211service.com
Varme fra fingerspidserne kunne hjælpe ATM-hackere
De hemmelige koder, som bankkunder har indtastet, kan registreres ved hjælp af den resterende varme, der er efterladt på tastaturet, siger en gruppe forskere fra University of California i San Diego.
Hot hacker: Et typisk ATM-tastatur vises øverst. Nedenfor er et termisk billede taget umiddelbart efter det er blevet brugt. Koden i dette tilfælde var 1485.
Gruppens papir, der blev præsenteret tidligere på måneden på USENIX Workshop on Offensive Technologies, viser, at et digitalt infrarødt kamera kan læse cifrene i en kundes PIN-nummer på tastaturet mere end 80 procent af tiden, hvis det bruges med det samme. Og hvis kameraet bruges et minut senere, siger Keaton Mowery, en doktorand i datalogi ved UCSD, kan det stadig registrere de korrekte cifre omkring halvdelen af tiden.
Forskningen, som Mowery foretog sammen med medstuderende Sarah Meiklejohn og professor Stefan Savage, er baseret på tidligere arbejde af den kendte sikkerhedsforsker Michal Zalewski, som i 2005 brugte et infrarødt kamera til at registrere koder, der er slået ind i et pengeskab med tastaturlås. Mens Zalewski var i stand til at opdage koderne selv efter fem minutter, fandt UCSD-forskerne ud af, at chancen for at udtrække de rigtige cifre faldt til omkring 20 procent efter 90 sekunder.
Den infrarøde metode kan omgå defensive strategier, såsom afskærmning af tastaturet. Men en ATM-bruger kunne unddrage sig denne infrarøde overvågning blot ved at placere en hånd over hele tastaturet for at varme alle tasterne, siger Mowery. Og hvis en pengeautomat også bruger tastaturerne til at indtaste andre tal, såsom mængden af penge, der skal hæves, bidrager det med yderligere støj, siger Meiklejohn.
Metoden har også andre svagheder. Med plasttastaturer kan vi pålideligt registrere, hvilke knapper der blev trykket på, men det er virkelig svært at bestemme rækkefølgen, siger Mowery. Selvom billedet blev optaget umiddelbart efter, at brugeren havde indtastet det, var rækkefølgen af cifrene kun sporbar omkring 20 procent af tiden.
Og hvis tastaturet er metal, fuhgeddaboudit. I det væsentlige, hvis du pegede kameraet direkte mod metaltastaturet, ville det vise dig det termiske fingeraftryk af dig, kameraoperatøren, snarere end af selve tastaturet, siger Meiklejohn. Vi pressede dog ikke på det, for plasttastaturet virkede. Det er muligt, at en anden kan løse disse problemer.
Kombiner alle disse mangler med prisen på det infrarøde kamera – 2.000 USD om måneden at leje, omkring 18.000 USD at købe – og sandsynligheden for, at nogen angriber en pengeautomat på denne måde, er lav, siger forsker Zalewski. Miniature dagslyskameraer er meget enklere og mere pålidelige, siger han. Det samme er overfald.