Ulmer Bankautomaten (War: Die T und der Pinguin)

[Andre Landwehr]

Alexander Gretencord schrieb:
> Stellen wir uns das mal in einem Idealszenario vor (Ich hab ka, wie das in der 
> Realitaet ist :)): Kunde steckt Karte ein. Automat liest Konto-/Kartennummer 
> aus. Der Kunde waehlt eine Funktion, die eine Pin benoetigt aus. Der Kunde 
> tippt seine Pin auf dem Pinpad ein. Dieses Pinpad verlassen nur 
> verschluesselte Daten, die erst auf Serverseite wieder entschluesselt werden 
> koennen. Das Pinpad ist so gebaut, dass der Speicher mit den 
> Verschluesselungsdaten sich selbst irreparabel zerstoert, wenn man versucht 
> das Gehaeuse aufzumachen. Der Server bekommt <encrypted-Pin, Konto-Nr, 
> hebe-100-EUR-ab> und sagt ok. Wo brauche ich da Datenbankaccounts oder 
> Aehnliches? Was ich vielleicht brauche sind Authentifizierungsdaten, dass der 
> Server weiss, welcher Automat es ist. Diese darf ich dann aber auch nicht auf 
> dem OS/2 oder Windows oder was auch immer speichern, wenn ich moechte, dass 
> da irgendwas aussagekraeftig ist.

Mit der Applikationsseite der Automaten hatte ich zwar wenig zu tun, als 
ich in der Branche arbeitete, aber so in der Art läuft das ab, ja. Wenn 
da irgendeine Bank Datenbankzugangsdaten drauf speichert, dann nur für 
irgendwelchen Convenience-Schnickschnack àla "Kunde x war schonmal an 
diesem Automaten und hat eine Überweisung an diese Kontonr. getätigt, 
dann kann man ja schonmal das gesamte Überweisungsforumlar so ausfüllen 
wie beim letzten Mal".
Das da keine Datenbankpaßwörter draufliegen sieht man schon daran, daß 
ich ja auch mit der EC-Karte der Sparkasse Pusemuckel nicht nur an deren 
eigenen Automaten und denen aller anderen paar hundert Sparkassen in 
Deutschland, sondern auch an solchen der Credit Lyonnaise mitten in 
Paris meine 20 Euro abheben kann. Das würde ja wiederum bedeuten, daß 
auf sämtlichen Automaten in Europa jeweils die Datenbankpaßwörter 
sämtlicher Banken in Europa hinterlegt sein müßten. Dafür sind Banken zu 
paranoid, selbst wenn es praktisch machbar wäre.
Die Pinpads beherrschen auf jeden Fall Verschlüsselung, die PIN geht 
noch nichtmal innerhalb des Automaten unverschlüsselt über ein Kabel. 
Die PIN, verbunden mit den Informationen vom Magnetstreifen der Karte 
und teilweise auch mit denen vom Chip auf der Karte, verbunden mit den 
Daten der Transaktion und nochmal zusätzlich verschlüsselt vom 
Automaten, geht dann an einen Hostrechner und wird von da aus, falls 
nötig, an die richtige Empfängerbank weitergeleitet, die dann das ok für 
die Transaktion gibt.
Mit anderen Worten: einen Automaten zu knacken gibt dir Zugriff auf den 
Tresorinhalt; aber von etwaigen Servern, die du dann ansprechen kannst, 
wirst du nur ein NAK ernten solange du keine echte Karte mit korrekter 
PIN hast. Und wenn du es schaffst, eine Karte samt PIN zu fälschen, 
brauchst du den Automaten eh nicht mehr zu knacken um was abzuheben ;)

andrel