Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 287 reacties

Beveiligingsfirma Trustwave heeft in het OS van een aantal pinautomaten malware aangetroffen die pincodes afvangt, magneetstrippen uitleest en op afroep geld laat uitspuwen. Hierdoor lijkt het klassieke skimmen achterhaald.

Gui van malwareDe malware is aangetroffen op in totaal twintig geldautomaten in Rusland en Oekraïne, waarbij de eerste besmette machine in juli 2007 werd ontdekt. De besmette apparaten draaiden alle op Windows XP. De malware wordt volgens de onderzoekers geïnstalleerd door iemand die toegang heeft tot de software van de automaten. Daarbij start de insider de in Delphi geschreven executable isadmin.exe, waarmee een gemanipuleerd systeembestand naar de Windows-map wordt geschreven. De malware zelf, opnieuw een Delphi-applicatie met een eigen gui, wordt als service geïnstalleerd en start na een crash vanzelf weer op.

De gemanipuleerde software controleert continu in de transaction message queue of er een pasje in de automaat wordt geschoven. Als dit een normaal bankpasje is, wordt alle informatie van de pas, de ingevoerde pincode en bijbehorende transactiegegevens weggeschreven naar enkele logbestanden. Een aanvaller kan echter ook een speciale trigger card in de pinautomaat schuiven, waarmee hij op het beeldscherm de gui van de malware voor zich krijgt. Door een keuze op het numerieke toetsenbord te maken, is het volgens Trustwave mogelijk om de loggegevens via de ingebouwde printer op een transactiebon uit te draaien. Daarbij wordt de geprinte data met aes versleuteld. Ook kan de informatie naar een pasje worden weggeschreven. Met een speciale optie lijkt het verder mogelijk om het apparaat direct geld te laten uitspuwen.

Trustwave, dat zijn bevindingen in een rapport heeft samengevat, stelt dat de malware op pinautomaten van diverse fabrikanten is aangetroffen. Tegenover Wired wil de beveiligingsfirma niet aangeven welke banken slachtoffer zijn geworden en hoeveel de criminelen mogelijk al buit hebben gemaakt. Wel is duidelijk dat de malware in diverse varianten is aangetroffen en dat de software vermoedelijk ook snel buiten Oost-Europa zal opduiken. Het bedrijf roept dan ook banken op om hun betaalautomaten extra goed in de gaten te houden.

Moderatie-faq Wijzig weergave

Reacties (287)

Meeste automaten draaien op Windows 2000 en de nieuwere draaien zelfs op Windows XP Embedded. Vroeger was RMX en een tijd later OS/2 nog gebruikelijk maar de twee grote automaten fabrikant (NCR en Wincor Nixdorf) gebruiken tegenwoordig Windows.

Sommige banken hebben de stap naar Linux gemaakt maar het gaat hier om banken die niet bij een grote internationale leverancier kopen maar die automaten in eigen land laten maken.

Zo was dus ook het verhaal van van deze bank.

Zonder dat wij het weten draait er een hoop software op die automaten om van alles en nog wat te beveiligen. Van device integrity layer tot hardware security, data authentication, internetworking en ook nog eens de grafische interface natuurlijk.

Komt er nog eens bij dat er hier in Europa stuk of 20 verschillende interbank netwerken zijn, in Amerika maken ze het nog bonter want daar zijn het er al bijna 50 en over de hele wereld een stuk of 100. Al die automaten moeten dus over software modules beschikken om met al die netwerken te communiceren wil de klant ooit over de hele wereld kunnen pinnen.

En dan komt er uiteindelijk nog bij dat de bank zelf een eigen backend heeft waar een aparte module voor geschreven moet worden.

Een beveiligde automaat van een bank die de zaken op orde heeft (dus ook toegang tot het apparaat goed geregeld) heeft niks te vrezen maar als als je brakke software laat maken door een bedrijf waarvan je alleen weet dat ze het laagste bod hebben geboden en verder niks dan krijg je dit soort dingen.

Er wordt veelal gekozen voor Windows omdat dat makkelijker is met ontwikkelen. Dit verhaal heeft helemaal niks te maken met Windows want het gaat hierom aparaten die van top tot teen speciaal worden ontworpen en dan moet je tijdens het ontwerpen bepaalde afwegingen maken. En dat je dan dit soort zaken (welke toch specialistische kennis en ervaring vergen) uitleent aan amateurs, jah dan kan het windows, linux, VxWorks, TinyOS of welke andere naam dan ook zijn. Het zal en worden gekraakt!
70% van de pinautomaten in west Europa draait op Windows XP Professional.

Dit getal is zo hoog omdat met name het Verenigd Koninkrijk heel lang heeft vastgehouden aan Win XP.

Slechts 10% van de pinautomaten schijnt te draaien op een OS dat niet uit Redmond komt...
De menselijke factor blijft altijd de zwakste schakel, je hebt maar één rotte appel nodig om dit soort zaken te bewerkstelligen.

Ik heb zelf als externe firma gewerkt bij de hoofdkantoren van de ABN-AMRO en de ING als beveiliging. Dit is een tak waar in het kader van bezuinigingen als eerste op word gekort. Degelijke screeningen van nieuw personeel op sleutel positie's vinden niet goed genoeg plaats waardoor banken kwetsbaar zullen blijven. Alle software word overigens intern geschreven.

Fraude of bedrijfsspionage is nooit 100% te voorkomen maar als je gaat bezuinigen op afdelingen die belangrijk zijn voor je onderneming dan ben je niet bezig om het hoogst haalbare proberen te behalen met als gevolg, het percentage zakt meer dan dat ze feitelijk zouden willen.

Buitenlandse criminelen groepen zoeken gewoon naar zwakke schakels binnen een onderneming, smijten een keer met een zak geld en ze hebben alle info die ze nodig hebben, want veel mensen gaan nu eenmaal overstag voor een grote som geld, al zullen de hoogte's variabel zijn.

Zolang banken hierop bezuinigen blijven ze kwetsbaar en zullen zowel zij als de consument met de ongemakken blijven zitten van het digitale geldverkeer. Het uitgekeerde geld van het terugbetalen van geskimde rekeningen is veel duurder dan investeren in de preventiviteit en het voorkomen van. Het word tijd dat ze dat eens gaan in zien en de beveiliging gaan opvoeren om deze ongemakken tegen te gaan. Gebeurd dat niet dan moeten we misschien weer terug naar de oude manier van betalen, gewoon met cash :)
De menselijke factor blijft altijd de zwakste schakel, je hebt maar één rotte appel nodig om dit soort zaken te bewerkstelligen.
Als het goed is heb je sowieso 2 nodig - vooral bij (fraude)gevoelige zaken als geldautomaten zou je toch verwachten dat niemand ooit alleen toegang krijgt tot de software op een automaat zonder dat iemand anders het kan controleren?
Sorry, ik ben een beetje onduidelijk geweest mbt. tot de software. De computervloeren van de banken, serverparken die een paar voetbalvelden groot zijn maal 2, wanneer 1 park uitvalt pikt de andere het automatisch op en je hebt direkt een back up voor handen, buiten de back ups sie extern worden opgeslagen.

Met name de operators zijn de zwakste schakel en externe bedrijven die onderhoud plegen aan de apperatuur en het plaatsen er van.

Er zijn teveel schakels waar een bank direkt geen zicht meer op heeft, terwijl 16 jaar geleden vrijwel alles nog in eigen beheer lag. De banken zijn hier zelf debet aan want zij waren bij uitstek de bedrijfstak die duur personeel met een afkoopsom met vervroegd pensioen liet gaan of personeel afkocht en bij externe bedrijven onderbracht. Deze operatie, die op de korte termijn destijds de bank geld opleverde, dachten ze, heeft alleen maar kwaad bloed gezet bij het toenmalige personeel met als gevolg dat de binding met het bedrijf en de erecode, bankgeheim, alle sblijft binnen en niets komt naar buiten een ernstige deuk heeft opgelopen.

Mede die ontwikkeling heeft er voor gezorgd dat mensen geen binding meer hebben met een bedrijf, het gaat meer om de aandeelhouders en omzetten dan het al oude bekende "familie gevoel".

Alle grote bedrijven kunnen eens te raden gaan, gezien de laatste ervaring van de crisis hoe men in de toekomst een goed beleid gaat voeren voor een lange termijn. Imo waren de eind jaren 70 begin jaren tachtig beter geregeld maar heeft de hebzucht naar omzet veel kapot gemaakt. Als je kijkt wat de schade van de huidige crisis is, die loopt in de vele triljoenen wereldwijd en loopt nog steeds op vraag ik me nog steeds af, in het kader van recht, waarom dergelijke praktijken niet middels het strafrecht worden aangepakt.

Begrijp me goed, er is hier geen spraken van mis management maar "crimineel" witte boorden praktijken. Het ergste van deze crisis is helaas maar zoals altijd dat wij, burger/consument weer voor de schade mogen opdraaien die een "slechts" kleine groep heeft aangericht waardoor we zeker 10 á 15 jaar bezig zijn om de schade te herstellen, met onze geld buidel. Dat zeggende, de banken mogen dan wel "gestolen" geld vergoeden maar de bank berekend dat per saldo door aan hun clienten.

Dus kort samengevat, personeel uitkopen voor een schijntje, geen familie gevoel meer, controle verloren over hun activiteiten en de rekening aan ons laten, waarbij zowel jong als oud ernstig is getroffen. Oplopende werkeloosheid, oplopende belastingen, verlaagde pensioenen en minder geld voor infrastructuur en schoolverlaters die de aankomende jaren een nog moeilijkere start zullen meekrijgen.

Een beetje verder uitgewijd omdat het één verband houd met het ander, waarbij met name de jonge generatie niet echt weet wat de grondslagen zijn geweest van de huidige problematiek en waarbij we een zittend kabinet hebben die het totaal onderschat hebben, van plus 1% groei na het uitbreken van de crisis tot nu min 4,5%. Tel daar de infaltie bij op en je boert gewoon netto 10% achteruit, en daar werken we dan zo hard voor. Eerlijkheid duurt het langst maar ik vind het een schande dat verantwoordelijken hier straffeloos mee wegkomen !
Hoe wil je die controle laten uitvoeren? En door wie? Een filiaal-manager van de bank waar de pin-automaat staat? Hoe moet die weten of een monteur een legitieme handeling uitvoert of niet. Een andere monteur, dan heb je een redelijke kans dat ze samen een deal sluiten.
Als ik het goed herinner van mijn tijd bij de overheid is een niveau A+ screening rond de 5000 € per persoon.

En zelfs die wordt niet altijd even best uitgevoerd terwijl je wel info moet inleveren wat je de laatste 5 jaar hebt gedaan enz. Deze is dan een aantal jaren geldig

Ook is en blijft het maar een moment opname. Als iemand na de screening in contact komt met de verkeerde mensen is alsnog die hele screening totaal niet van nut.
Het uitgekeerde geld van het terugbetalen van geskimde rekeningen is veel duurder dan investeren in de preventiviteit en het voorkomen van.
Dat vraag ik me af... Van creditcards is al jarenlang bekend dat er makkelijk mee gefraudeert kan worden. Maar dat wordt gewoon als onkostenpost meegenomen. Blijkbaar is de mate van fraude daarbij niet hoog genoeg om snel extra beveiliging in te voeren.

Dat zou hier ook wel eens het geval kunnen zijn...
Alle software word overigens intern geschreven.
Alleen, die software draait vervolgens op Closed Source Windows. Zodat je alsnog niet de boel in eigen handen hebt.
Ik weet uit ervaring dat het belachelijk simpel is een pinautomaat te 'hacken'. Als je toegang hebt, op wat voor manier dan ook, tot het fysieke apparaat kan je met de simpele pincode '0000' toegang krijgen tot het gehele pinsysteem van de Rabobank. Je moet uiteraard wel fysieke toegang hebben, en dat is erg lastig. Hoewel dit theoretisch gezien wel moet kunnen door je bijvoorbeeld voor te doen als iemand anders. Met een beetje geluk trapt er iemand in. Maar de onbewaakte pinautomaten zijn wellicht makkelijker te benaderen op een fysieke manier.
Mitnick, Kevin - The Art of Deception anyone??
Word lastig. De procedure is dat er minimaal en maximaal twee personen toegang krijgen. Zij vragen de sleutel bij de manager van het filiaal en de constructie is zo nauw opgezet dat je maar met 1 persoon tegelijk naar binnen kan gaan (eenmaal binnen is er ruimte voor 3 a 4 man).

Eenmaal binnen heb je dus toegang tot de pinautomaat om deze bij te vullen (pakjes briefgeld liggen overal om je heen en in de kluis). Wanneer je dan klaar bent wordt alles nageteld (administratief verhaal) en moet je de sleutel weer inleveren.

Wonderbaarlijk genoeg staan er binnenin geen camera's geïnstalleerd! Je kan daar dus doen en laten wat je wil (waarschijnlijk om te voorkomen dat men de code van de kluis op de bewakingscamera's zien)
In het verleden gewerkt in onder andere ATM ruimtes van een paar grote landelijke bankketens. Elke ATM ruimte is ruim voorzien van camera's, en camera's worden ook gewoon gemonitord.

[Reactie gewijzigd door RoelerMF op 5 juni 2009 16:59]

Dit is dan ook meer een geval van ethisch hacken dan het technisch hacken waar de meeste mensen aan denken.
Pinautomaten draaien op Windows? Altijd gedacht dat die hun eigen OS hadden, zelf opgebouwd door een coalitie van banken ofzo.

@wildhagen; lijkt mij een redelijk kritische applicatie omdat als er iets mis mee is, je het 'vertrouwen' van de klanten in je bank aantast.

Bovendien is in het ergste geval ook een reboot niet voldoende:
De malware zelf, opnieuw een Delphi-applicatie met een eigen gui, wordt als service geïnstalleerd en start na een crash vanzelf weer op.

[Reactie gewijzigd door ApexAlpha op 5 juni 2009 14:31]

Waarom zou je? Het is geen kritieke business applicatie ofzo. In het ergste geval reboot je de pinatuomaat even en is alles weer opgelost.

Beetje kostbaar om daar een eigen OS voor te (laten) ontwikkelen.

Ik weet van een aantal banken (in ieder geval de Rabobank, ABN AMRO en ING) dat er diverse Windows-versies op draaien, heb zelf al NT4 en Win2000 gezien, nieuwere versies nog niet.

[Reactie gewijzigd door wildhagen op 5 juni 2009 14:29]

Beetje kostbaar om daar een eigen OS voor te (laten) ontwikkelen.
Wat een onzin.
1) Klanten & de bank betalen de schade van al het skimmen; dat kost klauwen vol geld.
2) Als het bij bepaalde banken vaker gebeurd dan bij andere omdat zij slechter beveiligd zijn, lijden ze imagoschade. Dat kost ook klauwen vol geld.
3) Alle politie en beveiligingsexperts die aan de bestrijding / gevolgen hiervan moeten werken kosten ook klauwen vol geld
4) Alle mensen die hiermee te maken krijgen maar niet doorhebben dat ze opgelicht worden zijn hun geld ook kwijt.

Weet je wat kostbaar is? Zoals nu de samenleving op laten draaien voor het falen van het IT-beleid van banken; omdat ze te incompetent / onwelwillend zijn om hun systemen fatsoenlijk te beschermen.

Of denk jij soms dat goud bij de bank gewoon op tafel ligt omdat een kluis + betonnen kelder 'te kostbaar was'?

[Reactie gewijzigd door kidde op 5 juni 2009 16:45]

Heeft niets met Windows te maken. Als er willekeurig ander OS op had gedraaid, dan had je deze hack ook kunnen uitvoeren. Op het moment dat iemand fysiek toegang heeft tot de binnenkant van de computer, dan is alles vogelvrij.

Normaal gesproken is een ATM juist heel simpel veilig te maken, aangezien er helemaal geen normale computer interface naar de gebruiker staat. Alleen een numeriek toetsenbord, en een paar functie toetsen. Daarmee kun je als hacker weinig aanvangen.

Vroeger werd er trouwens ook heel erg veel OS/2 gebruikt voor dit soort toepassingen. En daar zou je dit net zo makkelijk op hebben kunnen doen...
Is het in linux niet mogelijk om ervoor te zorgen dat er directories zijn van waaruit alleen maar uitgevoerd kan worden?
En van alle andere dirs zeg je dat er alleen lezen is. Dan is er verder geen probleem, mits je de root user disabled.

logs schrijf je dan weg naar de server.

Ik weet niet zeker of dit kan, maar volgens mij wel. Deze image zou je er dan eenmalig opzetten, en dan doet het ding alleen maar waar hij ooit voor ontworpen was. Enige mogelijkheid dan is totale vervanging van os. En ook die zou je kunnen signen, (zoals android doet) zodat alleen gesignde images gedraaid kunnen worden.

Dan zouden ze alleen de bootloader moeten hacken. En ook die zou je read only kunnen maken.

Dan zou het toch al heel wat moeilijker worden om willekeurige software te draaien, of niet?
Is het in linux niet mogelijk om ervoor te zorgen dat er directories zijn van waaruit alleen maar uitgevoerd kan worden? En van alle andere dirs zeg je dat er alleen lezen is
Ja dat kan in Linux. Het kan ook in WindowsXP.

Pak maar eens de properties van een willekeurig folder, en druk op security. Krijg je alle mogelijke opties; read & execute, list, read, write, modify, etc etc. Ga je naar de advanced sectie, dan kun je het nog verder uitsplitsen. En voor iedere mogelijke user.

Het is een illusie om te denken dat Linux op dit punt beter is dan WindowsXP...

[Reactie gewijzigd door AHBdV op 5 juni 2009 15:57]

En hoe ga je dan een update uitvoeren om bijvoorbeeld nieuwe functies toe te voegen ?
Overal de image vervangen lijkt me veel werk voor een update ...

tegen een inside job valt niets te beginnen.
Het wordt moeilijker maar zoals gezegd: het is een inside job. Iemand met toegang tot het systeem kan waarschijnlijk ook alle extra beveiling ongedaan maken / uitschakelen.

In het geval van Linux zou je misschien de kernel moeten hercompileren maar ik denk niet dat die criminelen hiervoor terugdeinzen. Als het OS alleen signed images wil draaien, dan zou je gewoon het hele OS image kunnen vervangen door iets wat niet zo kritisch is.

Het punt is: aanvallen door insiders met fysieke toegang tot de systemen voorkom je alleen door die fysieke toegang te beperken. Als iemand ongecontroleerd zijn gang kan gaan bij zo'n machine dan helpt daar geen enkele maatregel op OS niveau tegen.
Dan is het toch beter om een eigen OS te draaien die maar 1 specifieke taak kan doen dan bijvoorbeeld windows of linux?
en dan zelf verantwoordelijk zijn voor het schrijven van de drivers voor de aansturing van de hardware?

Want als de hardware ondersteuning stopt (andere versie van de hardware) dan zul je zelf nieuwe drivers moeten schrijven voor je custom os.
Terwijl je, als je windows gebruikt, meestal wel terug kan vallen op de drivers van de leverancier.
Als er willekeurig ander OS op had gedraaid, dan had je deze hack ook kunnen uitvoeren.
Wat weer een onzin. Een lullig consumentenproduct als een TiVo heeft het onmogelijk gemaakt door de gebruiker gewijzigde software te draaien. Op een willekeurige HD-recorder voegt ook niemand zomaar software toe, gelijk aan bijvoorbeeld systemen waar stoplichten op draaien of medische apperatuur. Alleen wie een willekeurige desktop-PC (of afgeleide) pakt en daar een OS voor consumenten op draait, hetzij Windows, hetzij Linux, hetzij BSD - veroorzaakt dit probleem. Veruit de meeste kritische apparatuur draait (gelukkig) niet op een desktop-besturingssysteem, vziw. alleen pinautomaten.

Had men een willekeurig OS gepakt met de mogelijkheid om gewijzigde software te blokkeren was dit niet gebeurd; ook niet als de gebruiker genoeg rechten had.
Als je toegang hebt tot het os is het niet hacken maar gewoon instaleren.

heeft dus niets met het OS te maken.
heeft dus niets met het OS te maken.
Dat is niet helemaal waar. Als je security uitsluitend op rollen en daaraan toegekende privileges gebaseerd is dan mag een 'administrator' (vrijwel) alles.

Als je met context gebaseerde security werkt, zoals VMS al in de 80er jaren had en tegenwoordig met bv SELinux mogelijk is, dan kun je een vier ogen pricipe gebruiken. 1 medewerker installeert dan nieuwe software, een andere moet toestaan dat het ook echt kan draaien bijvoorbeeld. En dat kan ook omzeild worden als je 2 corrupte medewerkers hebt, maar het wordt in elk geval al heel veel lastiger.

Verder kun je bij de *nixen het filesystem waar de programmatuur op staat read-only maken, kun je zorgen dat van dataschijven geen programma's opgestart mogen worden.....

En dat zijn nog maar twee van de mogelijkheden.

Het OS en de security features hebben dus wel degelijk veel invloed op het voorkomen van dergelijke ongewenste installaties.
Leuk enzo, maar dat soort 'features' maakt het onderhoud wel bijna ondoenlijk moeilijk. Kan me voorstellen dat banken daar niet zo veel zin in hebben.
Ze doen hetzelfde bij de boekhouding, ook daar zijn er checks en balances meer mensen bij acties betrokken zijn zodat er voor fraude minimaal twee nodig zijn.
Oftewel: men ziet intern (boekhoud)personeel als een grotere bedreiging dan de personen die met de ATM's (kunnen) werken. Hoogstwaarschijnlijk gewoon een kwestie van kosten/baten-analyse om de boel beter te beveiligen. Waarbij de beveiliging 't onderspit heeft moeten delven.
Dan is het toch beter om een eigen OS te draaien die maar een specifieke taak kan doen dan bijvoorbeeld windows of linux?
En dan past die hacker dat OS gewoon aan naar zijn noden... Een inbreker die binnen is hou je niet meer tegen met sloten.
Je kan niks aan passen aan een OS als het alleen maar een programma is die je pincode controlleerd en de gewenste bedrag aan biljetten er uit poept en communiceert aan het centraal systeem. Dat kan allemaal in machine taal gebeuren en er hoeft verder geen verschillende lagen te zijn tussen het gebruikte programma en het systeem zoals nu het geval is met een OS als windows.
- je moet dingen kunnen afprinten
- je moet dingen op het scherm kunnen tonen (en nog een beetje leuk grafisch ook tegenwoordig)
- je moet een netwerkverbinding kunnen opzetten
- je moet geluid kunnen afspelen (voor blinden)
- je moet kaarten kunnen uitlezen

Daar heb je je verschillende lagen.

Geldautomaten doen tegenwoordig al heel wat meer dan gewoon wat geld geven nadat je je code juist hebt ingegeven. Je kan er tegenwoordig stortingen mee doen, je bankafschriften raadplegen en afdrukken, je GSM-saldo opladen, als blinde een koptelefoon aansluiten om de stappen te horen, overschrijvingen doen, documenten aanvragen,...

Waarom zou je dan geen "écht" OS installeren ?
XP Embedded moet je echt niet gaan vergelijken met de XP die je thuis op je computer hebt draaien. Die dienst nu nét voor zulke zaken (devices die bijvoorbeeld moeten kunnen printen, aan het netwerk kunnen, dingen grafisch weergeven, windows programma's draaien,....).
Je zou verbaasd zijn in hoeveel dingen er gewoon XP Embedded draait. Zelfs op onze EMC SAN op het werk draait de management interface op XP Embedded. Als ik me niet vergis draait er zelfs windows op sommige onderdelen van vliegtuigen, op de computers van sommige fregatten van de VS,...
Maar er is altijd wel iemand die dat OS heeft gemaakt en dan kan die persoon of de vele andere personen die bij de opslag kunnen het ook gewoon aanpassen.
Het is onmogelijk om het te beveiligen als iemand fysiek toegang heeft tot het apparaat. Je kan dan denken we zetten er tweede persoon bij om te controleren, wat als die omgekocht wordt? We zetten er camera's in en laten die nakijken, kan ook omgekocht worden.
Onmogelijk dus dus ze het met een afweging van veiligheid/gemak/kosten.
Dat is natuurlijk geen handige opzet. Wat nu als er een zwakheid in blijkt te zitten, en je kan ineens niet updaten?
Dat is inderdaad een prima voorbeeld van een embedded systeem dat alsnog niet goed dichtgetimmerd is. Doorgaans zijn embedded systemen echter wel beter dichtgetimmerd dan general-purpose systemen.
Hmmm.... In de stemcomputers zat nog een niet-flashbare romchip, dat vereist niet alleen toegang tot de machine, maar ook nog een hoop kennis om een vervangende rom-chip te prepareren. Even een Windows-progje installeren was er dus niet bij.

Het voornaamste voorbeeld wat er mee gesteld is lijkt me dat bij fysieke toegang tot de machine werkelijk alles te manipuleren is, je zult een stemcomputer voor gebruik dus moeten toetsen op de gewenste werking, net als dat je moet controleren dat er niet met papieren stembiljetten geknoeid wordt.
Onzin.
De kraak kwam van binnenuit, dan is elk systeem te kraken.

Hooguit is bewezen dat elke organisatie te kraken is.
Elk systeem is te kraken, maar het ene makkelijker dan het andere. Met speciaal aangepaste hard- en software kom je al een heel eind. Met een apart geschreven of tot in de details aangepaste software kom je nog iets verder. Niet beveiligde hardware met een general purpose systeem zoals XP-embedded, kost van alles het minste moeite.
Dit is helemaal geen hack van windows, dit is een "hack" van de categorie "Format C:". Als je admin rechten hebt hoef je helemaal windows niet te hacken.

Dit is gewoon software die door iemand geinstalleerd wordt. Dat de banken en de klanten daar de dupe van zijn is wat anders.
Dat dacht ik ook altijd. Maar ondertussen heb ik van een "insider" (werknemer) die ik ken gehoord dat de bank(en) meestal niet zo nauw met beveilig om gaan. Om welke bank het gaat laat ik in het midden.

Ik had in ieder geval Linux namelijk tot de core gestript. Gecompileerd met squashfs en het PIN programma. De configuratie staat dan in het geheugen en wordt van een SSL service gehaald bij opstart. En vervolgens de hele image (afgezien van de hardware specifieke dingen zoals MAC adres) gesigneerd. Bij opstart check ie zijn signature met de SSL dienst waar die op aanmeld. Vervolgens geeft deze dienst de "launch codes" weg (als er niet mee is gerommeld) en is het apparaat operationeel. Nu hoeft deze dienst alleen nog op de zoveel tijd zijn root certificaat te wisselen en kan die jaren zonder probleem draaien. Afhankelijk van de controle die de software tevoren ondergaat, kun je de integriteit van het apparaat garanderen met de signature. Apparaten die "compromised" zijn afgeleverd hebben namelijk een andere signature dan die de bank in zijn PKI bunker heeft staan.

Dat is het meest waterdicht wat ik kan verzinnen. Probleem is dat banken het zien zoals wildhagen zegt. En dat heeft geleid tot dit nieuws bericht. De vraag is nu of je moet investeren in bovengenoemde of dergelijke beveiliging of gewoon voor lief moet nemen dat er af en toe wat "weg lekt".
Toen ik bij de ABN wou pinnen was de automaat vast gelopen, gereset naar de XP desktop en daarna starte de pin-applicatie weer op.
Ben toch maar bij een andere automaat gaan pinnen.
Inderdaad. Geld dat uit een Linux pinautomaat komt, is gewoon veel verser en je kunt er beter mee betalen. :P

Ik denk dat je vaak genoeg hebt gepind bij een automaat die op windows draait. Zal mij een zorg zijn eerlijk gezegd, wat voor OS er opzit. Wanneer het gaat om inside jobs, dan helpt geen enkel OS/systeem, want overal valt wel iets aan te manipuleren wanneer je directe toegang hebt + tijd en ervaring.
Hangt er nogal af vanaf wat voor niveau. Je kunt bijvoorbeeld microcontrollers gebruiken met embedded geheugen waarop alleen certified software geinstalleerd/uitgevoerd kan worden, moet je al een stuk hoger in de hierarchy zitten. Windows XP (of standaard Linux) op een machine als een ATM is vragen om problemen en zou bij de wet verboden moeten zijn.
Dat het vragen om problemen is ben ik met je eens, maar het is wel het probleem voor de banken, en niet voor de consument lijkt me? Ik zou liever geen verbod op zoiets zien, dat is veel te gedetailleerd om per wet te regelen.
Dat het vragen om problemen is ben ik met je eens, maar het is wel het probleem voor de banken, en niet voor de consument lijkt me? Ik zou liever geen verbod op zoiets zien, dat is veel te gedetailleerd om per wet te regelen.
Inderdaad, de verantwoordelijkheid als er iets fout gaat ligt al bij de bank. Als er door skimmen of software-fraude in dit geval geld afhandig wordt gemaakt kost het hen tijd, moeite en geld. Dus er is al een prima economische "stimulans" om wat aan het probleem te doen, daar is geen wet voor nodig. En ook al doen ze er niets aan; ook goed; het is en blijft hun probleem. Jij als klant krijg je geld uiteindelijk toch wel terug. :)
Tenminste, bij mijn vrouw hebben ze al 3x keer de pas geskimd, en tot nu toe heeft het haar geen cent gekost.

Alleen is het af en toe natuurlijk wel erg lastig als door fraude je pinpas geblokkeerd wordt. Beter dan dat je geld kwijt raakt natuurlijk, maar het kan wel eens lastig zijn. Want je moet zelf weer naar de bank om hem te activeren of een nieuwe op te halen, en als je zoals mijn schoonbroer net in Mexico uit het vliegtuig stapt voor een vakantie van 2 maanden, om er achter te komen dat zojuist je pas geblokkeerd is vanwege een fraudepoging (skimmen) die bijna een maand geleden in Nederland heeft plaats gevonden, dan heb je toch wel even een probleem. :)

[Reactie gewijzigd door RagingR2 op 5 juni 2009 15:59]

Tenminste, bij mijn vrouw hebben ze al 3x keer de pas geskimd, en tot nu toe heeft het haar geen cent gekost.
En wie denk je dat die fouten betalen? De managers bij de bank? Heus niet, dat betalen jij, ik en jouw vrouw samen met alle andere consumenten van die banken.
Ja, zo ken ik er nog een. Geld circuleert. Ja, de schade die een bank oploopt door skimmen wordt indirect door de klanten van die bank betaald, welke weer door hun werkgevers betaald worden, welke op hun beurt weer door hun klanten betaald worden... en uiteindelijk betaalt Autobedrijf Piet de factuur voor de koffie die genuttigd wordt tijdens de bouw van een waterzuiveringsinstallatie.
waar denk je dat het geld vandaan komt voor betere beveiliging en research tegen skimmen

wat je eigenlijk nu vraagt is hoe een verzerkeringsbedrijf aan het geld komt om een schadeclaim te betalen?
Daarom moet je ook altijd bij minimaal 2 banken een betaalrekening hebben.
Bij Rabobank komt het ook voor dat ze uit voorzorg de pasjes vervangen. Valt er plotseling een nieuw pasje in de bus. Binnen 3 weken wordt dan je oude pas geblokkeerd. Je zal maar net een dag voor die nieuwe pas komt vertrokken zijn naar het buitenland, op vakantie of voor je werk.
maar het is wel het probleem voor de banken, en niet voor de consument lijkt me?
Als 't een probleem is voor de banken, dan is 't per definitie ook een probleem voor de consument.
Typisch dat je alleen standaard Linux (en Windows XP) noemt als te verbieden bij de wet. Want als jij hiermee bedoeld dat Linux aangepast wel veilig zou zijn, maar de standaardversie niet, dan mag jij mij uitleggen waarom dat bij Windows niet zo werkt??
...dan mag jij mij uitleggen waarom dat bij Windows niet zo werkt??
Tja, simpelweg omdat je de source van Windows (Embedded) niet in kunt kijken, kan je er ook niet op vertrouwen.
Onzin, onzin, onzin.. het maakt geen zak uit.. Ook gespecialiseerde software is het allemaal te omzeilen als je toegang hebt.. Software is en blijft software en kan dus gewoon aangepast worden..
Maar je kan het makkelijk maken of je kan het moeilijk maken....
en je kan het duur maken en goedkoop maken. en zoals hierboven al gemeld is: de economische schade door skimmen is procentueel gezien voor banken minimaal.

de bank maakt een afweging tussen kosten voor beveiliging en schade door misbruik.
wat dat betreft mag je blij zijn met pinautomaten want vroeger werd die afweging gemaakt tussen beveiliging van een bank filliaal en de schade door een bank overval.
XP is nog vrij nieuw kwam laatst nog een vastloper op een opstartscherm van windows 98 bij een pinautomaat dat was van de ABN, die pinautomaat gebruik ik ook dus niet meer die staat er hier in de buurt ook om bekend van vastlopers/pasjes niet meer terug etc. Nee ik pin tegenwoordig alleen nog maar bij de bank zelf.
Dat er ooit Windows 98 op een pinautomaat heeft gestaan geloof ik niet... Zal wel NT geweest zijn
Er zijn zeer veel verschillende pin-systemen (geweest)... Ik zou niet weten waarom er niet ook W98 gebruikt kan zijn.
Lang niet niet allemaal! Die overgang is nu pas bezig, of misschien zelfs bijna achter de rig, heel veel banken werkten zelfs nog met pinautomaten die op Windows 3.11, 95 & 98 draaiden. tot kort geleden. Nu MS echt de complete ondersteuning daarvoor heeft laten vallen, dus ook voor dergelijke systemen, is de overgang naar een nieuwer OS eigenlijk nog niet zo lang op gang. Is het je niet opgevallen dat de afgelopen 2 jaar er ontzettend veel geldautomaten zijn vervangen? ;) Of vervangen... maar ineens een andere interface hadden?

[Reactie gewijzigd door MicGlou op 5 juni 2009 15:00]

HU?

Voorheen was het eigenlijk zonder uitzondering OS/2 wat jaren langer door IBM geleverd is, speciaal voor de ATM-markt. Er hebben _nooit_ ATM's gedraait op de 16-bits rommel van Microsoft en de overstap op Windows XP is uiterst moeizaam en omstreden geweest, vanwege de 'kwaliteiten' van Microsoft.

Naar nu blijkt volkomen terecht.
Er wordt alleen nergens vermeld dat de 'kwaliteiten' van Microsoft de oorzaak van de hack zijn. Er is hier sprake van een insider die de malware op de pinautomaat installeert.

Het moet iemand zijn met toegang tot het systeem en kennis over het gebruik ervan. Zou er een ander besturingssysteem geïnstalleerd zijn dan zou dat op dezelfde wijze door een insider aangevallen kunnen worden.

Ik vind dit voorval dan ook geen bewijs om te stellen dat Windows XP op een pin-automaat gevaarlijk is.
Ik vind dit voorval dan ook geen bewijs om te stellen dat Windows XP op een pin-automaat gevaarlijk is.
Tuurlijk wel, ieder OS waar een willekeurig persoon die erop kan inloggen van binnenuit zomaar nieuwe software kan installeren is te onveilig voor zaken als pinautomaten.

Playstations, Xboxen etc. hebben allemaal een of andere chip zodat je niet zomaar met de firmware kan klooien zonder het ding uit elkaar te schroeven en te gaan solderen; waarom pinautomaten in vredesnaam niet?
Wat een ... Hoe denk je dat beheerders een nieuwe versie van de software geïnstalleerd krijgen als ze niet van binnenuit kunnen inloggen ?
@Draakje:
Chip vervangen.
Tenminste, zo zou 't misschien moeten om 't veiliger te maken.
Je hebt een gewone "web"client nodig. Die schermen ophaalt en sql inquiries uitvoert uit een centrale database.

Niets speciaals. Een simpele pc kan dat uitvoeren. Het is verder heel veilig. De gebruiker heeft geen toestenbord, geen invoer behalve een pas, waarvan maar op één manier één datastroom gelezen wordt die maar één bepaald formaat kan/mag hebben.

De uitgaande lijn is volledig beschermd, zowel gecodeerd als fysiek.

Maar zodra je toegang hebt tot de machine, dan kan je alles. Dus ook een custom chip erin stoppen

Een speciale custom chip voegt *niets* toe aan de bescherming. Maakt het alleen maar duurder, want dan moet je iedere pin automaat handmatig upgraden in tegenstelling tot een centrale uitrol.
Ik dacht dat het op windows NT draaide (wat wel veel lijkt op OS/2, maar OS/2 is al jaren niet meer supported)
Klopt!

Heb er in het buitenland ook veel gezien met NT (helaas dan dus gecrashed - anders weet je het niet, he?)

Heb van eentje zelfs nog eens een foto gemaakt - vond het eigelijk wel aardig. Had een embedded, propriaty app verwacht - geen NT 4.0
ga maar eens naar de PIN automaat als ze hem aan het vullen/legen zijn (geldtransport wagen staat er dan bij)

Vaak zie ik Windows 2000 & NT4 voorbij komen. XP tot op heden nog niet gezien.

zag laatst eentje met Windows 7 beta .... :+

[Reactie gewijzigd door Crazy- op 5 juni 2009 15:31]

tijdje terug was er volgens mij het bericht dat Microsoft eindelijk de ondersteuning van Win98 staakte voor de financiele wereld. Win98 werd dus tot voor kort ook nog gebruikt.

IIRC that is.
Nope, kwam er laats achter toen ik bij een automaat van de iNG stond welke een BSOD had. Stond er ook van te kijken.
Is toch al een oud verschijnsel BSOD op pinautomaten. Bekijk dit bijv. maar eens: http://www.ebaumsworld.com/pictures/view/41952/
Heb er zelf ook al eens 1 gezien, Postbank was het toen nog meen ik.
nope, veel van die embedded systems draaien XP. Er bestaat immers een versie speciaal voor embedded systems. Oudere machines zul je ook nog betrappen op Win98 en Win NT4.
Ik heb meermaals een pinautomaat met BSOD gezien.
Zal win9x o.i.d. geweest zijn. Want NT reboot dan vanzelf.
NT reboot alleen als je het aangeeft dat hij moet rebooten bij een BSOD....
sommige draaien nog op Windows 98, maar de meeste op Windows XP. Dit kan je zien aan de snelheid van het pinnen.
Hoezo? Leg eens uit? Positief? Negatief? Bron?

Want de snelheid van een pinautomaat heeft in dit geval weinig met het gebruikte besturingssysteem te maken.
Niet waar. Er is een duidelijk performance verschil (althans bij de Rabobank) wanneer men XP gebruikt. Deze reageert veel sneller t.o.v. Windows 98. Waarom dit zo is, weet ik echter niet.

Bron: werkervaring
Misschien omdat de pinapplicatie zelf ook is vervangen door een nieuwere versie?
Waarschijnlijk zijn de pinautomaten met XP ook uitgerust met snellere hardware.
Wel als het ene OS (XP) embedded is en het andere (98/NT4) generiek.
Heb regelmatig een windows XP crash/foutmelding op een pinautomaat zijn verschijnen. Volgens mij is de snelheid van het pinnen inderdaad geen resultaat van het gebruikte OS.
Toch zijn er machines (volgens mij van de ING) die echt een stuk trager aanvoelen/zijn.
De ING pinautomaten zijn bewust langzamer met kaart inname en uitgifte, de transactie verwerkingssnelheid is niet zoveel langzamer als het merendeel van de andere GEA's van andere banken (nieuwere modellen uitgezonderd)
Dat heeft meer te maken met wat voor verbinding de ATM naar de bank heeft. Daarin wordt een veelvoud van typen gebruikt. (niet alles is ADSL, laten we het daar even op houden)
Ik zou veel ISDN lijnen verwachten voor dit soort toepassingen.
Klopt, vaak een deel-aansluiting. Ook ISDN-Digiaccess komt nog vrij veel voor. (Iets goedkoper). Gelukkig zijn de IP-automaten behoorlijk in opmars. Dat moet ook wel: Binnen een jaar of 2 schijnt KPN met X.25-diensten te stoppen.
Er draaien dit moment zelfs "mobiele" geldautomaten (voor bijv. op festivals e.d.) die via GPRS zijn aangesloten. IP is verder inderdaad in opmars, icm een standaard kleine ADSL verbinding.
Ik kan met me bijna niet voorstellen. Zo ingewikkeld is een pinapplicatie nu ook weer niet. Waar ik me enorm aan kan ergeren is de onverklaarbaar lange tijd dat het "Tot ziens" schermpje voor staat, waardoor de volgende niet kan beginnen met pinnen. Dat duurt naar mijn gevoel soms wel een seconde of 20. Ik kan me daar werkelijk geen reden voor verzinnen...
@ATS
Het afhandelen van de transactie in de logfiles, dubbelchecken op geldigheid (saldo etc.), registratie tijdstip, doorvoeren in het banksysteem-netwerk zorgen dat het geld ook echt niet meer op de rekening staat (vroeger kon je namelijk bij de ABN pinnen en dan zat er een tijdje tussen voordat het bij de bank bekend was dat er gepint was, dus kon je met je pasje de bank inlopen en hetzelfde bedrag nog een keer opnemen, ook al had je net je rekening leeg gepint), nieuwe log starten, kijken hoeveel geld er nog over is in de automaat en welke biljetten etc. En DAN pas is de automaat klaar om de volgende klant te helpen.
Als ik bedenk wat voor dingen er allemaal nodig zijn om dat pinnen veilig en foolproof te laten verlopen ... vind ik de pinautomaten nog wel redelijk snel tegenwoordig.
Heus niet alle banken gebruiken XP om hun automaten op te draaien.
Ik ken een aantal Belgeische banken waar alleszins geen XP op de automaten staat.
Kan je ook even vermelden welke dat zijn? Fortis, KBC en Dexia gebruiken allen Windows XP

[Reactie gewijzigd door Nille.NET op 5 juni 2009 16:31]

Bij KBC ben ik redelijk zeker dat het gewoon WinXP is als OS met als "applicatie" IE in fullscreen mode ;-).
Toch heb ik meermaals en recent nog het welbekende blue screen op een pinautomaat tegenegekomen in België. Dus een versie van Windows zal er wel opstaan, zou niet weten waarom het veel zou verschillen met Nederland.
Naast beveiligde toegang is de enige andere eis aan het OS dat het zodra er een systeem fout optreed het onmogelijk gemaakt word nog geld op te nemen. Als je een XP dus helemaal dicht schroeft gaat er niet zo gek veel mis, tenzij je zoals hier een insider hebt natuurlijk.

Overigens staat er in de voorwaarden voor zakelijk gebruik van Windows omgevingen dat deze absoluut niet in kritische omgevingen mogen draaien. Maar goed het lijkt me sterk dat je leven afhangt van een pinautomaat :) Er worden ook geen gevaarlijke materialen mee bediend. Echt kritisch is het niet.
Maar het moet dus gebeuren van binnen uit? Of heb je ook al toegang tot de software als je buiten bij de machine staat?
Van binnenuit. Maar recent was in dat TV programma over oplichterspraktijken nog een andere truc met pinapparaten te zien. Daarbij merkten de programmamakers op dat je om het apparaat te manipuleren weliswaar een code nodig hebt maar dat men "voor het gemak" vanuit de fabriek overal dezelfde code in heeft gezet. Banken wijzigen die niet omdat ze dan bij moeten houden welke toegangscode er in welk apparaat staat. En op internet circuleren lijsten met standaardcode's.

Dus het zal waarschijnlijk minder lastig zijn dan gedacht om de apparaten te manipuleren voor criminelen die zich er op toeleggen.
Dit gebeurt van binnenuit, er staat ook in het artikel:
De malware wordt volgens de onderzoekers geïnstalleerd door iemand die toegang heeft tot de software van de automaten.
Met de toetsen die jij als gebruiker van de automaat tot je beschikking hebt, kan jij alleen maar navigeren binnen de 'pin applicatie'. Voor onderhoud moet er van binnen uit ingelogd worden op de automaat.
Je moet de Delphi-fake-service op de pc zetten, dus je moet fysiek toegang hebben tot de pc. Normaal kan enkel een insider aan de pc zelf aan.
> Insider attacks zijn veel moeilijker te voorkomen
> Je zou verwachten dat er iets meer validatie is op de gebruikte engine/service
> We spreken volgens het artikel over Oekraine en Rusland, niet over W-Europa...
Wat ik me afvraag, de Nederlandse Banken willen binnen nu en een paar jaar afstappen van de magneetstrip (ivm scimmen) en dan de chip gaan gebruiken. Als dan de malware wordt gebruikt is dit systeem ook niet veilig. Je kunt de chip weleenswaar niet kopieren maar met de juiste software kun je heb opslaan als "iso" en de pincode opslaan en vervolgens simuleer je de chip op de atm via de software en toets de pin in.
ICC's (Integrated Circuit Card of wel smartcard in de volks mond) zijn tegenwoordig uitgerust met zeer geavanceerde cryptografische modules om zelf paren te genereren. Het is onmogelijk om een private key van kaart te lezen dus als je 1 public sleutel hebt dan kun je er niks mee want dat was dus de sleutel van die transactie.

ICC's op meerdere manieten tamper proof gemaakt. Zoals bijvoorbeeld tijdens het lezen en schrijven van de kaart moet je constant met de voltages spelen want als je dat niet doet dan brand je bepaalde paden in de kaart zelf en dan kun je er al helemaal niks mee.

Er zijn wel twee manieren om een ICC uit te lezen maar alle twee zijn ze nog niet echt bruikbaar.

1. Een electronen microscoop. Met een electronen microscoop proberen bit voor bit de private key van de kaart te achterhalen... nou succes want het zijn er 1024...

2. Side channel analysis of power analysis. Door op een afstand straling van die kaarten te lezen of door te kijken hoeveel vermogen een aparaat gebruikt kun je zeggen met welke functie het apparaat op dat moment mee bezig is... Het werkt en ik heb simpele werkende concepten gezien die simpele funcites kunnen traceren zonder in contact te zijn met het apparaat maar hoe complexer het aparaat hoe moeilijker deze methode. Tevens zijn een paar fabrikanten ook bezig om hun vermogen gebruik te normaliseren of random allerlei functies roepen zodat je vermogen gebruik ook random is... jah dan werkt het niet.

Maar jah een chip card is iets veiliger dan een magneet strip. :)
Dus het is dus veiliger omdat de kaart in de machine moet zitten.
Als de kaart in de machine zit en de machine weet de pin code kan de machine nog steeds extra transacties genereren.
Als dit puur over geld uit de muur trekken gaat, is dit een mooi impuls om gewoon alle bedragen bij de buurt super te pinnen. "Tientje extra" kan vaak ook gewoon.

Wel verontrustend nieuws dat deze dingen op XP draaien.
Dat doet toch denken aan die " buiten gebruik " melding die nu al 3 weken op de pin auto bij mij om de hoek staat.
Het is geloof ik ook al een tijdje bekend dat de automaat die de winkel-op-de-hoek heeft staan ook vrij eenvoudig te hacken is, zodat hij ingezet kan worden voor skim acties.
Wel verontrustend nieuws dat deze dingen op XP draaien.
Hoezo dat? Deze automaten zijn prima afgeschermd van de buitenwereld. Het probleem ontstaat op het moment dat iemand van binnenaf toegang heeft. En een medewerker met een root account op een Linux computer is net zo gevaarlijk als een met een Administrator account op een Windows computer. Het probleem is het 'van binnen af' gedeelte.
Toch zouden banken een eigen besturings systeem kunnen draaien waar op verder niks anders mogelijk is. Windows en Linux bied te veel mogelijkheden voor het draaien van ongewenste toepasingen. Een monteur die kan wel heel makkelijk z'n virusje er op zetten.
En het schrijven van een eigen OS is gratis? Ze maken gewoon een risicoanalyse, blijkbaar is het risico van het hacken van een linux of windows pin automaat te laag om het geld voor het schrijven van een eigen OS te verantwoorden.
Dat hoeft toch niet gratis te zijn? Het gaat om pin-automaten wereldwijd, er zijn maar een paar bedrijven die die leveren. Nu steken ze veel tijd in het dichttimmeren van iets dat niet is ontworpen om dichtgetimmerd te kunnen worden. Dat kan je ook van onderaf aan opbouwen.
Een insider kan toch ook het eigen OS aanpassen?
Mee eens. Waarom een Windows / Linux erop? Nogal wat overkill ook al is het een embedded versie. Het ding hoeft maar een paar handelingen te doen. Scherm aansturen, toetsaanslagen afvangen, communiceren met de centrale en communiceren met de kaartlezer en gelduitgifte-apparaat. Moet toch niet zo moeilijk zijn.
Lol als je fysiek toegang hebt heb je helemaal geen admin/root account nodig :D je kan ze gewoon resetten... dacht dat wel algemeen bekend is

Snap wel dat embedded systemen waarsch geen rand apparatuur (floppy, cd) heeft maar ja ze hebben sowieso een poort waarmee hij geconfigureerd is ;)
Volledig resetten is niet echt praktisch, je wilt geld, geen kapot pinautomaat...
En een medewerker met een root account op een Linux computer is net zo gevaarlijk als een met een Administrator account op een Windows computer.
Exact, en daarom gebruik je een systeem dat BSD root levels ondersteund zodat de Administrator niet zomaar alles kan doen. Linux dus niet meer.
Tenzij je buurtsuper toevallig een skimapparaat heeft ;)
Tjah, als die dingen gewoon meer van de chip gebruik gaan maken word dat zowiezo al iets lastiger te skimmen.
Magneet strips zijn redelijk achterhaalt.
Dat doet toch denken aan die " buiten gebruik " melding die nu al 3 weken op de pin auto bij mij om de hoek staat.
Dat heeft vrijwel zeker niks met het OS te maken. Een "buiten gebruik"-melding op een pinautomaat is meestal een teken dat óf de geldcasettes leeg zijn (het geld is dus "op"), óf dat de automaat gewoon (fysiek) defect is en op reparatie/bijvullen wacht.
Ik zou juist zeggen dat zo'n pinapparaat kwetsbaarder is voor een HS/Uni student technische informatica, die als bijbaantje in de buurtsuper/slijter werkt.
Is het rustig in de zaak, lekker aan de hardware kloten, is het druk- loggen maar!
70% van de geldautomaten gebruikt Windows XP Professional als besturingssysteem en dat maakt het betalingsverkeer kwetsbaar voor hackers.
Niet alleen zijn geldautomaten kwetsbaar voor wormen of denial of service aanvallen, malware kan wel degelijk gegevens zoals kaartnummer, rekeningnummer, saldo en andere zaken stelen. Deze gegevens worden helaas onversleuteld verstuurd en zijn daardoor eenvoudig te verzamelen. Alleen de pincode wordt versleuteld.

Als je een programmeur bent en je hebt enige ervaring met programmeren, dan is het een eitje. Als een exploit op een thuiscomputer werkt, werkt het ook op een geldautomaat. En dat dit een serieus probleem is, hoef ik hopelijk niet uit te leggen.

Voor aanvallers die niet veel moeite willen doen zijn er ook andere opties, zoals het lezen van de handleiding. 2 op de 3 Britse geldautomaten is (of was) via een standaard code die in de handleiding te vinden was, te openen, om daarna de inhoud van de kluis mee te kunnen nemen... 8)7

http://www.mydigitallife....-default-master-password/

[Reactie gewijzigd door mrlammers op 5 juni 2009 16:19]

Foute aanname. De PIN apparaten staan niet in een open verbinding maar opereren in een gesloten netwerk met heel veel controleslagen m.b.t. de data die verzonden wordt. Malware of id. heeft hier totaal geen kans.
Foute aanname? Jij bent expert begrijp ik?
Betalingsverkeer kan wel degelijk via internet. Pinnen over IP heet dat:
http://www.alphyra.nl/producten/betaalautomaten
Het is goed mogelijk dat geldautomaten via een firewall wel verbonden zijn met internet.
Zie ook: https://www.trustwave.com/spiderLabs.php
Malware of id. heeft hier totaal geen kans.
Was dit nou niet juist het topic van dit draadje??

Lees voor meer info ook:
http://www.security.nl/ar...n_besmet_met_malware.html
https://www.milestoneskom...bericht.asp?nieuwsID=1222
http://www.hackinfo.nl/co...ecteert-geldautomaat.html

Je kunt zelf ook wel even Google proberen...

[Reactie gewijzigd door mrlammers op 5 juni 2009 17:23]

Pinnen over IP betekent niet automatisch dat dit over Internet gebeurd.
Sterker nog: Volgens mij gaat meer dan 99% van de geldautomatenverkeersstromen NIET over Internet.

In nagenoeg alle gevallen is er een aparte IP-wolk die zelf geen verbinding heeft met het Internet die de transactiestromen transporteert.
klopt idd. Dit gaat zeker niet zomaar over internet ;)
Tja, als ze van binnenuit werken dan sta je als klant gewoon machteloos, je ziet immers niets aan het apparaat. Maar vreemd dat dit nu pas bekend is gemaakt als de eerste machine in 2007 al is aangetroffen. In principe is elke werknemer zo een risico, als ze maar genoeg geld bieden om iemand het werk uit te laten voeren.
2007
Nee, da's helemaal niet vreemd. Om 't vertrouwen van de consument niet te verliezen, wordt zoiets onder de pet gehouden - 't liefst minimaal totdat er een oplossing is gevonden.
Echter, als 't dan ooit (zoals) alsnog uitkomt, dan is 't vertrouwen juist geschaad. Ik denk ook dat heel veel beveiligingsproblemen nooit naar buiten komen.
Ik had verwacht dat ze datsoort dingen we op Linux lieten draaien.
Ook al draaien ze op Linux, het zal niets uitmaken. Als je er van binnenuit bij kan komen dan maakt het niet uit welk OS erop staat.
Niet waar, de rechten per directory en gebruiker zijn binnen Linux veel beter geregeld dan in XP en helemaal dan in 98.
Ok als een hacker het rootpassword heeft achterhaald dan kan hij in Linux ook alles, maar voor W98 heeft een hacker al genoeg aan een simpel gebruikerswachtwoord.

Maar omdat Linux open source is zou een bank zelfs nog hun eigen versie kunnen maken met een ander rechtensysteem.

[Reactie gewijzigd door Left op 5 juni 2009 15:17]

Niet waar, de rechten per directory en gebruiker zijn binnen Linux veel beter geregeld dan in XP
In XP (eigenlijk alle Windows met de NT kernel) kun je op z'n minst de rechten net zo goed regelen als onder Linux/POSIX based OS'en...

Dat het in de praktijk heel ruim ingericht staat onder MS-Windows (XP) heeft te maken met de brakke applicaties/afhandeling van die applicaties maar niet met MS-Windows XP zelf...
Ook als je de rechten wel goed zet (bij een custom systeem hopelijk het geval), zijn er nog steeds gaten. Bij linux ook, maar al minder. Wat je eigenlijk wilt is (op basis van een bestaand OS) alles van onderaf opnieuw opbouwen voor een zeer beperkte en secure versie.

Het verschil tussen Windows en Linux en bijvoorbeeld OS/2, is dat je in het eerste geval 100% afhankelijk bent van MS, die daar eigenlijk niet aan doet. In het 2e geval kan je gewoon je eigen programmeursteam inzetten en in het 3e geval ben je weliswaar afhankelijk van je vendor net als in het eerste geval, maar dat is er wel eentje die toevallig speciaal voor dit soort gevallen consultants en software engineers in dienst heeft. Omdat ze niet van hun software leven maar van hun diensten.

Van die 3 voorbeelden heeft elk zo zijn eigen voor en nadelen, maar ik zou wel weten dat ik liever voor optie 2 of 3 ging dan voor optie 1.
Ik ben al een aantal keer tegen gekomen dat ik bij zo'n pin automaat een Windows error popup zie staan in het scherm, en soms zelfs een BSOD.
En dan een poosje later staat er opeens een spash screen in de trant van:

"Deze automaat is momenteel buiten gebruik."

Zelfde geld voor die route schermen in sommige bussen, die bijhouden welke haltes er zijn geweest en aan komen, daar heb ik ook al een paar keer een BSOD op zien staan.

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True