FeDeX KinKo Smart Kartları Hacklendi

İlk duyurulduğunda güvenlik açığını inkar eden FedEx yetkilileri 2 mart'ta "açıkları halen kontrol ettiklerini" belirten bir açıklama yapmışlardı. Firma sözcüsü Jim McCluskey bu açıklardan yararlanma işlemlerine sıcak bakmadıklarını ve hırsızlıktan farklı görmediklerini söyledi.

ExpressPay kartları Amerika'daki Kinko mağazalarında self-service kiosk'larda satın alınabilen ve doldurulabilen ödeme kartlarıdır. Kartlar FedEx'in sahibi olduğu fotokopi mağazalarında nakit para yerine kullanılarak fotokopi satın alımında ve Kinko mağaazalarında PC/Macintosh bilgisayarları kullanım için kiralamada kullanılabiliyor. Entrac Technologies tarafından geliştirilen ExpressPay, Siemens ve Infineon Technologies'in akıllı kartlarını kullanıyor.

Secure Science firmasından Strom Carlson'un raporuna göre kartlar üzerinde depolanan veriler kriptolanmıyor ve herhangi bir akıllı kart okuyucusu ile okunabiliyorlar. Ayrıca kart üzerindeki veriler 3 byte uzunluğundaki güvenlik kodları ile modifiye edilebiliyor.

Carlson, yaptığı araştırmada 1 dolara satın aldığı Kinko kartını USB logic analyzer kullanarak sistemine bağlamış ve 3 byte'lık güvenlik kodunu sniff ederek ele geçirmiş. Carlson güvenlik kodunun kriptolanmadığı için veri alışverişinde kolaylıkla görülebildiğini belirtiyor.

Carlson'un gerçekleştirdiği demonstrasyonun videosu aşağıdaki adresten izlenebilir: http://www.securescience.net/exploits/ssc_expresspay_vuln.wmv

En son Secure Science Firmasının Güncellemesi ve alınan yogun uyarı ve taleplerden dolayı güvenlik sitesi üzerindeki video kaldırıldı... Diger mirror:
http://www.youtube.com/watch?v=jQhqKsd6e54&feature=Recent&page=13&t=t&f=b

Video 2 Secure Science Çalışanı ele geçirdikleri güvenlik kodları sayesinde kolayda SMart Kart Okuyucuları kullanarak kart istedikleri kadar balance daki ücretleri yüklüyorlar.....