Schwachstellen und Revision von RFID Wie sicher RFID-Funkchips auf Sicherheitsausweisen wirklich sind

RFID-Chips werden heute in großem Umfang bei der Zugangskontrolle eingesetzt. Doch die kontaktlose Identitätsprüfung kann schnell zum Einfallstor für Unbefugte werden. Experten raten daher zu einer regelmäßigen Revision. Ebenso wichtig: Nicht autorisierte Leseversuche müssen unterbunden werden. Eine Abschirmung durch Schutzfolien schützt auch vor unbeabsichtigten Öffnungen bei Überreichweiten.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Vogel IT-Akademie

Die Damen und Herren vom berühmt-berüchtigten Chaos Computer Club sind es ja eigentlich gewohnt, dass sie ein wenig herumtüfteln müssen, bevor sie eine elektronische Sicherung zu Demonstrationszwecken knacken können. Umso größer war das Erstaunen, als man das RFID-Sicherheitssystem des Hamburger Flughafens unter die Lupe nahm.

„Das System auszuhebeln ist einfach. Wir waren schlicht schockiert, überhaupt keine Hürden zu finden, die wir hätten überwinden müssen“, wunderte sich CCC-Mitglied Karsten Nohl. Ein einfaches RFID-Lesegerät, das auch die Signale eines RFID-Chips emulieren konnte, hatte bereits ausgereicht, um die Sicherungen Schachmatt zu setzen.

Zugute kam den CCC-Spezialisten dabei die Mitteilsamkeit der RFID-Technik. Die Chips werden von einem elektromagnetischen Wechselfeld des Lesegeräts aktiviert. Die Antwort besteht darin, dass in das Feld eine bestimmte Kennung einmoduliert wird, die das Lesegerät wiederum erkennt.

RFID – funktionssicher, aber oft zu mitteilsam

Für den Ausweis-Inhaber ist das eine bequeme Sache: Er kann die Zugangskontrolle einfach passieren, ohne die Karte in ein Lesegerät stecken zu müssen. Die kontaktlose Übertragung ist nicht verschleißanfällig und funktioniert über Jahre hinweg problemlos. Schließlich wurde RFID eigentlich für den Logistikbereich entwickelt, wo der Lesevorgang oft unter schwierigen Bedingungen stattfinden muss.

Praktisch war die kommunikative RFID-Technik allerdings auch für den Test-Hacker. Er brauchte nur einen Flughafen-Mitarbeiter „aus Versehen“ anzurempeln. Dabei las ein Gerät, das er versteckt mit sich führte, den Sicherheits-Chip aus und speicherte den Inhalt. So ließ sich schnell ein Duplikat des Sicherheitsausweises anfertigen. Laut Auskunft eines Flughafen-Angestellten – der aus verständlichen Gründen anonym bleiben wollte – reiche es meist schon aus, die RFID-Karte an das Lesegerät zu führen, um ohne weitere Prüfung aufs Rollfeld zu gelangen.

Unangenehme Erfahrungen mit der übertragungssicheren RFID-Technik machte man auch in der geschlossenen Abteilung einer psychiatrischen Klinik in Süddeutschland. Immer wieder wurde unbeabsichtigt die Türöffnung ausgelöst, weil ein Mitarbeiter sich mit seinem Sicherheitsausweis zu stark genähert hatte.

„Die Reichweite von RFID-Sicherheit-Chips kann stark variieren“, weiß Stefan Horvath, Managing Director bei Kryptronic. Sein Unternehmen befasst sich schon seit vielen Jahren mit dem Thema RFID-Abschirmung. „Umgebungsparameter wie Luftfeuchtigkeit oder sogar eine Oberbekleidung aus Kunstfaser können die Übertragungseigenschaften beeinflussen. Das führt oft zu unvorhersehbaren Überreichweiten.“

Inhalt

• Seite 1: RFID – funktionssicher, aber oft zu mitteilsam
• Seite 2: Langlebige Technik ist leider auch oft veraltet
• Seite 3: Alle Faktoren bei der Revision berücksichtigen
• Seite 4: Unabhängiger Karten-Check durch Experten

Langlebige Technik ist leider auch oft veraltet

Wie bereits erwähnt, funktionieren RFID-Zugangssysteme über viele Jahre zuverlässig. Daher denkt meist niemand an ein Update, besonders wenn eine große Anzahl Karten im Umlauf ist. Das Beispiel Hamburger Flughafen zeigt allerdings, dass gerade RFID-Systeme einem regelmäßigen Sicherheits-Check unterzogen werden sollten.

Vier oder fünf Jahre alte Ausweise sind keine Seltenheit, doch gerade bei älteren Systemen hapert es oft an der Sicherheit. Die CCC-Hacker hatten schon im Dezember 2009 demonstriert, wie Funkchipkarten der „Prime“-Produktreihe des Schweizer Herstellers Legic zu knacken sind. Dabei habe sich herausgestellt, dass die Daten auf dem Chipsystem der „Prime“-Produktreihe unverschlüsselt gespeichert würden, gab der CCC an.

In die Schlagzeilen geraten war auch der weit verbreitete RFID-Chip „Mifare Classic“, der zwar die Daten verschlüsselt speichert, aber dafür eine Methode verwendet, die sich von Spezialisten sehr einfach knacken lässt. Da die Kapazitäten auf dem RFID-Chip begrenzt sind, werden von den Herstellern nicht selten proprietäre Verschlüsselungsalgorithmen eingesetzt, die einem Hacker-Angriff nicht standhalten.

Verdeckte Analysen – ein grundsätzliches Problem

Ein generelles Problem von RFID ist, dass sowohl Sender als auch Empfänger nicht registrieren, wenn sie von Hackern einer Analyse unterzogen werden. So können versteckte Lesegeräte RFID-Sicherheitsausweise kontaktlos unter die Lupe nehmen und Entschlüsselungs-Cracks durchprobieren, ohne dass der Besitzer etwas davon mitbekommt.

Da das Lesegerät Prinzip-bedingt außerhalb des Sicherheitsbereichs installiert werden muss, kann ein Hacker auch den gesamten Kommunikationsprozess analysieren. So lässt sich auch ein Challenge-Respons-System aushebeln, wenn die Challenge nicht variiert. zeitraubend

Inhalt

• Seite 1: RFID – funktionssicher, aber oft zu mitteilsam
• Seite 2: Langlebige Technik ist leider auch oft veraltet
• Seite 3: Alle Faktoren bei der Revision berücksichtigen
• Seite 4: Unabhängiger Karten-Check durch Experten

Schrittweise Revision – alle Faktoren berücksichtigen

Natürlich wird jeder Hersteller auf Anfrage versichern, sein Produkt sei sicher: Bei der Revision des RFID-Systems sollte man daher die richtigen Fragen stellen.

Wie alt ist das System?

RFID-Zugangskontrollen, die älter als drei Jahre sind, müssen in jedem Fall genauer unter die Lupe genommen werden. Hier ist die Wahrscheinlichkeit groß, dass ein inzwischen geknacktes Verschlüsselungssystem im Einsatz ist – oder gar keines.

Welcher Chip ist auf der Karte?

Ausgetauscht werden sollten in jedem Fall Karten, die noch mit einem Mifare Classic Chip arbeiten. Der auf ihm verwendete proprietäre Algorithmus ist bekanntermaßen unsicher. Dies gilt aber nicht für die neueren Versionen des Mifare-Chips. Immer noch sehr weit verbreitet, aber unsicher: Chips der Serie EM41XXX mit unverschlüsseltem Speicher.

Welche Verschlüsselung wird verwendet?

Herstellerangaben wie „unknackbar verschlüsselt“ sagen wenig über das Sicherheitsniveau aus. Denn viele herstellerspezifische Algorithmen erweisen sich als angreifbar. Die Verschlüsselung muss mit standardisierten und anerkannten Verfahren geschehen, zum Beispiel AES.

Wie verläuft der Authentisierungsdialog?

Interessant ist auch, ob das Lesegerät zum Beispiel immer die gleiche Challenge sendet und immer die gleiche Antwort erwartet. Dann reicht möglicherweise das einfache Aufzeichnen eines Dialogs, um das System zu überwinden.

Gab es bereits Überreichweiten?

Gerade das Sicherheitspersonal löst bei einer manuellen Kontrolle auf Verschluss oft ungewollt den RFID-Öffnungsmechanismus aus. Das kann zu erheblichen Sicherheitslücken führen.

Wie sind die Schlüssel intern definiert?

Kaum zu glauben, aber wahr: Analysen haben gezeigt, dass viele Programmierer nicht nur die vorgefertigten Templates der Hersteller übernehmen, sondern aus Bequemlichkeit auch gleich die Default-Parameter. Wer sie kennt, kommt bei einem Angriff oft überraschend schnell zum Erfolg, auch wenn aufwändige Verschlüsselung im Einsatz ist.

Die häufig gestellte Frage „Welcher Chip ist nun sicher?“ lässt sich allerdings nicht so einfach pauschal beantworten, die die Sicherheitskette ist eben nur so stark, wie ihr schwächstes Glied. Die RFID-Revision muss also das Gesamtsystem umfassen. Und sie ist natürlich immer nur eine Momentaufnahme: Was heute als unknackbar gilt, kann in ein, zwei Jahren schon unsicher sein.

Inhalt

• Seite 1: RFID – funktionssicher, aber oft zu mitteilsam
• Seite 2: Langlebige Technik ist leider auch oft veraltet
• Seite 3: Alle Faktoren bei der Revision berücksichtigen
• Seite 4: Unabhängiger Karten-Check durch Experten

Unabhängiger Karten-Check durch Experten

Hauptangriffspunkt bleibt natürlich die Karte selbst. Deshalb sollte der Sicherheitsausweis im Rahmen der Revision von einem unabhängigen Fachmann überprüft werden. Eine spontane Prüfung im Rahmen einer Vorführung förderte sogar beim Sicherheitssystem eines renommierten Unternehmens Erstaunliches zutage: „Ein DAX-Konzern hat mir einen seiner Ausweise gezeigt – er ließ sich ohne großen Aufwand kopieren, erzählt Horvath.

Eine Revision des RFID-Zugangssystems fördert also nicht selten logische Schwachstellen zutage, die es mit geeigneten Updates auszumerzen gilt. Mindestens ebenso wichtig ist die physikalische Absicherung. Sicherheitsexperten sind sich heute einig: Das Auslesen einer RFID-Kennung sollte auf jeden Fall nur dann möglich sein, wenn der Betroffene dies ausdrücklich wünscht und zulässt.

Physikalische Abschirmung – Grundlage der RFID-Sicherheit

Es kann gar nicht oft genug betont werden: RFID-Ausweise müssen mit geeigneten Abschirmmaterialien gegen verdeckte Leseversuche gesichert sein. Das gilt besonders nach dem Verlassen des gesicherten Bereichs. Besteht die Gefahr einer Überreichweite oder gilt es einen besonders sensiblen Zugang zu schützen, muss die RFID-Keycard ständig in einer Abschirmvorrichtung verbleiben und darf nur unmittelbar vor der Authentisierung entnommen werden.

Bei der RFID-Abschirmung gibt es aber einiges zu bedenken. So können zum Beispiel einfache Aluminiumfolie oder zinkbeschichtete Abschirmprodukte das Auslesen oft nicht verhindern. Gerade der unsichere EM41XXX sendet zu allem Überfluss auch noch mit einer Trägerfrequenz von 125 kHz, die viele billige Abschirmungen mühelos durchdringt.

Vor improvisierten Schutzmaßmaßnahmen oder No-Name-Folien raten Experten daher dringend ab. Ein weiteres Problem: RFID-Sicherheitsausweise dienen oft auch der Sichtprüfung, sie müssen also offen an der Kleidung getragen werden.

Vorsicht bei Billig-Produkten – nur Spezialfolien sind sicher

Wirkliche Sicherheit bieten hier nur Folien, aus einer eigens für diesen Zweck entwickelten Speziallegierung, zum Beispiel Cryptalloy. Diese Legierung wirkt nicht nur durch die Abschirmung des Lesesignals. Es wird auch in seinem Frequenzspektrum verschoben, so dass es der RFID-Chip nicht mehr erkennen kann.

Der Vorteil: Einige der Beschichtungen wie auch die von Cryptalloy schützen vor nicht autorisierten Leseversuchen, auch wenn sie die Karte nicht vollständig umschließen. Damit können auch Ausweishüllen hergestellt werden, die auf einer Seite durchsichtig sind.

Nicht nur der ertappte DAX-Konzern hat sich daher nach einer Revision dafür entschieden, RFID-abschirmende Ausweishüllen an seine Belegschaft auszugeben. Denn auch wenn Chips und Algorithmen im Einsatz sind, die zurzeit als sicher gelten: Man darf Kriminellen keine Angriffsflächen bieten, an denen sie das Sicherheitssystem nach Schwachstellen scannen können.

Wer nicht in die Schlagzeilen geraten will wie der Hamburger Flughafen, der sollte vorsorgen. Eine wirkungsvolle Abschirmung gibt es für wenig Geld, aber nur sie schützt zuverlässig vor kriminellem Forscherdrang – und teurer Negativ-PR.

Inhalt

• Seite 1: RFID – funktionssicher, aber oft zu mitteilsam
• Seite 2: Langlebige Technik ist leider auch oft veraltet
• Seite 3: Alle Faktoren bei der Revision berücksichtigen
• Seite 4: Unabhängiger Karten-Check durch Experten

(ID:2051541)