Hackerkonferenz 32C3 - Hardware-Sicherheitsmodul von EC-Terminals geknackt

Der Chaos Communications Congress findet im Congress Centrum Hamburg statt und gilt als eine der größten Hackerkonferenzen weltweit.

Gegen zu schwache Protokolle bei der Abwicklung von EC-Zahlungen protestiert der Chaos Computer Club schon länger. Nun zeigt sich, dass auch die genutzte Hardware nicht sehr gut gegen Angriffe gesichert ist.

So zeigten Mitarbeiter des Sicherheitsunternehmens Security Research Labs zuerst, wie sich die Softwareprotokolle gängiger EC-Zahlungsterminals umgehen lassen. Solche EC-Stationen finden sich in jedem Supermarkt zur bargeldlosen Bezahlung des Einkaufes. Da sich die Angreifer für einen Hack des Protokolls im gleichen Netzwerk wie das EC-Terminal befinden müssen, ist dieser Angriff weniger gut für Supermärkte geeignet. In Hotels allerdings finden sich immer wieder auch die EC-Geräte im Gäste-WLAN, so dass eine Man-in-the-Middle-Attacke kein großes Problem darstellen dürfte.

Doch nicht nur die Software scheint sich mit etwas Fachkenntnis überwinden zu lassen. In Hamburg zeigen die Sicherheitsforscher auch wie sich das Hardware-Security-Modul (HSM) eines EC-Terminals knacken lässt. Zwar ist ein gewisser Aufwand zum Knacken des HSM nötig, der Angriff beweist aber, dass die Sicherheitschips in den Terminals oft nur eine falsche Sicherheit vortäuschen. Die Hacker raten daher zu einer Ende-zu-Ende-Verschlüsselung statt vermeintlich sicherer Sicherheitschips. Weitere Hintergründe des Hacks lassen sich bei Golem nachlesen.