多年来,安全研究人员和网络罪犯入侵atm通过所有可能的途径来它们的内脏,打开一个面板,把拇指驱动器到一个USB端口来钻一个洞,暴露出内部线路。现在,研究人员发现一个bug的集合,允许他与各种各样的黑客ATMs-along销售点终端机的新方法:用一波他的电话在一个非接触式信用卡阅读器。
约瑟普·罗德里格斯在安全公司IOActive研究员和顾问,去年的挖掘和报告漏洞在所谓的读者近场通讯芯片用于全世界数以百万计的自动取款机和销售点系统。NFC系统是什么让你波比刷信用卡在reader-rather或插入,这样付款或提取资金从现金机器。你可以找到他们在无数的零售商店和餐馆的柜台,自动售货机,出租车,全球停车计时器。
“你可以修改固件和改变1美元的价格,例如,即使屏幕显示你支付50美元。你可以让设备无用,或安装一种ransomware。这里有很多可能性,”罗德里格斯说他发现销售点攻击。“如果你链攻击也发送一个特殊的负载自动取款机的电脑,你可以大奖ATM-like现金,只是利用你的手机。”
罗德里格斯说,他提醒影响vendors-which包括技术专家,Ingenico, Verifone,起重机支付创新,BBPOS Nexgo,匿名ATM供应商一年前他的发现和7个月之间。尽管如此,他警告说,影响系统的数量以及很多销售点终端和自动取款机不定期接收软件更新和在许多情况下需要物理访问update-mean,许多这些设备可能仍然脆弱。“修补那么多成千上万的自动取款机,它需要大量的时间,”罗德里格斯说。
作为示范的挥之不去的漏洞,罗德里格斯与有线共享视频中他波智能手机的NFC读者ATM在街上在马德里,他住在哪里,导致机器显示一条错误消息。NFC的读者似乎崩溃,不再读他的信用卡时,他下一个触摸机器。(罗德里格斯要求连线不发布视频,因为害怕法律责任。他还没有提供视频演示的头奖的攻击,因为他说,他只能合法获得的机器上测试它的一部分IOActive影响ATM的安全咨询供应商,与IOActive已签署了一份保密协议)。
结果是“优秀的嵌入式设备上运行的软件的脆弱性研究,”卡斯滕诺尔说,安全公司的创始人SRLabs和著名的固件黑客,他回顾了罗德里格斯的工作。但诺尔指出一些缺点,减少对现实世界的小偷的实用性。砍NFC读者只能偷mag-stripe信用卡数据,而不是受害者销或EMV芯片的数据。支付,自动取款机的技巧需要一个额外的,不同的脆弱性在目标自动取款机的代码是一个不小的警告,诺尔说。
但安全研究人员喜欢IOActive黑客末巴纳比杰克和红气球安全研究团队已经能够发现这些ATM漏洞多年,甚至表明,黑客可以触发远程ATM大奖。红气球首席执行官和首席科学家和崔说他印象深刻的罗德里格斯的发现,毫无疑问,黑客NFC的读者可能会导致分配现金在许多现代自动取款机,尽管IOActive隐瞒一些细节的攻击。“我认为这是非常合理的,一旦你有代码执行任何这些设备,你应该能够得到正确的主控制器,因为那件事充满漏洞,没有固定的十多年来,“崔说。“从这里开始,”他补充说,“你完全可以控制盒自动售货机“保存和发布现金给用户。
罗德里格斯,他花了数年时间测试自动取款机的安全作为一个顾问,说他一年前开始研究自动取款机是否非接触式ID卡readers-most经常出售的支付技术公司Tech-could作为黑客的道路。他开始从eBay和购买NFC读者和销售点设备很快发现他们中的许多人遭受相同的安全缺陷:他们没有验证数据包的大小通过NFC从信用卡到读者,被称为应用程序协议数据单元或APDU。
通过使用一个自定义应用程序发送一个精心APDU从他具备nfc功能的数百倍的Android手机阅读器预计,罗德里格斯能够引发“缓冲区溢出”,一个几十年的类型的软件漏洞,允许黑客腐败的目标设备的内存并运行自己的代码。
当连线伸手给受影响的公司,技术专家,BBPOS, Nexgo没有回应记者的置评请求,和ATM行业协会拒绝置评。Ingenico回应在一份声明中,由于其安全措施之一,罗德里格斯的缓冲区溢出技术只能崩溃其设备,不增加代码的执行,但是,“为我们的客户考虑不便和影响,”发布了修复。(罗德里格斯反驳说,他怀疑Ingenico应该会阻止代码执行,但他实际上并没有创建一个概念证明来证明这一点。)
Verifone,就其本身而言,说它发现和固定的销售点漏洞罗德里格斯强调2018年之前他曾报道。但罗德里格斯认为这只展示了公司的设备缺乏一致的修补;他说他测试了NFC技术在Verifone设备去年在一家餐馆,发现它仍然脆弱。
后让他的许多发现保密整整一年,罗德里格斯计划份额的技术细节漏洞在网络研讨会在接下来的几周里,在一定程度上推动客户受影响的供应商实现公司可用的补丁。但他也想的糟糕状态唤起注意安全更广泛的嵌入式设备。他震惊地发现漏洞一样简单的缓冲区溢出已经徘徊在很多常用devices-ones处理现金和敏感的财务信息,没有少。
“这些漏洞多年来一直在固件,我们使用这些设备每日来处理我们的信用卡,我们的钱,”他说。“他们需要保护。”
这个故事最早出现wired.com。
51读者评论
大奖!
编辑添加:具有讽刺意味的是,直到去年的单位运行旧代码,没有崩溃的错误。
Eeeeeeasy钱。
毕竟,复制是一个科学的基石的过程,不是吗?
的确如此。但我想先:真正的ATM大奖,或电影修辞。毕竟,生活模仿艺术,但艺术模仿生活。
和…任何人得到重现90年代/早期“应当”网络和愚蠢的西部漏洞都下来“我们相信输入太多?”Granted that still happens but technology and coding practices have evolved to mitigate it even when the programmer doesn't try.
或者是什么意思”攻击他们收集和传送信用卡数据”,除非这是“黑客通过NFC接口,窃取信用卡刷卡数据,而不是插入/挖掘”?
他们应该叫它1980年代* *缓冲区溢出漏洞。重点包括,当大声说话,eyeroll或facepalm指,用户的选择。
想象我们会今天如果不是网络入侵法律从同一时代,我们有系统实现疏忽而不是法律。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
也许有更好的理由,但这就是为什么我讨厌这整个“利用你的废话”的概念。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
再一次,我把任何对供应商缺乏知识。当最终用户购买一个终端时,他们应该得到一个传单——从手工分离,因为人们不会阅读整个手册——这也解释了需要保持更新等以及如何这样做。
如果用户是明智的,这个过程是尽可能无痛,那么没有理由离开设备脆弱。
如果用户是明智的,但他们需要单脚站立夏至后第三蓝色月亮同时确保他们有USB拇指驱动器的精确模型与专有格式格式化——同时向他们祈祷神的选择过程不失败,让他们没有工作支付终端——则在供应商未能补丁。
苹果支付卡片,和iphone都不能够和足够灵活来执行这种类型的攻击。您将需要一个android手机,或别的东西,可以让你控制NFC无线电接口足以创建这样的数据包。
这种攻击的攻击读者,没有客户端。
好吧,给我现金不足的漏洞的代码,我将做随机审计和罚款的....
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
再一次,我把任何对供应商缺乏知识。当最终用户购买一个终端时,他们应该得到一个传单——从手工分离,因为人们不会阅读整个手册——这也解释了需要保持更新等以及如何这样做。
如果用户是明智的,这个过程是尽可能无痛,那么没有理由离开设备脆弱。
如果用户是明智的,但他们需要单脚站立夏至后第三蓝色月亮同时确保他们有USB拇指驱动器的精确模型与专有格式格式化——同时向他们祈祷神的选择过程不失败,让他们没有工作支付终端——则在供应商未能补丁。
我很难想象一个自动取款机供应商联系客户,说“嘿,你知道那些花哨的机器我们卖给你的魔法解决你的所有的要求?是的证明他们的错误所以你要发送技术或安排我们技术服务他们每六个月来减轻攻击,没有人实际上是执行。同时,我们还在为下一年的订单吗?哦,你在我们的竞争对手的报价吗?好吧。”
现在我从未与ATM或pos系统的工作,但是我也从来没有在任何地方工作,对工作热情,无法向别人,或维护,否则可能会延期。
所以在各个层面上有一个强烈的动机去不去找问题。没有人去做额外的工作,没有人惹恼客户,没有人留下书面记录的任何缺陷。如果少数自动取款机被抢了,那么这是一个问题的警察和保险公司处理。
正确的,但听起来奇怪的是贬义的。我们宁愿iphone能够执行这样的攻击?
正确的,但听起来奇怪的是贬义的。我们宁愿iphone能够执行这样的攻击?
是的,当然。我喜欢任意工具,没有限制,但是,我可以控制和使用。
/秒
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为ATM运营商已经有一个“硬件补丁”,缓解了这一攻击。他们有相机。
看到的,它总是可以运行某些攻击自动取款机。无论你修补多好,即使你用时间机器贴片攻击还没被发现呢,有人还能回一辆卡车的东西,把它从墙上。所以你需要减轻攻击,在这个过程中你得到很有效的威慑其他可能的攻击。
这样想:这样的人能够运行一个NFC攻击ATM机可能有技能,几乎可以赚他们的钱其他方式之前你因素(相当高)坐牢的风险。
或者是什么意思”攻击他们收集和传送信用卡数据”,除非这是“黑客通过NFC接口,窃取信用卡刷卡数据,而不是插入/挖掘”?
明确解决的文章:
砍NFC读者只能偷mag-stripe信用卡数据,不是受害者的销或从EMV芯片的数据。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
嗯……几乎不是苹果的咒语....“只是作品”?
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
嗯……几乎不是苹果的咒语....“只是作品”?
鉴于低可靠性的编程一般,“也不”是不言而喻的另一半。如无线充电就神奇地工作。除了有时停止工作和得到它再次工作的唯一方法是重新启动我的iPhone。
苹果不会让你边荷载。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
再一次,我把任何对供应商缺乏知识。当最终用户购买一个终端时,他们应该得到一个传单——从手工分离,因为人们不会阅读整个手册——这也解释了需要保持更新等以及如何这样做。
如果用户是明智的,这个过程是尽可能无痛,那么没有理由离开设备脆弱。
如果用户是明智的,但他们需要单脚站立夏至后第三蓝色月亮同时确保他们有USB拇指驱动器的精确模型与专有格式格式化——同时向他们祈祷神的选择过程不失败,让他们没有工作支付终端——则在供应商未能补丁。
我很难想象一个自动取款机供应商联系客户,说“嘿,你知道那些花哨的机器我们卖给你的魔法解决你的所有的要求?是的证明他们的错误所以你要发送技术或安排我们技术服务他们每六个月来减轻攻击,没有人实际上是执行。同时,我们还在为下一年的订单吗?哦,你在我们的竞争对手的报价吗?好吧。”
现在我从未与ATM或pos系统的工作,但是我也从来没有在任何地方工作,对工作热情,无法向别人,或维护,否则可能会延期。
所以在各个层面上有一个强烈的动机去不去找问题。没有人去做额外的工作,没有人惹恼客户,没有人留下书面记录的任何缺陷。如果少数自动取款机被抢了,那么这是一个问题的警察和保险公司处理。
我同意——这就是为什么预期需要改进。它不应该足够的供应商供应,特别是金融交易系统,可能在使用多年,如果不是几十年——他们应该也会被迫支持这些系统,而不仅仅是一年或两年,但只要这个系统是标准的。
在用户方面,应该有奖励和惩罚措施,以确保设备保持最新。类似于美国“从滑动切换到芯片/销-商人不升级他们的设备支持芯片和销可以承担欺诈性交易。胡萝卜加大棒。
几个点——这是对读者的攻击,而不是更广泛的操作系统,所以为什么更新需要几兆?
这些终端已经连接到银行的网络——为什么不能更新分发使用相同的网络?最终用户集终端进入更新模式和终端下载和适用于任何更新。
我通常点。它应该尽可能容易更新这些设备,以确保他们保持最新。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为ATM运营商已经有一个“硬件补丁”,缓解了这一攻击。他们有相机。
看到的,它总是可以运行某些攻击自动取款机。无论你修补多好,即使你用时间机器贴片攻击还没被发现呢,有人还能回一辆卡车的东西,把它从墙上。所以你需要减轻攻击,在这个过程中你得到很有效的威慑其他可能的攻击。
这样想:这样的人能够运行一个NFC攻击ATM机可能有技能,几乎可以赚他们的钱其他方式之前你因素(相当高)坐牢的风险。
他们的“补丁”很容易破坏一个面具/巴拉克拉法帽。当然,良好的安全性是多层次的。有一个相机不应排除硬化OS /接口的需要,等等。
为什么这么困难为终端用户更新设备吗?
如果这个研究可以接管设备使用NFC——为什么不能通过NFC供应商实现固件更新。下载一个应用程序,波电话设备。完成了。更新。即使是最tech-clueless用户可以完成。
使更新这个简单可能打开更多的漏洞,所以他们会减轻一些,也许说一分钟内通过只允许更新设备启动或一些——但它们确实可以改善现状。
因为大多数终端用户与他们的设备有一个完全功能的关系。它或它不工作。之间有一个相当大的概念转变“我在2006年买了这个东西,我不打算更换,直到2030年,如果有人抱怨它不工作,我会让一些科技承包商修复它”,“好最后固件补丁是在10月发布,这个模型代表了27%的库存和到目前为止,我们已经推出了补丁,80%的机器。供应商销售之前的模式已经破产,这是43%的库存所以我们应该提出升级”
即使是最天真的用户必须意识到,“它或它不”不是现代科技是如何工作的。
再一次,我把任何对供应商缺乏知识。当最终用户购买一个终端时,他们应该得到一个传单——从手工分离,因为人们不会阅读整个手册——这也解释了需要保持更新等以及如何这样做。
如果用户是明智的,这个过程是尽可能无痛,那么没有理由离开设备脆弱。
如果用户是明智的,但他们需要单脚站立夏至后第三蓝色月亮同时确保他们有USB拇指驱动器的精确模型与专有格式格式化——同时向他们祈祷神的选择过程不失败,让他们没有工作支付终端——则在供应商未能补丁。
我很难想象一个自动取款机供应商联系客户,说“嘿,你知道那些花哨的机器我们卖给你的魔法解决你的所有的要求?是的证明他们的错误所以你要发送技术或安排我们技术服务他们每六个月来减轻攻击,没有人实际上是执行。同时,我们还在为下一年的订单吗?哦,你在我们的竞争对手的报价吗?好吧。”
现在我从未与ATM或pos系统的工作,但是我也从来没有在任何地方工作,对工作热情,无法向别人,或维护,否则可能会延期。
所以在各个层面上有一个强烈的动机去不去找问题。没有人去做额外的工作,没有人惹恼客户,没有人留下书面记录的任何缺陷。如果少数自动取款机被抢了,那么这是一个问题的警察和保险公司处理。
我同意——这就是为什么预期需要改进。它不应该足够的供应商供应,特别是金融交易系统,可能在使用多年,如果不是几十年——他们应该也会被迫支持这些系统,而不仅仅是一年或两年,但只要这个系统是标准的。
在用户方面,应该有奖励和惩罚措施,以确保设备保持最新。类似于美国“从滑动切换到芯片/销-商人不升级他们的设备支持芯片和销可以承担欺诈性交易。胡萝卜加大棒。
你没有错。但是如果我们要谈论一些荒谬的实施对银行业的监管,我可能不会从ATM安全。
你必须登录或创建一个帐户置评。