web-dev-qa-db-ja.com

セキュリティ/認証の理由でMifare UIDに依存することは良い考えですか？

いくつかのシステムは、スマートカードのUIDを使用して識別/承認を行います。たとえば、データベースには、スマートカードのUIDと対応する権限のリストが格納されています。

今日では、任意のUIDを記述して、たとえばMifareクラシックUIDをエミュレートできるカードが存在することを考えると、承認にスマートカードUIDを使用する方法は何ですか？

言い換えれば、Mifare Classic UIDを認証に使用すると、誰かが中国のカードを購入して、任意のUIDを割り当てることができます。つまり、そのようなカードの所有者は、私のMifare Classicの元の所有者になりすますことができます。

これを克服する方法はありますか？人々はどのように（またはまったくそうしますか？）承認にスマートカードUIDを使用しますか？

authenticationsmartcard
6
user32987

Mifareクラシックは数年前に壊れており（弱く、あいまいで、独自の暗号化が壊れていました）、Mifare DESfire v1も壊れていました。強力なアルゴリズム（優先的に強力なアルゴリズムを開く）に依存する必要があり、異常な動作を検出してクローニングや改ざんを検出する監視システムも必要です。必要なセキュリティのレベルに依存します。

コーヒーマシン用のRFID決済システムが稼働しています。それらのカードにバイオメトリック+コード+ネットワークの精査を設定することはやり過ぎです。彼らはMifareクラシックに依存しているため、Proxmarkデバイス（私は個人的にテストしたことはありませんが、他の人はテストしましたが、GoogleクローンのMifareクラシックProxmarkのみ）を使用して、カードに任意の金額を設定し、無制限のコーヒーを手に入れることができます。しかし、Proxmarkデバイスの価格は約300ドルであるため、コーヒー中毒者でなければ費用対効果が高くありません（道徳的に間違っていますが、完全に実行可能です）。

しかし、もしあなたがアクセス許可について話しているなら、このカードは大きなノーノーです。 （たとえば、Mifareを使い続けたい場合は、Mifare DESfire v2を使用できますが、ここでも、それぞれが提供するセキュリティのレベルを探し、ニーズに合っているかどうかを確認します）。

「Mifare Classicを新規インストールに使用することはお勧めしません。お客様と協力してセキュリティを確認しています。」ソース： http://news.bbc.co.uk/2/hi/programmes/click_online/7655292.stm

編集：RFID認証システムを使用して直面しているリスクをより広く把握するには、「2.1。」の http://www.oecd.org/sti/ieconomy/40892347.pdf を確認してください。 1.リスクの類型」では、ベンダーが提案するセキュリティソリューションでこの知識に立ち向かうことができます。

5
zX8iqV

通常、単一の認証メカニズムに依存することは常に悪い考えです。これについては、多層防御を参照してください。生体認証+スマートカード、またはスマートカード+パスワードまたは同様の2FAは、平均よりも高いセキュリティが要求される環境に適しています。

RFIDカードについては、間違っている場合は修正してください。MiFareは、複数のRFIDベースの「スマートカード」ソリューションのメーカーです。また、MiFare Classicなどの一部のカードは簡単にクローン作成に対して脆弱ですが、他の一部の製品のPoCは実装がより困難です。

第二に、クローンは元のカードを手に入れることができることに依存しています。これを困難にするために、物理的なセキュリティを確保する必要があります（RFID証明財布など）。

RFIDベースのカードは現在、ペイメントカード業界、公共鉄道ネットワーク、犯罪報告率の低い企業のオフィスで使用されています。

カード追跡は、カードの最後に使用された場所を監視することにより、中央システムで異常を検出できる興味深いポリシーです。たとえば、人々が自分のカードを2回使用して別の個人をスワイプする場所では、カード追跡ポリシーはセキュリティを調査するよう警告することができます。保護された資産の重要度に応じて、適切な侵入検知または侵入防止ポリシーを採用できます。

セキュリティに関する考慮事項：

  • クローン化が難しいrfidソリューションを選択します。
  • 従業員研修。
  • RFIDブロッキングスリーブの使用。
  • カード追跡
  • スマートカードだけに依存するのではなく、2FAを使用します。
2
Rohan Durve

単純な言い方をすれば、エンコーディングは完全な証拠ではなく、UIDが「偽装できない」というわけではありません。ただし、呼び出されたUID、MACアドレス、または番号が付いたものを偽装しているものはもっともらしく、一方が他方よりも難しいです。

はい、長期的には、IDをエミュレートできます

0
Lighty