Развенчание RFID

RFID-чипы и их использование в различных областях человеческой жизни - это уже целая индустрия с многомиллионными оборотами. Такие электронные метки применяются повсеместно - для контроля за товарами в магазинах, для идентификации домашних животных, при роботизированной сборке автомобилей и т.д., и т.п. А на программы по внедрению электронных документов с RFID-чипами (так называемые е-паспорта) некоторые страны уже потратили сотни миллионов долларов. Но, похоже, потратили напрасно.

Создатели RFID-технологии, как и лоббисты повсеместного внедрения чипов радиочастотной идентификации, не устают заявлять об их абсолютной надёжности и устойчивости ко взлому. Понять их несложно: на кону колоссальные бюджетные средства плюс не меньшие корпоративные деньги - одна только сеть магазинов Wal-Mart инвестировала в RFID-метки почти $100 млн.

Но теперь производителям RFID-микросхем явно придётся перейти к активной обороне. Возмутителем спокойствия стал калифорнийский хакер Крис Пейджет, убедительно доказавший, что электронные документы с RFID-чипами на самом деле практически не защищены от взломов. Пейджет наглядно продемонстрировал, как можно автоматически считывать RFID-идентификаторы электронных паспортов и водительских удостоверений нового образца на расстоянии до 10 метров.

Крис Пейджет действовал в классических хакерских традициях. По дешёвке купил набор электронного оборудования: бэушные RFID-ридер, антенну и старенький ноутбук. Всё это обошлось ему в $250. Собранное из упомянутого оборудования устройство без труда скрытно помещается в автомобиле. Отдельно Пейджет сам написал программу, которая постоянно "подбадривает" RFID-считыватель и заставляет его искать в зоне действия радиометки - то есть, собственно, абсолютно любые RFID-чипы. Все обнаруженные радиочастотные идентификаторы и их параметры записываются в файл. Ну а собранные данные можно использовать уже как угодно - например, для создания фальшивых е-документов. Напомню, что встроенный в документ RFID-чип хранит ту же информацию, что и печатный вариант, а также включает цифровую подпись владельца.

Как говорит сам Крис Пейджет, его программа вовсе не является сложной и о каком-либо серьёзном достижении речь не идёт. Тем не менее, хакер-исследователь планирует публично представить свою разработку на хакерском съезде Shmoocon, который вскоре должен пройти в Вашингтоне.

Впрочем, Крис Пейджет не стал первым хакером, скомпрометировавшим RFID-документы. Ещё в 2006 году инженер Лукас Грюнвальд продемонстрировал технологию клонирования немецких электронных паспортов - правда, тогда клонированием всё и ограничилось, тогда как технология Пейджета позволяет "издеваться" над RFID-метками как душе угодно.

Однако, несмотря на весьма скептическое отношение специалистов по безопасности к RFID-технологиям, в правительстве США пока не планируют как-либо совершенствовать электронные документы или, наоборот, отказываться от их использования. К примеру, таможенники напоминают, что, во-первых, к е-паспортам прилагаются специальные защитные конверты, которые не дают считывать данные с радиометок, а во-вторых, даже если идентификатор и попадёт в руки злоумышленников, от него будет мало толку. (Про клонирование документов таможенники предпочитают не вспоминать.)

В рамках дискуссии вокруг RFID-меток исследователи из компании RSA и Вашингтонского университета внимательно изучили американские электронные документы - паспорта и водительские удостоверения. Вывод инженеров таков: защитные конверты для паспортов выполняют свою функцию на должном уровне (сами паспорта имеют дополнительную защиту в виде экранирующей тонкой металлической подкладки). А вот с водительскими удостоверениями не так всё гладко. В данном случае RFID-метки, спрятанные в защитные конверты, всё же могут считываться с расстояния в десятки сантиметров. Кроме того, мятые конверты также не предоставляют сколько-нибудь удовлетворительной защиты.

Судя по всему, несмотря на громкие хакерские разоблачения, "отыграть назад" ситуацию с RFID-документами уже не получится - слишком далеко зашло их внедрение. На сегодняшний день е-паспортами уже пользуется порядка 750 тысяч одних только американцев. Эти документы позволяют им свободно перемещаться между США, Мексикой, Канадой, Карибами и Бермудами - об этом в свое время было подписано специальное североамериканское соглашение.

Напомню, что первой - ещё в 1998 году - паспорта со встроенными RFID-чипами начала выдавать своим гражданам Малайзия. Сегодня на использование т.н. RFID-паспортов переходят уже десятки стран мира, включая Россию. В Европе наибольшую активность в этом направлении проявляют Великобритания и Германия.

Виктор ДЕМИДОВ

Версия для печатиВерсия для печати

Номер: 

06 за 2009 год

Рубрика: 

Компьютер и жизнь
Заметили ошибку? Выделите ее мышкой и нажмите Ctrl+Enter!

Комментарии

Страницы

Аватар пользователя Инкогнито
>>Будешь нормальным юзером

Значит, Майк, твои слова "можно узнать кое-что интересное о происхождении статьи" -- пустой брёх? Вот так вот сразу?

Аватар пользователя mike
Короче, пишущий люд дружно кинулся на все лады ретранслировать одно и то же: типа 250 долларов хватило, чтобы через плечо увидеть чьё-то имя. ЖАРЕНАЕ! ХАККЕРЫ ИДУТЬ! Ну и что? Что с этой аффигительной инфой делать? И ск. долларов надо, чтобы ПОДДЕЛАТЬ э-паспорт целиком? Кстати, RFID - только часть его. Вот на это Гугл не даёт ответа. :)
Аватар пользователя Инкогнито
>>Вот на это Гугл не даёт ответа.

А что он тебе дал "о происхождении статьи"? Таки ничего? :)

Аватар пользователя mike
>А что он тебе дал "о происхождении статьи"?

См. мой предыдущий пост. Аллес. Я обсуждение закончил.

Аватар пользователя Инкогнито
>>Я обсуждение закончил

Глубокомысленно намекнул на плагият и в кусты :)

Аватар пользователя Инкогнито
Эксперты по безопасности настроены против использования технологии RFID для аутентификации людей, основываясь на риске кражи идентификатора. Для примера, атака Mafia Fraud Attack делает возможным атакующему в реальном времени украсть идентификатор личности. На данный момент, из-за ограничений в ресурсах RFID меток, теоретически не представляется возможным защитить их от таких моделей атак, поскольку это потребует сложных протоколов передачи данных.

Негативное отношение к технологии RFID усугубляется пробелами, существующими во всех нынешних стандартах. Хотя процесс совершенствования стандартов не закончился, во многих прослеживается тенденция скрывать от публики часть команд меток. Например, команда Аутентификация в фирменной технологии Philips MIFARE, использующей стандарт ISO/IEC 14443, после которой метка должна шифровать свои ответы и воспринимать только шифрованные команды, может быть нейтрализована некоторой командой, которую фирма-разработчик держит в секрете. После выполнения этой команды возможно успешно использование ReadBlock, фиктивно зашифрованной на константе (которая используется для подсчёта CRC в стандарте ISO/IEC 14443). Таким образом можно прочитать MIFARE-карточку. Более того, анализируя потребляемый карточкой ток, инженер-схемотехник может прочитать все пароли доступа ко всем блокам MIFARE-карточки (в силу относительной прожорливости EEPROM ячеек и схемотехнической реализации чтения памяти в чипе). Так, в наиболее распространённых RFID-карточках может изначально содержаться закладка.

Аватар пользователя mike
Правильно, трёхбуквенный, дураки оне усе! Тату на лоб -- и никаких проблем: стырят только со скальпом. Вот это защита!
Аватар пользователя Фидошник
> Тату на лоб -- и никаких проблем: стырят только со скальпом. Вот это защита!

майк, я так понимаю, тебе это тату уже сделали? То-то ты такой беспроблемный...

Страницы