home zur Startseite
Frank1965 23. Jul 2012

In der aktuellen c't ist ja auch ein Artikel zu dem Thema drin. Das kann man auch...

Endwickler 13. Jul 2012

Also da bekommt man gebrauchte PC's aber billiger. :-)

Local_Horst 13. Jul 2012

Da bräuchte man gar nicht auf der Platine rum braten. Mit efuses wäre es kein Problem...

Ampel 13. Jul 2012

Detaillierte Beweise ,Log dateien ( ausdrucke) und ein Testaufbau vor dem Richter der...

Ampel 13. Jul 2012

Leider ist es das problem schlechthin !. Die Datenübertragungen werden heutzutage gro...



Anzeige

Stellenmarkt
  1. CompuGroup, Koblenz, Bochum
  2. ROHDE & SCHWARZ GmbH & Co. KG, München
  3. Paco Home GmbH, Eschweiler
  4. Daimler AG, Böblingen


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

Folgen Sie uns
       


  1. WLAN

    Zahl der Vodafone-Hotspots steigt auf zwei Millionen

  2. Linux-Grafiktreiber

    Mesa 17.3 verbessert Vulkan- und Embedded-Treiber

  3. Gemini Lake

    Intel bringt Pentium Silver mit Gigabit-WLAN

  4. MG07ACA

    Toshiba packt neun Platter in seine erste 14-TByte-HDD

  5. Sysinternals-Werkzeug

    Microsoft stellt Procdump für Linux vor

  6. Forschungsförderung

    Medizin-Nobelpreisträger Rosbash kritisiert Trump

  7. Sicherheit

    Keylogger in HP-Notebooks gefunden

  8. IBM AC922

    In Deep Learning schlägt der Power9 die X86-Konkurrenz

  9. FTTH

    Telekom kündigt weitere Glasfaser-Stadt an

  10. 2-Minuten-Counter gegen Schwarzfahrer

    Das sekundengenaue Handyticket ist möglich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Apps und Games für VR-Headsets: Der virtuelle Blade Runner und Sport mit Sparc
Apps und Games für VR-Headsets
Der virtuelle Blade Runner und Sport mit Sparc
  1. Virtual-Reality-Benchmarks Geforce gegen Radeon in VR-Spielen
  2. Sumerian Amazon stellt Editor für Augmented und Virtual Reality vor
  3. Virtual Reality Huawei und TPCast wollen VR mit 5G streamen

Twitch, Youtube Gaming und Mixer: Weltweites Aufmerksamkeitsdefizit
Twitch, Youtube Gaming und Mixer
Weltweites Aufmerksamkeitsdefizit
  1. Kiyo und Seiren X Razer bringt Ringlicht-Webcam für Streamer
  2. Roboter Megabots kündigt Video vom Roboterkampf an
  3. Free to Play World of Tanks bringt pro Nutzer und Monat 3,30 Dollar ein

Blade Runner (1997): Die unsterbliche, künstliche Erinnerung
Blade Runner (1997)
Die unsterbliche, künstliche Erinnerung
  1. SNES Classic Mini im Vergleichstest Putzige Retro-Konsole mit suboptimaler Emulation

  1. Re: Und wieviele Nobelpreistraeger waren illegale...

    divStar | 16:27

  2. Re: Homescreen unbrauchbar!

    a user | 16:27

  3. Re: So einen Reaktor hätte ich gerne in meinem keller

    Der Held vom... | 16:25

  4. Re: Wie halten die das Helium da drin?

    HerrMannelig | 16:24

  5. Re: Bravo zur Entscheidung von Birkernstock

    Bouncy | 16:24


  1. 15:57

  2. 15:20

  3. 15:00

  4. 14:46

  5. 13:30

  6. 13:10

  7. 13:03

  8. 12:50


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel