Slo-Tech - Varnostni inženir Michael Gough (splet, LinkedIn, Twitter), sicer dobro znan po napadih na VoIP sisteme, je v YouTube posnetku predstavil napad na RFID sistem kontrole pristopa znanega ponudnika HID Global. S preprostim android programom Caribou sodelavca Iana Robertsona sta uspešno odklenila več vrat v stanovanjskem naselju, za katera bi bila sicer potrebna kartica z RFID čipom.
Podrobnosti exploita še niso objavljene, ker naj bi v skladu z white hat filozofijo Gough in Robinskon najprej želela proizvajalcu dati čas za odpravo napake. Potem naj bi bile na voljo, da bi obstoječi uporabniki sistema lahko sami preverili varnost svojih sistemov.
Sodeč po dostopnih podatkih naj bil nadzorni sistem je s kartičnimi čitalci povezan kar po nešifriranem IP omrežju. Raziskovalca sta z opazovanjem prometa dognala IP naslov nadzornega sistema, reverzno zinženirala protokol in nato napisala svoj klient v obliki Android aplikacije. Aplikacija naj bi se preprosto povezala na nadzorni sistem, izvedla pozdrav (handshake), poslala PIN, poiskala vsa zaklenjena vrata v bližini, ter poprostila za odklep. Po tridesetih sekundah naj bi jih zaklenila nazaj.
Edini varnostni element, PIN, naj bi se pošiljal kar v surovi obliki (in the clear) in bi ga bilo mogoče dobiti s skeniranjem prometa, ali ga preprosto uganiti po brute force metodi.
Slovenski partner omenjenega podjetja je, že od leta 2007 naprej, vsem dobro znana Špica International.
Novice » Varnost » Vstop v zaščitene prostore kar z android aplikacijo
antonhac ::
Tu gre za vdor v sistem, program, ki "krmili" RFID sistem. Kako je to možno preko samega čitalca je pa vprašanje.
mjk ::
link imaš napačen http://www.hackerhurricane.com/ brez 3tjega rja :)
zanimivo ... v bistvu pa je to bolj exploit wifi omrežja in ne RFID kartic :) .. vseeno pa dokaj neumna zasnova za "varnostni sistem" ... je pa res, da samo dodajo šifriranje in je stvar odpravljena -- dokler ne bo kdo privatnega certifikata vseh ključavnic objavil :)
zanimivo ... v bistvu pa je to bolj exploit wifi omrežja in ne RFID kartic :) .. vseeno pa dokaj neumna zasnova za "varnostni sistem" ... je pa res, da samo dodajo šifriranje in je stvar odpravljena -- dokler ne bo kdo privatnega certifikata vseh ključavnic objavil :)
M.B. ::
This should be fun:
Lahko greš malo v špar, pa na banko al si kaki avto sposodiš :P Vir
Dodal bold
# Skupina Avtotehna - z uporabo Time&Space zgradila dosleden sistem kontrole dostopa - preberite si več
# Spar Slovenija Špici zaupano največje premoženje trgovca - preberite si več
# Banka Celje d.d. Napredna kontrolo pristopa in bančna recepcija Time&Space - preberite si več
# VingCard in Špica pripomoreta k odličnosti Grand Hotela Union - preberite si več
# ATech - od zajema podatkov do učinkovitosti delovnega okolja - preberite si več
# Splitsko letališče Kaštela uporablja dve Legicovi aplikaciji, kmalu tudi tretjo - preberite si več
# Mobitel d.d. Sodoben sistem za registracijo delovnega časa in kontrolo pristopai - preberite si več
# Špica International je v Delu tiskarni instalirala sistem za kontrolo pristopa in registracijo delovnega časa Time&Space
Lahko greš malo v špar, pa na banko al si kaki avto sposodiš :P Vir
Dodal bold
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.
Sadly only a handful ever progress past that point.
Zgodovina sprememb…
- spremenil: M.B. ()
Jux ::
Time&Space ni povezan z zgoraj omenjenim shekanim sistemom - je plod njihovega lastnega znanja.
web&blog&etc: http://lukabirsa.com
M.B. ::
Pol pa tak ni problema.
Zdaj se vidi da je včasih boljše da kaj sam razviješ. kot pa samo od drugih prodajaš. :)
Zdaj se vidi da je včasih boljše da kaj sam razviješ. kot pa samo od drugih prodajaš. :)
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.
Sadly only a handful ever progress past that point.
atom_monkey ::
Iz posnetka zaslona je opazno, da aplikacija išče TCP naslov ter port. Ta napad napade krmilnik za odpiranje vrat in ne samega protokola med RFID kartico ter čitalnikom. To je razvidno tudi iz tega, da je bilo potrebno kartico pristaviti k čitalniku pri obojih vratih v drugem primeru je to naredil samo enkrat in se sprehodil skozi oboja vrata. S tem posnetkom so prikazali ranljivost nekega neimenovanega krmilnika za kontrolo pristopa in ne ranljivosti RF protokola.
atom_monkey ::
Verjetno je ravno toliko exploitable kakor so nezaščitena WiFi omrežja, brez gesla ....
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | Izsiljevalska zlobna koda pričenja napadati industrijske sistemeOddelek: Novice / Varnost | 6473 (5402) | ssokec |
| » | Tema IT Security v podjetju (strani: 1 2 )Oddelek: Loža | 10017 (7139) | Invictus |
| » | Googlova konferenca I/O bi bila lahko kar Android konferencaOddelek: Novice / Android | 7450 (6481) | matejdro |
| » | Črv Stuxnet napadal iranski jedrski program?Oddelek: Novice / Varnost | 13260 (11255) | WarpedGone |
| » | KLjučavnica na prstni odtis (strani: 1 2 )Oddelek: Loža | 18908 (13903) | poweroff |