Ακολουθεί απόσπασμα από την ιστοσελίδα του Ολλανδικού Πανεπιστημίου σε μετάφρασή μας. Η απορία μας είναι - όπως και για κάθε άλλη αντίστοιχη περίπτωση που παρουσιάζουμε στο blog μας - πως είναι δυνατόν να εμπιστευτούμε τα προσωπικά μας δεδομένα σε αναμφισβήτητα τρωτές τεχνολογικά Κάρτες;
Στις 7 Μαρτίου του 2008, έρευνα της ομάδα Digital Security του Ολλανδικού Πανεπιστημίου "Radbound University Nijmegen" αποκάλυψε μια ευπάθεια ασφαλείας στην κλασικού τύπου RFID κάρτα Mifare, τον πιο συχνά χρησιμοποιούμενο τύπο τσιπ RFID σε όλο τον κόσμο, που επηρεάζει πολλές εφαρμογές.
Η ομάδα αυτή μπόρεσε να αποδείξει ότι ο αλγόριθμος CRYPTO1 κρυπτογράφησης που χρησιμοποιείται σε αυτές τις κάρτες, επιτρέπει τα (48 bit) κλειδιά κρυπτογράφησης να είναι σχετικά εύκολο να ανακτηθούν. Ειδικά για τις εφαρμογές RFID, όπου το ίδιο κοινό κλειδί χρησιμοποιείται για όλες τις κάρτες RFID και τις συσκευές ανάγνωσης καρτών, το οποίο μπορεί να συμβαίνει για παράδειγμα στον έλεγχο της πρόσβασης σε κτίρια, συνιστά έναν σοβαρό κίνδυνο, όπως εξηγείται στο Δελτίο Τύπου που εκδόθηκε.
Η επίθεση αυτή ανακτά το μυστικό κλειδί από τον αναγνώστη Mifare. Για να γίνει η επίθεση έπρεπε πρώτα να συγκεντρώσουν λίγα δεδομένα από έναν γνήσιο αναγνώστη. Με αυτά τα δεδομένα μπόρεσαν να δημιουργήσουν, off-line, το μυστικό κλειδί μέσα σε ένα δευτερόλεπτο. Δεν απαιτείται καμία προεπεξεργασία, και μόνο λίγη μνήμη RAM. Επιπλέον, όταν έχει υποκλαπεί ένα "ίχνος" της επικοινωνίας μεταξύ μιας κάρτας και ενός αναγνώστη, μπορούν να υπολογίσουν όλα τα κλειδιά κρυπτογράφησης από αυτό το ίχνος, και να τα αποκρυπτογραφήσουν. Κατάφεραν να σχεδιάσουν και να υλοποιήσουν αυτή την επίθεση, στην πράξη, καθώς και να ανακτήσουν τα μυστικά κλειδιά.
Στο video παρουσιάζεται η επίθεση που πραγματοποίησε η ομάδα στο ηλεκτρονικό σύστημα εισόδου του Πανεπιστημίου της.
Η έρευνα αυτή παρουσιάστηκε στο συνέδριο ESORICS 2008. Η κατασκευάστρια εταιρεία του Mifare Classic, NXP, προσπάθησε να μπλοκάρει δικαστικά την δημοσίευση. Όμως, ο δικαστής αποφάνθηκε κατά της NXP στις 18 Ιουλίου.
....................................
Τα τσιπάκια Mifare Classic και Mifare Ultralight χρησιμοποιούνται στις κάρτες RFID για τις δημόσιες μεταφορές στην Ολλανδία. Μπόρεσαν να αποδείξουν ότι και οι δύο κάρτες υπόκεινται σε παραχάραξη. Η κάρτα London Oyster που χρησιμοποιείται στην Αγγλία, είναι πολύ παρόμοια με την Ολλανδική OV-chipkaart, και είναι εξίσου ευάλωτη σε επιθέσεις.
Η επίθεση αυτή ανακτά το μυστικό κλειδί από τον αναγνώστη Mifare. Για να γίνει η επίθεση έπρεπε πρώτα να συγκεντρώσουν λίγα δεδομένα από έναν γνήσιο αναγνώστη. Με αυτά τα δεδομένα μπόρεσαν να δημιουργήσουν, off-line, το μυστικό κλειδί μέσα σε ένα δευτερόλεπτο. Δεν απαιτείται καμία προεπεξεργασία, και μόνο λίγη μνήμη RAM. Επιπλέον, όταν έχει υποκλαπεί ένα "ίχνος" της επικοινωνίας μεταξύ μιας κάρτας και ενός αναγνώστη, μπορούν να υπολογίσουν όλα τα κλειδιά κρυπτογράφησης από αυτό το ίχνος, και να τα αποκρυπτογραφήσουν. Κατάφεραν να σχεδιάσουν και να υλοποιήσουν αυτή την επίθεση, στην πράξη, καθώς και να ανακτήσουν τα μυστικά κλειδιά.
Στο video παρουσιάζεται η επίθεση που πραγματοποίησε η ομάδα στο ηλεκτρονικό σύστημα εισόδου του Πανεπιστημίου της.
Η έρευνα αυτή παρουσιάστηκε στο συνέδριο ESORICS 2008. Η κατασκευάστρια εταιρεία του Mifare Classic, NXP, προσπάθησε να μπλοκάρει δικαστικά την δημοσίευση. Όμως, ο δικαστής αποφάνθηκε κατά της NXP στις 18 Ιουλίου.
....................................
Τα τσιπάκια Mifare Classic και Mifare Ultralight χρησιμοποιούνται στις κάρτες RFID για τις δημόσιες μεταφορές στην Ολλανδία. Μπόρεσαν να αποδείξουν ότι και οι δύο κάρτες υπόκεινται σε παραχάραξη. Η κάρτα London Oyster που χρησιμοποιείται στην Αγγλία, είναι πολύ παρόμοια με την Ολλανδική OV-chipkaart, και είναι εξίσου ευάλωτη σε επιθέσεις.
ΠΗΓΗ: http://www.ru.nl/ds/research/rfid/
Επίσης από το αναλυτικό δελτίο τύπου μαθαίνουμε ότι παγκοσμίως έχουν πουληθεί 1 δισεκατομμύριο τέτοιες κάρτες (Worldwide around 1 billion of these cards have been sold) http://www.ru.nl/ds/research/rfid/press_release/
Όσον αφορά την εταιρεία NXP δείτε το σχετικό ρεπορτάζ της DEUTSCHE WELLE για την Γερμανική Κάρτα του Πολίτη:
http://id-ont.blogspot.com/2010/10/deutsche-welle-chip.html
φωτογραφία: http://www.cartadis.com/Mifare_gb.htm
VIDEO: Ολλανδικό Πανεπιστήμιο κλωνοποίησε την RFID κάρτα εισόδου σε κτίριο. Η RFID κάρτα παράγεται από την εταιρεία NXP που ανέλαβε την παραγωγή και της Γερμανικής Κάρτας του Πολίτη.
Επίσης από το αναλυτικό δελτίο τύπου μαθαίνουμε ότι παγκοσμίως έχουν πουληθεί 1 δισεκατομμύριο τέτοιες κάρτες (Worldwide around 1 billion of these cards have been sold) http://www.ru.nl/ds/research/rfid/press_release/
Όσον αφορά την εταιρεία NXP δείτε το σχετικό ρεπορτάζ της DEUTSCHE WELLE για την Γερμανική Κάρτα του Πολίτη:
http://id-ont.blogspot.com/2010/10/deutsche-welle-chip.html
φωτογραφία: http://www.cartadis.com/Mifare_gb.htm
VIDEO: Ολλανδικό Πανεπιστήμιο κλωνοποίησε την RFID κάρτα εισόδου σε κτίριο. Η RFID κάρτα παράγεται από την εταιρεία NXP που ανέλαβε την παραγωγή και της Γερμανικής Κάρτας του Πολίτη.
0 σχόλια:
Δημοσίευση σχολίου