Các thẻ ID dựa trên chip đặt ra rủi ro an ninh tại sân bay

Chip-basedID cards pose security risk at airport

15 January 2010, 15:01

Theo:http://www.h-online.com/security/news/item/Chip-based-ID-cards-pose-security-risk-at-airports-905662.html

Bài được đưa lênInternet ngày: 15/01/2010

Lờingười dịch: Dù được trang bị các hệ thống kiểmsoát truy cập bằng các thẻ chip, nhưng với các công nghệcũ, các thẻ này đã bị các tin tặc phá, gây rủi ro choan ninh tại một số sân bay của Đức. Hiện các sân baynày phải ngay lập tức thay thế các hệ thống đã cũtheo yêu cầu của cảnh sát liên bang.

Theo chương trình TVKontraste của ARD – Đức, thì bọn khủng bố có thể ăncắp các dữ liệu từ xa mà các dữ liệu này cho phépchúng truy cập vào các vùng cấm tại một vài sân bayĐức. Cơ quan thông tin Đức, DPA, nói một nữ phát ngônviên từ sân bay Hamburg đã từ chối báo cáo này. Bà nóirằng trong khi bọn tin tặc của Câu lạc bộ Máy tính Hỗnloại CCC (Chaos Computer Club) đã phá được các thẻ chứngminh (ID card) của các nhân viên được làm trên các conchip, thì điều đó không tự động cho phép truy cập tớicác vùng an ninh - dù báo cáo của Kontraste đã vẽ ra mộtbức tranh hơi khác. Hơn nữa, sân bay này hình như đãgiải quyết được vấn đề này: “Nhưng chúng tôi sẽkhông nói chúng tôi đã làm được điều đó như thếnào, tất nhiên rồi”.

Theo báo cáo này, bọntin tặc của CCC tại Berlin đã sử dụng “các phươngtiện khá đơn giản” để phá hệ thống thẻ chip củaLEGIC Prime dựa trên RFID. Chúng được cho là đã pháttriển một thiết bị mà nó đọc được một cách bímật các thẻ IE và lưu các dữ liệu của các nhân viênsân bay. Thành viên Karrsten Nohl của CCC đã nói cho các nhànghiên cứu TV: “Hệ thống này là dễ dàng để phá.Chúng tôi thực sự đã bị sốc khi thấy không có khókhăn gì để vượt qua bất kỳ thứ gì”. Theo báo cáo,thì hệ thống thẻ ID này được sử dụng tại sân bay ởHamburg, Berlin – Tegel, Stuttgart, Dresden và Hanover.

Đã bị phá mật mãtrước đó trên các thẻ thông minh “Mifare Classic” củaNXP, Nohl và Henryk Plotz cũng đã trình bày cách phân tíchvà bắt chước dãy các thẻ RFID “Prime” của nhà cungcấp Thụy Sĩ LEGIC tại Hội nghị Truyền thông Chaos lầnthứ 26 (26C3). Như Nohl đã giải thích hồi tháng 12 “Chúngtôi có thể mô phỏng thiết bị đọc, sửa các lệnh vàcuối cùng mô phỏng bất kỳ thẻ nào”. Tin tặc đãkhuyến cáo rằng các khách hàng chính của LEGIC mà đưara các thẻ RFID dựa vào Prime ngay lập tức chuyển ítnhất sang dòng sản phẩm gần đây hơn là “LEGIC Advant”.Dãy sản phẩm Prime đã được giới thiệu trong năm 1992.

Accordingto German ARD's Kontraste (Contrasts)TV program, terrorists can remotely steal data that allows them toaccess restricted areas at several German airports. The German newsagency, dpa, says a spokeswoman f-rom Hamburg airport has denied thereport. She said that while hackers of the ChaosComputer Club (CCC) did crack the chip's on staff ID cards, thatdoesn't automatically give access to security areas – although thereport by Kontraste painted a somewhat different picture.Furthermore, the airport has apparently already solved the problem:"But we won't say how we did it, of course."

Accordingto the report, hackers of the Chaos Computer Club in Berlin used"relatively simple means" to crack the RFID-based LEGICPrime chip card system. They reportedly developed a device whichsecretly reads the ID cards and stores the data of airport employees.CCC member Karsten Nohl told the TV researchers: "The system iseasy to crack. We were frankly shocked to find no obstacles toovercome whatsoever." According to the report, the ID cardsystem is used at airports in Hamburg, Berlin-Tegel, Stuttgart,Dresden and Hanover.

Havingpreviously cracked the encryption on NXP's "Mifare Classic"smart cards, Nohl and Henryk Plötz also demonstrated how to analyseand clone the Swiss vendor LEGIC's "Prime" range of RFIDcards at the 26th Chaos Communication Congress (26C3). As Nohlexplained in December "We can emulate the reading device, modifycommands and ultimately emulate any of the cards". The hackerrecommended that major LEGIC customers who issue Prime-based RFIDcards immediately migrate at least to the more recent "LEGICAdvant" product line. The Prime range was introduced in 1992.

“Kontraste” đã miêutả việc sử dụng LEGIC Prime tại các sân bay của Đứcvà sân bay tại Hamburg, và bọn tin tặc đã định truy cậpđường băng mà không dừng được. Theo nữ phát ngônviên của sân bay này, các nhân viên đầu tiên cần chỉra ID và thẻ chip của họ và sau đó đi qua điểm kiểmsoát an ninh. Tuy nhiên, trong khi điều tra bởi Kontrste, thìđôi khi đã có đủ để giữ một thẻ ID trước thiếtbị đọc được gắn với cửa để giành được sựtruy cập tới các vùng cấm của sân bay mà không cần cóbất kỳ sự kiểm tra nào. Theo nữ phát ngôn viên này,các thẻ chứa các dữ liệu cá nhân cũng như các thôngtin như các tín dụng ở các quầy tự phục vụ. Nhà cungcấp thẻ chip của Thụy Sĩ được cho là đã thông báocho sân bay này về sự thâm nhập của tin tặc vào nămngoái. Nữ phát ngôn viên này nói “Chúng tôi đã khôngcó sự cố nào”.

Một người phát ngôntừ Bộ Nội vụ Đức đã nói cho các nhà nghiên cứu TV:“Chúng tôi đã yêu cầu các nhà vận hành sân bay xem xétlại các hệ thống kiểm tra an ninh của họ”. RainerWendt, chủ tịch của hiệp hội cảnh sát Đức, đã yêucầu các sân bay đó ngay lập tức thay thế các hệ thốngan ninh bị phá của họ bằng một giải pháp thay thếhiện đại. “Các hoạt động an ninh phải ngay lập tứcđược thay thế theo sự kiểm soát ngặt ngèo của cảnhsát liên bang Đức để đảm bảo rằng các nhà vận hànhsân bay không tiếp tục với những trải nghiệm an ninhlỏng lẻo của họ”.

"Kontraste"illustrated the use of LEGIC Prime at German airports and At Hamburgairport, the hackers even managed to access the runway without beingstopped. According to the airport's spokeswoman, employees first needto show their ID and chip card and then pass a security checkpoint.However, during the investigations by Kontraste, it was sometimesenough to hold an ID card up to a door-mounted reading device to gainaccess to restricted airport areas without any further checks.According to the spokeswoman, the cards contain personal data as wellas information such as cafeteria credits. The Swiss chip card vendorhad reportedly informed the airport of the card hack last year. Thespokeswoman said "We've had no incidents".

Aspokesperson f-rom the German Ministry of the Interior told the TVresearchers: "We have asked the airport operators to reviewtheir security checking systems". Rainer Wendt, the chairman ofthe German police uni-on, has demanded that airports immediatelyreplace their cracked security systems with a state-of-the-artal-ternative. "Security operations should immediately be placedunder the strict control of the German federal police to ensure thatairport operators don't continue with their lax security practices".

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com