Penso che il presupposto qui sia sbagliato. Non hanno accesso fisico alla macchina. Hanno accesso supervisionato a un pannello di controllo molto limitato per una macchina che è integrata in una cassaforte a prova di bomba, imbullonata a terra e collegata a un sistema di allarme con una forza di risposta armata.

Prendi la macchina fuori dal caveau e lontano dalla supervisione e poi sì ... tutte le scommesse sono annullate.

Gli sportelli automatici dovrebbero essere a prova di manomissione e reagire attivamente a qualsiasi violazione rilevata della sicurezza fisica, in particolare contrassegnando le banconote con inchiostro molto evidente e difficile da rimuovere e commettendo un seppuku onorevole. Del resto, un bancomat dovrebbe essere confrontato con HSM, terminali di pagamento e smart card. Puoi immaginare il bancomat come una specie di Davy Crockett trincerato nel forte di Alamo e che grida "non mi prenderai mai vivo!". In confronto, un PC di base non ha tutte le forme di resistenza alla manomissione e sarebbe più adeguatamente confrontato con un buffet aperto in un evento di beneficenza sorvegliato da monaci buddisti non violenti che scoraggeranno comportamenti scortesi facendo smorfie severe e colpendo gli autori solo con occhiate severe .

In pratica, la maggior parte degli attacchi ad ATM sono attacchi all ' ambiente ATM, ad es skimming: il bancomat stesso non è stato toccato, ma la carta di debito viene spiata durante il suo transito fisico dal portafoglio del proprietario alle viscere del bancomat.

L'adagio è ancora accurato. L'accesso fisico alla macchina non è la stessa cosa della capacità fisica di interagire con la macchina. La stragrande maggioranza degli attacchi contro una scatola fisica coinvolge effettivamente alterare l'hardware e c'è una quantità limitata che puoi fare per alterare l'hardware di un bancomat poiché è chiuso in una cassaforte, lontano dall'utente.

Tuttavia, vale la pena notare che uno degli attacchi di maggior successo contro gli sportelli automatici è quello di coprire la tastiera e il lettore di schede con un lettore di schede e una tastiera progettati dallo stesso utente malintenzionato. Possono quindi usarlo per scansionare la carta e ottenere il pin. Ciò consente loro di clonare la carta e accedere direttamente al bancomat.

La macchina stessa è ancora sicura poiché l'accesso fisico è limitato, ma l'interfaccia non è fisicamente protetta ed è quindi facilmente aperta a minacce alla sicurezza. Questo è il motivo per cui le telecamere spesso guardano l'ATM per cercare l'installazione di tale hardware.

Gli sportelli automatici di oggi possono essere più sicuri di quelli di ieri, ma il track record è stato imprevedibile.

• falsi bancomat sono stati creati da criminali e utilizzati per duplicare carte bancarie e riscuotere PIN. Ciò si avvantaggia del fatto che mentre gli sportelli automatici autenticano gli utenti tramite carte e PIN, gli utenti si fidano semplicemente che gli sportelli automatici siano reali per il loro aspetto visivo e i loghi bancari.

• Gli sportelli automatici autentici sono stati equipaggiati con apparecchiature criminali per raccogliere PIN, in risposta alle quali gli sportelli automatici hanno dovuto incorporare nuove misure fisiche.

• Gli sportelli automatici sono stati semplicemente strappati e portati via dai criminali.

• Gli sportelli automatici sono aperti 24 ore al giorno e in aree deserte, creando opportunità per i criminali di costringere le vittime a estrarre denaro. Prima del bancomat, non era possibile rapire qualcuno a coltello e portarlo in banca e alle 3 del mattino in una parte squallida della città.

• Come osservazione generale , le nuove misure di sicurezza introdotte nel settore bancario di solito tendono a essere progettate per proteggere le banche dalla responsabilità, piuttosto che dalla sicurezza dei clienti o del loro capitale.

Mi sono disconnesso per pubblicare questo messaggio solo per sicurezza:

Ho lavorato con i bancomat in passato. Le nostre macchine di prova sono davvero piuttosto insicure; il sistema operativo deve essere eseguito su hardware verificato, ma possiamo ottenere i diritti di amministratore per il sistema operativo abbastanza facilmente e fare quello che vogliamo. Abbassiamo regolarmente il firewall e apriamo le scatole alla rete (non avranno Internet) in modo da poter eseguire test automatizzati. Sono per lo più protetti in due modi:

1. Hardware. Come altri hanno commentato, gli sportelli automatici "in libertà" dispongono di una serie di misure di sicurezza fisica per impedire la manomissione della scatola, inclusa la protezione contro la dinamite (da parte di alcune aziende in alcune località in cui l'uso della dinamite è un fattore comune), schizzi di inchiostro (quindi se riesci a entrare, non puoi usare nessuno dei contanti) e misure anti-skimmer (con vari gradi di efficacia).

2. Mancanza di privilegi. Funzionando come previsto, non hai mai la possibilità di accedere come utente amministratore, non puoi utilizzare dispositivi USB a meno che non siano hardware ATM verificato, eccetera. Ancora una volta, è abbastanza semplice far funzionare l'ATM in modo non intenzionale - lo fanno per installazioni, aggiornamenti e così via - ma non è possibile farlo dal pinpad / frontend dell'ATM e il retro di solito è a) bloccato (vedi punto 1) e / o b) all'interno della banca, rendendo molto ovvio quello che stai cercando di fare.

In larga misura, la sicurezza varia con il vettore di attacco. Ad esempio, in genere non sono affatto sicuri di avere uno skimmer installato, consentendo a un ladro di raccogliere informazioni sulla carta da utenti ignari. Stanno migliorando aggiungendo fasce modellate in modo complesso che rendono più difficile l'installazione degli schiumatoi, ma anche questo può essere superato da un buon scultore o da una stampante 3D.

Per quanto riguarda la protezione contro l'effrazione: spesso sono allarmati, quindi quando un aspirante ladro entra nella scatola, la polizia è già lì. La soluzione migliore è trascinare fisicamente la macchina e introdurla in un luogo sicuro, e le macchine sono spesso imbullonate o incatenate sul posto per evitare che ciò accada.

Cercherò di affrontare la tua domanda da un punto di vista puramente fisico.

L'accesso fisico ha ancora la precedenza su quasi tutte le altre misure di sicurezza, questo vale per gli bancomat pure.

Immagina il seguente scenario: hai un PC bloccato (in attesa di nome utente & password) in un bunker nucleare chiuso, all'esterno hai un mouse, una tastiera e un monitor. Il tutto collegato al PC con cavi lunghi. Avere accesso alla tastiera e al mouse non è molto diverso dall'avere accesso RDP in questo caso. Probabilmente puoi inviare un po 'di alta tensione nei cavi, eseguendo così un attacco DoS, ma è il massimo che puoi.

Gli sportelli automatici non vengono attaccati semplicemente perché i rischi superano i benefici. L'ATM ha una telecamera di sicurezza incorporata, ci sono telecamere di sicurezza intorno ad esso, ha un allarme interno, è posizionato in una piccola stanza costruita in modo sicuro. Quando i ladri entreranno nel bancomat, probabilmente la polizia sarà già lì.

sicurezza fisica della macchina, poiché viola un principio di sicurezza comune

Di solito no. L'accesso fisico non significa che puoi guardarlo o trovarti nello stesso posto, significa che puoi colpire le viscere. Le budella sono in una cassaforte pesante, quindi a meno che tu non possa portarla via, avere ore per aprirla al suo posto, o sei un dannato fabbro, va bene così com'è.

Un'area ben trafficata e l'esposizione pubblica sono spesso sufficienti perché gli attacchi fisici per accedere alle parti bloccate della macchina richiedono tempo (o attrezzature pesanti).

Per quanto riguarda le telecamere ATM, non si tratta di prevenire il furto dalla macchina. Riguardano l'identificazione di crimini che non rompono il bancomat dopo il fatto, come qualcuno che posiziona uno skimmer o che coglie crimini di ritiro forzato.

Man mano che si verificano tentativi più audaci contro la sicurezza fisica del dispositivo, vengono trovati metodi di installazione migliori per prevenirli.

Quindi, poiché le interfacce che non sono sulla parte anteriore del la macchina prende l'apertura di serrature di sicurezza o danneggia l'hardware prima di poter applicare conoscenze specialistiche, è più facile rubare la cassa o concentrarsi su hack esterni.

Ebbene, alcuni fattori.

Presumo che molti dei ladri che tenteranno di prendere di mira i bancomat rientrano in due categorie.

1. Ladri che saranno scoraggiati dalle serrature fisiche.
2. I ladri che vogliono i soldi sono il bancomat così male che è disposto a spaccare fisicamente la macchina.

I ladri che sono effettivamente abbastanza intelligenti da hackerare il sistema degli sportelli automatici per ottenere i contanti probabilmente troveranno il rischio di essere scoperti perché presenti fisicamente non vale la quantità di denaro che possono ottenere dallo sportello automatico, considerando che probabilmente ci sono attività di mercato nero meno rischiose e più redditizie a cui possono prendere parte.

Ci sono stati molti exploit dimostrati contro gli sportelli automatici, molti dei quali illustrati in questo post del blog qui. Tuttavia, non sono sicuro che qualcuno degli exploit sia stato utilizzato in natura.

"Se un utente malintenzionato ha accesso fisico alla mia macchina, tutte le scommesse sono disattivate,"

Questo è generalmente applicato a PC / laptop / server. Questi hanno cose come porte USB / unità CD (per non parlare delle viti facili da rimuovere dalle quali puoi colpire le interiora) da cui puoi facilmente ottenere pieno accesso. Ad esempio, se voglio entrare nel computer dei miei amici (Linux), posso semplicemente eseguire l'avvio da un CD / USB live, chroot nel loro Linux FS, cambiare la password dal loro (o crearne uno nuovo utente), riavvia e ora ho pieno accesso. Windows è più complicato, ma fattibile. Se l'hanno bloccato tramite BIOS, posso aprirlo, rimuovere il disco rigido e poi modificarlo. Fondamentalmente, tali dispositivi non sono fatti per la sicurezza. Hanno molta sicurezza del software, ma non è prevista la sicurezza dell'hardware poiché mantenere l'hardware sicuro è il tuo problema.

Gli sportelli automatici, d'altra parte, lo sono progettato per essere sicuro dal punto di vista hardware. Sarà difficile entrare in un bancomat ben progettato. Probabilmente puoi fare un buco nel lato e ottenere l'accesso fisico (dopo di che puoi prendere i soldi e / o entrare nel sistema bancario), tuttavia probabilmente ci sono allarmi che avvisano la polizia quando un bancomat viene manomesso. Eventuali slot / porte USB di un bancomat possono essere bloccati in modo tale che solo i dispositivi autorizzati possano passare. Tuttavia, le persone sono in grado di cavarsela installando gli skimmer negli slot per schede ATM o negli sportelli automatici a martello e correndo con i contanti. Sono stati dimostrati alcuni casi in cui è possibile eseguire il flashing del nuovo firmware (gasp) molto rapidamente.

A quanto pare alcuni modelli di sportelli automatici utilizzano una chiave universale che puoi scaricare da Internet. Dare accesso fisico all'hardware. Nel 2010 un esperto di sicurezza ha dimostrato come è stato in grado di utilizzare questo (e il fatto che alcuni ATMS possono essere aggiornati tramite linea telefonica) per fare in modo che l'ATM emetta denaro su richiesta.

Come altri hanno già detto, gli involucri negli ATM impediscono praticamente l'accesso diretto al computer all'interno. Ma se usi una chiave di scheletro supponendo che solo i legittimi proprietari ne abbiano una o consenti a una telefonata casuale l'accesso completo per aggiornare il tuo sistema, non importa.

L'ATM è sicuro allo stesso modo di tutte le funzioni di sicurezza fisica: la serratura della porta di casa o il caveau di una banca. Non è "impenetrabile a tutto", semplicemente non è penetrabile in un tempo che consente di afferrare il bottino e scappare.

In effetti è semplice analisi rischio-rendimento. Una casa in "bel quartiere" può fare con serrature deboli, perché è molto probabile che qualcuno se ne accorga, chiami la polizia e arriveranno in breve tempo. D'altra parte, nel "cattivo vicinato" si vedono spesso porte rinforzate, perché i ladri possono presumere che a nessuno interesserebbe che una porta venga aperta con un calcio.

Il bancomat è piuttosto pesantemente blindato e chiuso non c'è accesso fisico al computer all'interno. Solo per iniziare ad hackerare il computer dovresti prima aprire la shell. L'analisi rischio-rendimento è ancora valida: puoi decifrarla e hackerarla prima che qualcuno se ne accorga? Ci vorrebbero sicuramente più di un paio d'ore, ecco perché non vedi nessuno farlo alle 4:00. Tuttavia, ci sono molti esempi di rapine in cui i ladri hanno strappato il bancomat dal muro e lo hanno rubato tutto d'un pezzo. In questo modo la parte quando viene esposta può essere accorciata abbastanza da rendere lo sforzo utile e spostare la parte più lunga in un luogo più sicuro.

Tieni presente che sta entrando in gioco un'altra variabile: non può essere noto per certo quanti soldi ci sono all'interno del bancomat. Si può solo immaginare. I bancomat sono raramente "pieni", vengono caricati con "quel tanto che basta" per arrivare al successivo carico programmato. A volte le circostanze danno un indizio: c'è stato un incidente in Polonia quando un bancomat nuovo di zecca è stato rubato la notte prima dell'inaugurazione di un nuovo centro commerciale. Prevedendo l'enorme folla, la società ATM ha riempito la macchina con una quantità di denaro molto più grande del normale il giorno prima. I ladri lo avevano previsto e ne hanno approfittato, ma era comunque una mossa rischiosa.

Per riassumere:

• Il computer interno non è fisicamente accessibile dall'esterno.
• Solo per iniziare ad hackerare hai bisogno di una parte aperta lunga e rumorosa.
• Una volta che sei equipaggiato per rompere il guscio esterno (per arrivare al computer) potresti anche continuare a tagliare le casse dei soldi , alleviando così la necessità di qualsiasi competenza informatica.
• È probabile che ATM sia dotato di dispositivi di distruzione dei contenuti (spruzzatori di vernice).
• Non si può mai sapere con certezza se ci sono abbastanza soldi dentro solo per pagare il costo degli utensili da taglio.