24/11/2014
Aplikacja dotyczy to kart, które działają w oparciu o chipsety ze znanymi słabościami (starsze wersje MIFARE Classic).
O “złośliwej aplikacji” dowiadujemy się z bloga Trend Micro – ale nie jest to aplikacja złośliwa; a jedynie służy do nielegalnego podładowywania stanu konta danej (kompatybilnej) karty. Niestety — musimy Was rozczarować — nie przyda się polskim użytkownikom; rozpoznaje logikę kart chilijskich. Wiemy jednak, że na atak podatne są niektóre karty miejskie wykorzystywane w Polsce ;)
Ciekawe, kiedy pojawi się pierwsza faktycznie złośliwa aplikacja, która — po zainfekowaniu telefonu — będzie odczytywała karty NFC włożone do tej samej kieszeni co telefon, i wysyłała ich obraz na serwery atakującego, który będzie mógł “sklonować” kartę lokalnie i korzystać z niej, np. do darmowych przejażdżek metrem.
Posłuchaj jednego z naszych 8 cyberwykładów. Wiedzę podajemy z humorem i w przystępny dla każdego pracownika sposób. Zdalnie lub u Ciebie w firmie. Kliknij tu i zobacz opisy wykładów!
Każdy powinien zobaczyć te webinary! Praktyczna wiedza i zrozumiały język. 6 topowych tematów — kliknij tutaj i zobacz szczegółowe opisy oraz darmowy webinar.
Yyy… “nie przyda się użytkownikom polskim… na atak podatne są niektóre karty miejskie w Polsce”. No to jak w końcu ?
Są podatne na ten wektor ataku, ale maja inną “logikę” (inne dane na innych sektorach?), przez co ta konkretna aplikacja na nich nie zadziała.
Zadaje sobie to samo pytanie…
http://d-h.st/hQh
Ostatnio przypadkowo przykładając kartę do telefonu sprawdziłem jej zawartość i zauważyłem, że ZTM dodaje jakieś dodatkowe ciągi w każdym z sektorów. Ktoś wie co to za plany?
inne dane i w innych sektorach. Dużo jest kart/systemów na świecie co używają złamanego w 2008 roku MIFARE.
Np: Metropolitana w Limie też jest na MIFARE :)
Wystarczy klonować owieczkę Dolly :v
https://github.com/elechantelepate/bip_hack
Tu są źródła do tego programiku
taaa… metrem. To opłaca się karty klonować dla pół metra metra?
Tramwajem też na takiej karcie pojedziesz. Ale klonowanie kart w taki sposób jak opisany mija się z celem bo jeśli ktoś zna format karty to nabije ją sobie sam, a ewentualna weryfikacja jest robiona w oparciu o numer karty (są chińskie klony ze zmiennym UID).
Bardziej bałbym się o programy delikatnie skracające ważność biletu (ew., jeśli haker jest Robin Hoodem, wydłużające)