Abo
  • Services:
Anzeige
Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Verifone: EC-Kartenterminals in Deutschland gehackt

Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Hackern ist es gelungen, ein EC-Terminal von Verifone von außen anzugreifen und die Kartendaten sowie Geheimnummern auszulesen. 300.000 dieser Geräte stehen in Geschäften in Deutschland, die Lücke soll seit März 2012 bekannt gewesen sein.

Hacker konnten EC-Kartendaten samt Geheimnummern an einem Gerät von Verifone auslesen. Das ARD-Magazin Monitor hat dies unter Aufsicht von Gutachtern versuchsweise vorgeführt. Das Kartenlesegerät wurde von außen über die LAN-Verbindung angriffen und Kartendaten sowie Geheimnummern kopiert. Damit ließen sich neue EC-Karten produzieren, um im Ausland Geld abzuheben oder im Internet einzukaufen.

Anzeige

Rund 300.000 dieser Geräte stehen in deutschen Geschäften, berichtet Monitor. IT-Experte Karsten Nohl von der Berliner Firma Security Research Labs sagte, es könnten "theoretisch viele Terminals auf einmal gehackt werden." Der Kartenleser kann mittels Pufferüberlauf im Netzwerk-Stack angegriffen werden, um den Applikationsprozessor zu übernehmen. Der Angreifer bekam so Zugang zum Terminal und konnte den Applikationsprozessor, das Eingabefeld für die PIN und das Display kontrollieren und die PIN abfangen.

Verifone bestätigte gegenüber Monitor die Sicherheitslücke. Der Hersteller sei dabei, für die Geräte "ein Softwareupdate zu erstellen", um die "Verwundbarkeit" zu beheben.

Auch der Branchenverband Deutsche Kreditwirtschaft erklärte Monitor: "Der Hersteller ist (...) angehalten, kurzfristig ein Software-Update (...) bereitzustellen."

Doch laut Monitor ist die Sicherheitslücke dem Hersteller und den Banken seit Monaten bekannt. Security Research Labs habe Verifone schon im März 2012 darüber informiert.

Ulrike Meyer, Professorin für IT-Sicherheit an der Rheinisch-Westfälischen Technischen Hochschule Aachen, forderte: "Es muss jetzt eine ganze Reihe Dinge passieren, an verschiedenen Fronten. Zum einen ist der Hersteller von dem EC-Terminal gefragt, dass er versucht, diese existierende Lücke zu patchen. Wenn das nicht möglich ist, müssen natürlich neue Geräte verteilt werden. Langfristig muss geschaut werden, was in dem Zertifizierungsprozess fehlgeschlagen ist."

In Deutschland waren 2010 rund 670.000 Kartenterminals in Betrieb und 97 Millionen EC-Karten im Umlauf.

Nachtrag vom 12. Juli 2012, 12:16 Uhr

Laut Bundesverband der deutschen Volksbanken und Raiffeisenbanken ist das Artema-Hybrid-EC-Terminal des Herstellers Verifone betroffen. "Grundsätzlich haften Kunden nicht für Schäden aus einem Angriff, bei dem ihre Kartendaten ausgespäht und diese außerhalb des Girocard-Systems auf Magnetstreifenbasis (beispielsweise im außereuropäischen Ausland) missbräuchlich verwendet wurden", betonte der Verband.

Karsten Nohl von Security Research Labs betonte im Gespräch mit Golem.de, dass der Forscher Thomas Roth die Sicherheitslücke entdeckt habe. Der Angriff könne, so Nohl, nur dann über das Internet erfolgen, wenn Public-IPs für solche Terminals vergeben werden, was praktisch nicht passiert. Nohl: "Wenn es aber gelingt, über das Internet irgendeinen Computer in dem Netzwerk zu hacken, dann können natürlich auch alle Kassenterminals gekapert werden."

Security Research Labs: Ein Patch hilft nicht

Auch bei lokalen Angriffen sei das Ziel, eine Malware auf dem Terminal laufen zu lassen. "Die serielle Schnittstelle und die JTAG-Schnittstelle des Applikationsprozessors prädestinieren sich für lokale Angriffe. Vor allem die JTAG-Schnittstelle, weil es hier keinen Softwarepatch geben kann, der die Lücke schließt. Der Prozessor bietet keine Möglichkeit, die Schnittstelle abzuschalten. Man operiert mit JTAG unterhalb der Software, darum kann sich die Software davor nicht schützen", sagte Nohl. Selbst wenn 300.000 Geräte einen Patch hätten, könne die Lücke nicht geschlossen werden. "Per Softwareupdate ist nur ein Angriff aus irgendeinem Keller im Ausland abzuwehren, bei dem tausende Terminals auf einmal gehackt werden."

Lokale Angriffe seien auch durch ein Ablenkungsmanöver möglich, wenn der Kartenleser beispielsweise im Café auf den Tisch gestellt wird. "Ab da kann er dann alles abgreifen", erklärte Nohl.


eye home zur Startseite
Frank1965 23. Jul 2012

In der aktuellen c't ist ja auch ein Artikel zu dem Thema drin. Das kann man auch...

Endwickler 13. Jul 2012

Also da bekommt man gebrauchte PC's aber billiger. :-)

Local_Horst 13. Jul 2012

Da bräuchte man gar nicht auf der Platine rum braten. Mit efuses wäre es kein Problem...

Ampel 13. Jul 2012

Detaillierte Beweise ,Log dateien ( ausdrucke) und ein Testaufbau vor dem Richter der...

Ampel 13. Jul 2012

Leider ist es das problem schlechthin !. Die Datenübertragungen werden heutzutage gro...



Anzeige

Stellenmarkt
  1. Verve Consulting GmbH, Hamburg, Köln
  2. dbh Logistics IT AG, Bremen
  3. Universitätsklinikum Bonn, Bonn
  4. Mainzer Stadtwerke AG, Mainz


Anzeige
Top-Angebote
  1. 169€
  2. 274,90€ + 3,99€ Versand
  3. 239,53€

Folgen Sie uns
       


  1. Spieleklassiker

    Mafia digital bei GoG erhältlich

  2. Air-Berlin-Insolvenz

    Bundesbeamte müssen videotelefonieren statt zu fliegen

  3. Fraport

    Autonomer Bus im dichten Verkehr auf dem Flughafen

  4. Mixed Reality

    Microsoft verdoppelt Sichtfeld der Hololens

  5. Nvidia

    Shield TV ohne Controller kostet 200 Euro

  6. Die Woche im Video

    Wegen Krack wie auf Crack!

  7. Windows 10

    Fall Creators Update macht Ryzen schneller

  8. Gesundheitskarte

    T-Systems will Konnektor bald ausliefern

  9. Galaxy Tab Active 2

    Samsungs neues Ruggedized-Tablet kommt mit S-Pen

  10. Jaxa

    Japanische Forscher finden riesige Höhle im Mond



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Dokumentarfilm Pre-Crime: Wenn Computer Verbrechen vorhersagen
Dokumentarfilm Pre-Crime
Wenn Computer Verbrechen vorhersagen

Programmiersprache für Android: Kotlin ist auch nur eine Insel
Programmiersprache für Android
Kotlin ist auch nur eine Insel
  1. Programmiersprache Fetlang liest sich "wie schlechte Erotikliteratur"
  2. CMS Drupal 8.4 stabilisiert Module
  3. Vespa Yahoos Big-Data-Engine wird Open-Source-Projekt

Core i7-8700K und Core i5-8400 im Test: Ein Sechser von Intel
Core i7-8700K und Core i5-8400 im Test
Ein Sechser von Intel
  1. Core i7-8700K Ultra Edition Overclocking-CPU mit Silber-IHS und Flüssigmetall
  2. Intel Coffee Lake Von Boost-Betteln und Turbo-Tricks
  3. Coffee Lake Intel verkauft sechs Kerne für unter 200 Euro

  1. Re: Leider verpennt

    ArxTyrannus | 21:18

  2. Re: Telekom ist echt erbärmlich

    neocron | 21:16

  3. Re: Realitaetsverweigerer - Telekom lange in...

    neocron | 21:14

  4. Re: Die Kunden wollen, aber die Anbieter nicht

    neocron | 21:11

  5. Re: Bahn schneller machen

    Geistesgegenwart | 20:55


  1. 17:14

  2. 16:25

  3. 15:34

  4. 13:05

  5. 11:59

  6. 09:03

  7. 22:38

  8. 18:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel