tisdag 17 december 2013

Därför är SL-korten osäkra - TechWorld

Därför är SL-korten osäkra - TechWorld

Sårbarheterna i den typ av kort som SL använder har varit kända i mer än fem år.  

Nyligen berättade TechWorld att den typ av kort som SL använder i sina passersystem bygger på en bräcklig teknik som är relativt enkel att knäcka. Nyheten spreds sig snabbt och bland annat plockade DN upp den för en egen artikel. SL har dock varit ytterst fåordiga, både i vår ursprungliga artikel och i debatten efter. Inte heller DN fick några svar som på något sätt kunde härledas till att de ser det bräckliga kort-systemet som ett problem.

Vilket är lite märkligt, då nyheten till stor del egentligen inte är någon nyhet. Den typ av kort, Mifare Classic, som man valde vid införandet av det nya systemet har sedan länge ansetts osäkra. Redan för fem år sedan publicerade ett forskarteam i Holland upptäckter kring sårbarheter i just Mifare Classic-korten. Då försökte företaget NXP, som tillverkar korten, med hjälp av domstol hindra forskarna från att publicera sina upptäckter. Domstolen ansåg dock att yttrandefriheten vägde tyngre än NXP:s kommersiella intressen av att uppgifterna inte blev offentliga. De holländska forskarna var dock inte först, utan ett halvår innan hade några tyska kollegor påpekat säkerhetsbrister i systemet.

Felaktigt designad kryptolösning

Men hur kommer det sig att systemet är så pass osäkert som det är?



Mikael Simovits
TechWorld har pratat med vår skribent och säkerhetsexpert Mikael Simovits, som har stor kunskap om kryptologi och rfid-lösningar. Han håller med om att den variant av kort som SL valt har stora brister.

– Det beror på att hela kryptolösningen i Mifare classic är felaktigt designad, säger han.

Hur menar du?

– I de här korten finns ett hårdkodat id som man förlitar säkerheten på, men nu går det ju att köpa kort från Kina, sedan kan du i princip programmera vilka kort du vill som använder den här tekniken.

Är det väldigt svårt att göra, eller tror du att det redan förekommer i Sverige?

– Det skulle inte förvåna mig om det redan sker i viss utsträckning, då investeringskostnaden är så pass låg. Det handlar om någon tusenlapp för utrustningen, beställa kort och sen lite programmering på det. Förstår man hur det funkar är man snabbt igång och kan läsa av, klona, emulera och uppdatera korten själv.


Tiina Loukusa
Mikael Simovits hänvisar också till ett examensarbete om rfid-säkerhet som hans kollega Tiina Loukusa gjorde vid Uppsala universtitet hösten 2012. Där kan vi i en sammanfattning bland annat läsa:

”För att klona en Mifare Classic-etikett måste dess krypteringsnycklar först knäckas, innan läsning av data kan ske. Knäckningen av nycklar kan i värsta fall ta över en timme, vilket gör att ett angrepp mot ett ovetande offer kan ses som osannolikt.

När angriparen har samlat all data från ett kort kan det skrivas till ett annat för att skapa en klon. Båda försöken visade att rfid-system kan vara sårbara. Det är viktigt att både ta hänsyn till att använda rfid-etiketter med tillräckliga säkerhetsmekanismer sätt och utnyttja säkerhetsfunktionerna till fullo. Det är också viktigt att bygga det bakomliggande systemet på ett sådant sätt att det förhindrar användandet av klonade etiketter.”


Här kan du läsa
hela Tiina Loukusas examensarbete.


TechWorld har försökt få fler kommentarer från SL och vi har också sökt Sveriges infrastrukturminister Catharina Elmsäter-Svärd för att fråga om vad som händer om SL skulle tvingas byta till ett säkrare system, men ännu inte fått något svar.

Billig utrustning
Den hårdvara som Mikael Simovits berättar är enklast och billigast att använda heter Proxmark3 och kostar från 229 dollar. Till detta kommer antenner för ytterligare 59 dollar och tomma kort som beställs från Kina för runt 25 dollar styck. Har man redan knäckt nycklarna så finns det billigare utrustning för att klona kort.

Genom en snabb sökning på på nätet är det tydligt att det finns flera andra sätt att kopiera rfid-kort. En video på Youtube visar till exempel hur en hackare använder en Galaxy-telefon för att kopiera information från rfid-kort.

Här är ett mycket utförligt videoreportage av journalisten Bill Code, som bland annat arbetat på brittiska Channel 4 och SBS News i Australien. Han har gått igenom hela bakgrunden kring hur sårbarheterna i Mifare Classic upptäcktes och presenterades.

http://www.youtube.com/watch?feature=player_embedded&v=u0I3KvUfKIw

Inga kommentarer:

Skicka en kommentar