211service.com
Hitte van vingertoppen kan ATM-hackers helpen
De geheime codes die door bankklanten worden ingetypt, kunnen worden geregistreerd met behulp van de restwarmte die achterblijft op het toetsenbord, zegt een groep onderzoekers van de University of California in San Diego.
Hete hacker: Een typisch ATM-toetsenbord wordt bovenaan weergegeven. Hieronder ziet u een warmtebeeld dat direct na gebruik is gemaakt. De code in dit geval was 1485.
Uit de paper van de groep, die eerder deze maand werd gepresenteerd op de USENIX Workshop on Offensive Technologies, blijkt dat een digitale infraroodcamera de cijfers van de pincode van een klant op het toetsenbord meer dan 80 procent van de tijd kan lezen als deze onmiddellijk wordt gebruikt. En als de camera een minuut later wordt gebruikt, zegt Keaton Mowery, een doctoraalstudent informatica aan de UCSD, kan hij ongeveer de helft van de tijd nog steeds de juiste cijfers detecteren.
Het onderzoek, dat Mowery samen met medestudent Sarah Meiklejohn en professor Stefan Savage deed, is gebaseerd op eerder werk van de bekende beveiligingsonderzoeker Michal Zalewski, die in 2005 een infraroodcamera gebruikte om codes te detecteren die in een kluis met een toetsenbordvergrendeling waren geponst. Terwijl Zalewski de codes zelfs na vijf minuten kon detecteren, ontdekten de UCSD-onderzoekers dat de kans om de juiste cijfers te extraheren na 90 seconden daalde tot ongeveer 20 procent.
De infraroodmethode kan defensieve strategieën omzeilen, zoals het afschermen van het toetsenbord. Een ATM-gebruiker zou deze infraroodbewaking echter kunnen ontwijken door een hand over het hele toetsenbord te leggen om alle toetsen op te warmen, zegt Mowery. En als een geldautomaat de toetsenborden ook gebruikt voor het invoeren van andere nummers, zoals het geldbedrag dat moet worden opgenomen, zorgt dat voor extra ruis, zegt Meiklejohn.
De methode heeft ook andere zwakke punten. Met plastic toetsenborden kunnen we betrouwbaar detecteren welke knoppen zijn ingedrukt, maar het is echt moeilijk om de volgorde te bepalen, zegt Mowery. Zelfs als de afbeelding onmiddellijk werd opgenomen nadat de gebruiker deze had ingetypt, was de volgorde van de cijfers slechts ongeveer 20 procent van de tijd detecteerbaar.
En als het toetsenbord van metaal is, fuhgeddaboudit. Als je de camera rechtstreeks op het metalen toetsenbord zou richten, zou het je in wezen de thermische vingerafdruk van jou, de cameraman, laten zien in plaats van van het toetsenbord zelf, zegt Meiklejohn. We hebben er echter niet op gedrukt, omdat het plastic toetsenbord wel werkte. Het is mogelijk dat iemand anders deze problemen kan oplossen.
Combineer al deze tekortkomingen met de kosten van de infraroodcamera - $ 2.000 per maand om te huren, ongeveer $ 18.000 om te kopen - en de kans dat iemand op deze manier een geldautomaat aanvalt, is klein, zegt onderzoeker Zalewski. Miniatuur daglichtcamera's zijn een stuk eenvoudiger en betrouwbaarder, zegt hij. Zo ook overvallen.