Für Geld: Schwachstellen in mobilen Zahlungsterminals suchen und ausnutzen



    Kartenzahlungen werden immer beliebter. Mobile Zahlungsterminals (MPOS-Terminals) tragen zur Entwicklung dieses Trends bei und verringern die Markteintrittsbarrieren für Kartenzahlungen für kleine Unternehmen und private Unternehmer. Darüber hinaus können Operationen in bestimmten Ländern (einschließlich Russland) unter bestimmten Bedingungen immer noch mit Hilfe eines Magnetstreifens durchgeführt werden. Jede neue Runde des technologischen Fortschritts gefährdet das Zahlungsökosystem. Welche Sicherheitsprobleme können zu einem leichteren Zugang zum Kartenzahlungsmarkt führen? Und wie riskieren wir, weiterhin auf alte Kartentechnologien zu setzen, insbesondere auf den Magnetstreifen?

    In den letzten Jahren ist die Anzahl der Operationen, die mit Hilfe von MPOS-Terminals durchgeführt wurden, deutlich gestiegen. Der intensive Wettbewerb unter den mPOS-Anbietern hat es extrem einfach gemacht, ein solches Zahlungsterminal zu erhalten. Die Vertragsunterzeichnung dauert weniger als fünf Minuten, und die mPOS-Terminals selbst werden häufig kostenlos zur Verfügung gestellt. Jetzt sind sie überall zu sehen. Sie sind wie gewöhnliche POS-Terminals das letzte Glied in der Zahlungsinfrastruktur. Dies macht sie für Eindringlinge interessant und leicht zugänglich.

    Studienfach


    Wir haben die Produkte der führenden Anbieter von mPOS-Terminals bewertet: PayPal, Square, iZettle und SumUp. Einige von ihnen bieten Dienstleistungen in mehreren Regionen der Welt an. Wir haben versucht, auf Dienste in verschiedenen Regionen zuzugreifen, wo dies möglich war, da der Zahlungsvorgang, die Anwendungen und Geräte sowie die Sicherheitseinstellungen je nach Standort unterschiedlich sind.

    Der lieferant Hersteller Terminal Region
    Platz Platz Terminal für kontaktlose
    Karten und Karten mit Square (S8) -Chip
    USA
    Platz Platz Terminal für Magnetkarten
    Square (S4)
    USA
    Platz Platz Terminal für kontaktlose Karten und Karten mit Square (S8) -Chip Europa
    Platz Platz Terminal für Magnetkarten Square (S4) Europa
    Platz Miura-Systeme Miura M010 USA
    SumUp (nicht öffentlich) AIR1 E001 Europa
    iZettle DATECS YRWCRONE Europa
    Paypal Miura-Systeme Miura M010 Europa

    Hersteller und Anbieter von mPOS-Terminals




    mPOS-Terminals

    Wir haben die Sicherheit von Geräten in fünf Kategorien analysiert:

    • Kommunikation zwischen dem Telefon und dem Zahlungssystemserver;
    • Kommunikation zwischen dem Telefon und dem mPOS-Terminal;
    • physische Schutzmechanismen des mPOS-Terminals;
    • mobile Anwendung;
    • zusätzliche Faktoren, die die Sicherheit beeinflussen, insbesondere das Einchecken während der Registrierung.




    Hauptforschungsbereiche

    Zahlungsvorgang


    Wir haben die Sicherheitsaspekte für Angriffsvektoren und Kartenzahlungen eingehend untersucht. Die entdeckten Schwachstellen gefährden die grundlegende Funktionalität des mPOS-Terminals.

    Der Hauptunterschied zwischen mPOS und normalen POS-Terminals besteht darin, dass der Verkäufer nicht direkt mit der Acquiring Bank verbunden ist. Stattdessen fungieren mPOS-Anbieter als Zahlungsaggregatoren, die eine Transaktionsgebühr erheben. Solche Zahlungsdienste können nicht immer das von der erwerbenden Bank gebotene Sicherheitsniveau gewährleisten. MPOS-Anbieter minimieren Sicherheitsrisiken auf ihre eigene Weise und verlagern häufig die Verantwortung für Betrug auf den Erwerber. Es ist wichtig zu verstehen, dass solche Zahlungsaggregatoren tatsächlich Verkäufer sind, die mit der erwerbenden Bank interagieren.



    Bezahlvorgang über MPOS-Terminal

    Risiken beim Bezahlen mit Karte


    Es gibt verschiedene Arten von Kartenzahlungen. Sie hängen vom Zahlungssystem, dem Emittenten und dem Land der Ausgabe ab. Während der Transaktion sendet die Karte eine Liste der unterstützten Methoden zur Überprüfung der Karteninhaber (CVM), in der die unterstützten Methoden und ihre Priorität beschrieben werden. CVM regelt auch, was passiert, wenn die ausgewählte Methode fehlschlägt. Das Terminal speichert die Konfigurationsdatei, in der auch die unterstützten Überprüfungsmethoden beschrieben werden. Das Terminal vergleicht diese beiden Dateien und versucht, eine Transaktion mit der ersten Prioritätsmethode durchzuführen. Die Prioritätsmethode sollte ein hohes Maß an Sicherheit bieten, dass der Karteninhaber während der Operation anwesend war.

    Einige Zahlungsarten sind offensichtlich sicherer als andere. Das Bezahlen mit einer Chipkarte und die Verwendung eines PIN-Codes gilt als sicherste Methode, da sie ein hohes Maß an Sicherheit dafür bietet, dass der Vorgang vom Karteninhaber genehmigt wurde. Der Magnetstreifen gilt als weniger sichere Technologie, da ein Angreifer die darauf gespeicherten Magnetstreifen- und Track2-Daten leicht klonen und die Unterschrift des Karteninhabers fälschen kann. Die mit einem Magnetstreifen durchgeführten Vorgänge geben nicht die Sicherheit, dass der Karteninhaber tatsächlich bei der Transaktion anwesend war. Im Gegensatz zu Kartenoperationen, die den EMV-Standard unterstützen, werden Transaktionen, die Magnetstreifen verwenden, ohne Kryptogramm durchgeführt. Dies bedeutet, dass solche Vorgänge die Integrität und Authentizität der Transaktion während ihrer Ausführung nicht gewährleisten.

    Übernehmen Sie den EMV-Standard


    Weltweit werden immer mehr Zahlungen nach dem EMV-Standard (Europay, Mastercard, Visa) getätigt, das heißt mit Hilfe von Chipkarten. In einigen Regionen ist die Einführung des Standards jedoch langsamer als in anderen. In den USA macht der EMV-Betrieb weniger als die Hälfte aller Transaktionen aus . Die meisten Operationen werden immer noch mit einem Magnetstreifen durchgeführt. In Europa werden etwa 90% aller Operationen nach dem EMV-Standard ausgeführt .

    Forschungsergebnisse


    Gerätemanipulation: Senden beliebiger Befehle


    Ein Angreifer kann sich über Bluetooth mit dem Gerät verbinden und beliebige Vorgänge ausführen. Dazu benötigt er Informationen zu den auf dem Gerät ausgeführten Bluetooth-Diensten sowie relevante Merkmale und Funktionen. Diese Informationen können vor dem Angriff mithilfe von Reverse Engineering abgerufen werden. Ein Angreifer benötigt nur Zugriff auf das mPOS-Terminal, ein Telefon, das die Registrierung von Ereignissen der Host Controller-Schnittstelle (HCI) unterstützt, und eine mobile Anwendung. Mit Hilfe der HCI-Ereignisprotokollierung versucht ein Angreifer, Informationen über die Hauptfunktionen des mPOS-Terminals zu erhalten. Dazu führt er Probevorgänge mit verschiedenen Zahlungsmethoden durch und vergleicht die Ergebnisse. Wenn die erforderlichen Informationen eingehen, analysiert der Angreifer, der Wireshark verwendet, die Kommunikation zwischen dem Telefon und dem mPOS-Terminal. Diese Informationen sowie mobile Anwendungsdaten ermöglichen den Vergleich von Funktionen mit ihren Befehlen und Bezeichnern. Abbildung 5 zeigt das Senden der Meldung „Karte einstecken“ auf dem Display des mPOS-Terminals.



    Die Meldung "Karte einlegen (streichen)" wird an das Display gesendet.

    Wenn die Karte falsch eingelegt ist, wird die Fehlermeldung "Bitte nehmen Sie die Karte" auf dem Display angezeigt. Im HCI-Journal sehen wir, welche UUID für die Anzeige von Text verantwortlich ist, und ein Beispiel für die gesendeten Daten.



    Die Meldung „Bitte nehmen Sie die Karte“ auf dem Display des mPOS-Terminals.



    Das erste Bluetooth-Paket ist für das Senden der Meldung verantwortlich: „Bitte nehmen Sie die Karte.“ Das



    zweite Bluetooth-Paket ist für das Senden der Meldung „Bitte nehmen Sie die Karte“ verantwortlich (die Meldung wird aufgrund der geringen maximalen Größe in zwei Pakete aufgeteilt.) ein Paket von Bluetooth Low Energy).

    Die folgende Abbildung zeigt, dass der an das mPOS-Terminal gesendete Wert aus fünf Teilen besteht. Es enthält ein Präfix, das den Befehlsbezeichner, den Wert des Zählers der gesendeten Befehle und die Größe der Payload, den Haupttext in Form von ASCII-Zeichen sowie das Postfix, den Prüfsummenwert und das abschließende Byte enthält.



    Elemente aus zwei Paketen, die für das Senden der Nachricht verantwortlich sind "Bitte nehmen Sie die Karte"

    Im folgenden Beispiel verwendet das Terminal Bluetooth Classic für die Kommunikation mit dem Telefon. Wir sehen die Meldung "Karte einlegen", die an das Terminal gesendet wird.



    Die Meldung „Karte einlegen (streichen)“ auf dem Display des mPOS-Terminals



    Das Bluetooth-Paket (im Wireshark-Fenster), das für das Senden der Meldung „Karte einstecken (streichen)“ an das Display des mPOS-Terminals zuständig ist

    Die folgende Abbildung zeigt, dass diese Daten aus drei Teilen bestehen: dem Präfix, der Nachricht und der Prüfsumme. Das Präfix enthält auch einen Zähler, eine Befehls-ID und eine Nutzlastgröße. Die Nachricht enthält in ASCII den Wert "Karte einfügen". Prüfsumme - XOR alle Bytes der Nachricht.



    Paketelemente, die für das Versenden der Nachricht "Einfügen (Ziehen) einer Karte" verantwortlich sind

    Mit dieser Information können Sie einen beliebigen Befehl erstellen und an das Display des mPOS-Terminals senden. Drei der getesteten Geräte waren anfällig für diesen Angriffsvektor.

    Der lieferant Hersteller Leser Region
    SumUp (nicht öffentlich) AIR1 E001 Europa
    iZettle DATECS YRWCRONE Europa
    Platz Platz Platz (S8) USA

    Liste der Terminals, die anfällig sind, um beliebige Befehle zu senden. Obwohl der Reader Square (S8) keine Anzeige hat, kann ein Angreifer andere willkürliche Befehle senden.

    Dieser Angriffsvektor kann in Verbindung mit der Ausnutzung anderer Schwachstellen verwendet werden, um dem Kunden weniger sichere Arten von Operationen zu bieten, beispielsweise auf einem Magnetstreifen. Dieses Szenario wird in den Abbildungen 14–16 beschrieben. Darüber hinaus kann ein Angreifer eine Meldung "Zahlung abgelehnt" senden, um den Karteninhaber zu zwingen, mehrere Transaktionen durchzuführen.



    Der Karteninhaber versucht, eine Karte



    einzulegen.Die an das Terminal-Display gesendete Nachricht "Bitte streichen Sie die Karte" zwingt den Karteninhaber, einen Magnetstreifen zu verwenden.



    Die Operation wurde erfolgreich ausgeführt - für die Operation, die mit einem Magnetstreifen ausgeführt wird, müssen Sie eine Signatur hinterlegen.

    Gefälschter Betrag


    Es gibt verschiedene Möglichkeiten, den Verkehr zwischen dem mPOS-Terminal und dem Server des Zahlungssystems abzufangen. Wir haben bereits einen davon beschrieben - die Registrierung von HCI-Ereignissen auf einem Mobiltelefon und die Analyse der erzielten Ergebnisse. Dazu müssen Sie den Entwickler aktivieren (Android Developer Mode). Ein Angreifer kann auf andere Weise vorgehen, beispielsweise den HTTPS-Verkehr zwischen der mobilen Anwendung und dem Server des Zahlungssystems abzufangen. Dies ist möglich, da der Server des Zahlungssystems in den meisten Fällen Befehle generiert und an das mPOS-Terminal sendet. Um die mobile Anwendung vor dem Abfangen von HTTPS zu schützen, verwenden alle Anbieter der getesteten Terminals SSL-Pinning.

    Die folgende Abbildung zeigt ein Beispiel für eine initialisierte Zahlung, die auf zwei verschiedene Arten abgefangen wird. Wir konnten HTTPS-Verkehr mit einem Man-in-the-Middle-Angriff (Man-in-the-Middle) abfangen, und so wurde der Debug-Modus aktiviert. Der Betrag der Transaktion wird unverschlüsselt angegeben. Ein Wert von 0100 entspricht 1,00 £.



    Initialisierte Zahlung mit Hilfe des mPOS-Terminals

    Nachdem Sie HTTPS-Verkehr abgefangen haben, können Sie den Transaktionsbetrag ändern. Dann müssen Sie die Prüfsumme neu berechnen. Danach können wir den geänderten Betrag an den Zahlungssystemserver senden, um die Transaktion zu bestätigen. Wir haben fünf Terminals gefunden, die bei der Verarbeitung von Magnetstreifen für die Summenänderung anfällig sind.

    Der lieferant Hersteller Leser Region
    SumUp AIR1 E001 Europa
    iZettle DATECS YRWCRONE Europa
    Platz Miura Miura M010 USA
    Miura Miura M010 USA
    Paypal
    Platz Platz Platz USA / Europa
    Magnetstreifenleser (S4)

    Für gefälschte Beträge anfällige mPOS-Terminals Ein

    unehrlicher Verkäufer kann den Karteninhaber betrügerisch dazu zwingen, eine Transaktion für einen viel höheren Betrag zu bestätigen. Während des Vorgangs zeigt der Verkäufer einen Betrag auf der Anzeige des Lesers an, der Dienst wird jedoch an den Anbieter des mPOS-Terminals gesendet, um den höheren Betrag zu bestätigen. Dieser Angriff ist in der folgenden Abbildung dargestellt.



    Links: Der an den Server des Zahlungssystems gesendete Betrag (1,23 £). Richtig: Der Betrag, den der Karteninhaber sieht (£ 1)

    Terminals, die Operationen mit Magnetstreifen unterstützen, sind betroffen. Während des Betriebs sendet das Terminal nur verschlüsselte Daten an Track2. Die Operation selbst ist nicht gesichert. Dieser Angriffsvektor funktioniert nicht, wenn die Operation gemäß dem EMV-Standard ausgeführt wird, da bei solchen Operationen die Summeninformation im Kryptogramm gespeichert wird. Kontaktlose PayPass- und payWave-Zahlungen, die Legacy-Modi (PayPass MAGSTRIPE und PayWave MSD) unterstützen, bieten dieses Schutzniveau nicht, da die Betragsinformationen auch nicht durch ein Kryptogramm geschützt werden.

    Um das Ausmaß des Problems zu verstehen, genügt der Hinweis, dass weniger als 50% der Transaktionen in den Vereinigten Staaten nach dem EMV-Standard abgewickelt werden. Darüber hinaus haben die von uns getesteten Dienstleister die Grenzwerte für einen einzelnen Vorgang mit Magnetstreifen in Europa und den USA mit 50.000 Euro bzw. 50.000 Euro unglaublich hoch festgelegt.

    Dieser Angriff kann verhindert werden, indem eine kryptographische Kontrolle der Integrität der Betrags- und Währungsfelder verwendet wird und der Betrag und die Währung des Vorgangs auf dem Lesegerät mit dem vom Dienstanbieter bestätigten Betrag verglichen werden. Es ist wichtig zu beachten, dass der PCI-DSS-Standard (aktuelle Version 3.2.1), der die Speicherung, Verarbeitung und Übertragung von Kartendaten regelt, keine solche Überprüfung bei Operationen mit Magnetstreifen erfordert. Die Operation erfordert nur die Übertragung von Daten Track2.

    Remote-Code-Ausführung


    Zwei der getesteten Terminals waren anfällig für die Codeausführung von Remotestandorten aus. Der Betrieb dieser Sicherheitsanfälligkeit bietet einem Angreifer vollständigen Zugriff auf das Betriebssystem des Terminals. Nachdem der Angreifer vollen Zugriff auf das Betriebssystem erhalten hat, kann er Track2-Daten vor der Verschlüsselung abfangen oder den unverschlüsselten Modus (zum Senden eines Befehls) auf der Tastatur des Terminals aktivieren, um den PIN-Code abzufangen.

    Der lieferant Hersteller Leser Region
    Platz Miura Miura M010 USA
    Paypal Miura Miura M010 USA

    Die Liste der Terminals, die anfällig für die Remote-Ausführung des Nyan Cat Movie- Codes



    auf dem Display des Miura M010-Terminals sind. Die Remote-Code-Ausführung ermöglicht einem Angreifer vollen Zugriff auf das Betriebssystem des Terminals.

    Physischer Schutz


    Die physischen Schutzmechanismen der meisten MPOS-Terminals sind ziemlich zuverlässig. Der Square (S4) -Magnetkartenleser garantiert nicht das Sicherheitsniveau und die technische Komplexität, die Kontaktlos- und Chipkartenleser kennzeichnen. Dies sollte jedoch eine Standardgeräteanforderung sein, die dem Verkäufer kostenlos zur Verfügung gestellt wird. Die verbleibenden Terminals bieten einen angemessenen physischen Schutz, Unterstützungsmechanismen, die das Öffnen verhindern, und andere Maßnahmen, um das Hacken von Hardware zu verhindern.

    Anti-Stopfer-Mechanismen


    Anti-Stopfer-Systeme verhindern das Öffnen des Terminals mit einem Bohrer und anderen Werkzeugen. Beim Versuch, es zu öffnen, ist ein Stromkreis unterbrochen und das Gerät funktioniert nicht mehr. Darüber hinaus arbeiten die meisten Leser mit proprietären Standards. Ohne Zugriff auf die Entwicklerdokumentation ist es unmöglich, durch physisches Öffnen des Geräts wertvolle Informationen zu erhalten.



    Internes iZettle YRWCRONE



    System zum Erkennen von Versuchen, das iZettle YRWCRONE zu öffnen

    Fazit


    Wir haben festgestellt, dass mehr als die Hälfte der mPOS-Terminals anfällig für Angriffe sind, während im Allgemeinen alle von uns analysierten mPOS-Terminalanbieter anfällig waren. Wir haben zahlreiche schwerwiegende Sicherheitsprobleme dokumentiert, insbesondere eine Sicherheitsanfälligkeit für die Ausführung willkürlicher Befehle, das Fälschen einer Summe und die Ausführung von Remote-Code.
    Sicherheitsmechanismen für Terminalhardware sind in den meisten Fällen zuverlässig und fortgeschritten. Andere Aspekte, wie z. B. die mit der mobilen Anwendung und dem Registrierungsverfahren verbundenen Aspekte, sind jedoch viel weniger sicher.

    Die Entwickler von mPOS-Terminals legen Wert auf die einfache Registrierung und Verwendung von Geräten. Dies sind Schlüsselelemente eines Geschäftsmodells, es berücksichtigt jedoch nicht, dass ein Rückgang der Eintrittsbarrieren in den Kartenzahlungsmarkt mit einer erheblichen Erhöhung der Sicherheit einhergehen muss. Zweifellos bleibt das betrügerische Verhalten von Verkäufern ein ernstes Problem für die Anbieter von MPOS-Terminals. Es ist notwendig, einen ernsthaften Ansatz für das Sicherheitsproblem zu entwickeln, einschließlich einer Überprüfung während der Registrierung und einer strengen Überwachung der Zahlungen.



    Autoren : Lee-Ann Galloway, Timur Yunusov, Artem Ivachev, Mark Kerni, Alexey Stennikov | Positive Technologien

    Jetzt auch beliebt: