Falhas em caixas eletrônicos revelam pontos fracos importantes na cadeia de fornecimento de software

Para o passado Durante cinco anos, o pesquisador de segurança Matt Burch mergulhou no mundo esotérico e de alto risco da segurança de caixas eletrônicos, no qual pequenas falhas de software às vezes podem expor dinheiro vivo e frio. À medida que Burch se aprofundava nos computadores que alimentam estas caixas de segurança digitais – e continuava a encontrar vulnerabilidades nos principais sistemas de segurança digital -, começou a trabalhar para dar o alarme, não apenas sobre falhas negligenciadas nas ATM, mas sobre como o mesmo software utilizado noutras indústrias pode introduzir fraquezas numa série de sistemas críticos.

Nas conferências de segurança Black Hat e Defcon em Las Vegas este mês, Burch apresentou descobertas sobre nove vulnerabilidades que foram corrigidas na criptografia de disco e no software de autenticação pré-inicialização chamado CryptoPro Secure Disk. As falhas poderiam ter sido exploradas para contornar as verificações de integridade do CryptoPro e obter acesso total aos dispositivos criptografados.

Fabricado pela empresa de software alemã CryptWare, o CryptoPro é comercializado para fabricantes de caixas eletrônicos e usado em alguns caixas eletrônicos, inclusive como parte do Vynamic Security Suite da Diebold Nixdorf. Mas o CryptoPro também é vendido como uma solução de segurança para outros fabricantes de dispositivos incorporados, bem como para grandes organizações que usam o Microsoft Windows, ressaltando o desafio da cadeia de suprimentos de resolver bugs quando o software é amplamente implementado em vários setores.

“Foram os caixas eletrônicos que me levaram a seguir esse caminho, mas acho que pode haver um impacto ainda maior dessas descobertas além disso”, diz Burch. “Do ponto de vista dos caixas eletrônicos e da rede financeira, há muitas camadas e acho que, como resultado disso, as coisas são implementadas de uma determinada maneira e há uma visão técnica limitada – os bugs podem passar despercebidos ou não são resolvidos.”

O diretor administrativo da CryptWare, Uwe Saame, disse à WIRED que a empresa corrigiu os nove bugs em duas fases com o CryptoPro versão 7.7.2 no início de novembro e 7.7.3 no início de dezembro. Burch diz que a empresa foi rápida e colaborativa durante todo o processo de divulgação e validou que os patches realmente corrigem as vulnerabilidades encontradas. Embora o CryptoPro não pareça divulgar publicamente notas de atualização, Burch diz acreditar que a empresa distribuiu informações sobre os patches para seus clientes.

O porta-voz da Diebold Nixdorf, Michael Jacobsen, disse à WIRED em um comunicado que apenas duas das nove vulnerabilidades são relevantes para o Vynamic Security Hard Disk Encryption da Diebold Nixdorf, o sistema onde o fabricante de caixas eletrônicos usa o software CryptoPro. Jacobsen diz que a Diebold Nixdorf emitiu correções relacionadas a esses dois bugs em dezembro, mas que eles não poderiam ter sido explorados por conta própria para comprometer um caixa eletrônico da Diebold Nixdorf.

Em caixas eletrônicos, dispositivos incorporados e segurança empresarial de forma mais ampla, o desafio da cadeia de fornecimento de software vem de todas as etapas para realmente aplicar correções no mundo. Como neste caso, um desenvolvedor precisa lançar um patch, então as empresas que implementam o produto em seu próprio software precisam desenvolver uma correção personalizada, e então os clientes precisam realmente ouvir sobre e instalar esse patch – o que pode ser difícil para sistemas que estão sendo executados em campo ou que não podem ser facilmente pausados ​​e atualizados.

Falando de maneira geral sobre esse desafio, Jacobsen, porta-voz da Diebold Nixdorf, diz que “quando um problema de segurança é identificado, a Diebold Nixdorf avalia o impacto, identifica os produtos e configurações afetados e desenvolve quaisquer atualizações necessárias por meio de nossos processos de segurança e engenharia de produtos. Em seguida, notificamos os clientes afetados e fornecemos atualizações por meio de canais de distribuição de software padrão, incluindo o Portal de Segurança Global, quando aplicável. Para caixas eletrônicos implantados, as atualizações são coordenadas com cada cliente com base em seu modelo operacional, contratos de serviço e processos de gerenciamento de alterações”.

Os pesquisadores de segurança alertam há décadas sobre o perigo de confiar na “segurança através da obscuridade” ao tentar ocultar o software ou mantê-lo trancado. E, como resultado deste trabalho, os fabricantes de Internet das Coisas e os de indústrias críticas, como o sector financeiro e o fabrico de dispositivos médicos, fizeram alguns progressos na transparência e na promoção da adopção de patches. Mas Burch salienta que, à medida que os sistemas de IA tornam mais fácil avaliar software e encontrar vulnerabilidades – mesmo para investigadores ou atacantes que não têm conhecimentos granulares numa determinada área – é mais urgente do que nunca lançar luz sobre produtos de segurança de nicho.

“A IA realmente acaba com o modelo de obscuridade”, diz Burch. “Você não precisa mais entender completamente como algo funciona para avançar e potencialmente ter um grande impacto.”