網絡安全公司IOActive的安全顧問羅德里格斯(Josep Rodriguez)對近場通信(NFC)缺陷的研究取得了重要進展，對ATM和POS的NFC讀取芯片進行的測試表明，NFC的漏洞可以被利用并對ATM機和POS終端造成危害。他所需要的只是一臺帶有NFC的智能手機和一個自己設計的Android應用程序。據《連線》網站報道，研究人員的實驗包括創建一個可以模仿無線電傳輸的應用程序。這樣系統中的NFC漏洞就可以被利用。他甚至在一段視頻中與《連線》雜志分享了它的工作方式，由于GDPR的原因，這段視頻沒有公開。

　　多年來，安全研究人員和網絡犯罪分子通過所有可能的途徑侵入ATM機內部，從打開前面板，將U盤插入USB端口，到鉆一個暴露內部線路的洞。現在，一名研究人員發現了一系列漏洞，這些漏洞可以讓他以一種新的方式入侵ATM機——以及各種各樣的POS終端：用他的手機在一個非接觸式信用卡讀卡器上一掃即可。

　　NFC被稱為近場通信（Near Field Communication），是一種允許兼容設備進行通信的無線技術。NFC有被動的和主動的兩種，第一種不能通信和響應，只是發送數據。主動NFC設備的例子是智能手機?；谏漕l識別技術，NFC允許用戶在讀卡器上揮動信用卡，而不是實際插入。人們可以通過NFC系統從自動取款機上取款或向POS支付。

　　IOActive安全公司研究員兼顧問何塞·羅德里格斯（Josep Rodriguez）去年花了大量時間，挖掘并報告近場通信讀取器芯片的漏洞。全球數百萬臺ATM機和POS系統都使用了這種芯片。NFC系統讓你在讀卡器上刷卡，而不是刷物理卡或插入，來進行支付或從取款機中取錢。你可以在全球無數的零售商店、餐館柜臺、自動販賣機、出租車和停車計時器上找到它們。

　　現在，羅德里格斯開發了一個Android應用程序，可以讓他的智能手機模仿這些信用卡無線通信，并利用NFC系統固件中的缺陷。只要一揮他的手機，他就可以利用各種漏洞使POS設備崩潰，破解它們來收集和傳輸信用卡數據，隱秘地改變交易的價值，甚至在顯示勒索軟件信息時鎖定設備。羅德里格斯說，他甚至可以強迫至少一個品牌的ATM機發放現金——盡管黑客只有與他在ATM機軟件中發現的其他漏洞結合起來才能工作。由于與ATM供應商簽訂了保密協議，他拒絕公開說明或披露這些缺陷。

　　“例如，你可以修改固件，將價格改為1美元，即使屏幕顯示你要支付50美元。你可以讓設備失效，或者安裝一種勒索軟件。這里有很多的可能性，”羅德里格斯談到他發現的POS攻擊時說。“如果你將攻擊鏈連起來，并向ATM機的電腦發送一個特殊的有效載荷，你就可以像自動取款機一樣，輕輕敲擊你的手機就能獲得大量現金?！?/p>

　　羅德里格茲說，他已經提醒了受影響的供應商，包括ID Tech、Ingenico、Verifone、Crane Payment Innovations、BBPOS、Nexgo和未具名的ATM供應商。即便如此，他警告說，受影響的系統數量之多，以及許多POS終端和自動取款機不定期接收軟件更新的事實——而且在很多情況下需要通過物理途徑獲取更新——意味著許多這類設備仍然容易受到攻擊。羅德里格斯說：“對成千上萬的自動取款機進行物理修復，這將需要很多時間?！?/p>

　　為了證明這些持續存在的漏洞，羅德里格斯與《連線》雜志分享了一段視頻。在視頻中，他在自己居住的馬德里街道上，用智能手機在ATM機的NFC讀卡器上揮手，導致ATM機顯示錯誤信息。NFC讀卡器似乎崩潰了，當他再次觸碰信用卡時，就不再讀取信用卡了。（羅德里格斯要求《連線》雜志不要發布這段視頻，以免承擔法律責任。他也沒有提供一段關于攻擊的視頻演示，因為他說，他只能在IOActive向受影響的ATM供應商提供安全咨詢時獲得的機器上進行合法測試，IOActive已經與該供應商簽署了保密協議。）

　　安全公司SRLabs的創始人、著名固件黑客卡斯滕諾爾（Karsten Nohl）評論了羅德里格斯的研究，他說，這些發現是“對嵌入式設備上運行的軟件漏洞的出色研究”。但諾爾指出了一些缺點，這些缺點降低了它對現實世界盜賊的實用性。被黑的NFC讀卡器只能竊取磁條信用卡數據，而不能竊取受害者的個人密碼或EMV芯片上的數據。諾爾說，事實上，ATM的提現技巧要求目標ATM的代碼有一個額外的、明顯的漏洞，這不是一個小警告。

　　但安全研究人員，比如最近IOActive的黑客巴納比·杰克和紅氣球安全公司的團隊，多年來已經發現了這些ATM的漏洞，甚至還發現黑客可以遠程觸發ATM中大獎。紅氣球首席執行官兼首席科學家Ang Cui表示，他對羅德里格斯的發現印象深刻，并且毫無疑問，盡管IOActve沒有透露一些攻擊的細節，但入侵NFC讀卡器可能會導致許多現代自動取款機吐現金?！拔艺J為一旦你在這些設備上執行了代碼，你應該能夠直接進入主控制器，這是非常合理的，因為這個東西充滿了漏洞，十多年來都沒有被修復，”崔說。“從那時起，”他補充說，“你就可以完全控制卡式販賣機了”，這種販賣機可以存放并向用戶發放現金。

　　作為一名顧問，羅德里格斯多年來一直在測試自動取款機的安全性。他說，他從一年前就開始研究自動取款機的非接觸式讀卡器（最常見的是由支付技術公司ID tech銷售的）是否可以作為入侵自動取款機的途徑。他開始從eBay購買NFC讀卡器和POS設備，并很快發現許多設備遭受相同的安全缺陷：他們沒有驗證數據包的大小，當數據通過NFC由信用卡到讀卡器時，被稱為應用程序協議數據單元或APDU。

　　通過使用自定義應用程序，從他的支持NFC的Android手機發送精心制作的APDU，該APDU比讀卡器預期的大數百倍，Rodriguez 能夠觸發“緩沖區溢出”，這是一種已有數十年歷史的軟件漏洞，允許黑客破壞目標設備的內存并運行他們自己的代碼。

　　當 WIRED 聯系受影響的公司時，ID Tech、BBPOS 和 Nexgo 沒有回應置評請求，ATM 行業協會拒絕置評。Ingenico 在一份聲明中回應說，由于其安全緩解措施，Rodriguez 的緩沖區溢出技術只能使其設備崩潰，而不能在它們上執行代碼，但“考慮到對我們客戶的不便和影響”，它無論如何都需要發布了修復程序。（羅德里格斯反駁說，他懷疑Ingenico的緩解措施實際上會阻止代碼執行，但他實際上并沒有創建概念證明來證明這一點。）

　　Verifone表示，該公司發現并修復了羅德里格斯在2018年強調的POS漏洞，當時羅德里格斯還沒有報告這些漏洞。但羅德里格斯認為，這只是表明該公司的設備缺乏一致的補??；他說，他去年在一家餐廳的Verifone設備上測試了他的近距離通信技術，發現它仍然脆弱。

　　羅德里格斯將他的許多發現保密了整整一年，他計劃在未來幾周的網絡研討會上分享這些漏洞的技術細節，部分原因是為了推動受影響供應商的客戶實施這些公司提供的補丁。但他也希望更廣泛地關注嵌入式設備安全的糟糕狀態。他震驚地發現，像緩沖區溢出這樣簡單的漏洞一直存在于如此多的常用設備中——處理現金和敏感財務信息的設備更是如此。

　　“這些漏洞多年來一直存在于固件中，我們每天都在使用這些設備來處理我們的信用卡和我們的錢，”他說。“它們需要得到保護?！?/p>