Falle di sicurezza in Java Card. A rischio anche le carte Bancomat
La tecnologia Oracle viene usata per consentire l’uso di applet Java su chip con memoria limitata. Vengono sfornate 6 miliardi di smart card all’anno.
SIM, carte Bancomat e centinaia di altre “smart card” contenenti chip rischiano di essere compromesse a causa di una serie di falle di sicurezza che interessano Oracle Java Card, una delle piattaforme più usate per consentire l’uso di applet Java.
Il sistema, progettato per garantire la massima sicurezza attraverso l’esecuzione in un ambiente virtuale (Java Card VM) è teoricamente protetto da una funzione di Applet Firewall che mantiene separate le applicazioni eseguite sul chip.
Recentemente, Oracle ha aggiornato Java Card per poterla equipaggiare sui dispositivi IoT, che potrebbero così godere di un maggior livello di sicurezza.
Secondo quanto riporta Seclists.org, però, la piattaforma contiene ben 18 vulnerabilità che consentirebbero di comprometterne il funzionamento, aprendo la strada a varie tipologie di abuso da parte dei cyber-criminali.
Sfruttando i bug della piattaforma, in particolare, sarebbe possibile accedere alla memoria delle card, ma anche aggirare il firewall per l’esecuzione delle applet.
Per farlo, un pirata potrebbe usare un lettore compromesso o creato ad hoc, che sarebbe in grado di avviare un programma malevolo sulla smart card.
Per fortuna, come spiegano gli stessi ricercatori, sfruttare i bug non è semplicissimo. Nel dettaglio, è necessario sapere quale firmware viene utilizzato nella smart card e conoscerne l’architettura.
Tutti i dettagli delle vulnerabilità sono state comunicate sia a Oracle, che sviluppa la piattaforma, sia a Gemalto, una delle società di sicurezza che utilizzano Java Card in maniera estensiva e che è coinvolta in virtù di alcuni bug relativi a due suoi prodotti: GemXplore 3G V3.0-256K e 3G USIMERA Prime SIM.
Secondo gli esperti, l’aggiornamento di sicurezza per la piattaforma di Oracle potrebbe essere distribuito il prossimo 16 aprile. Dal momento che stiamo parlando di smart card, però, le dinamiche sono ben diverse da quanto accade di solito e non si può certamente sperare che si possa procedere a degli update.
Insomma: è molto probabile che miliardi di smart card vulnerabili rimangano in circolazione per chissà quanto tempo.
Please follow and like us:
Articoli correlati
Altro in questa categoria
https://www.securityinfo.it/2019/03/25/falle-di-sicurezza-in-java-card-a-rischio-anche-le-carte-bancomat/