PCI DSS PA-DSS Статьи Блог Форум О Сообществе PCI DSS Russia Семинар


PCI DSS
Тэги
инцидент (371)
в мире (318)
исследования (293)
банки (246)
ДБО (240)
malware (176)
сообщество (114)
конференция (109)
статистика (100)
кража (95)
утечка данных (88)
digital security (77)
законодательство (58)
carders (54)
visa (47)
банкоматы (46)
соответствие (40)
mastercard (40)
pci dss (37)
phishing (35)
выполнение требований (31)
стандарт (29)
blackhat (25)
skimming (24)
pci ssc (18)
pci dss russia (18)
аудит (16)
pa-dss (16)
insider (15)
социальная инженерия (15)
dsecrg (14)
биометрия (13)
сертификация (12)
authentication (12)
pin (11)
вебинар (11)
публикации (9)
инфографика (6)
mobile (6)
пентест (5)
СТО БР ИББС (5)
oracle (4)
erp (4)
полезные советы (4)
cash (4)
область аудита (3)
шифрование (3)
обновления (3)
atm (3)
вредные советы (2)
документация (2)
sap (2)
бизнес-приложения (2)
owasp (2)
asv (1)
итоги (1)
мнение (1)
фишинг (1)
банк (1)
исследвания (1)
конференции (1)
Урасльский форум (1)
Самые комментируемые за месяцСамые комментируемые за месяц

Опросы
Где расположена ваша информационная инфраструктура?

В собственной серверной комнате
На арендованной площадке в дата-центре
В арендованной у дата-центра виртуальной среде

 
FAQ:
PCI DSS & PA-DSS


Что такое PCI DSS и PA-DSS? Ответы на главные вопросы.
Путь к соответствию PCI DSS

Выполнение требований стандарта и разработка компенсирующих мер.
Проверка
соответствия


Правила проверки соответствия компании требованиям стандартов и контакты тех, кто проверяет.
Копилка
полезностей


Здесь можно скачать стандарты PCI DSS и PA-DSS на русском языке и другие полезные материалы.
Главная Блог Блог

Переполнение буфера в POS-терминалах

Немецкий исследователь Томас Рот (Thomas Roth) из компании Security Research Labs (SRLabs) сообщил об обнаружении многочисленных уязвимостей в популярных POS-терминалах Hypercom Artema Hybrid, которые установлены во многих торговых точках. Например, в Германии это самые распространённые терминалы.

Томас Рот проинформировал производителя терминалов VeriFone ещё в марте нынешнего года, и даже продемонстрировал атаку, так что у них было достаточно времени для закрытия уязвимостей. Однако, те многократно повторяли, что не могут воспроизвести сценарий, «при котором снимаются PIN-коды во время проведения транзакций». Сейчас Томас считает вполне этичным опубликовать информацию, хотя конкретный эксплойт он, разумеется, не публикует. Говорит только, что уязвимости связаны с ARM-процессором, а не с криптографическим модулем Hardware Security Module (HSM).

В отличие от известных раньше способов атаки на терминалы, сейчас Томас Рот утверждает, что среди обнаруженных уязвимостей есть переполнение буфера в сетевом стеке. Поскольку устройство подключено по протоколу TCP/IP, это открывает возможности даже для удалённого исполнения кода на системном уровне.

Локальный взлом устройства возможен двумя способами: либо через серийный интерфейс, либо через JTAG. Например, в этом видеоролике показано, что на терминале можно даже запустить игру Pong. Кроме этого, возможно клонирование карт и снятие PIN-кодов, изменение транзакций и проведение фальшивых транзакций.

Источник: ][akep

skimming
КомментарииКомментарии

Добавьте комментарий!
Представьтесь, пожалуйста
Укажите адрес вашей почты
Опубликован не будет
Следить за дискуссией по почте
 











Партнеры