Security Analysis of Online Cashless Vending Systems

Bargeldloses Zahlen ist an Universitäten oder in großen Firmen allgegenwärtig:
Möchte man an einem solchen Standort etwas an Verkaufsautomaten oder in der Kantine erwerben, oder für lokale Dienstleistungen bezahlen, bezahlt man mit seinem Studenten-, Gäste-, oder Mitarbeiterausweis.
Diese Karte wird dabei zuvor von ihren Besitzern mit Geld aufgeladen.
Diese Systeme können Cloud-basiert arbeiten, um die finanziellen Transaktionen zu tätigen.
Daher ist die Informationssicherheit bei diesen Systemen von großer Bedeutung, um das Geld der Kunden und das Geld des Betreibers, der für die Abwicklung der Zahlung an die jeweiligen Abteilungen oder Dienstleistern die Verantwortung trägt, zu schützen.
... mehr

In dieser Arbeit wird das System, das unter anderem auf dem Campus des Karlsruher Instituts für Technologie Verwendung findet, genauer auf seine Informationssicherheit hin untersucht.
Dabei wird nach dem im ISO27005-Standard definierten Risikomanagementprozess vorgegangen:
Zuerst werden Risiken im System identifiziert, diese dann bewertet und schließlich mögliche Gegenmaßnahmen evaluiert.
Abschließend wird diskutiert, ob existierende Sicherheitsstandards wie der BSI Grundschutz oder PCI PA-DSS einen Betrieb zulassen, bzw. ob diese die gefunden Probleme verhindert hätten.

Im Rahmen des Analyseprozesses wurden 13 Schwachstellen identifiziert, das Angriffsrisiko analysiert, sowie Strategien zur Risikominimierung entwickelt und evaluiert.
In der Diskussion ergibt sich, dass das System nicht unter Beachtung der Vorgaben des BSI Grundschutzes betrieben werden kann.
Auch hätte die Beachtung des Standards PCI PA-DSS während der Implementierung einige der im Kontext dieser Arbeit identifizierten Probleme verhindert.
Abschließend wird ausgehend von den vorangegangenen Erkenntnissen eine Liste an Sicherheitsempfehlungen für diese Art von System aufgestellt.

Cashless payment is omnipresent at sites like universities or large companies:
If one wants to buy goods at vending machines or in the canteen, or pay for local services at the site, the student, guest or employee card is used for payment.
The card is revalued with money by the card holder beforehand.
These payment systems can be operated cloud based.
Therefore, the information security is vital, to protect the user's money.
Moreover, the money of the operator, who guarantees the transactions to the other departments and contractors, has to be protected, too.
... mehr

In this thesis, the cashless payment system used at the campus of the Karlsruhe Institute of Technology will be analyzed in detail with focus on its information security.
For the analysis, the risk management process defined in the ISO27005 will be applied:
First, the risks will be identified, analyzed and mitigations will be evaluated.
Finally it will be discussed, whether the system can be operated in compliance with BSI Grundschutz and if the industry standard PCI PA-DSS would have prevented the problems found in context of this work, if applied during implementation of the system.

The analysis process revealed 13 weaknesses.
The discussion yielded, that the payment system cannot be operated in compliance with the BSI Grundschutz.
If the system would have been developed in compliance with PCI PA-DSS, most of the problems would have been prevented.
Finally, a brief list of recommendations for this type of system was created.