Sicherheit von RFID-Tags (ISO 14443)

[TiTanT]

Guten Morgen,

ich wollte bei mir einer Wohnung aus Spaß einen Raspberry-Pi mit einem RFID-Lesegerät einbauen.
Dabei habe ich ein wenig das Internet durchsucht und bin zu dem Punkt gekommen, dass ich das System aus Spaß so sicher machen möchte wie es möglich ist. Die Anwendung dahinter bedarf eigentlich überhaupt keiner Sicherheitsvorkehrungen, da jeder der diese verwenden möchte sowieso ersteinmal bei mir einbrechen müsste, aber aus Spaß an der Sache wollte ich mich dennoch damit beschäftigen.

Nach einiger Zeit Suchen bin ich auf die ISO-Norm 14443(a/b) gestoßen. Laut einiger Beschreibungungen im Internet habe ich herausgefunden, dass solche Karten/Tags die sichersten sein sollen, die momentan existieren und das EC-/Kredit- und Zugangskarten auch diese Technik verwenden.
Wenn ich darüber nachdenke, dann verwendet auch meine Universität RFID-Karten, um Räume mit teurer Hardware abzusichern.

Nun verstehe ich die Norm so (bzw. die wenigen Beschreibungen dieser, die ich im Internet gefunden habe), dass die Kommunikation mit dem Reader verschlüsselt ist.
Leider scheint der Strom nicht zu reichen, um ähnlich wie bei Smartcards einen privaten Schlüssel in der Hardware zu implementieren und für die Authentifikation Daten zu verschlüsseln.

Ich habe jetzt desöfteren von EC-Karten gehört, die in der Fußgängerzone beim Vorbeigehen ausgelesen und geklont werden. Ich weiß bis heute nicht, ob dass einfach nur irgendwelche Schauermärchen sind, oder ob das technisch wirklich möglich ist.

Deswegen frage ich euch: Wie sicher sind RFID-Tags und wie sinnvoll ist es diese für sicherheitskritische Bereiche zu verwenden, was scheinbar jeder Autohersteller, jede Bank, jede Universität und jede größere Firma macht.
Falls die Tags wirklich im Vorbeigehen kopierbar sind, halte ich die Technik im besten Fall für gefährlich und im schlimmsten Fall für kriminell.

Viele Grüße
T

 

[Bartmensch]

RFID ist nicht sicher.
Es reicht aus, wenn man mit einem Empfangsgerät beispielsweise an Deiner Hosentasche in 30 cm Abstand vorbei streift.

https://rfid-sicherheit.com/

Leider nutzen die meisten Anbieter die Möglichkeiten der RFID Sicherung nicht wirklich aus.
Es muss eben billig sein...
Am sichersten ist mE immer noch eine Kombi aus Schlüssel und PIN für Sicherheitskritische Bereiche.
Dazu natürlich immer jemand mit Uniform daneben

 

[Sithys]

Hallo TiTanT und herzlich Willkommen beim Computerbase ;-)

Ich arbeite für eine Firma, die solche Zutrittslösungen im professionellen Bereich an Konzerne und Unternehmen verkauft. Mal schauen, inwieweit ich Dir Deine Fragen beantworten kann.

dass die Kommunikation mit dem Reader verschlüsselt ist.

Ohne die Norm konkret zu kennen und auch das Verfahren nicht, kann ich nicht sagen, ob bereits die Kommunikation verschlüsselt ist. Was ich aber weiß ist, dass der Datensatz, der auf dem Chip vorhanden ist, verschlüsselt ist - sofern das richtige Verfahren eingesetzt wird.

Leider scheint der Strom nicht zu reichen, um ähnlich wie bei Smartcards einen privaten Schlüssel in der Hardware zu implementieren und für die Authentifikation Daten zu verschlüsseln.

Die Aussage verstehe ich jetzt nicht so recht. Generell ist es so, dass bei uns Karten unkodiert ankommen. Das heißt, hier liegen bspw. 3000 Transponder herum, welche dann dem Kunden ausgehändigt werden. Jeder Chip hat eine Unikatsnummer. Diese Unikatsnummer wird in der Zutrittskontrolle hinterlegt. Sobald der Nutzer das erste mal einen Zutrittsleser benutzt, wird die Karte vollständig verschlüsselt (es geht um die einzelnen Segmente auf so einer Karte). Der Vorgang dauert 2 - 3 Sekunden. Nachdem die Karte verschlüsselt ist, ist diese unknackbar - zumindest ist das der heutige Stand von Desfire und LEGIC Advant, wenn ich das korrekt im Kopf habe.

Ich habe jetzt desöfteren von EC-Karten gehört, die in der Fußgängerzone beim Vorbeigehen ausgelesen und geklont werden. Ich weiß bis heute nicht, ob dass einfach nur irgendwelche Schauermärchen sind, oder ob das technisch wirklich möglich ist.

Eine verschlüsselte Desfire Karte lässt sich ohne Weiteres nicht einfach kopieren, such mal nach Side-Channel Attacks, das ist zumindest das dabei verwendete Verfahren.

Deswegen frage ich euch: Wie sicher sind RFID-Tags und wie sinnvoll ist es diese für sicherheitskritische Bereiche zu verwenden, was scheinbar jeder Autohersteller, jede Bank, jede Universität und jede größere Firma macht.

Ein System, welches "nur" aus verschlüsselten Transpondern besteht, ist schon ziemlich sicher. Kritische Bereiche werden aber von all unseren Kunden zusätzlich durch Biometrie gesichert. Wir reden hier von Identifikation und Verifikation. Die Person identifiziert sich mit dem Medium, welches ihr zur Verfügung steht (Transponder, Karte etc.). Auf dem Identifikationsmedium sind Beispielsweise die Minuzien des Fingerabdruckes hinterlegt. Der User muss nun den Finger auf den Flächensensor legen und nachweisen, dass er die Person ist, die sich Identifziert hat. Erst nachdem die Verifikation erfolgreich war, wird der Zutritt gewährt. Eine weitere Steigerung wäre die Identifikation durch die Handvene (auch mit Lebenderkennung). Vom Leseverhalten kann man folgendes festhalten:

Transponder: 1 : 100
Fingerprint: 1 : 500.000
Handvene 1 : 1.000.000


Vielleicht konnte ich ja schon die ein oder andere Frage beantworten, sonst einfach noch mal melden.

Noch eine Info dazu: Von uns kodierte Karten werden mit einem speziellen Kundenkey versehen. Diese Keys werden in einem Tresor aufbewahrt und sind quasi unzugänglich (6 Augenprinzip + Zutrittskontrolle 5.0). Mit diesen Keys können für Kunden weitere Karten angelegt werden und ohne die Keys ist ein Auslesen der Karten quasi unmöglich.

Hier der Link zum SideChannel Angriff -> https://www.iacr.org/workshops/ches/ches2011/presentations/Session 5/CHES2011_Session5_1.pdf

Die Jungs haben 7 Stunden gebraucht und Equipment für 2500€ gekauft um aus einer Karte den Key zu extrahieren.

RFID ist nicht sicher.
Es reicht aus, wenn man mit einem Empfangsgerät beispielsweise an Deiner Hosentasche in 30 cm Abstand vorbei streift.

Das ist komplett vom Verfahren abhängig.

 

[TiTanT]

Die Aussage verstehe ich jetzt nicht so recht. Generell ist es so, dass bei uns Karten unkodiert ankommen. Das heißt, hier liegen bspw. 3000 Transponder herum, welche dann dem Kunden ausgehändigt werden. Jeder Chip hat eine Unikatsnummer. Diese Unikatsnummer wird in der Zutrittskontrolle hinterlegt. Sobald der Nutzer das erste mal einen Zutrittsleser benutzt, wird die Karte vollständig verschlüsselt (es geht um die einzelnen Segmente auf so einer Karte). Der Vorgang dauert 2 - 3 Sekunden. Nachdem die Karte verschlüsselt ist, ist diese unknackbar - zumindest ist das der heutige Stand von Desfire und LEGIC Advant, wenn ich das korrekt im Kopf habe.

Der entsprechend zitierte Teil von mir hat sich dabei nur auf Smartcards bezogen, nicht auf RFID-Karten oder RFID-Tags.

Eine verschlüsselte Desfire Karte lässt sich ohne Weiteres nicht einfach kopieren, such mal nach Side-Channel Attacks, das ist zumindest das dabei verwendete Verfahren.

Das Argument habe ich schonmal irgendwo gelesen, verstehe es aber nicht wirklich. Nur weil ich als Angreifer die Daten nicht lesen kann (weil sie verschlüsselt sind), hindert es mich doch nicht daran die Daten einfach zu kopieren.
Dann kann ich diese auch verschlüsselt auf meinem Tag speichern. Ich kann dann zwar keine Daten verstehen (bzw. im Klartext lesen), aber jeder Reader sollte doch in der Lage sein, mithilfe dieser verschlüsselten Daten, die ich nun auf einen neuen Tag kopiert habe, zu denken, dass ich den originalen Tag besitze, von dem ich die Daten kopiert habe!?

 

[lowRange]

Das kopieren nützt Dir hier nichts, weil der Chip auch eine Signatur hat die mit einfließt und das erkennt das Terminal.
Die Mifare Classic hat diese Kopier-Sicherheitslücke und befindet sich noch oft im einsatz.