網(wǎng)絡安全公司IOActive的安全顧問羅德里格斯(Josep Rodriguez)對近場通信(NFC)缺陷的研究取得了重要進展，對ATM和POS的NFC讀取芯片進行的測試表明，NFC的漏洞可以被利用并對ATM機和POS終端造成危害。他所需要的只是一臺帶有NFC的智能手機和一個自己設計的Android應用程序。據(jù)《連線》網(wǎng)站報道，研究人員的實驗包括創(chuàng)建一個可以模仿無線電傳輸?shù)膽贸绦?。這樣系統(tǒng)中的NFC漏洞就可以被利用。他甚至在一段視頻中與《連線》雜志分享了它的工作方式，由于GDPR的原因，這段視頻沒有公開。
多年來，安全研究人員和網(wǎng)絡犯罪分子通過所有可能的途徑侵入ATM機內(nèi)部，從打開前面板，將U盤插入USB端口，到鉆一個暴露內(nèi)部線路的洞。現(xiàn)在，一名研究人員發(fā)現(xiàn)了一系列漏洞，這些漏洞可以讓他以一種新的方式入侵ATM機——以及各種各樣的POS終端：用他的手機在一個非接觸式信用卡讀卡器上一掃即可。
NFC被稱為近場通信（Near Field Communication），是一種允許兼容設備進行通信的無線技術。NFC有被動的和主動的兩種，第一種不能通信和響應，只是發(fā)送數(shù)據(jù)。主動NFC設備的例子是智能手機?；谏漕l識別技術，NFC允許用戶在讀卡器上揮動信用卡，而不是實際插入。人們可以通過NFC系統(tǒng)從自動取款機上取款或向POS支付。
IOActive安全公司研究員兼顧問何塞·羅德里格斯（Josep Rodriguez）去年花了大量時間，挖掘并報告近場通信讀取器芯片的漏洞。全球數(shù)百萬臺ATM機和POS系統(tǒng)都使用了這種芯片。NFC系統(tǒng)讓你在讀卡器上刷卡，而不是刷物理卡或插入，來進行支付或從取款機中取錢。你可以在全球無數(shù)的零售商店、餐館柜臺、自動販賣機、出租車和停車計時器上找到它們。
現(xiàn)在，羅德里格斯開發(fā)了一個Android應用程序，可以讓他的智能手機模仿這些信用卡無線通信，并利用NFC系統(tǒng)固件中的缺陷。只要一揮他的手機，他就可以利用各種漏洞使POS設備崩潰，破解它們來收集和傳輸信用卡數(shù)據(jù)，隱秘地改變交易的價值，甚至在顯示勒索軟件信息時鎖定設備。羅德里格斯說，他甚至可以強迫至少一個品牌的ATM機發(fā)放現(xiàn)金——盡管黑客只有與他在ATM機軟件中發(fā)現(xiàn)的其他漏洞結(jié)合起來才能工作。由于與ATM供應商簽訂了保密協(xié)議，他拒絕公開說明或披露這些缺陷。
“例如，你可以修改固件，將價格改為1美元，即使屏幕顯示你要支付50美元。你可以讓設備失效，或者安裝一種勒索軟件。這里有很多的可能性，”羅德里格斯談到他發(fā)現(xiàn)的POS攻擊時說?！叭绻銓⒐翩溸B起來，并向ATM機的電腦發(fā)送一個特殊的有效載荷，你就可以像自動取款機一樣，輕輕敲擊你的手機就能獲得大量現(xiàn)金?！?/p>
羅德里格茲說，他已經(jīng)提醒了受影響的供應商，包括ID Tech、Ingenico、Verifone、Crane Payment Innovations、BBPOS、Nexgo和未具名的ATM供應商。即便如此，他警告說，受影響的系統(tǒng)數(shù)量之多，以及許多POS終端和自動取款機不定期接收軟件更新的事實——而且在很多情況下需要通過物理途徑獲取更新——意味著許多這類設備仍然容易受到攻擊。羅德里格斯說：“對成千上萬的自動取款機進行物理修復，這將需要很多時間?！?/p>
為了證明這些持續(xù)存在的漏洞，羅德里格斯與《連線》雜志分享了一段視頻。在視頻中，他在自己居住的馬德里街道上，用智能手機在ATM機的NFC讀卡器上揮手，導致ATM機顯示錯誤信息。NFC讀卡器似乎崩潰了，當他再次觸碰信用卡時，就不再讀取信用卡了。（羅德里格斯要求《連線》雜志不要發(fā)布這段視頻，以免承擔法律責任。他也沒有提供一段關于攻擊的視頻演示，因為他說，他只能在IOActive向受影響的ATM供應商提供安全咨詢時獲得的機器上進行合法測試，IOActive已經(jīng)與該供應商簽署了保密協(xié)議。）
安全公司SRLabs的創(chuàng)始人、著名固件黑客卡斯滕諾爾（Karsten Nohl）評論了羅德里格斯的研究，他說，這些發(fā)現(xiàn)是“對嵌入式設備上運行的軟件漏洞的出色研究”。但諾爾指出了一些缺點，這些缺點降低了它對現(xiàn)實世界盜賊的實用性。被黑的NFC讀卡器只能竊取磁條信用卡數(shù)據(jù)，而不能竊取受害者的個人密碼或EMV芯片上的數(shù)據(jù)。諾爾說，事實上，ATM的提現(xiàn)技巧要求目標ATM的代碼有一個額外的、明顯的漏洞，這不是一個小警告。
但安全研究人員，比如最近IOActive的黑客巴納比·杰克和紅氣球安全公司的團隊，多年來已經(jīng)發(fā)現(xiàn)了這些ATM的漏洞，甚至還發(fā)現(xiàn)黑客可以遠程觸發(fā)ATM中大獎。紅氣球首席執(zhí)行官兼首席科學家Ang Cui表示，他對羅德里格斯的發(fā)現(xiàn)印象深刻，并且毫無疑問，盡管IOActve沒有透露一些攻擊的細節(jié)，但入侵NFC讀卡器可能會導致許多現(xiàn)代自動取款機吐現(xiàn)金?！拔艺J為一旦你在這些設備上執(zhí)行了代碼，你應該能夠直接進入主控制器，這是非常合理的，因為這個東西充滿了漏洞，十多年來都沒有被修復，”崔說?！皬哪菚r起，”他補充說，“你就可以完全控制卡式販賣機了”，這種販賣機可以存放并向用戶發(fā)放現(xiàn)金。
作為一名顧問，羅德里格斯多年來一直在測試自動取款機的安全性。他說，他從一年前就開始研究自動取款機的非接觸式讀卡器（最常見的是由支付技術公司ID tech銷售的）是否可以作為入侵自動取款機的途徑。他開始從eBay購買NFC讀卡器和POS設備，并很快發(fā)現(xiàn)許多設備遭受相同的安全缺陷：他們沒有驗證數(shù)據(jù)包的大小，當數(shù)據(jù)通過NFC由信用卡到讀卡器時，被稱為應用程序協(xié)議數(shù)據(jù)單元或APDU。
通過使用自定義應用程序，從他的支持NFC的Android手機發(fā)送精心制作的APDU，該APDU比讀卡器預期的大數(shù)百倍，Rodriguez 能夠觸發(fā)“緩沖區(qū)溢出”，這是一種已有數(shù)十年歷史的軟件漏洞，允許黑客破壞目標設備的內(nèi)存并運行他們自己的代碼。
當 WIRED 聯(lián)系受影響的公司時，ID Tech、BBPOS 和 Nexgo 沒有回應置評請求，ATM 行業(yè)協(xié)會拒絕置評。Ingenico 在一份聲明中回應說，由于其安全緩解措施，Rodriguez 的緩沖區(qū)溢出技術只能使其設備崩潰，而不能在它們上執(zhí)行代碼，但“考慮到對我們客戶的不便和影響”，它無論如何都需要發(fā)布了修復程序。（羅德里格斯反駁說，他懷疑Ingenico的緩解措施實際上會阻止代碼執(zhí)行，但他實際上并沒有創(chuàng)建概念證明來證明這一點。）
Verifone表示，該公司發(fā)現(xiàn)并修復了羅德里格斯在2018年強調(diào)的POS漏洞，當時羅德里格斯還沒有報告這些漏洞。但羅德里格斯認為，這只是表明該公司的設備缺乏一致的補??；他說，他去年在一家餐廳的Verifone設備上測試了他的近距離通信技術，發(fā)現(xiàn)它仍然脆弱。
羅德里格斯將他的許多發(fā)現(xiàn)保密了整整一年，他計劃在未來幾周的網(wǎng)絡研討會上分享這些漏洞的技術細節(jié)，部分原因是為了推動受影響供應商的客戶實施這些公司提供的補丁。但他也希望更廣泛地關注嵌入式設備安全的糟糕狀態(tài)。他震驚地發(fā)現(xiàn)，像緩沖區(qū)溢出這樣簡單的漏洞一直存在于如此多的常用設備中——處理現(xiàn)金和敏感財務信息的設備更是如此。
“這些漏洞多年來一直存在于固件中，我們每天都在使用這些設備來處理我們的信用卡和我們的錢，”他說。“它們需要得到保護。”
