ATM / POS

Die Sicherheitsaudits für Cash & Payment Systeme, wie hier zum Beispiel ATM und POS Systeme, adressieren komplexe Anwendungen die als elektronische Banksysteme funktionieren. Die Detack GmbH hat hierfür spezielle IT-Sicherheitsauditmodule konzipiert um ATM und POS-Systeme sowie ihre Schnittstellen und Anwendungen zu prüfen. Diese basieren auf durchgeführten Kundenprojekten die sich innerhalb des Banken-, Cash- und Payment Processing Umfelds befinden.

Dieses Audit adressiert alle Komponenten aus denen die ATM / POS Infrastruktur besteht. Die Perspektive, die für alle Prüfungen angenommen wird, ist die eines lokalen Bankmitarbeiters oder eines opportunistischen Angreifers der Zugriff auf das lokale Netzwerk besitzt oder auch die Sichtweise eines anonymen, externen Angreifers der das Kommunikationssystem attackiert. Da das Bank-Terminal nicht unabhängig von der zentralen Autorisation analysiert werden kann, besonders wegen des Kommunikationsprotokolls und des Nachrichtensystems, vervollständigen weitere Testprozeduren die Auditierung.

Die Sicherheit auf Seite der Bank-Terminals und der Kunden (die DMZ-Dienste die für das Cash Management und die Operator-Funktionen verantwortlich sind) werden ebenso durch dieses Auditmodul abgedeckt. Diese Prozeduren sind erforderlich, um jegliche Fehler zu identifizieren die das Kommunikationsprotokoll, das System oder die Applikationen auf Kundenseite betreffen.

Die Teststruktur besteht aus einer spezifischen Anpassung des Detack e-Banking Services Audits, Internen Sicherheitsaudits und dem Standard Sicherheitsaudit-Moduls. Elemente aller genannten Module wurden vereint, um die bestmögliche Abdeckung dieser spezifischen Systemumgebung zu realisieren. Die resultierenden Module hieraus sind:

Detack Sicherheitsaudit für ATM / POS – Infrastruktur und Sicherheitsdesign
Detack Sicherheitsaudit für ATM / POS – Bank-Kommunikationsende / Zentrale Autorisation
Detack Sicherheitsaudit für Payment-Terminals (POS)
Detack Sicherheitsaudit für Cash und multifunktionale Terminals (ATM)

Diese Module werden für jede spezifische Testumgebung an die Bedürfnisse des Kunden angepasst. Zum Beispiel die Überprüfung einer Multi-Bank-Umgebung unterscheidet sich signifikant von der eines Single-Bank-Systems.

Das Sicherheitsaudit wurde dafür entwickelt die nachfolgenden, abstrahierten Fragen zu beantworten:

Ist es möglich ein in Betrieb befindliches Terminal, durch Ausnutzung verschiedenster Verwundbarkeiten des Betriebssystems und
der Konfiguration, zu übernehmen oder in anderer Weise zu kompromittieren?

Ist es möglich ein in Betrieb befindliches Terminal, durch Ausnutzung von Sicherheitsverwundbarkeiten innerhalb des Managementinterfaces
(Standard und spezifisch entwickelte Komponenten), zu übernehmen oder in anderer Weise zu kompromittieren?

Ist es möglich ein in Betrieb befindliches Terminal, durch Ausnutzung von Sicherheitsverwundbarkeiten innerhalb der Betriebssoftware
(entweder durch den Hersteller bereitgestellt oder durch die kundeneigenen Cash Management Kundenanwendungen), zu übernehmen
oder in anderer Weise zu kompromittieren?

Existieren versteckte Elemente mit potentiellen Sicherheitsimplikationen in den Hersteller- oder Kundenanwendungen die auf den Terminals
betrieben werden?

Existieren verborgene Elemente in einer der auf den Terminals eingesetzten Softwarekomponenten (nicht aktuell aktiviert, jedoch implementiert)
mit einer Sicherheitsauswirkung im Falle einer künftigen Aktivierung?

Ist die Identitätsverifikation des Terminals durch das zentrale Autorisationssystem des Kunden sicher implementiert?

Ist die Identitätsverifikation des zentralen Autorisationssystems des Kunden durch das Terminal sicher implementiert?

Ist es möglich die Sicherheit des Cash Managements, inklusive des Recyclings, der Transaktionen und des Autorisationssystems,
durch die Ausnutzung von Fehlern in der Implementierung der Kommunikation zwischen dem Terminal und den anderen partizipierenden
Systemen (DMZ), zu kompromittieren?

Ist es möglich die Sicherheit der Cash Management Transaktionen und des Autorisationssystems, durch die Ausnutzung von Fehlern
in den Nachrichtenprotokollen zwischen dem Terminal und den anderen partizipierenden Systemen (DMZ), zu kompromittieren?

Ist es möglich eines der Kommunikationsenden zu imitieren und unter welchen Auswirkungen?

Ist es möglich die Zuverlässigkeit des Logging-Systems und der Anwenderzuordnung, durch die Ausnutzung eines der oben genannten
potentiellen Fehler, zu beeinflussen?

Ist es möglich die Sicherheit jeglicher Terminals zu kompromittieren indem Angriffe über Drittsysteme gegen die Operator-Konsolen durchgeführt
und die Operator-Zugriffe jeglicher zu prüfenden Bank übernommen werden?

Das Sicherheitsaudit beantwortet die folgenden Fragen, da diese zur Identifizierung jeglicher Funde, innerhalb des zentralen Autorisationssystems, erforderlich sind:

Ist es aus Sicht des Bank-Terminals möglich, Verwundbarkeiten innerhalb des Netzwerks, des Systems und der Standardsoftware im
zentralen Autorisationssystem des Kunden auszunutzen (nicht das gesamte System, aber die DMZ-Systeme die den Bank-Terminals zur
Verfügung stehen)?

Ist es aus Sicht des Bank-Terminals möglich, Verwundbarkeiten innerhalb der Anwendungsebene im zentralen Autorisationssystem
des Kunden auszunutzen (nicht das gesamte System, aber die DMZ-Dienste die den Bank-Terminals zur Verfügung stehen)?

Ist es aus Sicht des Bank-Operators möglich, Verwundbarkeiten innerhalb der Standard- und Anwendungsebene in den DMZ-Operatordiensten,
im zentralen Autorisationssystem des Kunden, auszunutzen?

Ist es möglich den Schutz der DMZ-Ebene für die angebundenen Banken zu überschreiten und dadurch die anderen Ebenen
zu beeinträchtigen, entweder durch die Ausnutzung von Verwundbarkeiten des Netzwerks oder der Anwendungsebene.

Sind nicht dokumentierte Systeme für die Bank-Terminals via VPN / PN verfügbar, die dafür verwendet werden können, die Sicherheit
des Cash Managements oder Payment Frameworks zu beeinträchtigen?

Beispiel der Testprozeduren:

Workflow / Datenflussanalyse / ATM/POS Administration
Analyse der Arbeitsprozesse und wie diese innerhalb des Datenflusses und der Verarbeitung reflektiert werden; Ziel spezifische Workflow-Analyse – Aktivierung, Anpassung und Schlüssel-Management; Identifizierung der Systeme für/oder unterstützend für die Kontrolle und das Management des ATM / POS; Sicherheitsanalyse der lokalen und Remote-Management Prozeduren.

Terminal Sicherheitstest / Standard-Ebene
Durchführung eines vollständigen Sicherheitsaudits, wie in den Testprozeduren des Detack Standard Sicherheitsaudits detailliert beschrieben, gegen die ATM / POS und Operatorkonsolen-Systeme sowie die DMZ-Systeme des Kunden - als Ziel die Standardkomponenten und die Netzwerksicherheit.

Middleware Sicherheitstest / Anwendungsebene (Multi-Bank Umgebung)
Durchführung eines vollständigen Sicherheitsaudits, wie in den Testprozeduren des Detack e-Banking Sicherheitsaudits detailliert beschrieben, gegen die relevanten / erreichbaren DMZ-Dienste des Kunden für die Cash Management Funktionalitäten und den Systembetrieb; Ausnutzung von Verwundbarkeiten der Anwendungsebene, um die Schutzvorkehrungen der DMZ / Mittel-Ebenen zu umgehen und die Backend-Systeme hierdurch zu prüfen.

ATM Sicherheitstest / Anwendungsebene
Durchführung eines vollständigen Sicherheitsaudits, wie in den Testprozeduren des Detack e-Banking Sicherheitsaudits detailliert beschrieben, gegen das ATM / POS System und die auf der Hardware-Plattform ausgeführten Dienste. Dies beinhaltet ebenso das Remote Terminal Management und Monitoring.

Anwendungs-Code Analyse
Vollständige Analyse der Anwendungssoftware die auf den Terminalsystemen betrieben wird, hierin inbegriffen sind die Hersteller und kunden-/bankeigenen Anwendungen; Identifizierung jeglicher versteckter oder latenter Komponenten mit Sicherheitsimplikationen.

Sicherheitsanalyse der Kommunikation
Sicherheitsanalyse des Kommunikationsprotokolls, Nachrichtensystems und der Implementierung des Transaktionsmanagements; Verifikation der Peer-Identität und Durchführung von Impersonationsangriffen für beide Enden; weiterführende Abdeckung und Analyse der Middleware- zur Backend-Kommunikation.

Spezifisches Testen
Tests basierend auf spezifischen Diensten, die während der Testprozeduren entsprechend der gesammelten Daten definiert werden; weiteres spezifisches Testen aus Sicht des Operators, zur Evaluation der Systeme zur Missbrauchsidentifizierung, Daten-Logging Funktionalitäten und eindeutige Zuordnung der Datenspeicherung bezüglich Logik- oder Implementierungsfehlern: Angriffe über Drittsysteme unter Verwendung der Bank-Operator Konsolen.