Hacken für Fortgeschrittene

Links

Blogs
- Alain
- Cord
- dimension2k
- Fellow Passenger
- Flo
- Kai Raven
- LobbyControl
- Missis Notizblock
- NachDenkSeiten
- Politblog
- Ralf
- Sicherheitsblog
People
Sonstiges

My del.icio.us

something went wrong

Hacken für Fortgeschrittene

Sonntag, 12. Oktober 2008

Da will man schnell noch heise.de als gute Nacht Lektüre lesen und dann steht da so ein Kracher - leider mit Quellenangabe, aber ohne Link dahin - wieso eigentlich? Kreditkartenbetrug, indem man die Lesegeräte schon bei der Produktion mit einem Extrachip versieht, der nach Hause telefoniert - im Original beim Wall Street Journal (hätte ich heute Slashdot gelesen, wäre es mir auch schon früher aufgefallen). Das Gerät scheint ziemlich intelligent konzipiert zu sein, wenn man die spärlichen Informationen liest. Zum einen besitzt es einen Stealth Modus, zum anderen kann es sich beim Hochladen der Kreditkartendaten wohl auch mit neuen Pattern bestücken, welche Daten gespeichert werden sollen. Sehr nett. Auch die Auswahl der Geräte war intelligent. Wal-Mart und Tesco sind große Fische in den UK. Und herausgekommen ist es durch Zufall, weil ein Sicherheitsmitarbeiter anscheinend Störungen mit seinem Handy hatte. Gefunden wurden schon mehrere hundert Maschinen - gefährlich schwammig formuliert. Das führt jetzt natürlich mal zu mehreren Überlegungen:

Wie sieht es eigentlich mit QA in einem derart sensitiven Sektor aus? Falls die Produktion outgesourced wird (wenn sie das nicht wurde, ist das Sicherheitsproblem intern zu suchen. Da ist es wirklich dreckig), werden anscheinend lediglich Funktionstests gemacht mit den Geräten. Und die interessante Frage: Wer fängt jetzt an, seine Geräte beim Kunden zu checken? Wäre ja auch irgendwie peinlich wenn man da was findet. Interessant wäre trotzdem zu wissen, wie dieser Chip - der ja stark angepasst sein muss - seinen Weg in das Gerät gefunden hat. Austausch der Baupläne? Nachträgliche Manipulation? Leicht abgeänderte Produktion in der Fabrik? Ich hoffe, das wird veröffentlicht. So recht dran glaub mag ich aber nicht.
Wie sehr trauen wir unseren Endgeräten? Ich tippe hier gerade auch auf einem Erzeugnis fernöstlicher Produktion, und mir würde es garantiert nicht auffallen, wenn mein Laptop ein paar Gramm schwerer wäre.
Wie sehr dürfen wir vor allem Endgeräten trauen, die sich fernab unserer Aufsicht befinden? Beispiele wie Geldautomaten, Kreditkartenleser, Zigarettenautomaten, elektronische Zugangs- und Abrechnungssysteme (wie in U-Bahnen), Lesegeräte für Versicherungskarten (man platziere einen solches Lesegerät in einer schönen Privatklinik und kann dann die Kunden mit einem dezenten Hinweis auf die Schweigepflicht finanziell erleichtern). Welche Geräte sind da schon indem Land produziert, in dem auch die Firma residiert bzw. generell unter Aufsicht?
Streiten sich demnächst ein in Hardware gegossener Bundestrojaner sowie das chinesische Implantant um die Passwörter, so dass beide nicht mehr funktionieren? Dann hätte die Sache wenigstens etwas gutes.

Geschrieben von Alexander in Security um 22:33 | Kommentare (2) | Trackbacks (0)

Trackbacks

Trackback für spezifische URI dieses Eintrags

Keine Trackbacks

Kommentare

Ansicht der Kommentare: (Linear | Verschachtelt)

Zu Punkt 1 deiner Frage: Das Prüfen eines derart umfangreichen Gerätes wie eine Kassenanlage ist in Europa teurer als die Produktionskosten (Kein Witz!). GSM/GRPS/UTMS-Module sind in mehr Geräten verbaut bzw. geplant, als gemeinhin angenommen wird, für bestimmte Länder werden diese Flächen nicht bestückt aber es kommt immer vor, dass die unbestückte Variante nicht vorrätig ist und so wird halt die bestückte eingebaut. Für Servicezwecke git es einige Verbindungsmöglichkeiten zum Provider/Tower und SMS lassen sich über diese Kanäle versenden - hat den angenehmen Nebeneffekt, dass (bis dato) diese Service-Anschlüsse/Nummern kaum bis nicht überwacht werden. SIM braucht man keine, besagte Zugänge funktionieren ähnlich der Notrufnummern - wenn nicht womöglich diese Notrufmöglichkeiten verwendet wurden (!).

Auf Platinen "besserer" Server (wir haben etliche solche in Betrieb) befinden sich auch solche Module, teils aufgelötet, teils SODIM-Steckplätze, über solche GSM-Kanäle werden z. B. UPS-(Stromversorgungs)Daten versandt oder OneTimePads für den remote Root-Zugang...

Naja, soweit meine pädagogische Ader

oas

#1 oas am 13.10.2008 00:54 (Antwort)

Sehr informativer Kommentar. Danke!

Wenn du Informationen hast (und weitergeben darfst), in welchen Geräten noch derartige Module verbaut sind, wo man es nicht vermutet, immer raus damit. Inzwischen sollen ja schon Thermostate von Heizungen mit Remote Auslese Funktionen ausgestattet werden. Ein Schelm, wer da an Remote Control denkt, wenn der Kunde nicht zahlt... und ich denke da gibt es noch dutzende weitere Beispiele.

#1.1 Alexander am 16.10.2008 20:49 (Antwort)

Kommentar schreiben

Name
E-Mail
Homepage
Antwort zu
Kommentar	Umschließende Sterne heben ein Wort hervor (wort), per _wort_ kann ein Wort unterstrichen werden. Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert. Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.
	Daten merken?