MIFARE Classic: 静的暗号化ノンスの変種を公開 [pdf] (eprint.iacr.org) 1 ポイント 投稿者 GN⁺ 2024-08-17 | 1件のコメント | WhatsAppで共有 関連記事 マルウェア開発者がスパイウェアに核・生物兵器文言を追加 2 ポイント · 1件のコメント · 20 일 전 AIがRFIC設計の「黒魔術」を学ぶ 6 ポイント · 1件のコメント · 6 일 전 フロンティアAIが公開CTFの形式を壊した 1 ポイント · 1件のコメント · 2026-05-17 DNS-PERSIST-01: DNSベースのチャレンジ検証のための新しいモデル 4 ポイント · 1件のコメント · 2026-02-20 PuTTYの脆弱性 vuln-p521-bias が発見 4 ポイント · 4件のコメント · 2024-04-16 1件のコメント GN⁺ 2024-08-17 Hacker Newsのコメント MIFARE Classic カードは10年以上前から脆弱だと知られており、カード業界にいるなら通常は DESFire のような、より安全なチップへ移行すべきだと言うべき 論文の序文にも「2024年にもなれば MIFARE Classic が深刻に破られていることは誰もが知っている」とあるので、いまだに MIFARE Classic を導入しているなら自業自得に近い うちの大学の自販機も2014年ごろは MIFARE Classicトークン に残高を入れて使う方式だった 7月の半ばに金が尽きて、夏休みに家へ帰る列車の切符を買う金もぎりぎりだったが、MIFARE のおかげで自販機のサンドイッチで2週間ほどしのげた。若いころはよかった MIFARE Classic は安価で安定しており、壊れているのは暗号化だけ 単純なストレージとして使い、データ暗号化や認証を別方式で処理すれば問題ない。ECC 署名も 2K/4K カードに収まるほど小さいので、そうしたことがある より一般的には、ARM ベース SoC と SecureBoot のような機能を入れるメーカーが セキュリティ関連資料をNDA の下に置くのが理解できない コピー&ペーストもできず、「confidential」の透かしが入った PDF 仕様書のようなものだが、いまだにセキュリティの隠蔽が通用すると考えているようだ ロンドンの TFL は2010年からこの問題を理由に MIFARE Classic の排除を始めていた 今でもこれが問題になっているのは驚きだ これらのカードには ハードウェアバックドア があるので、世代や種類はそれほど重要ではない この攻撃経路をとても簡単に説明できる人がいるのだろうか バックドアというと、誰かが私の RFID に「入り込める」という意味に聞こえるが、RFID はほとんどの時間、電源が切れている。RFID に給電されるとき、その電力を供給するホスト側も脆弱か、侵害されたネットワーク上にある必要があるのだろうか その後に何が可能になるのかもよく分からない。ドアはすでに開き、クレジットカードもすでに決済準備済みだ。あるいは、道ですれ違った人が私のカードを複製できるようになる程度なのだろうか 世界中の RFID カードシステムのかなりの部分が、コストと長い歴史のために MIFARE Classic を使っている MIFARE は Classic だけでなく、32ビット UID と複数の暗号化データブロックを持ち、各ブロックは A キーと B キーで保護される 初期のカードシステムは認証に UID しか使わず、UID が一致すれば通過だった。当然ながら誰でも同じ UID のカードを作れたため、後のシステムでは暗号化された12個のフィールドを認証に使い始めた。リーダーはカードに対し、乱数と保存済み識別情報を暗号化するよう要求し、正しいキーを持つカードだけが正しい暗号文と乱数を返せる 認証には 共通鍵暗号 が使われる。設定によっては A キーが読み取り専用または読み書きに使われたり、A が読み取り・B が書き込みに使われたり、読み書きの両方に A/B の両方が必要な場合もある もともと MIFARE Classic は独自暗号の crypto-1 を使っており、弱い乱数生成器や衝突などの理由で、従来の MIFARE Classic キーは簡単に破れることがある。ただし、さまざまな対策のおかげで、まだ破られていない強化キーもある 論文では特定の RFID カードブランドにハードコードされた A/B キー A396EFA4E24F が見つかったようだ。論文はざっと流し読みしただけで、RFID を扱ったのも久しぶりなので、細部は間違っているかもしれない 誰かがあなたのカードを数分間だけ手にできれば、複製してあなたになりすませる というのが要点だ もちろんカードを盗むこともできるが、それならあなたも気づける。一方、財布に入ったカードを机の上に数分置いたり、IT 部門が再エンコードすると言って「借りたり」、そのほか多くの方法で RFID カードを少しの間確保できれば、ダンプして複製できる 最後から2ページ目にあるチップセットのうち影響を受ける RFIDカード なら、バックドアルートアクセスにより即座に複製できる 「MIFARE Classic の中国製クローン を買うべきか？」は、答えが決まっている質問のように見えるが、だからこそまだ CISO に昇進できていないのかもしれない こうしたカードの最終利用者は出所を知らないことが多く、通常は少しでも安くしたい リセラー が供給している スマートカードを使う顧客がいて、私たちが時々読み書きしなければならないのだが、オンボーディング時に自分たちがどのバージョンや仕様を使っているのか分かっていないことが多い。ほとんど目印のないカードを数枚送ってきて、試行錯誤で見極めることになる 論文によれば、同じバックドアが一部の NXP と Infineon の SKU にもあるようで、欧州で製造された製品も含まれる リスクを創造的に定量化する方法を示せるなら、CISO に昇進できるかもしれない リスク管理フレームワークは、影響度、可能性、対策を金額で表現してくれる。異なる緩和策が最終的な残余リスクにどう影響するか、いくつか案を出せば、非技術担当者でも企業のセキュリティ方針を受け入れやすくなる もちろん「セキュリティは重要だ」「脆弱性はよくない」「サプライチェーンリスクには対処すべきだ」といった基本的なことも言わなければならない。知れば知るほどこういうことはつらくなり、少なくとも私の経験ではそうだった。ただし、私は CISO ではない 実際の問いはたいてい「建物のリーダーとゲート何千台を取り外すべきか、それとも同じプロトコルを使う 強化カード であと数年しのげるのか」のように、もっと複雑だ 推奨はしないが、ほとんどの会社では物理セキュリティも他の分野と同じく予算が無限ではない CISO がこうした決定を本当にするのかは分からない 匿名の商業用不動産保有会社では、建物管理者に雇われた請負業者が決める可能性のほうが高そうだ PDF ではないアブストラクトへのリンク: https://eprint.iacr.org/2024/1275 MIFARE Classic: exposing the static encrypted nonce variant Cryptology ePrint Archive, Paper 2024/1275 著者: Philippe Teuwen これが PKCS や PKI を使うカードとどういう関係にあるのか気になる この方式を使う入退室管理システムが実際にあるのか、またより安全なのかも気になる それとも FIDO2 を使うドア入退室管理システムもあるのかもしれない PKI を使う入退室管理システムは実際に存在する たとえば DOD CAC のような PIV 仕様では、9e スロットは通常 PIN なしの「カード認証」に使われるようになっている PKCS ベースのカードは、スマートカードの利点、つまり理論上は鍵の抽出が困難で、サイドチャネル攻撃耐性があるといった恩恵を受けられる一方、ベンダーや発行者がアプレットにバックドア APDU を入れていないと信じなければならないという一般的なリスクもある ドア入退室管理に FIDO2 を使いたがる人はあまりいないだろうが、理論上はそれを妨げる理由はない。各ドアに対する巧妙な URI スキームを作り、各 URI で各アイデンティティについてどの公開鍵を期待すべきかだけ分かっていればよい。ただし FIDO2 は URI ごとに異なるアイデンティティが出てくるため理想的ではなく、現実には施設全体で単一の URI あるいはゾーンを使い、各検証器でゾーンアクセス検査を実装することになる可能性が高い 現実的には、PIV 方式の PKI 検証 を行えば、FIDO2 の利点をほぼ得ながら、システム全体に配布される CRL によってカード失効にも対応できる Flipper Zero でこの攻撃を実行できるのか気になる まだできないが、今まさに作業中 今月末までには可能になる予定で、PR はここで追える: https://github.com/flipperdevices/flipperzero-firmware/pull/... 推測では NFC -> Extra Actions -> MIFARE Classic Keys -> Add だと思う 今はテスト用の Classic キーがないので確認はできない 8年くらい前、このチュートリアルを使って大学の自販機で 食べ物を無限に 手に入れていた いい時代だった https://firefart.at/post/how-to-crack-mifare-classic-cards/ バーダー＝マインホフ効果みたいなものだが、この2日ほど大学の MIFARE Classic 1K を複製しようとしていた 学生証が色あせて、再有効化を拒否されたからだ この問題は難解な理論上の脆弱性ではなく、かなり深刻な 大穴 だ。要旨によれば次のとおり 「実証研究を通じてハードウェアバックドアを発見し、その鍵の解読に成功した。このバックドアを知る主体は、カードに数分アクセスするだけで、事前知識がなくてもそのカードのすべてのユーザー定義鍵を侵害できる。また、古いカードを調査する過程で、複数メーカーに共通して存在する別のハードウェアバックドア鍵も発見した」
1件のコメント
Hacker Newsのコメント
MIFARE Classic カードは10年以上前から脆弱だと知られており、カード業界にいるなら通常は DESFire のような、より安全なチップへ移行すべきだと言うべき
論文の序文にも「2024年にもなれば MIFARE Classic が深刻に破られていることは誰もが知っている」とあるので、いまだに MIFARE Classic を導入しているなら自業自得に近い
7月の半ばに金が尽きて、夏休みに家へ帰る列車の切符を買う金もぎりぎりだったが、MIFARE のおかげで自販機のサンドイッチで2週間ほどしのげた。若いころはよかった
単純なストレージとして使い、データ暗号化や認証を別方式で処理すれば問題ない。ECC 署名も 2K/4K カードに収まるほど小さいので、そうしたことがある
コピー&ペーストもできず、「confidential」の透かしが入った PDF 仕様書のようなものだが、いまだにセキュリティの隠蔽が通用すると考えているようだ
今でもこれが問題になっているのは驚きだ
この攻撃経路をとても簡単に説明できる人がいるのだろうか
バックドアというと、誰かが私の RFID に「入り込める」という意味に聞こえるが、RFID はほとんどの時間、電源が切れている。RFID に給電されるとき、その電力を供給するホスト側も脆弱か、侵害されたネットワーク上にある必要があるのだろうか
その後に何が可能になるのかもよく分からない。ドアはすでに開き、クレジットカードもすでに決済準備済みだ。あるいは、道ですれ違った人が私のカードを複製できるようになる程度なのだろうか
MIFARE は Classic だけでなく、32ビット UID と複数の暗号化データブロックを持ち、各ブロックは A キーと B キーで保護される
初期のカードシステムは認証に UID しか使わず、UID が一致すれば通過だった。当然ながら誰でも同じ UID のカードを作れたため、後のシステムでは暗号化された12個のフィールドを認証に使い始めた。リーダーはカードに対し、乱数と保存済み識別情報を暗号化するよう要求し、正しいキーを持つカードだけが正しい暗号文と乱数を返せる
認証には 共通鍵暗号 が使われる。設定によっては A キーが読み取り専用または読み書きに使われたり、A が読み取り・B が書き込みに使われたり、読み書きの両方に A/B の両方が必要な場合もある
もともと MIFARE Classic は独自暗号の crypto-1 を使っており、弱い乱数生成器や衝突などの理由で、従来の MIFARE Classic キーは簡単に破れることがある。ただし、さまざまな対策のおかげで、まだ破られていない強化キーもある
論文では特定の RFID カードブランドにハードコードされた A/B キー
A396EFA4E24Fが見つかったようだ。論文はざっと流し読みしただけで、RFID を扱ったのも久しぶりなので、細部は間違っているかもしれないもちろんカードを盗むこともできるが、それならあなたも気づける。一方、財布に入ったカードを机の上に数分置いたり、IT 部門が再エンコードすると言って「借りたり」、そのほか多くの方法で RFID カードを少しの間確保できれば、ダンプして複製できる
「MIFARE Classic の中国製クローン を買うべきか？」は、答えが決まっている質問のように見えるが、だからこそまだ CISO に昇進できていないのかもしれない
スマートカードを使う顧客がいて、私たちが時々読み書きしなければならないのだが、オンボーディング時に自分たちがどのバージョンや仕様を使っているのか分かっていないことが多い。ほとんど目印のないカードを数枚送ってきて、試行錯誤で見極めることになる
リスク管理フレームワークは、影響度、可能性、対策を金額で表現してくれる。異なる緩和策が最終的な残余リスクにどう影響するか、いくつか案を出せば、非技術担当者でも企業のセキュリティ方針を受け入れやすくなる
もちろん「セキュリティは重要だ」「脆弱性はよくない」「サプライチェーンリスクには対処すべきだ」といった基本的なことも言わなければならない。知れば知るほどこういうことはつらくなり、少なくとも私の経験ではそうだった。ただし、私は CISO ではない
推奨はしないが、ほとんどの会社では物理セキュリティも他の分野と同じく予算が無限ではない
匿名の商業用不動産保有会社では、建物管理者に雇われた請負業者が決める可能性のほうが高そうだ
PDF ではないアブストラクトへのリンク: https://eprint.iacr.org/2024/1275
MIFARE Classic: exposing the static encrypted nonce variant
Cryptology ePrint Archive, Paper 2024/1275
著者: Philippe Teuwen
これが PKCS や PKI を使うカードとどういう関係にあるのか気になる
この方式を使う入退室管理システムが実際にあるのか、またより安全なのかも気になる
それとも FIDO2 を使うドア入退室管理システムもあるのかもしれない
たとえば DOD CAC のような PIV 仕様では、9e スロットは通常 PIN なしの「カード認証」に使われるようになっている
PKCS ベースのカードは、スマートカードの利点、つまり理論上は鍵の抽出が困難で、サイドチャネル攻撃耐性があるといった恩恵を受けられる一方、ベンダーや発行者がアプレットにバックドア APDU を入れていないと信じなければならないという一般的なリスクもある
ドア入退室管理に FIDO2 を使いたがる人はあまりいないだろうが、理論上はそれを妨げる理由はない。各ドアに対する巧妙な URI スキームを作り、各 URI で各アイデンティティについてどの公開鍵を期待すべきかだけ分かっていればよい。ただし FIDO2 は URI ごとに異なるアイデンティティが出てくるため理想的ではなく、現実には施設全体で単一の URI あるいはゾーンを使い、各検証器でゾーンアクセス検査を実装することになる可能性が高い
現実的には、PIV 方式の PKI 検証 を行えば、FIDO2 の利点をほぼ得ながら、システム全体に配布される CRL によってカード失効にも対応できる
Flipper Zero でこの攻撃を実行できるのか気になる
今月末までには可能になる予定で、PR はここで追える: https://github.com/flipperdevices/flipperzero-firmware/pull/...
今はテスト用の Classic キーがないので確認はできない
8年くらい前、このチュートリアルを使って大学の自販機で 食べ物を無限に 手に入れていた
いい時代だった
https://firefart.at/post/how-to-crack-mifare-classic-cards/
バーダー＝マインホフ効果みたいなものだが、この2日ほど大学の MIFARE Classic 1K を複製しようとしていた
学生証が色あせて、再有効化を拒否されたからだ
この問題は難解な理論上の脆弱性ではなく、かなり深刻な 大穴 だ。要旨によれば次のとおり
「実証研究を通じてハードウェアバックドアを発見し、その鍵の解読に成功した。このバックドアを知る主体は、カードに数分アクセスするだけで、事前知識がなくてもそのカードのすべてのユーザー定義鍵を侵害できる。また、古いカードを調査する過程で、複数メーカーに共通して存在する別のハードウェアバックドア鍵も発見した」