Ingyen metrójegy NFC-vel
Egy egyszerű androidos NFC-s okostelefonnal ingyen metrójegyet gyártott két biztonsági szakértő, akik feltörték San Francisco és New Jersey tömegközlekedési rendszerét. Az érintés nélküli kártyákkal üzemeltetett beléptetőrendszerek túl könnyű célpontnak bizonyultak.
Corey Benninger és Max Sobell, az Intrepidus Group két biztonsági specialistája könnyedén és gyorsan képes az NFC-alapú érintés nélküli utazási kártyákon nullázni a számlálót, ami a már elhasznált jegyek számát dokumentálta. A két szakértő gyakorlatilag egy tízes “tömbjegy” megvásárlásával örök jegyet szerezhetne magának a két vizsgált társaságnál, ugyanis a kártyán elvileg titkosítva tárolt számlálót újra és újra le lehet nullázni, úgy, hogy a közlekedési társaságok elfogadóhelyei nem észlelnek hibát.
A két biztonsági szakértő “UltraReset” néven mutatott be egy mobilalkalmazást, ami azt a hibát használja ki a MIFARE Ultralight NFC-chipekre épülő kártyákban, hogy azok csupán az elhasznált utazások számát tárolják - a rendszer azt ellenőrzi a leolvasáskor, hogy a 10 lehetőségből van-e még hátra valamennyi. A MIFARE Ultralight chipben viszont találtak egy hibát, amivel a tárolt adatok nullázhatóak, visszaállíthatóak az eredeti állapotra, így a keret gyakorlatilag újraindul. Az akcióról egy videót is készítettek a kutatók, amivel demonstrálják, hogy a hekkelés nem elméleti, hanem valóban újraírhatóak az elektronikus bérletek.
Ingyen metró
Az elektronikus tömegközlekedési jegy kijátszásához semmilyen speciális felszerelésre nincs szükség, mindössze egy NFC-s androidos okostelefonra és a fent említett alkalmazásra. A demó a San Francisco Municipal Railway és a New Jersey PATH közlekedési rendszer kártyáit biztosan érinti, de a két kutató szerint hasonló megoldások vannak több amerikai nagyvárosban, például Bostonban, Seattle-ben és Chicagóban. Ezeken a helyeken ugyanezzel a trükkel szintén meg lehet kerülni a rendszert.
A kétfős csapat mutatványát az EUSecWest biztonsági konferencián prezentálta Amszterdamban. Ezzel egy időben a páros kiadott egy olyan androidos alkalmazást, amivel a világon bárki letesztelheti, hogy az ő városában használt NFC-s kártyával működik-e a trükk. Természetesen nem az éles alkalmazás került publikálásra, csak egy olyan, ami nem írja felül az elektronikus jegyet, csak megállapítja a sérülékenységet. Ezt bárki le is töltheti, a Play Store-ban “UltraCardTester” néven található meg és minden Android 2.3.3 vagy újabb operációs rendszert futtetó, NFC-képes mobilon működik.
Nyerd meg az 5 darab, 1000 eurós Craft konferenciajegy egyikét! A kétnapos, nemzetközi fejlesztői konferencia apropójából a HWSW kraftie nyereményjátékot indít.
Budapesten sajnos ezzel nem tudunk mit kezdeni, hiszen nálunk még mindig csak ötlet szintjén áll az elektronikus jegy, mindenesetre tanulságos lehet az NFC-s megoldásokat implementáló társaságoknak, hogy a visszaélésekhez szükséges eszközök ma már sokkal szélesebb körben elérhetőek, bárki számára hozzáférhetőek. BKV-jegy ugyan nálunk nincs NFC-s kártyán, de beléptetők, azonosítók számtalan lakóparkban, irodában, épületben, vállalatnál, fénymásolónál, automatánál használnak ilyen megoldásokat. Ahogyan a londoni Oyster-kártyát is egészen új alapokra helyezték, úgy érdemes minden érintés nélküli megoldást használónak átgondolnia, hogy az NFC-író eszközök általánossá válásával szükséges-e fejleszteni a saját rendszerét.
Sok helyen alapvető hiba, hogy a kártyán közvetlenül tárolnak adatokat, az olvasó pedig nem csak egy azonosítást végez és a háttérrendszerben írja jóvá a tranzakciót vagy bármilyen eseményt, hanem a kártyán rögzít adatot. A fenti példa is jól mutatja, hogy ez a megoldás milyen kiszolgáltatottá teszi a rendszert a visszaéléseknek. A komolyabb titkosítás használata lehet az egyik megoldás, a másik pedig a szerveroldali adattárolás, a teljesen online vagy a félig online rendszerek (a tranzakció helyben történik, offline státuszban is működik, de a lehető leggyakrabban szinkronizálva van egy központi rendszerrel minden adat).