Mifare — kiwi arXiv

МАЛЕНЬКИЕ СЕКРЕТЫ БОЛЬШИХ ТЕХНОЛОГИЙ

(январь 2008)

Новая система проездных чип-карт, вводимая ныне в Голландии для универсальной оплаты проезда в общественном транспорте от автобусов и трамваев до железной дороги, оказалась намного менее защищенной, чем ожидалось.

На создание технологически продвинутой системы была затрачена внушительная сумма в 2 миллиарда евро, ощутимая даже для совсем небедных Нидерландов, однако уже три, по крайней мере, независимых исследования продемонстрировали очевидную небезопасность конечного продукта.

В целом новая система транспортных билетов, получившая название OV-chipkaart, построена на основе бесконтактных смарт-карт с RFID-чипом. Пассажир может купить или разовую картонную карточку на 1-2 поездки, или постоянную пластиковую карту для регулярной езды.

Для оплаты проезда карточку прикладывают к окошку-ридеру турникета как при входе, так и при выходе из транспорта, поскольку ридер проводит не только аутентификацию карты, но и снимает из памяти чипа разные суммы за разные поездки.

Разовая картонная и постоянная пластиковая карты построены на основе существенно разных технологий. Чип дешевой разовой карты, именуемой Mifare Ultralight, совсем прост по устройству и не имеет никакой криптографии вообще.

В постоянной пластиковой карте, или Mifare Classic, реализована существенно более серьезная защита информации. Но на деле, увы, куда менее безопасная, чем можно было бы ожидать при нынешнем уровне индустрии. Читать «Хакинг чипов Mifare» далее

(Впервые опубликовано – март 2008)

Подробности о взломе секретной криптосхемы RFID-чипов Mifare.

В первых числах марта (2008) коллективом студентов и сотрудников исследовательской группы «Цифровая безопасность» в голландском университете Radboud, г. Неймеген, была выявлена серьезнейшая уязвимость в бесконтактных смарт-картах широко распространенного типа (см. И грянул гром).

Подобные устройства, иногда называемые проксимити-картами, построены на основе RFID-чипов, то есть микросхем радиочастотной идентификации.

На сегодняшний день пластиковые и картонные карточки с запрессованным в них RFID массово используются по всему миру в таких качествах, как пропуска для автоматизированного контроля доступа на охраняемые объекты, карты оплаты проезда в транспорте, цифровые кошельки для мелких покупок, дисконтные карты в сетях торговли и куча других самых разных приложений.

Голландцами же была взломана система защиты в чипах типа Mifare Classic, изготовляемых компанией NXP, в прошлом – полупроводниковым подразделением корпорации-гиганта Philips.

Разных типов чипы Mifare на нынешнем рынке бесконтактных карт занимают абсолютно доминирующее положение, причем на Mifare Classic, имеющие оптимальное соотношение цена / безопасность, приходится доля порядка 90%. В более же конкретных цифрах, общемировое число продаж этих карт в разных источниках оценивается количествами от 1 до 2 миллиардов штук.

В современной жизни Голландии карты Mifare Classic занимают вообще особое место, поскольку на их основе реализован гранд-проект OV-chipkaart – разворачиваемая ныне общенациональная система единой оплаты проезда в общественном транспорте от метро и автобусов до железных дорог.

Похожая ситуация характерна для многих мегаполисов планеты вроде Лондона, Гонконга или Милана. В Москве, в частности, карточки Mifare Classic – это не только проездные в метро, но еще и «социальная карта москвича», перезаряжаемые карточки студентов и школьников, проездные для электричек и так далее.

Еще более важно, возможно, то, что чипы Mifare Classic очень широко используются и в Голландии, и по всему миру в картах пропусков для прохода в здания корпораций и правительственных учреждений.

Все это означает, естественно, что слабости в защите подобной системы будут иметь весьма широкие и серьезные последствия. Если такую карту несложно клонировать, то в принципе становится, к примеру, возможен доступ на охраняемые объекты под видом чужой, украденной у кого-то личности. Читать «Ясно, что небезопасно» далее