Radboud Universiteit Nijmegen
Onderzoekers ontdekken lek in beveiliging toegangs-chipkaart
Onderzoekers en studenten van de onderzoeksgroep Digital Security van
de Radboud Universiteit Nijmegen hebben 7 maart 2008 een lek in de
beveiliging van een veelgebruikt type contactloze chipkaart gevonden.
Eerder hadden de Duitse wetenschappers Nohl en Plötz ook al op
zwakheden gewezen. Het gaat hier om de zogenaamde 'Mifare Classic'
RFID-kaart, die door NXP (voorheen Philips
Semiconductors) wordt geproduceerd. Er zijn er wereldwijd ongeveer een
miljard van verkocht.
Deze kaart wordt gebruikt voor de OV-chipkaart in Nederland en voor
vergelijkbare openbaarvervoerstoepassingen in het buitenland, zoals de
metro in Londen en Hong Kong. Ook wordt de Mifare Classic gebruikt in
toegangspasjes voor de beveiliging van gebouwen en terreinen. Daardoor
heeft dit lek een bredere impact.
Doordat bepaalde kaarten gekloond kunnen worden, is het in principe
mogelijk om onder een gestolen identiteit gebouwen en terreinen te
betreden. Dit is in de praktijk aangetoond. In veel omstandigheden
bestaan er echter aanvullende lagen van beveiliging. Het is dan ook
raadzaam deze extra lagen te versterken.
De Digital Security groep heeft zwakheden in het
authenticatiemechanisme van de Mifare Classic gevonden, te weten:
1. De werking van het CRYPTO1-algoritme is tot in detail achterhaald.
2. Er is een betrekkelijk eenvoudige manier gevonden om de benodigde
cryptografische sleutels te achterhalen. Dure apparatuur is
hiervoor niet vereist.
Door deze twee punten te combineren, is een daadwerkelijke aanval
uitgevoerd: een Mifare Classic toegangspas is succesvol gekloond. Op
deze manier kan een kwaadwillende oneigenlijk toegang verkrijgen,
wanneer aanvullende beveiligingsmaatregelen ontbreken.