Das „in Deutschland wohl am weitesten verbreitete Kartenterminal“ hat kritische Sicherheitslücken, die auch über das Internet ausnutzbar sind. Thomas Roth von Security Research Labs hat das Verifone Artema PIN Hybrid gehackt. Angreifer können Code auf dem Systemlevel ausführen, als Beweis wurde Pong installiert.
Die Berliner Firma Security Research Labs hat heute Forschungsergebnisse veröffentlicht: Payment terminals allow for remote PIN capture and card cloning. Auf Zeit Online berichtet Kai Biermann: EC-Karten-Terminals verraten die PIN, auf heise online schreibt Jürgen Schmidt: EC-Karten: PIN-Klau am Kartenterminal möglich. Die ARD-Sendung Monitor sendet heute abend 21:45 einen Bericht.
Es sollen 300.000 dieser Geräte in Deutschland im Einsatz sein, damit sei es „das am meisten verbreitete Terminal hier“. Und die können jetzt alle geownt werden:
Anders als die bisher bekannt gewordenen Angriffe auf Bezahlterminals erfordert ein solcher Angriff keine Manipulation der Hardware. Er erfolgt etwa via TCP/IP über die Netzwerkschnittstelle des Geräts. Dabei übernehmen die Angreifer durch einen Pufferüberlauf, den Thomas Roth von SRLabs entdeckt hat, die Kontrolle über das Gerät – also zumindest über den ARM-basierten Applikationsprozessor.
Er kann irgendwo auf der Welt an seinem Rechner sitzen und sich über das Internet in solche Terminals hacken, denn manche von ihnen hängen direkt am Netz. Oder er kann beispielsweise in Cafés das dortige WLAN nutzen – auch darüber kommunizieren in manchen Läden die EC-Karten-Lesegeräte
Ein Angreifer kann damit die volle Kontrolle über das Gerät übernehmen. Also auch PIN-Nummern abgreifen, Karten klonen, Bezahlungsvorgänge manipulieren und falsche Transaktionen abschicken. Als Beweis haben die Hacker Pong auf dem Gerät installiert.
Der Hersteller und die Verantwortlichen wiegeln ab: „nur eine theoretische Angriffsmöglichkeit“, „nur unter Laborbedingungen“ möglich. Also hat man sich entschieden, den Angriff zu veröffentlichen. Karsten Nohl von SRLabs:
Der Hersteller weiß seit vier Monaten, dass es das Problem gibt, passiert ist nicht viel. Er scheut sich offensichtlich vor der Größe der Aufgabe.