Der Smart Card Reader „Kaan Tribank“ von Kobil, der unter anderem von Banken wie z.B. auch den Sparkassen zur Absicherung des Onlinebanking genutzt wird, wurde nun gehackt.
Das Gerät hat eine eigene Tastatur. So soll verhindert werden, dass die Nutzereingaben durch Trojaner ausgespäht werden können. Sollte der Card-Reader nun aber selbst mit einer manipulierten Firmware ausgestattet worden sein, dann bedeutet das unter Umständen ein großes Sicherheitsrisiko.
Der Hacker „Colibri“ wollte sich nach eigenen Aussagen nicht auf die Zertifizierungen von T-Systems und dem Bundesamt für Sicherheit in der Informationstechnik verlassen. Beide zertifizierten nämlich die Sicherheit des „Kaan Tribank“. Wie der Hacker zeigte, sollten entsprechende Zertifizierungen zurückgegeben werden.
Der Hacker analysierte das Innenleber des Kartenlesers und nachdem er den eingesetzten Prozessor erkannt hatte, konnte er erfolgreich die Firmware auslesen und so manipulieren, dass der Card-Reader die eigene Version der Firmware dann auch annahm.
Mit Hilfe seiner neuen Firmware kann der Card-Reader also auch ohne Öffnen des Gerätes manipuliert werden. Sicherheitssiegel am Gerät sorgen nämlich dafür, dass Manipulationen im Inneren des Gerätes durch beschädigte Siegel auffallen würden. Doch das ist nun gar nicht mehr möglich.
Möglich macht den Hack offenbar ein Fehler in der Signaturprüfung. Da diese nicht unbedingt für jeden Kartenleser neu programmiert wird, geht der Hacker davon aus, dass auch andere Geräte betroffen sein könnten.
Der Hersteller ist über das Sicherheitsleck informiert. Eine wirklich Gefahr scheint aktuell nicht zu bestehen, aber es wird empfohlen den Kartenleser erst wieder nach einem entsprechendem Firmwareupdate einzusetzen. Dabei sollte man als Anwender vor allem darauf achten, dass die Firmware einen „Fehler in der Signaturprüfung“ abschaltet. Fehlt ein solcher Kommentar, sollte man sich nicht in Sicherheit fühlen.
Wer genauere Informationen lesen möchte, der kann sich gerne die Originalbeschreibung des Hacks ansehen: http://colibri.net63.net/Smartcard-Reader%20von%20Kobil%20geknackt.pdf
Kommentare
:-)
Kommentieren