Le falle di sicurezza potrebbero essere rilevate su tutti i tipi di dispositivi tecnologici, incluso un distributore automatico di caffè. Uno specialista della sicurezza informatica ha appena rivelato un modo per compromettere le smart card sui vecchi modelli di macchine da caffè Nespresso al fine di ottenere bevande gratuite e illimitate. Polle Vanhoof, un ricercatore di sicurezza belga, afferma che questa tecnica di hacking dipende dalla modifica dei valori memorizzati sulle smart card.
“Il processo di decrittografia delle chiavi di sicurezza e il download del contenuto di queste carte è fattibile a causa dei punti deboli di sicurezza inerenti al loro design e alla tecnologia con cui sono stati prodotti”, afferma Vanhoof. Queste carte Mifare Classic sono incluse nei primi modelli di macchine Nespresso.
I difetti rilevati in questa tecnologia sono documentati da più di un decennio, sebbene non siano mai stati sfruttati per compromettere una macchina da caffè; questi difetti consentirebbero agli autori delle minacce di leggere e scrivere dati arbitrari, portando alla decrittografia delle chiavi di sicurezza. Va ricordato che le carte Mifare Classic sono state sostituite dalla tecnologia Mifare Plus, considerata molto più sicura.
“Questi difetti sono particolarmente dannosi nelle macchine Nespresso perché le macchine da caffè utilizzano questa carta per memorizzare il valore monetario immesso dagli utenti; ovvero, un attore di minacce può sovrascrivere il valore memorizzato e inserire una quantità arbitraria, quindi la macchina crederà che la quantità di caffè sia stata pagata”, aggiunge lo specialista.
Sebbene un sistema più sviluppato bloccherebbe completamente questo attacco attraverso un controllo del valore monetario sul sistema di backend, nel caso di Nespresso questo approccio funzionerebbe solo se tutte le smart card avessero una connessione di rete, cosa che sembra impensabile quando si tratta di un dispositivo del genere. Questo approccio richiederebbe anche ai fornitori di queste macchine da caffè di fornire un server di backend per gestire queste ricerche.
Il ricercatore ha presentato il suo rapporto alla società, che ha risposto menzionando che una funzionalità di backend era già stata offerta, così come un’opzione per i clienti per l’aggiornamento a token hardware più sicuri. Il rapporto è stato presentato a settembre, quindi Vanhoof ha solo aspettato che la scadenza fissata dalla comunità della sicurezza informatica fosse rispettata per pubblicare i suoi risultati.
