warum ist das vorher eigentlich keinem aufgefallen?

[antares]

Ich meine, diese Bankkarten sind ja nur ein paar jahre gültig, weswegen wohl auch immer relativ aktuelle software auf den karten sein sollte.

Ich gehe weiterhin davon aus, dass die datumsfunktionen auf der karte für die kryptographischen routinen beim austausch von daten im Geldautomaten verwendet werden - Da kann es doch nicht sein, dass man sowas nicht testet?

Last but not least... Schlägt es ausser mir noch einem über auf, wenn man hört dass die bankkarten von einem geldautomaten mit neuer firmware bestückt werden können? Was passiert erst, wenn dieses wissen bei skimmern die runde macht?

[dada]

Beim Systemtest bzw. Abnahmetest wurde in dieser Hinsicht geschlampt (und zwar ordentlich).

Eventuell wurde bei den Schnittstellentests nichts gefunden, da die Schnittstellen mit ebenfalls Fehlinterpretierten Daten getestet wurde und das Gesamtsystem wurde dann nicht mehr richtig ausgetestet.

Da die Tests allerdings nicht nur von der Herstellerfirma getestet sondern auch von diesem Bankenzertifizierungsinstitut zertifiziert wurde (bei einer zertifizierung sollte eigentlich auch mal getestet werden ob Sie die Teile so verhalten wie gewünscht) haben die auch beim Testen geschludert.

Wegen den Updates: Ich denke mal, das der Bootloader (der Bereich der ein Update zulässt und durchführt) der Karte nicht so ohne weiteres jedes angebotene Update akzeptiert und durchführt. Im Idealfall muss für jede Karte ein - nur dem Ausgebenden Bankinstitut Bekannter - private key verwendet werden, mit dem die Updatedaten verschlüsselt sein müssen. Wenn dann noch eine Karte nach x verschiedenen "falschen" Updateversuchen auf stur stellt dürfte es sehr schwierig sein den richtigen Key für eine Karte zu ermitteln.

Wenn dann zusätzlich noch der "public-key" der Karte nur intern verwendet wird und nach dem Einbrennen von außen nicht mehr ausgelesen werden kann hat ist man relativ sicher, das sich der Aufwand nicht lohnt - zumal ein gefundener Schlüssel dann nur für die eine Karte gültig ist.

[antares]

>>Wenn dann zusätzlich noch der "public-key" der Karte nur
>>intern verwendet wird und nach dem Einbrennen von außen
>>nicht mehr ausgelesen werden kann hat ist man relativ
>>sicher, das sich der Aufwand nicht lohnt - zumal ein
>>gefundener Schlüssel dann nur für die eine Karte gültig
>>ist.

macht doch nix, als findiger betrüger würde ich jetzt losfahren, den erstbesten Geldautomaten klauen, die kohle wegwerfen(ist ja angeblich eh bewegungsmelder mit gekoppelter farbbombe drin) und die im GA verwendete software analysieren. Sollte die bank sich nur mit einem Priv Key authentifizieren, wäre das perfekt, den könnte man höchstwahrscheinlich sogar aus dem ram der kiste(da steckt ja nurn PC drin) auslesen. wenn nicht, könnte man schauen wie der automat übers internet an den key kommt. Auf jeden fall würde durch dieses wissen der physische Geldautomat selbst zur schwachstelle.