MIFARE Classic-Karten gelten seit über zehn Jahren als verwundbar, und wenn man in der Kartenbranche arbeitet, sollte man normalerweise empfehlen, auf sicherere Chips wie DESFire umzusteigen.
Schon in der Einleitung des Papers steht: „Im Jahr 2024 weiß jeder, dass MIFARE Classic schwer kompromittiert ist.“ Wer also immer noch MIFARE Classic ausrollt, ist daran ziemlich selbst schuld.
Die Verkaufsautomaten an unserer Uni liefen um 2014 herum auch so, dass das Guthaben auf MIFARE-Classic-Tokens gespeichert war.
Mitte Juli ging mir das Geld aus, und selbst das Geld für ein Zugticket nach Hause in den Semesterferien war knapp. Dank MIFARE konnte ich mich etwa zwei Wochen lang von Sandwiches aus dem Automaten ernähren. Jung sein war schön.
MIFARE Classic ist billig und zuverlässig; kaputt ist nur die Verschlüsselung.
Wenn man es als einfachen Speicher nutzt und Datenverschlüsselung sowie Authentifizierung anders löst, ist das kein Problem. ECC-Signaturen sind sogar klein genug, um auf 2K/4K-Karten zu passen; ich habe das schon einmal so gemacht.
Allgemeiner gesagt verstehe ich nicht, warum Hersteller, die ARM-basierte SoCs und SecureBoot-ähnliche Funktionen einbauen, sicherheitsrelevante Unterlagen unter NDA stellen.
Spezifikations-PDFs mit deaktiviertem Kopieren und Einfügen und „confidential“-Wasserzeichen und dergleichen – offenbar glauben sie immer noch, Security through Obscurity funktioniere.
TfL in London hat wegen dieses Problems schon 2010 begonnen, MIFARE Classic auszusortieren.
Dass das heute noch ein Thema ist, überrascht mich.
Diese Karten haben Hardware-Backdoors, daher spielen Generation oder Typ keine große Rolle.
Ich frage mich, ob jemand diesen Angriffsweg sehr einfach erklären kann.
Bei einer Backdoor klingt es so, als könne jemand in mein RFID „hineinkommen“, aber RFID ist die meiste Zeit stromlos. Wenn das RFID mit Strom versorgt wird: Muss dann auch der Host, der es mit Strom versorgt, verwundbar sein oder in einem kompromittierten Netzwerk hängen?
Und mir ist auch nicht klar, welche Fähigkeiten danach möglich werden. Die Tür geht ja schon auf, und die Kreditkarte ist ja schon zahlungsbereit. Oder geht es eher darum, dass jemand, der auf der Straße an mir vorbeistreift, meine Karte klonen kann?
Ein erheblicher Teil der RFID-Kartensysteme weltweit nutzt aus Kostengründen und wegen der langen Historie MIFARE Classic.
MIFARE umfasst nicht nur Classic, sondern hat auch eine 32-Bit-UID und mehrere verschlüsselte Datenblöcke, wobei jeder Block durch einen A- und einen B-Schlüssel geschützt ist.
Frühe Kartensysteme nutzten nur die UID zur Authentifizierung; stimmte die UID, wurde man durchgelassen. Natürlich konnte jeder eine Karte mit derselben UID herstellen, also begannen spätere Systeme, zwölf verschlüsselte Felder zur Authentifizierung zu verwenden. Der Leser fordert die Karte auf, eine Zufallszahl und gespeicherte Identifikationsdaten zu verschlüsseln; nur eine Karte mit dem richtigen Schlüssel kann den korrekten Geheimtext und die Zufallszahl zurückgeben.
Die Authentifizierung nutzt symmetrische Verschlüsselung. Je nach Konfiguration wird der A-Schlüssel nur zum Lesen oder zum Lesen und Schreiben verwendet, oder A fürs Lesen und B fürs Schreiben, oder für Lesen und Schreiben werden sowohl A als auch B benötigt.
Ursprünglich nutzte MIFARE Classic die proprietäre Chiffre crypto-1, und wegen schwacher Zufallszahlengeneratoren, Kollisionen und ähnlicher Gründe lassen sich klassische MIFARE-Classic-Schlüssel leicht brechen. Allerdings gibt es durch verschiedene Gegenmaßnahmen auch gehärtete Schlüssel, die noch nicht gebrochen wurden.
Das Paper scheint bei einer bestimmten RFID-Kartenmarke den hartcodierten A/B-Schlüssel A396EFA4E24F gefunden zu haben. Ich habe das Paper nur überflogen und seit Langem nichts mehr mit RFID gemacht, daher können Details falsch sein.
Der Kern ist: Wenn jemand deine Karte nur ein paar Minuten in die Hände bekommt, kann er sie klonen und sich als du ausgeben.
Natürlich könnte er die Karte auch stehlen, aber das würdest du merken. Wenn eine Karte dagegen ein paar Minuten im Portemonnaie auf dem Schreibtisch liegt, die IT-Abteilung sie zum „Neuencodieren“ ausleiht oder jemand sich die RFID-Karte auf unzählige andere Arten kurz beschafft, kann sie ausgelesen und geklont werden.
Wenn es eine der auf der vorletzten Seite aufgeführten betroffenen RFID-Karten mit diesen Chipsätzen ist, kann sie über Backdoor-Root-Zugriff sofort geklont werden.
„Sollte man chinesische Klone von MIFARE Classic kaufen?“ klingt wie eine Frage mit offensichtlicher Antwort, aber vielleicht bin ich deshalb noch nicht zum CISO befördert worden.
Die Endnutzer solcher Karten kennen die Herkunft oft nicht; meist werden sie von Resellern geliefert, die jeden Cent sparen wollen.
Wir haben Kunden, die Smartcards einsetzen, und wir müssen sie gelegentlich lesen oder beschreiben. Beim Onboarding wissen sie oft nicht, welche Version oder Spezifikation sie verwenden. Sie schicken uns ein paar Karten mit kaum Markierungen, und wir finden es dann per Trial and Error heraus.
Dem Paper zufolge scheint dieselbe Backdoor auch in einigen NXP- und Infineon-SKUs vorhanden zu sein, darunter auch in Produkten, die in Europa hergestellt wurden.
Wenn du einen kreativen Weg findest, Risiken zu quantifizieren, könntest du vielleicht zum CISO befördert werden.
Risk-Management-Frameworks drücken Auswirkungen, Wahrscheinlichkeit und Gegenmaßnahmen in Geldbeträgen aus. Wenn du ein paar Optionen vorlegst, wie unterschiedliche Mitigations die endgültigen Restrisiken beeinflussen, können auch nichttechnische Verantwortliche die Richtung der Unternehmenssicherheit mittragen.
Natürlich muss man auch Grundsätzliches sagen wie „Sicherheit ist wichtig“, „Schwachstellen sind schlecht“ und „Supply-Chain-Risiken müssen behandelt werden“. Je mehr man weiß, desto quälender wird diese Arbeit – zumindest meiner Erfahrung nach. Ich bin allerdings kein CISO.
Die eigentliche Frage ist meist komplexer, etwa: „Müssen wir tausende Leser und Gates im Gebäude herausreißen, oder können wir mit gehärteten Karten, die dasselbe Protokoll nutzen, noch ein paar Jahre durchhalten?“
Ich würde es nicht empfehlen, aber in den meisten Unternehmen hat physische Sicherheit genauso wenig ein unbegrenztes Budget wie andere Bereiche.
Ich weiß nicht, ob der CISO solche Entscheidungen überhaupt trifft.
Wahrscheinlicher scheint mir, dass das ein Auftragnehmer entscheidet, den der Gebäudemanager einer anonymen kommerziellen Immobiliengesellschaft engagiert hat.
Link zum Abstract statt zum PDF: https://eprint.iacr.org/2024/1275
MIFARE Classic: exposing the static encrypted nonce variant
Cryptology ePrint Archive, Paper 2024/1275
Autor: Philippe Teuwen
Ich frage mich, welchen Bezug das zu Karten hat, die PKCS oder PKI verwenden.
Außerdem frage ich mich, ob es tatsächlich Zutrittskontrollsysteme gibt, die so etwas nutzen, und ob sie sicherer sind.
Oder ob es vielleicht auch Tür-Zutrittskontrollsysteme gibt, die FIDO2 verwenden.
Zutrittskontrollsysteme, die PKI verwenden, gibt es tatsächlich.
Zum Beispiel ist in PIV-Spezifikationen wie der DOD CAC der Slot 9e normalerweise für die „Kartenauthentifizierung“ ohne PIN vorgesehen.
PKCS-basierte Karten profitieren von den Vorteilen von Smartcards, also etwa davon, dass Schlüssel theoretisch schwer zu extrahieren sind und sie gegen Seitenkanalangriffe resistent sind. Gleichzeitig besteht aber auch das übliche Risiko, dass man darauf vertrauen muss, dass Anbieter und Aussteller keine Backdoor-APDUs in das Applet einbauen.
Es gibt vermutlich nicht viele, die FIDO2 für Türzutrittskontrolle einsetzen wollen, aber theoretisch spricht nichts dagegen. Man bräuchte nur ein cleveres URI-Schema für jede Tür und müsste wissen, welchen öffentlichen Schlüssel man für jede Identität unter jeder URI erwarten soll. Allerdings ist FIDO2 nicht ideal, weil pro URI eine andere Identität herauskommt; wahrscheinlich müsste man für das gesamte Gelände eine einzige URI oder Zone verwenden und die Zonen-Zugriffsprüfung in jedem Verifier implementieren.
In der Praxis bekommt man mit einer PKI-Verifikation im PIV-Stil fast alle Vorteile von FIDO2 und kann zugleich auch die Sperrung von Karten über eine systemweit verteilte CRL abwickeln.
Ich frage mich, ob man diesen Angriff mit einem Flipper Zero durchführen kann.
Ich vermute, es wäre NFC -> Extra Actions -> MIFARE Classic Keys -> Add.
Ich habe derzeit keinen Classic-Schlüssel zum Testen, daher kann ich es nicht bestätigen.
Klingt nach Baader-Meinhof-Effekt, aber ich habe in den letzten zwei Tagen versucht, die MIFARE Classic 1K meiner Uni zu klonen.
Der Grund war, dass mein Studierendenausweis ausgeblichen ist und die Reaktivierung abgelehnt wurde.
Das ist keine obskure theoretische Schwachstelle, sondern eine ziemlich gravierende große Lücke. Laut Abstract heißt es:
„Durch eine empirische Untersuchung haben wir eine Hardware-Backdoor entdeckt und ihren Schlüssel erfolgreich entschlüsselt. Wer diese Backdoor kennt, kann allein durch wenige Minuten Zugriff auf eine Karte ohne Vorwissen sämtliche benutzerdefinierten Schlüssel dieser Karte kompromittieren. Außerdem haben wir bei der Untersuchung älterer Karten einen weiteren Hardware-Backdoor-Schlüssel entdeckt, der bei mehreren Herstellern gemeinsam vorhanden ist.“
1 Kommentare
Meinungen auf Hacker News
MIFARE Classic-Karten gelten seit über zehn Jahren als verwundbar, und wenn man in der Kartenbranche arbeitet, sollte man normalerweise empfehlen, auf sicherere Chips wie DESFire umzusteigen.
Schon in der Einleitung des Papers steht: „Im Jahr 2024 weiß jeder, dass MIFARE Classic schwer kompromittiert ist.“ Wer also immer noch MIFARE Classic ausrollt, ist daran ziemlich selbst schuld.
Mitte Juli ging mir das Geld aus, und selbst das Geld für ein Zugticket nach Hause in den Semesterferien war knapp. Dank MIFARE konnte ich mich etwa zwei Wochen lang von Sandwiches aus dem Automaten ernähren. Jung sein war schön.
Wenn man es als einfachen Speicher nutzt und Datenverschlüsselung sowie Authentifizierung anders löst, ist das kein Problem. ECC-Signaturen sind sogar klein genug, um auf 2K/4K-Karten zu passen; ich habe das schon einmal so gemacht.
Spezifikations-PDFs mit deaktiviertem Kopieren und Einfügen und „confidential“-Wasserzeichen und dergleichen – offenbar glauben sie immer noch, Security through Obscurity funktioniere.
Dass das heute noch ein Thema ist, überrascht mich.
Ich frage mich, ob jemand diesen Angriffsweg sehr einfach erklären kann.
Bei einer Backdoor klingt es so, als könne jemand in mein RFID „hineinkommen“, aber RFID ist die meiste Zeit stromlos. Wenn das RFID mit Strom versorgt wird: Muss dann auch der Host, der es mit Strom versorgt, verwundbar sein oder in einem kompromittierten Netzwerk hängen?
Und mir ist auch nicht klar, welche Fähigkeiten danach möglich werden. Die Tür geht ja schon auf, und die Kreditkarte ist ja schon zahlungsbereit. Oder geht es eher darum, dass jemand, der auf der Straße an mir vorbeistreift, meine Karte klonen kann?
MIFARE umfasst nicht nur Classic, sondern hat auch eine 32-Bit-UID und mehrere verschlüsselte Datenblöcke, wobei jeder Block durch einen A- und einen B-Schlüssel geschützt ist.
Frühe Kartensysteme nutzten nur die UID zur Authentifizierung; stimmte die UID, wurde man durchgelassen. Natürlich konnte jeder eine Karte mit derselben UID herstellen, also begannen spätere Systeme, zwölf verschlüsselte Felder zur Authentifizierung zu verwenden. Der Leser fordert die Karte auf, eine Zufallszahl und gespeicherte Identifikationsdaten zu verschlüsseln; nur eine Karte mit dem richtigen Schlüssel kann den korrekten Geheimtext und die Zufallszahl zurückgeben.
Die Authentifizierung nutzt symmetrische Verschlüsselung. Je nach Konfiguration wird der A-Schlüssel nur zum Lesen oder zum Lesen und Schreiben verwendet, oder A fürs Lesen und B fürs Schreiben, oder für Lesen und Schreiben werden sowohl A als auch B benötigt.
Ursprünglich nutzte MIFARE Classic die proprietäre Chiffre crypto-1, und wegen schwacher Zufallszahlengeneratoren, Kollisionen und ähnlicher Gründe lassen sich klassische MIFARE-Classic-Schlüssel leicht brechen. Allerdings gibt es durch verschiedene Gegenmaßnahmen auch gehärtete Schlüssel, die noch nicht gebrochen wurden.
Das Paper scheint bei einer bestimmten RFID-Kartenmarke den hartcodierten A/B-Schlüssel A396EFA4E24F gefunden zu haben. Ich habe das Paper nur überflogen und seit Langem nichts mehr mit RFID gemacht, daher können Details falsch sein.
Natürlich könnte er die Karte auch stehlen, aber das würdest du merken. Wenn eine Karte dagegen ein paar Minuten im Portemonnaie auf dem Schreibtisch liegt, die IT-Abteilung sie zum „Neuencodieren“ ausleiht oder jemand sich die RFID-Karte auf unzählige andere Arten kurz beschafft, kann sie ausgelesen und geklont werden.
„Sollte man chinesische Klone von MIFARE Classic kaufen?“ klingt wie eine Frage mit offensichtlicher Antwort, aber vielleicht bin ich deshalb noch nicht zum CISO befördert worden.
Wir haben Kunden, die Smartcards einsetzen, und wir müssen sie gelegentlich lesen oder beschreiben. Beim Onboarding wissen sie oft nicht, welche Version oder Spezifikation sie verwenden. Sie schicken uns ein paar Karten mit kaum Markierungen, und wir finden es dann per Trial and Error heraus.
Risk-Management-Frameworks drücken Auswirkungen, Wahrscheinlichkeit und Gegenmaßnahmen in Geldbeträgen aus. Wenn du ein paar Optionen vorlegst, wie unterschiedliche Mitigations die endgültigen Restrisiken beeinflussen, können auch nichttechnische Verantwortliche die Richtung der Unternehmenssicherheit mittragen.
Natürlich muss man auch Grundsätzliches sagen wie „Sicherheit ist wichtig“, „Schwachstellen sind schlecht“ und „Supply-Chain-Risiken müssen behandelt werden“. Je mehr man weiß, desto quälender wird diese Arbeit – zumindest meiner Erfahrung nach. Ich bin allerdings kein CISO.
Ich würde es nicht empfehlen, aber in den meisten Unternehmen hat physische Sicherheit genauso wenig ein unbegrenztes Budget wie andere Bereiche.
Wahrscheinlicher scheint mir, dass das ein Auftragnehmer entscheidet, den der Gebäudemanager einer anonymen kommerziellen Immobiliengesellschaft engagiert hat.
Link zum Abstract statt zum PDF: https://eprint.iacr.org/2024/1275
MIFARE Classic: exposing the static encrypted nonce variant
Cryptology ePrint Archive, Paper 2024/1275
Autor: Philippe Teuwen
Ich frage mich, welchen Bezug das zu Karten hat, die PKCS oder PKI verwenden.
Außerdem frage ich mich, ob es tatsächlich Zutrittskontrollsysteme gibt, die so etwas nutzen, und ob sie sicherer sind.
Oder ob es vielleicht auch Tür-Zutrittskontrollsysteme gibt, die FIDO2 verwenden.
Zum Beispiel ist in PIV-Spezifikationen wie der DOD CAC der Slot 9e normalerweise für die „Kartenauthentifizierung“ ohne PIN vorgesehen.
PKCS-basierte Karten profitieren von den Vorteilen von Smartcards, also etwa davon, dass Schlüssel theoretisch schwer zu extrahieren sind und sie gegen Seitenkanalangriffe resistent sind. Gleichzeitig besteht aber auch das übliche Risiko, dass man darauf vertrauen muss, dass Anbieter und Aussteller keine Backdoor-APDUs in das Applet einbauen.
Es gibt vermutlich nicht viele, die FIDO2 für Türzutrittskontrolle einsetzen wollen, aber theoretisch spricht nichts dagegen. Man bräuchte nur ein cleveres URI-Schema für jede Tür und müsste wissen, welchen öffentlichen Schlüssel man für jede Identität unter jeder URI erwarten soll. Allerdings ist FIDO2 nicht ideal, weil pro URI eine andere Identität herauskommt; wahrscheinlich müsste man für das gesamte Gelände eine einzige URI oder Zone verwenden und die Zonen-Zugriffsprüfung in jedem Verifier implementieren.
In der Praxis bekommt man mit einer PKI-Verifikation im PIV-Stil fast alle Vorteile von FIDO2 und kann zugleich auch die Sperrung von Karten über eine systemweit verteilte CRL abwickeln.
Ich frage mich, ob man diesen Angriff mit einem Flipper Zero durchführen kann.
Es sollte bis Ende dieses Monats möglich sein; den PR kann man hier verfolgen: https://github.com/flipperdevices/flipperzero-firmware/pull/...
Ich habe derzeit keinen Classic-Schlüssel zum Testen, daher kann ich es nicht bestätigen.
Vor etwa 8 Jahren habe ich mit diesem Tutorial unbegrenzt Essen aus den Uni-Automaten bekommen.
Das waren gute Zeiten.
https://firefart.at/post/how-to-crack-mifare-classic-cards/
Klingt nach Baader-Meinhof-Effekt, aber ich habe in den letzten zwei Tagen versucht, die MIFARE Classic 1K meiner Uni zu klonen.
Der Grund war, dass mein Studierendenausweis ausgeblichen ist und die Reaktivierung abgelehnt wurde.
Das ist keine obskure theoretische Schwachstelle, sondern eine ziemlich gravierende große Lücke. Laut Abstract heißt es:
„Durch eine empirische Untersuchung haben wir eine Hardware-Backdoor entdeckt und ihren Schlüssel erfolgreich entschlüsselt. Wer diese Backdoor kennt, kann allein durch wenige Minuten Zugriff auf eine Karte ohne Vorwissen sämtliche benutzerdefinierten Schlüssel dieser Karte kompromittieren. Außerdem haben wir bei der Untersuchung älterer Karten einen weiteren Hardware-Backdoor-Schlüssel entdeckt, der bei mehreren Herstellern gemeinsam vorhanden ist.“