تحقیقات جدید نقص های حیاتی در امنیت کارت هوشمند RFID را آشکار می کند

مطالعه پیشگامانه آسیب پذیری های کارت های هوشمند RFID پرکاربرد را آشکار می کند

یک مطالعه جامع جدید از مؤسسه امنیت سایبری در دانشگاه Technion هشدارهای قابل توجهی را در مورد امنیت کارت‌های هوشمند RFID (شناسایی فرکانس رادیویی) که در همه جا در کنترل دسترسی، سیستم‌های پرداخت و حمل و نقل عمومی وجود دارد، ایجاد کرده است.

این تحقیق با عنوان «ناامنی لایه‌ای پیاده‌سازی‌های RFID مدرن» نشان می‌دهد که بخش قابل توجهی از کارت‌های هوشمند RFID که در حال حاضر مستقر شده‌اند به پروتکل‌های رمزگذاری قدیمی یا ضعیف پیاده‌سازی شده‌اند. محققان توانستند با استفاده از سخت‌افزار مقرون‌به‌صرفه، امنیت چندین مدل کارت رایج را شبیه‌سازی کنند، استراق سمع کنند و در برخی موارد به طور کامل از امنیت آن دور بزنند.

دکتر النا ونس، محقق اصلی توضیح داد: «بسیاری از سازمان‌ها و مصرف‌کنندگان تصور می‌کنند که این کارت‌ها ذاتا امن هستند. "یافته‌های ما نشان می‌دهد که احساس امنیت کاذب فراگیر است. ما با موفقیت ارتباط بین کارت‌ها و خوانندگان را از راه دور رهگیری کردیم، شناسه‌های منحصربه‌فرد را جمع‌آوری کردیم و از ضعف‌های رمزنگاری برای ایجاد موارد تکراری کاربردی استفاده کردیم."

این آسیب‌پذیری‌ها از عوامل مختلفی ناشی می‌شوند: استفاده مداوم از پروتکل‌های قدیمی مانند MIFARE Classic، شیوه‌های ضعیف مدیریت کلید توسط تولیدکنندگان و کاربران نهایی، و ماهیت فیزیکی ارتباطات بی‌سیم، که ذاتاً مستعد حملات skimming و relay است. این مطالعه نشان می‌دهد که در حالی که کارت‌های با امنیت بالا (به عنوان مثال، کارت‌هایی که از رمزگذاری مدرن AES استفاده می‌کنند) وجود دارند، کاهش هزینه اغلب منجر به استقرار فناوری ضعیف‌تر می‌شود.

پیامدها شدید است. دسترسی غیرمجاز به ساختمان، پرداخت‌های متقلبانه، سرقت هویت و ردیابی افراد» برای عوامل مخرب امکان‌پذیر می‌شود. زیرساخت‌های حیاتی، دفاتر شرکت‌ها و قفل‌های اتاق هتل که تنها به این کارت‌های آسیب‌پذیر وابسته هستند، به‌ویژه در معرض خطر هستند.

در پاسخ به این یافته ها، کارشناسان امنیت سایبری خواستار یک رویکرد امنیتی چند لایه هستند. توصیه ها عبارتند از:

• حذف تدریجی کارت های RFID قدیمی به نفع جایگزین های مدرن و رمزنگاری قوی.

• در حال اجرا احراز هویت دو مرحله ای (به عنوان مثال، کارت به اضافه پین ​​یا بیومتریک).

• منظم ممیزی های امنیتی و تست نفوذ سیستم های دسترسی فیزیکی.

• آگاهی کاربر در مورد خطرات اسکمینگ کارت در فضاهای عمومی.

تولیدکنندگان بزرگ کارت این گزارش را تایید کرده اند و چندین نفر متعهد به تسریع بازنشستگی خطوط فناوری قدیمی تر شده اند. سازمان‌های استاندارد نیز تحت فشار هستند تا فرآیندهای صدور گواهینامه سخت‌گیرانه‌تر را الزامی کنند.

دکتر ونس نتیجه گرفت: "امنیت کارت هوشمند RFID یک ویژگی ثابت نیست، بلکه یک مسابقه تسلیحاتی در حال انجام است." این تحقیق یک زنگ خطر است. همانطور که ما این فناوری‌ها را عمیق‌تر در زندگی روزمره و سیستم‌های حیاتی خود ادغام می‌کنیم، باید با همان فوریت که برای شبکه‌های دیجیتال خود انجام می‌دهیم، روی انعطاف‌پذیری آنها سرمایه‌گذاری کنیم."

گزارش فنی کامل در کنفرانس بین المللی آتی سخت افزار رمزنگاری و سیستم های جاسازی شده (CHES) ارائه خواهد شد.