Cómo convertir un trozo de papel en dinero real
Los billetes falsos no tienen que ser significado de falsificaciones súper logradas con marcas de agua y hologramas. A pesar de los avanzados sistemas de seguridad en el mundo del dinero en papel, los billetes del banco sólo son auténticos si la máquina que tiene que verificar su autenticidad también es auténtica. Eso es lo que Rubén Santamarta, un investigador español de la compañía de seguridad para ordenadores IOActive, intentó demostrar hackeando un detector de billetes falsos para que diera por válido cualquier papel introducido en la máquina.
En el blog de la web de IOActive, Santamarta explica cómo modificó el firmware de un dispositivo llamado Secureuro, un dispositivo comúnmente usado en tiendas y oficinas para detectar billetes falsos. “En España, el dicho ‘Hecha la ley, hecha la trampa’ básicamente viene a decir que siempre existirá una forma de saltarse una restricción,” escribe. “De hecho, de eso trata mayormente la acción de hackear.”
A continuación, describe en detalle el proceso de hackeo, pero hace hincapié en que no está revelando ningún dato que pudiera ayudar a los posibles falsificadores a modificar la máquina “como tal,” ni siquiera falsificar un billete. “Mi único propósito es explicar cómo identifiqué el código encargado de validar, con el fin de crear firmware “troyanizado” que acepte incluso un simple trozo de papel como un billete auténtico,” explica. “No estamos explotando la vulnerabilidad del dispositivo, sólo una característica del aparato.”
link: http://www.youtube.com/watch?feature=player_embedded&v=zDiE8B5LSIE
¿Por qué perder el tiempo intentando crear dinero falso cuando puedes hackear el detector de billetes?
El primer paso fue investigar. Santamarta encontró unos manuales y vídeos de YouTube que muestran el funcionamiento de Secureuro, y descargó el firmware de la web de una compañía que vende el aparato. Analizó el código y encontró dónde cuenta el número de billetes inválidos. Indagando un poco más, encontró las funciones que validan el valor de los billetes basándose en sus características de seguridad –una franja de holograma en las denominaciones de 5€, 10€ o 20€, y un parche de holograma en los billetes de 50€, 100€, 200€ y 500€.
Después, Santamara compró un dispositivo y puso en práctica lo que había aprendido para modificar el fireware y que así aceptara sus “dinero IOActive” DIY (una hoja de papel con unos números escritos a mano y una calavera). Un vídeo en el que sale metiendo el “billete” en la máquina Secureuro muestra cómo el aparato da por válido un “billete” de 100€.
La conclusión es que, a falta de medidas de seguridad más estrictas, cualquier persona con acceso a un aparato como éste podría instalar un firmware modificado similar al de Santamarta y hacer pasar billetes falsos como legítimos. Y, a diferencia de él, algunos podrían hacerlo no sólo “por diversión y sin ánimo de lucro.”
Los billetes falsos no tienen que ser significado de falsificaciones súper logradas con marcas de agua y hologramas. A pesar de los avanzados sistemas de seguridad en el mundo del dinero en papel, los billetes del banco sólo son auténticos si la máquina que tiene que verificar su autenticidad también es auténtica. Eso es lo que Rubén Santamarta, un investigador español de la compañía de seguridad para ordenadores IOActive, intentó demostrar hackeando un detector de billetes falsos para que diera por válido cualquier papel introducido en la máquina.
En el blog de la web de IOActive, Santamarta explica cómo modificó el firmware de un dispositivo llamado Secureuro, un dispositivo comúnmente usado en tiendas y oficinas para detectar billetes falsos. “En España, el dicho ‘Hecha la ley, hecha la trampa’ básicamente viene a decir que siempre existirá una forma de saltarse una restricción,” escribe. “De hecho, de eso trata mayormente la acción de hackear.”
A continuación, describe en detalle el proceso de hackeo, pero hace hincapié en que no está revelando ningún dato que pudiera ayudar a los posibles falsificadores a modificar la máquina “como tal,” ni siquiera falsificar un billete. “Mi único propósito es explicar cómo identifiqué el código encargado de validar, con el fin de crear firmware “troyanizado” que acepte incluso un simple trozo de papel como un billete auténtico,” explica. “No estamos explotando la vulnerabilidad del dispositivo, sólo una característica del aparato.”
link: http://www.youtube.com/watch?feature=player_embedded&v=zDiE8B5LSIE
¿Por qué perder el tiempo intentando crear dinero falso cuando puedes hackear el detector de billetes?
El primer paso fue investigar. Santamarta encontró unos manuales y vídeos de YouTube que muestran el funcionamiento de Secureuro, y descargó el firmware de la web de una compañía que vende el aparato. Analizó el código y encontró dónde cuenta el número de billetes inválidos. Indagando un poco más, encontró las funciones que validan el valor de los billetes basándose en sus características de seguridad –una franja de holograma en las denominaciones de 5€, 10€ o 20€, y un parche de holograma en los billetes de 50€, 100€, 200€ y 500€.
Después, Santamara compró un dispositivo y puso en práctica lo que había aprendido para modificar el fireware y que así aceptara sus “dinero IOActive” DIY (una hoja de papel con unos números escritos a mano y una calavera). Un vídeo en el que sale metiendo el “billete” en la máquina Secureuro muestra cómo el aparato da por válido un “billete” de 100€.
La conclusión es que, a falta de medidas de seguridad más estrictas, cualquier persona con acceso a un aparato como éste podría instalar un firmware modificado similar al de Santamarta y hacer pasar billetes falsos como legítimos. Y, a diferencia de él, algunos podrían hacerlo no sólo “por diversión y sin ánimo de lucro.”