Σοβαρό κενό ασφαλείας ανακαλύφθηκε σε RFID κάρτες από γαλλική εταιρεία

Η γαλλική εταιρεία παροχής υπηρεσιών ασφαλείας Quarkslab αποκάλυψε ένα σημαντικό κενό ασφαλείας σε εκατομμύρια κάρτες ανέπαφων συναλλαγών που κατασκευάζονται από τον όμιλο Shanghai Fudan Microelectronics Group, έναν σημαντικό κινεζικό παραγωγό τσιπ. Αυτό το backdoor, που εντοπίστηκε από τον ερευνητή της Quarkslab Philippe Teuwen, επιτρέπει την κλωνοποίηση έξυπνων καρτών RFID μέσα σε λίγα λεπτά, θέτοντας σημαντικό κίνδυνο για τις παγκόσμιες υποδομές ασφαλείας.

Η έρευνα, που δημοσίευσε ο Teuwen, αποκαλύπτει ότι η backdoor μπορεί να αξιοποιηθεί με λίγα μόλις λεπτά κοντά στη στοχευμένη κάρτα. Ωστόσο, οι επιπτώσεις αυτού του κενού ασφαλείας είναι εκτεταμένες. Σε σενάρια όπου ένας εισβολέας θα μπορούσε να εκτελέσει μια επίθεση αλυσίδας εφοδιασμού, θα μπορούσε δυνητικά να κλωνοποιήσει κάρτες σε μαζική κλίμακα σχεδόν αμέσως. Οι επηρεαζόμενες κάρτες, μέρος της οικογένειας MIFARE Classic, χρησιμοποιούνται ευρέως σε συστήματα δημόσιων μεταφορών, κτίρια γραφείων και ξενοδοχεία σε όλο τον κόσμο.

Η οικογένεια καρτών MIFARE Classic, η οποία ξεκίνησε αρχικά από τη Philips (σήμερα NXP Semiconductors) το 1994, αποτέλεσε συχνό στόχο για τους ερευνητές ασφάλειας λόγω της ευρείας χρήσης της και των τρωτών σημείων του παρελθόντος. Η συγκεκριμένη παραλλαγή της κάρτας που ερευνήθηκε από την Teuwen, η FM11RF08S, κυκλοφόρησε από τη Shanghai Fudan Microelectronics το 2020 και θεωρήθηκε ότι περιλαμβάνει ενισχυμένα μέτρα ασφαλείας για την αποτροπή γνωστών επιθέσεων. Ωστόσο, τα ευρήματα του Teuwen αποδεικνύουν ότι οι κάρτες αυτές, μαζί με παλαιότερα μοντέλα, περιέχουν μια κερκόπορτα υλικού που μπορεί να αξιοποιηθεί με σχετική ευκολία.

Η Quarkslab προειδοποιεί ότι το ανακαλυφθέν backdoor επιτρέπει σε κάθε οντότητα που τη γνωρίζει να παρακάμψει όλα τα κλειδιά που έχουν οριστεί από τον χρήστη σε αυτές τις κάρτες, ακόμη και όταν τα κλειδιά αυτά είναι πλήρως διαφοροποιημένα. Αυτή η ευπάθεια θα μπορούσε να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες τοποθεσίες, εάν οι παραβιασμένες κάρτες χρησιμοποιούνται σε κρίσιμες εφαρμογές ασφαλείας. Η εταιρεία καλεί τους οργανισμούς να επανεξετάσουν άμεσα την υποδομή ασφαλείας τους και να προσδιορίσουν εάν χρησιμοποιούν τις επηρεαζόμενες κάρτες. Καθώς αυτές οι κάρτες Fudan δεν περιορίζονται στην κινεζική αγορά, η παρουσία τους έχει επιβεβαιωθεί σε διάφορα ξενοδοχεία στις ΗΠΑ, την Ευρώπη και την Ινδία, καθιστώντας το θέμα παγκόσμιο.

Τα ευρήματα της Quarkslab υπογραμμίζουν την ανάγκη για αυξημένη επαγρύπνηση και άμεση δράση για τον μετριασμό των πιθανών παραβιάσεων ασφαλείας που προκύπτουν από αυτή την κερκόπορτα στα συστήματα ανέπαφων καρτών.