ITavisen presenterer en artikkel om hvordan langfingrede, amerikanske datanerder har fått tilgang til folks bankkontoer ved å skaffe seg tilgang til butikkens nettverk. I denne artikkelen presenterer jeg en tilnærmet måte å gjøre det samme på her i Norge.
Du trenger følgende:
- En bærbar PC med trådløst nettverk.
- Et program for å sniffe nettverkspakker og gjerne et program for grafisk visning av nettverkstopografi.
- Kompetanse til å lese informasjonen i nettverkspakkene.
- En butikk med bankterminaler koblet til nettverket. (Ikke de med oppringt forbindelse.)
- Sistnevnte butikk har et trådløst, åpent nettverk koblet til det samme nettverket.
- En bil og litt god tid.
Du gjør som følger:
- Parker så nærme butikken og det trådløse nettverket som mulig.
- Koble deg til det trådløse nettverket og kontroller at signalstyrken er så god at pakketapet blir minimert.
- Start pakkesnifferen og sett deg godt til rette.
Jeg skulle gjerne gitt mer detaljert informasjon om hvilke IP-adresser du skal sniffe på (da mottaker-IP-adressen er fast), særegenheter du skal se etter i pakker, hvilken bankterminalprogramvare dette fungerer med etc., men jeg mistenker at dette ikke er spesielt populært, så jeg lar det være…
Årsaken til at dette lar seg gjennomføre er fordi bankterminaltransaksjoner ofte kjøres over ukrypterte nettverk. I tillegg overføres all kortinformasjon ukryptert mellom terminalen og BBS. Unntaket er PIN-koden. Det vil si at kredittkorttransaksjoner lett lar deg finne kundens kredittkortnummer.
Du syntes kanskje at dette høres flåsete og usannsynlig enkelt ut, noe jeg selvfølgelig vil være enig i. Derimot har jeg, sammen med en produsent for bankterminaler og tilhørende programvare, gjennomført dette eksperimentet med mitt eget kredittkort, og det er oppsiktsvekkende å kunne trekke sitt eget kredittkortnummer ut av en nettverkspakke. Eksperimentet ble riktignok gjennomført for fire år siden, men så vidt meg bekjent har det ikke skjedd revolusjonerende endringer.
Dette er selvfølgelig veldig forenklet. Det er ikke helt rett frem å gjøre som beskrevet, men teknisk sett er det ingen hindringer.