Mifare technology and its security problems on display again
(suomeksi alla)
This week, a research paper by Quarkslab revealed significant implementation flaws in native Mifare-type RFID chips. These vulnerabilities enable attackers to access the native Mifare chips’ secret keys, which can then be used to illegally duplicate the RFID cards. A native Mifare-type chip is a low-cost and simple single-application chip designed to operate a Mifare-type application only.
Mifare-type RFID chips are widely used as hotel door cards and access control tags. Quarkslab’s research paper describes how the keys of different Mifare type chips, including Fudan Microtechnologies Mifare compatible FM11RF08, FM11RF08S, FM11RF32, FM1208-10 chips, NXP Mifare MF1ICS5003 and MF1ICS5004 chips, and Infineon Mifare SLE66R35 chips were cracked. One reason why the implementation faults occur in chips from different manufacturers is possibly due to the fact that native Mifare-type chips seem to have been designed similarly, which is not so uncommon for low-cost product designs. From a security aspect, incorrect implementations in chip key management are a serious problem, and organizations should find out if the problem concerns the Mifare-type RFID tags they use.
For years, security experts have been warning companies and communities about the security problems of old-style Mifare-type native RFID chips and access tags, as they have targets of cloning already in 2010. Spear Innovations has recognized the problem ever since the company was founded, and our company does not supply its customers with low-security RFID products that are concerned by the research paper. In access control, it is high time to move away from traditional Mifare-type implementations and move to strong identification solutions also at the door, and not only in online services. Spear Innovations provides strong authentication PKI, CBA and FIDO2-based access management solutions that replace traditional Mifare-type tags with anti-cloning solutions.
The security of our high-security access management solution is based on the following principles:
- The smart card chips we offer are always initialised with new keys in a high-security environment in Finland. This prevents any supply-chain attacks described in the research paper.
- We do not use closed RFID technologies, such as Mifare-type native applications, but we offer security-certified authentication applications using the Java platform. This prevents any hardware design flaws described in the research paper.
- For physical access control, we focused on strong authentication readers which perform public key certificate validation and user identity verification at the door, without changing the existing physical access control system.
We believe that better security can also be achieved in physical access management, without large investments or system changes, but this requires taking new technologies to the front door as well. Once this change has been achieved, one can ignore the eternal problems of Mifare-type cards in the future.
The Quarkslab blog post on their security research can be found here:
https://blog.quarkslab.com/mifare-classic-static-encrypted-nonce-and-backdoors.html
Mifare-teknologia ja sen turvallisuusongelmat jälleen esillä
Tällä viikolla on uutisoitu ranskalaisen Quarkslab-tutkimuslaboratorion turvallisuusselvityksestä Mifare-tyyppisten natiivisirujen implementaatiovirheistä, joiden avulla sirujen salaiset avaimet voidaan lukea ulos ja RFID-siru on mahdollista kopioida laittomasti. Löydetyt viat koskevat ainoastaan ns. natiivisiruja, eli siruja jotka on tuotettu vain yhtä dedikoitua sovellusta varten.
Mifare -tyyppisiä RFID-tuotteita käytetään paljon muun muassa hotellien ovikortteina ja kulunvalvonnan lätkinä. Selvityksessä kuvataan miten avainten murtaminen onnistui useilla eri Mifare-tyyppisillä natiivisiruilla, mukaan lukien Fudan Microtechnologies Mifare yhteensopivilla FM11RF08, FM11RF08S, FM11RF32, FM1208-10 siruilla, NXP Mifare MF1ICS5003 ja MF1ICS5004 -siruilla, sekä Infineon Mifare SLE66R35 -siruilla. Samojen vikojen esiintyminen usean eri valmistajan natiivisiruissa viittaa siihen, että Mifare-tyyppisissä natiivisiruissa sovelletaan samoja designeja, mikä ei ole tavatonta halpaan massatuotantoon suunnatuissa tuotteissa. Turvallisuuden kannalta virheelliset toteutukset sirujen avainten hallinnassa ovat vakava ongelma ja organisaatioiden onkin hyvä selvittää, koskeeko ongelma heidän käyttämiä Mifare-tyyppisiä RFID-tunnisteita.
Turvallisuusasiantuntijat ovat jo vuosien ajan varoittaneet yrityksiä ja yhteisöjä vanhanmallisten Mifare-tyyppisten natiivien RFID-korttien ja kulkulätkien turvallisuusongelmista, sillä ne ovat olleet kloonauksen kohteina jo 2010 lähtien. Spear Innovations on tunnistanut ongelman aina yrityksen perustamisesta lähtien, eikä yhtiömme toimita asiakkailleen heikon turvallisuustason RFID-tuotteita, joita turvallisuusselvitys koskee. Kulunhallinnassa olisikin jo viimeistään nyt korkea aika siirtyä pois perinteisistä Mifare-tyyppisistä toteutuksista ja ottaa käyttöön vahva tunnistus myös ovella, eikä pelkästään verkkopalveluissa. Spear Innovations tuottaa vahvoja PKI, CBA ja FIDO2-pohjaisia kulunhallintaratkaisuja, jotka korvaavat perinteiset Mifare-tunnisteet vahvoilla, kloonauksen estävillä menetelmillä.
Korkean turvatason kulunhallintaratkaisumme turvallisuus perustuu seuraaviin periaatteisiin:
- Tarjoamiemme älykorttikorttien sirut alustetaan aina uusilla avaimilla korkean turvatason ympäristössä Suomessa. Tämä estää tutkimuspaperissa esiin nostetut ns. Supply-chain hyökkäykset.
- Emme käytä suljettuja RFID-teknologioita, kuten Mifare-tyyppisiä natiivisovelluksia, vaan tarjoamme turvasertifioitua Java-alustaa käyttäviä tunnistussovelluksia. Tämä estää laitetasolla olevien virheiden toistumisen turvallisuussovelluksen tasolla.
- Kulunhallinnassa olemme keskittyneet lukijoihin, jotka täyttävät vahvan tunnistuksen periaatteet ja suorittavat julkisen avaimen tarkistukset ja käyttäjäidentiteetin varmennuksen ovella, ilman että taustalla olevaa kulunhallintajärjestelmää tarvitsee vaihtaa.
Uskomme, että parempi turvallisuus on saavutettavissa myös kulunhallinnassa, ilman suuria investointeja tai järjestelmämuutoksia, mutta tämä edellyttää uusien teknologioiden viemistä myös ulko-ovelle. Kun tämä muutos on saatu aikaan, voidaan jatkossa olla välittämättä Mifare-tyyppisten natiivikorttien ikuisista ongelmista.
Quarkslabin julkaisemaan blogikirjoitukseen heidän suorittamasta tutkimuksesta pääsee tutustumaan täältä:
https://blog.quarkslab.com/mifare-classic-static-encrypted-nonce-and-backdoors.html