Читать «Журнал "Компьютерра" №728» онлайн - страница 37

Вердикт: UC-5 - абсолютный must-have для ИТ-публики, с любовью относящейся к своей гаджетной гвардии.

АНАЛИЗЫ: Ясно, что небезопасно

Автор: Киви Берд

В первых числах марта коллектив студентов и сотрудников исследовательской группы "Цифровая безопасность" в университете Radboud города Неймеген (Нидерланды) обнаружил серьезнейшую уязвимость в бесконтактных смарт-картах широко распространенного типа. Подобные устройства, иногда называемые проксимити-картами, построены на основе RFID-чипов, то есть микросхем радиочастотной идентификации.

Странно

В транспортном секторе реализовано наибольшее число проектов с использованием карт Mifare. Разной сложности системы оплаты проезда введены во Франции, Германии, Польше, России, Турции, Великобритании, Австралии, Китае, Индии, Японии, Корее, Малайзии, Сингапуре, Аргентине, Бразилии, Канаде, Колумбии, Украине. Соединенные Штаты, как ни странно, вошли в этот список лишь в последнее время.

На сегодняшний день пластиковые и картонные карточки с запрессованным в них RFID используются в самом разном качестве: как пропуска, средства оплаты проезда, цифровые кошельки для мелких покупок, дисконтные карты в торговых сетях и т. д. и т. п. Голландцам удалось взломать защиту в чипах типа Mifare Classic, изготовляемых компанией NXP, в прошлом - полупроводниковым подразделением корпорации Philips. Чипы Mifare занимают доминирующее положение на рынке бесконтактных карт, причем на долю Mifare Classic, имеющих оптимальное соотношение цена/безопасность, приходится около 90%. Общее число проданных карт компания Mifare оценивает в 500 млн. штук (другие источники сообщают об 1–2 млрд.).

В современной жизни Голландии карты Mifare Classic занимают особое место, поскольку на их основе реализован гранд-проект OV-chipkaart - разворачиваемая ныне общенациональная система единой оплаты проезда в общественном транспорте - от метро и автобусов до железных дорог. Нечто подобное делается во многих мегаполисах планеты - Лондоне, Гонконге, Милане. Так, в Москве карточки Mifare Classic - это не только проездные в метро, но и "социальная карта москвича", перезаряжаемые карточки студентов и школьников, проездные для электричек и т. д. Но, вероятно, еще важнее, что чипы Mifare Classic широко используются по всему миру в картах пропусков для прохода в здания корпораций и правительственных учреждений.

Все это означает, что слабости в защите таких карт будут иметь очень серьезные последствия. Если карту нетрудно клонировать, то становится возможным проход посторонних лиц на охраняемые объекты. Осуществимо ли это, решили проверить "на себе" голландские исследователи из университета Radboud, в котором допуск в здания контролируется, как и повсюду в Нидерландах, с помощью Mifare Classic.

Члены группы Digital Security поставили перед собой цель отыскать слабости в собственных пропусках, а найдя их, попытаться клонировать карты. Результатом исследований стало обнаружение серьезных дефектов в механизме аутентификации Mifare Classic, позволивших: