读卡器技术的缺陷会对销售点系统等造成严重破坏。
阅读整个故事
|
|
|
怎么啦？没有验证你的输入?这是，不，等等，这是意料之中的，继续。 |
|
约翰?约翰康纳吗? |
|
“非接触式信用卡读卡器”，我的银行不使用这种设备，但这并不意味着他们的atm机就不容易受到其他东西的攻击。 |
|
引用:
通过使用自定义应用程序从他支持nfc的Android手机发送一个精心制作的APDU，这是读者预期的数百倍，罗德里格斯能够触发“缓冲区溢出”，这是一种几十年前的软件漏洞，允许黑客破坏目标设备的内存并运行他们自己的代码。
大奖! |
|
等等，我有电话! |
|
我不相信那个故事。我的黑客朋友能检查到的实际代码在哪里? |
|
即使是相对较新的Verifone POS设备也有一些相当严重的NFC漏洞。在我家附近的加油站使用iOS设备时，阅读器每次都会崩溃。这很烦人，因为这该死的东西需要几分钟才能重新启动。当使用任何NFC设备时，还有一个竞态条件会使其崩溃。 |
|
我想看看这个空间。成千上万台未打补丁的机器，每台机器里都有成千上万的现金和一堆固件漏洞。遍布世界各地，由拜占庭式的…市场驱动的银行和承包商。是的，我怀疑这是我们最后一次在Ars上读到这个。 |
|
这就是你要找的机器人。 |
|
magpye写道:
我想看看这个空间。成千上万台未打补丁的机器，每台机器里都有成千上万的现金和一堆固件漏洞。遍布世界各地，由拜占庭式的…市场驱动的银行和承包商。是的，我怀疑这是我们最后一次在Ars上读到这个。
毕竟，复制是科学过程的基石，不是吗? |
|
所以…所有那些电影里的“黑客”走到自动取款机前，自动取款机就开始吐出钞票——这是真的吗? |
|
想知道这如何影响通过Apple Pay卡进行的wave/swipe交易吗?我的理解是，每个事务都使用JIT唯一标识符等等，所以它们可能仍然是安全的? |
|
马修·J。写道:
所以…所有那些电影里的“黑客”走到自动取款机前，自动取款机就开始吐出钞票——这是真的吗?
的确如此。但我确实想知道哪个先出现:是真正的自动取款机头奖，还是电影里的比喻。毕竟，生活模仿艺术，但艺术也模仿生活。 和…还有谁能回想起90年代/早期的网络和它的狂野西部愚蠢的漏洞，都归结为“我们太相信输入了?”当然，这种情况仍然会发生，但技术和编码实践已经发展到即使程序员不尝试也能缓解这种情况。 |
|
等等，我以为NFC交易不会发送信用卡号码? |
|
很明显，解决这个问题的办法就是禁止使用安卓手机，对吧?或者那些有NFC功能的手机?因为它绝对不能要求ATM硬件/软件制造商遵守一些基本的安全和软件维护标准。/秒 |
|
KeyboardWeeb写道:
马修·J。写道:
所以…所有那些电影里的“黑客”走到自动取款机前，自动取款机就开始吐出钞票——这是真的吗?
的确如此。但我确实想知道哪个先出现:是真正的自动取款机头奖，还是电影里的比喻。毕竟，生活模仿艺术，但艺术也模仿生活。 和…还有谁能回想起90年代/早期的网络和它的狂野西部愚蠢的漏洞，都归结为“我们太相信输入了?”当然，这种情况仍然会发生，但技术和编码实践已经发展到即使程序员不尝试也能缓解这种情况。 100％ 有多少人仍然在运行OS/2，有多少人抱怨银行业务以及成本和费用，但有多少人愿意投资30多万美元来替换它们。这是一项成熟的技术，任何震惊的反应充其量都是幼稚的。 令人失望的是，它真的变成了“我可以做得更好”的历史“回顾”。今天阿波罗11号会被随机软件控制在航天中心的发射台上。 面对如此多的历史回顾(读他们用铅做的杯子喝酒，该死的，这是愚蠢的)，我将-有一次-喜欢读，“安全人员不知疲倦地工作，在自我设定的7-12个月的准行业时间框架内解决了问题Q，现在舒适地生活着，知道他们的抵押贷款将得到偿还，他们的孩子将上大学……我们大家都很开心!” 我明白，100%明白他们的奉献精神和智慧，但是....我现在只把它看作是问题的所有者，而不是解决方案的所有者。 向下投票，我不在乎我用一辆破碎机把你最喜欢的ATM机搬到垃圾填埋场，然后用撬棍打开并偷走战利品.... |
|
他们不应该再称之为缓冲区溢出漏洞了。 |
|
严重吗?这些供应商需要团结起来。 |
|
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” |
|
对于一个周末在大众零售机构做着无聊工作的青少年来说，滥用防盗标签是一种典型的无聊杀手。我认识一个人，他练习弹它们，就像小飞盘一样。当顾客特别讨厌的时候，他就会在他们离开收银台的时候巧妙地给他们戴上一个。准备好爆米花，等闹钟响了再吃 |
|
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 同样，我把缺乏知识归咎于供应商。当终端用户购买终端时，他们应该得到一份与手册分开的传单，因为人们不会阅读完整的手册，它解释了保持更新的必要性等，以及如何这样做。 如果用户被告知，并且这个过程尽可能地无痛-那么就没有理由让设备容易受到攻击。 如果用户被告知，但他们需要在夏至后的第三个蓝月亮上单腿站立，同时确保他们有精确的USB u盘格式与专有格式的模型-同时向他们选择的神祈祷，这个过程不会失败，让他们没有一个工作的支付终端-那么补丁失败是在供应商身上。 |
|
我所能想到的让公司关心更新的唯一方法是随机审计商店，并对没有使用最新软件版本的商店进行罚款，每天需要花费数百万美元进行纠正。让它成为一个更有可能发生的事件，而不是泄密，他们就会采取行动。否则我们最多只能得到口头上的支持。当我在零售业工作时，如果一个收银台坏了，我们就搬到另一个正常工作的收银台。我们没有被雇佣去思考问题的原因或解决问题，更不用说进行固件更新了。 |
|
sparkleytone写道:
想知道这如何影响通过Apple Pay卡进行的wave/swipe交易吗?我的理解是，每个事务都使用JIT唯一标识符等等，所以它们可能仍然是安全的?
无论是苹果支付卡还是iphone都没有足够的能力和灵活性来执行这种攻击。你需要一部android手机，或者其他能让你充分控制NFC无线电接口来创建此类数据包的设备。 这种攻击攻击的是读者，而不是客户端。 |
|
数字锁定键写道:
我所能想到的让公司关心更新的唯一方法是随机审计商店，并对没有使用最新软件版本的商店进行罚款，每天需要花费数百万美元进行纠正。让它成为一个更有可能发生的事件，而不是泄密，他们就会采取行动。否则我们最多只能得到口头上的支持。当我在零售业工作时，如果一个收银台坏了，我们就搬到另一个正常工作的收银台。我们没有被雇佣去思考问题的原因或解决问题，更不用说进行固件更新了。
好吧，给我代码的现金漏洞，我会做随机审计和罚款在一次.... |
|
balthazarr写道:
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 同样，我把缺乏知识归咎于供应商。当终端用户购买终端时，他们应该得到一份与手册分开的传单，因为人们不会阅读完整的手册，它解释了保持更新的必要性等，以及如何这样做。 如果用户被告知，并且这个过程尽可能地无痛-那么就没有理由让设备容易受到攻击。 如果用户被告知，但他们需要在夏至后的第三个蓝月亮上单腿站立，同时确保他们有精确的USB u盘格式与专有格式的模型-同时向他们选择的神祈祷，这个过程不会失败，让他们没有一个工作的支付终端-那么补丁失败是在供应商身上。 我很难想象一个ATM机供应商联系客户说:“嘿，你知道我们卖给你的那些神奇的机器吗?是的，事实证明它们充满了漏洞，所以你必须派技术人员去它们那里，或者安排我们的技术人员每六个月为它们提供一次服务，以减轻目前还没有人真正实施的攻击。还有，我们还有明年的订单，对吧?哦，你在调查我们竞争对手的报价?好吧。” 我从来没有使用过自动取款机或pos系统，但我也从来没有在任何热衷于做不能收费给别人的工作的地方工作过，或者是可以推迟的维护工作。 因此，在每个层面上都有不去寻找问题的强烈动机。没有人需要做额外的工作，没有人会惹恼他们的客户，没有人会留下任何瑕疵的书面记录。如果有几台自动取款机被抢，那就是警察和保险公司要处理的问题了。 |
|
听起来像是西部数据的破解固件团队应该涉足的新业务。他们很适合…… |
|
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为ATM运营商已经有了一个“硬件补丁”来缓解这种攻击。他们有摄像头。 你看，对atm机进行某些攻击总是有可能的。不管你的补丁打得多好，即使你使用时间机器来修补那些还没有被发现的攻击，有人仍然可以把卡车倒到墙上，把它从墙上扯下来。所以你需要减轻这种攻击，在这个过程中，你对大多数其他可能的攻击都有相当有效的威慑。 可以这样想:那些能够对ATM机进行NFC攻击的人可能拥有一些技能，甚至在你考虑(相当高的)入狱风险之前，就可以通过其他方式赚到几乎同样多的钱。 |
|
Balthazar等人的nfc额定传输速度为424kbps。我很确定你和其他人都不想站在那里，等待一个几兆字节的固件/os补丁以这样的速度上传。时间就是金钱。 |
|
bugabuga写道:
等等，我以为NFC交易不会发送信用卡号码?
或者什么是“通过入侵来收集和传输信用卡数据”——除非这是“通过NFC接口入侵，窃取刷卡而不是插入/点击的信用卡数据”? 文章中明确提到了这一点: 被黑客入侵的NFC读卡器只能窃取磁条信用卡数据，而不能窃取受害者的个人密码或EMV芯片的数据。 |
|
balthazarr写道:
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 嗯……这并不是苹果的口头禅....“它就是有用”? |
|
whiteknave写道:
balthazarr写道:
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 嗯……这并不是苹果的口头禅....“它就是有用”? 考虑到编程的低可靠性，“或者它不会”是未言明的另一半。例如，无线充电神奇地起作用了。只是有时它会停止工作，唯一能让它重新工作的方法就是重启我的iPhone。 |
|
sparkleytone写道:
想知道这如何影响通过Apple Pay卡进行的wave/swipe交易吗?我的理解是，每个事务都使用JIT唯一标识符等等，所以它们可能仍然是安全的?
苹果不会让你侧面加载。 |
|
magpye写道:
balthazarr写道:
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 同样，我把缺乏知识归咎于供应商。当终端用户购买终端时，他们应该得到一份与手册分开的传单，因为人们不会阅读完整的手册，它解释了保持更新的必要性等，以及如何这样做。 如果用户被告知，并且这个过程尽可能地无痛-那么就没有理由让设备容易受到攻击。 如果用户被告知，但他们需要在夏至后的第三个蓝月亮上单腿站立，同时确保他们有精确的USB u盘格式与专有格式的模型-同时向他们选择的神祈祷，这个过程不会失败，让他们没有一个工作的支付终端-那么补丁失败是在供应商身上。 我很难想象一个ATM机供应商联系客户说:“嘿，你知道我们卖给你的那些神奇的机器吗?是的，事实证明它们充满了漏洞，所以你必须派技术人员去它们那里，或者安排我们的技术人员每六个月为它们提供一次服务，以减轻目前还没有人真正实施的攻击。还有，我们还有明年的订单，对吧?哦，你在调查我们竞争对手的报价?好吧。” 我从来没有使用过自动取款机或pos系统，但我也从来没有在任何热衷于做不能收费给别人的工作的地方工作过，或者是可以推迟的维护工作。 因此，在每个层面上都有不去寻找问题的强烈动机。没有人需要做额外的工作，没有人会惹恼他们的客户，没有人会留下任何瑕疵的书面记录。如果有几台自动取款机被抢，那就是警察和保险公司要处理的问题了。 我同意——这就是为什么期望需要提高。供应商的供应是不够的，特别是金融交易系统可能会使用很多年，甚至几十年，他们应该被迫也支持这些系统，而不仅仅是一两年，而是只要该系统是当前的标准。 在用户方面，应该有激励措施和抑制措施，以确保设备是最新的。类似于美国从刷卡到芯片/pin的转变——不升级设备以支持芯片和pin的商家可能会对欺诈交易负责。胡萝卜加大棒。 |
|
Whoever1234写道:
Balthazar等人的nfc额定传输速度为424kbps。我很确定你和其他人都不想站在那里，等待一个几兆字节的固件/os补丁以这样的速度上传。时间就是金钱。
这是对阅读器的攻击，而不是对更广泛的操作系统的攻击，那么为什么更新需要几兆字节呢? 这些终端已经连接到银行的网络——为什么不能使用同一网络分发更新呢?终端用户将终端设置为更新模式，终端下载并应用任何更新。 我的大体观点是站得住脚的。应该尽可能简单地更新这些设备，以确保它们是最新的。 |
|
Zabieru写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为ATM运营商已经有了一个“硬件补丁”来缓解这种攻击。他们有摄像头。 你看，对atm机进行某些攻击总是有可能的。不管你的补丁打得多好，即使你使用时间机器来修补那些还没有被发现的攻击，有人仍然可以把卡车倒到墙上，把它从墙上扯下来。所以你需要减轻这种攻击，在这个过程中，你对大多数其他可能的攻击都有相当有效的威慑。 可以这样想:那些能够对ATM机进行NFC攻击的人可能拥有一些技能，甚至在你考虑(相当高的)入狱风险之前，就可以通过其他方式赚到几乎同样多的钱。 他们的“补丁”很容易被面具/巴拉克拉瓦帽所颠覆。但是，好的安全性当然是多层次的。有了摄像头并不意味着就不需要加固操作系统/界面等等。 |
|
balthazarr写道:
magpye写道:
balthazarr写道:
magpye写道:
balthazarr写道:
严重吗?这些供应商需要团结起来。
为什么终端用户更新设备如此困难? 如果这个研究人员基本上可以使用NFC接管设备，为什么供应商不能通过NFC实现固件更新呢?下载一个应用程序，在设备上wave手机。完成了。更新。即使是最不懂技术的用户也能做到这一点。 让更新变得如此简单可能会打开额外的漏洞——所以他们必须在某种程度上缓解它，可能只允许在设备启动后一分钟内更新或者其他什么——但他们肯定可以改善当前的情况。 因为大多数终端用户与他们的设备都有完全的功能关系。它可能成功，也可能失败。从“我在2006年买了这个东西，我不打算在2030年之前更换它，如果有人抱怨它不能工作，我会找一些技术承包商来修复它”到“好吧，最后一个固件补丁在10月份发布，这个型号占我库存的27%，到目前为止我们已经在80%的机器上推出了补丁。”销售旧型号的供应商已经倒闭了，这占了我们43%的库存，所以我们应该提前他们的升级。” 即使是最天真的终端用户也必须意识到，“它能行或不能行”不是现代科技的运作方式。 同样，我把缺乏知识归咎于供应商。当终端用户购买终端时，他们应该得到一份与手册分开的传单，因为人们不会阅读完整的手册，它解释了保持更新的必要性等，以及如何这样做。 如果用户被告知，并且这个过程尽可能地无痛-那么就没有理由让设备容易受到攻击。 如果用户被告知，但他们需要在夏至后的第三个蓝月亮上单腿站立，同时确保他们有精确的USB u盘格式与专有格式的模型-同时向他们选择的神祈祷，这个过程不会失败，让他们没有一个工作的支付终端-那么补丁失败是在供应商身上。 我很难想象一个ATM机供应商联系客户说:“嘿，你知道我们卖给你的那些神奇的机器吗?是的，事实证明它们充满了漏洞，所以你必须派技术人员去它们那里，或者安排我们的技术人员每六个月为它们提供一次服务，以减轻目前还没有人真正实施的攻击。还有，我们还有明年的订单，对吧?哦，你在调查我们竞争对手的报价?好吧。” 我从来没有使用过自动取款机或pos系统，但我也从来没有在任何热衷于做不能收费给别人的工作的地方工作过，或者是可以推迟的维护工作。 因此，在每个层面上都有不去寻找问题的强烈动机。没有人需要做额外的工作，没有人会惹恼他们的客户，没有人会留下任何瑕疵的书面记录。如果有几台自动取款机被抢，那就是警察和保险公司要处理的问题了。 我同意——这就是为什么期望需要提高。供应商的供应是不够的，特别是金融交易系统可能会使用很多年，甚至几十年，他们应该被迫也支持这些系统，而不仅仅是一两年，而是只要该系统是当前的标准。 在用户方面，应该有激励措施和抑制措施，以确保设备是最新的。类似于美国从刷卡到芯片/pin的转变——不升级设备以支持芯片和pin的商家可能会对欺诈交易负责。胡萝卜加大棒。 你说得没错。但如果我们要谈论一些荒谬的事情，如强制监管银行业，我可能不会从ATM安全开始。 |