Antago Security Scans · 2011-10-04 · Nur noch kurz Geld holen. Die Filiale der Postbank AG ... Der Schlüssel kann vergessen werden ... und so einfach missbraucht bzw. manipuliert

Das Team der Antago Antago GmbH | Robert Bosch Str. 7 | 64293 Darmstadt | https:// www.antago.info 04.10.11

„Open Door Policy“ bei ec-Geldautomaten

Sicherheitsgedanken von

Mark SemmlerAntago GmbH

„Open Door Policy“ bei ec-Geldautomaten?

https://www.antago.info/


Ein ganz normaler Freitag...

Freitag, 30.09.2011 gegen 21 Uhr:Das soziale Leben holt mich ein.Treffen mit netten Leuten.Und ganz sicher keine Gesprächeüber Sicherheit oder IT.

Nur noch kurz Geld holen.Die Filiale der Postbank AGam Luisenplatz in Darmstadtliegt auf dem Weg.

Als ich gewohnheitsmäßigden Geldautomaten aufSkimming untersuche bevorich ihm meine Karte anvertrauefällt mir etwas auf.

Sehen Sie es?


Bist Du der Schlüsselmeister von Gosa?

Im Automaten stecktein Schlüssel.

Der erste Gedanke:„Dat gibt es nich!“

Ein näherer Blick bestätigt aber...


Manchmal gibt es wirklich Paralleluniversen...


Volltreffer: „GA-Service Schlüssel“

Auf dem Anhänger steht„GA-Service Schlüssel“

Der Schlüssel ist sehr einfach aufgebaut, hat keine eingestanzte Nummer - jeder Schlüsseldienst würde eine ohne Nachfrage eine Kopie anfertigen:


Die Nagelprobe...

3, 2, 1... meins!

Nach dem Einstecken und einem Rechtsdreh schwingt die komplette Abdeckung des Automaten nach oben...

...und seine Innereien liegen offen.


Deckel auf: Willkommen Supervisor!

Nach dem öffnen des Deckels schaltet das System in den Supervisor-Modus.

Und eröffnet die erwarteten Möglichkeiten wie z.B. die Kassettenverwaltung...

Die Möglichkeiten für einen Angreifer sind nach einer kurzen (durchaus oberflächlichen) Analyse beträchtlich...


Hast Du einen (Schlüssel), hast Du alle (Automaten)?

Der Schlüssel passte an allen Automaten dieser Filiale.

Und es würde mich nicht wundern, wenn es um einen Generalschlüssel für alle Geldautomaten (eines bestimmten Gebiets?) handeln würde...


Show me the way to your internal network...

Leider auf dieser Aufnahme nur sehr schlecht zu sehen:Es liegen Netzwerk-anschlüsse offen und sehr einfach zugänglich im Gerät.

Jeder Angreifer hätte das Gerät jetzt umfassend manipulieren können und hätte darüber hinaus Zugang zum Netz hinter dem Geldautomat erhalten.


Wie ging es weiter?

Mit der Zeit haben sich weitere interessierte Zeitgenossen eingefunden.

Hier habe ich natürlich auf die Bremse getreten, um niemanden auf falsche Gedanken zu bringen.

Wir haben zusammen die Polizei informiert und zwei Beamte haben den Schlüssel abgeholt (wollten aber irgendwie nicht fotografiert werden).

That's all folks!


Fazit

Dieser Sicherheitsvorfall deckt nach meiner Meinung einige Schwachstellen auf:

Das Schloß der untersuchten Geldautomaten ist als primitiv zu bezeichnen.

Der „GA-Service Schlüssel“ war nicht gekennzeichnet und würdevon jedem Schlüsseldienst anstandslos kopiert werden.

Der Schlüssel hebelt zwei Sicherheitsmaßnahmen aus (physikalische Sicherheit und Supervisor-Rolle).

Der Schlüssel passt auf mehr als einen Geldautomaten.

Der Schlüssel kann vergessen werden (ein großer Schlüsselanhänger hätte das Vergessen verhindert).

Am schwersten wiegt in meinen Augen die Tatsache, dass die Netzwerkanschlüsse nach dem Öffnen des Gerätes einfach zugänglich sind und so einfach missbraucht bzw. manipuliert werden können.


Kein Einzelfall?

Anfang September 2011. Gleiches Unternehmen, andere Filiale (in Darmstadt).

Ein Kontoauszugsdrucker steht unbeobachtet für mehr als zehn Minuten offen.

Erst dann kommt ein Servicetechniker und schließt das Gerät...

Auch diese Geräte besitzen einen Zugang zur internen IT-Infrastruktur der Bank.


Antago: Unternehmen und Portfolio

Dürfen wir uns vorstellen?


Wer ist Antago?

...Systemhaus• Wir haben kein Interesse daran,

Ihnen Sicherheitslösungen(Firewalls, Virenscanner, ...) zu verkaufen.

...Reseller/Integrator• Wir sind unabhängig von Herstellern.

...fremdfinanziertes Unternehmen• Wir sind unabhängig von Geldgebern.

...Tochterunternehmen• Wir sind an keinen Konzern gebunden.

Wir sind kein...


Was bietet Ihnen Antago?

Die Antago GmbH ist ein europaweit tätiges Unternehmen im Bereich derIT- und Informationssicherheit. Wir sorgen für die strukturierte,bedarfsorientierte Absicherung von Informationen.

Unabhängig, kompetent und fair bieten wir Ihnen:

Security Scans von Systemen, Netzen und ApplikationenKompetente Sicherheitsuntersuchungen inkl. Risikoanalyse und Maßnahmenkatalog

Informationssicherheitsmanagmentsysteme (ISMS)Analyse und Erarbeitung bedarfsorientierter Sicherheitskonzepte(auch gem. IT-Grundschutz / ISO 27001)

IT-ForensicGerichtsfeste Beweissicherung und Untersuchungen von IT-Sicherheitsvorfällen.

Security AwarenessSensibilität im Unternehmen schaffen – die Sicherheitslücke Nr. 1 adressieren.

Livehackings und SchulungenKnow-How aus erster Hand.


Unsere Kontaktdaten – wir freuen uns auf Sie!

Sie haben Fragen? Sie benötigen weitere Informationen oderein unverbindliches Angebot? Wir freuen uns auf Sie!

Antago GmbHRobert Bosch Straße 7D 64293 Darmstadt

Internet: https://www.antago.infoPhone: +49 . 6151 . 428568 . 0Fax: +49 . 6151 . 428568 . 1E-Mail: sicherheit[at]antago.info


mailto:sicherheit%5Bat%5Dantago.info?subject=Security%20Scans



Documents

Antago Security Scans · 2011-10-04 · Nur noch kurz Geld holen. Die Filiale der Postbank AG ... Der Schlüssel kann vergessen werden ... und so einfach missbraucht bzw. manipuliert