Warmtekijker maakt PINcodes stelen kinderspel
Het gebruik van warmtekijkers maakt het kinderspel om ingevoerde PINcodes en andere toegangscodes te achterhalen, zo hebben onderzoekers tijdens de vijfde USENIX Workshop on Offensive Technologies (WOOT) laten zien. Volgens de onderzoekers heeft het gebruik van een warmtekijker als voordeel dat het niet nodig is om de codes tijdens het invoeren op te nemen.
De onderzoekers onderzochten de invloed van het soort toetsenbord, de afstand tussen de camera en het toetsenbord en de gebruiker die de code invoert. De kracht waarmee de testgroep de codes invoerde en hun eigen lichaamswarmte bleek enigszins van invloed op de resultaten.
Toch wisten de onderzoekers tachtig procent van de codes te achterhalen. Zelfs 45 seconden na het invoeren was er nog een succesratio van 60% en na een minuut was nog altijd de helft van de ingevoerde codes zichtbaar.
Metaal
Hoewel warmtekijkers duur zijn, zou een grootschalige aanval op een geldautomaat volgens de onderzoekers voldoende codes opleveren, om de aanval financieel haalbaar te maken.
Het gebruik van warmtekijkers is voor zover bekend nog niet door criminelen toegepast, maar wie geen risico wil lopen moet plastic toetsenborden met rubberen toetsen vermijden, aangezien die de warmte van de vingers het langst vasthouden. Bij metalen toetsenborden was het vanwege de samenstelling van het materiaal bijna onmogelijk om de achtergelaten warmte op te nemen.
Bij metalen toetsenborden was het vanwege de samenstelling van het materiaal bijna onmogelijk om de achtergelaten warmte op te nemen.
Bij metalen toetsenborden was het vanwege de samenstelling van het materiaal bijna onmogelijk om de achtergelaten warmte op te nemen.
Vandaaltjes met een aansteker en robuustheid in het algemeen zijn meer reden voor metaal ipv rubber toetsenborden dan nogal vergezochte aanvallen als IR kijkers.
Het is een plezierige bijkomstigheid, maar het zou me verbazen als "laat weinig warmte residu zien" in de design eisen gestaan heeft. Gegeven dat blokkeren van voorzetmondjes al achteraf bedacht moest worden...
< 7 6 [c] 8 3 [c] 2 9 [c] 1> pincode 7821
Simpel dus.
In andere landen kan dat, Nederland loopt achter. Als je oplet tijdens het nieuwe pinnen kan daar tot 6 cijfers, maar ik geloof niet dat de bank je dat laat instellen.
In andere landen kan dat, Nederland loopt achter. Als je oplet tijdens het nieuwe pinnen kan daar tot 6 cijfers, maar ik geloof niet dat de bank je dat laat instellen.
Dat kon ik 2 jaar geleden al instellen (en heb ik ook gedaan) @ ABN. Van de ING weet ik ook vrij zeker dat ze het al doen.
Om pincodes te bemachtigen gebruiken ze over het algemeen een overzet stuk, niet alleen voor de pas-mond maar ook voor het toetsenbord gedeelte, de toetsen die jij indrukt worden dan direct verzonden naar een gsm of andere ontvanger in de buurt. De apparatuur vs de winstmarge vs de pakkans bij het verwijderen maakt het zelfs dusdanig lucratief dat ze de overzet stukken vaak niet eens meer ophalen. (Overigens niks geen nieuws, dit staat al tijden op internet en heb er zelf ooit 1 gevonden en het uiteraard gemeld) :)
--Jeroen
Benieuwd? Ik zie je graag hier terug:
http://www.combibiz.com/page7.php
Wil je toch liever een Nederlandse toelichting, mail me dan even op het mailadres op de home-pagina:
http://www.combibiz.com
O, ja, een bereidwillige kennis van me heeft het PINcode-probleem prachtig op Youtube in beeld gebracht:
http://www.youtube.com/watch?v=q0-g29Zq_-o
Geniet er maar van!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
