Mától mindenkiből lehet digitális bliccelő

Mindenki számára elérhetővé tették a digitális jegyek feltörésének módját holland kutatók. A leendő bliccelőknek száz dollárnyi felszerelésre van szükségük - adta hírül a BBC.

A Bart Jacobs vezette csoport az Esorics 2008 konferencia alkalmából publikálta az elterjedt digitális kártyák által használt titkos algoritmusokat. A Mifare Classic rendszerek megtöréséhez mindösszesen egy száz dollárba kerülő kártyaolvasóra és némi szoftverre van szüksége a bliccelni vágyóknak.

Egyszerű jegyet hamisítani

A napvilágra került adatok birtokában bárki elcsípheti az utastársak kártyájának lemásolásához szükséges információkat. Ha pedig egy üres kártyája is van kéznél, egyszerűen készíthet magának másolatot a hacker, hogy ne saját zsebből fizesse utazásait.

A kutatásban részt vevő Karsten Nohl szerint az RFID azonosítórendszerek iránt érdeklődő és sokat tömegközlekedő hobbi hackerek fogják először kipróbálni a nyilvánosságra hozott információk használhatóságát. Igaz, őket még nem a pénzszerzés fogja motiválni hanem a szórakozási lehetőség.

Sokan használják, nagy a baj

A Mifare Classic rendszerű jegyeket több közlekedési cég használja, köztük a 2000 kilométernyi vonalat üzemeltető bostoni MBTA és a teljes londoni tömegközlekesés is. A sebezhető kártyák olyan metropoliszokban is szolgálatban állnak, mint Bangkok és Delhi.

3ric Johanson, a CNet által megkérdezett biztonsági tanácsadó szerint nagyjából 3,5 milliárd Mifare Classic kártya lehet forgalomban. A szakértő hatvanra tette azoknak a városi szintű RFID-s rendszereknek a számát, ahol a sebezhető eszközt használják.

Perek és titkolózás kíséri

A kutatás eredményét először 2008 márciusában próbálta nyilvánosságra hozni a Bart Jacobs professzor vezette csapat. Erre a kártyákat gyártó NXP csoport perrel való fenyegetőzése miatt nem került sor. A holland bíróság júliusban hozott ítéletet arról, hogy a cég nem tiltathatja be a kutatási anyag publikálását. A kártyákat gyártó NXP szóvivője a BBC-nek azt nyilatkozta, hogy csupán a biztonsági rés nyilvánosságra hozásának idejét akarták eltolni a perrel, nem volt céljuk az anyag teljes betiltatása.

Az amerikai Defcon biztonsági konferenciáról is próbáltak perrel kitiltani egy a kártyák feltöréséről szóló előadást. A korlátozást abban az esetben is feloldotta a bíróság, így az MIT-s diákok beszélhettek arról, miért nem biztonságos titkos elven működő biztonsági eszközökben bízni.