Este team especializado luego de muchos días de investigación y recopilar de datos, encontramos los datos necesarios, nuestro deseo es que resulte de gran utilidad en tu plan.
Solución:
Editado: OK. Como hay una solicitud de “respuesta corta”, aquí hay un “resumen ejecutivo” aquí está:
Pregunta: “Entonces, todos los dispositivos de lectura deben conocer el secreto key, también. Pero puede haber muchos lectores de muchos proveedores (por ejemplo, máquinas de café, pequeños lectores USB en cajas registradoras, paneles de control de acceso …), ¿todos tienen realmente el secreto? key? ¿Existe un estándar sobre cómo key tiene que ser almacenado? “
Respuesta: “Sí. Aparte de la comunicación remota / iniciada por el servidor con la tarjeta DESFire, todos los lectores deben conocer el secreto keys también. Y sí, existe un estándar sobre cómo key tiene que ser almacenado – uso del módulo de acceso seguro – MIFARE SAM (actualmente modelo AV2).
Todo el contenido a continuación se puede olvidar si no está interesado;)
Básicamente, existen dos familias de tarjetas MIFARE: MIFARE Classic y DESFire (y derivados similares). Además, está MIFARE Plus, que se ha dirigido inicialmente a los mercados MIFARE Classic (que es totalmente compatible, si está configurado para hacerlo), tiene dos modos de operación de seguridad adicionales, que agregan más seguridad a las infraestructuras MIFARE Classic hasta un nivel similar a DESFire.
Hay muchos protocolos de autenticación utilizados entre esas familias MIFARE, algunos son bastante similares pero a veces difieren en pequeños detalles, lo que puede llevar a que las infraestructuras de lectura NO sean capaces de manejar otro protocolo incluso si se ven muy similares al principio …
Lo que es más importante para su pregunta sobre DESFire EV1: el enfoque básico para la seguridad del lado del lector es el uso de los llamados “Módulos de acceso seguro” (SAM), que son tarjetas inteligentes especializadas que brindan funcionalidad relacionada con la seguridad a los lectores / terminales. El SAM tiene todo keys y también tiene un motor para realizar protocolos de seguridad, que se utiliza dentro de la comunicación segura entre la tarjeta y el lector. Este es el ancla de la seguridad del lector en términos de uso de DESFire EV1. los keys ¿Podría derivarme también individualmente para cada tarjeta, por lo que NO usan el mismo key para todos los protocolos de autenticación y encriptación de la tarjeta. los key en un módulo SAM se puede cargar de forma segura en el SAM en el campo mediante el uso de protocolos encriptados adicionales desde el host O mediante una carga sin conexión por lotes (desde una memoria USB, por ejemplo).
Algunos protocolos basados en RSA también son compatibles con la firma / verificación para garantizar que algunas acciones se autentiquen sin el uso de keys protocolos.
El SAM está inteligentemente planeado y es bastante sólido en términos de seguridad, por lo que colocar un módulo SAM de este tipo en una máquina expendedora respalda toda la seguridad requerida. Incluso una modificación de la tarjeta DESFire, iniciada por un host remoto, se puede establecer de forma segura ya que el SAM puede actuar como un “proxy seguro” al establecer un canal seguro hacia el host y otro hacia la tarjeta, proporcionando un “proxy de recifrado”. en el centro. Por supuesto, SAM es una tarjeta estándar que es “cliente” y cualquier intercambio de comandos, por lo que el lector debe admitir esos protocolos enviando, recibiendo y reenviando APDU entre las partes participantes. El SAM también admite conexiones directas al chip del lector, actuando como un proxy transparente.
Es compatible con 2DES, 3DES, AES, CRYPTO1, RSA y algunas variantes patentadas de algoritmos estándar.
SAM tiene un concepto aún más inteligente de “contadores de operaciones”, que ayuda a abordar la amenaza a la seguridad de ser robado y utilizado con frecuencia: cada operación reduce un contador. Los contadores deben aumentarse periódicamente mediante una acción iniciada por el host, en línea o fuera de línea. Los “scripts” cifrados y firmados deben llevarse al SAM de alguna manera (por ejemplo, una memoria USB). los keys también se puede versionar para admitir la transferencia segura de keys durante la vida útil del sistema.
El propio SAM tiene una lógica de control de acceso, basada en una sólida criptografía, para hacer cumplir el modelo de seguridad diseñado. Un esquema de administración de claves cuidadosamente planeado y diseñado, respalda la seguridad key distribución entre los muchos jugadores del sistema. Por lo general, el contenido SAM inicial se distribuye mediante una personalización SAM segura y una entrega controlada al participante designado (como el proveedor de máquinas expendedoras), que ya tiene alguna autenticación. keys para obtener acceso inicial a las operaciones permitidas de la tarjeta SAM / DESFire. Una de las operaciones típicas puede ser la autenticación. keys intercambiar SI esos keys se asignan sólo a un jugador en particular.
Otro comentario a UID, su clonación, etc.: los productos MIFARE modernos admiten comandos separados para acceder a un RandomUID, que se utilizará en protocolos anticolisión y un static UID para identificar la tarjeta (opcionalmente también protegida por protocolos de autenticación y encriptación que proporcionan un “canal seguro”). Esto proporciona a los diseñadores de sistemas las herramientas adecuadas para mejorar la protección contra la clonación o emulación de UID. Pero muchos “diseñadores de seguridad” son bastante vagos de todos modos y no usan esas posibilidades incluso si existen …
La mayoría de los sistemas que conozco utilizan una conexión de red para autenticar las tarjetas mediante desafío-respuesta.
He visto algunos dispositivos fuera de línea que solo comparan el UID de la tarjeta con los valores almacenados. Sin embargo, esto no es seguro, ya que puede copiar estas identificaciones emulando un dispositivo RFID o simplemente mostrando una tarjeta especial.
Estoy de acuerdo con usted en cuanto a que los dispositivos sin conexión son prometedores. Ya he engañado con éxito a algunos de ellos simplemente enviando un UID conocido. Ni siquiera he tenido que profundizar en la pila de protocolos, ya que el UID ya se transmite en la capa anticolisión.
Si quieres profundizar en esas cosas, te recomendaría algún dispositivo de hardware para jugar. Es muy divertido ver estas cosas en acción 🙂
La solución de vanguardia sería PROXMARK http://hackerwarehouse.com/product/proxmark3-kit/
O una solución de menor presupuesto si solo desea copiar algunas tarjetas http://www.instructables.com/id/RFID-Emulator-How-to-Clone-RFID-Card-Tag-/
También vi algunos dispositivos de llavero por menos de 20 $ en eBay, pero no puedo encontrarlos en este momento.
MIFARE DESFire EV1 puede tener múltiples aplicaciones (28), y cada aplicación puede tener múltiples archivos (32) de diferentes tipos (4). La tarjeta en sí tiene un maestro PICC key más entre 1 y 14 keys por aplicación. los keys de cada aplicación se utilizan para controlar el acceso a sus archivos.
Cada servicio utilizado por su tarjeta puede ser, y probablemente sea, una aplicación diferente. Si la máquina de café keys están comprometidos (aplicación A), eso no implica el compromiso de la keys para la aplicación de control de acceso (aplicación B) en la misma tarjeta.
Considere una aplicación de máquina de café en la tarjeta que usa una key K1 para deducir el crédito y otro key K2 para agregar crédito a su tarjeta DESFire EV1. La máquina que usas para tomar tu café y que deduce el crédito de la tarjeta solo necesita key K1, no necesita tener el key K2 para agregar crédito (que se hace en otro lugar). Entonces, si compromete el key de las cafeteras, lo único que puede hacer es sacar dinero de las tarjetas y no aumentar su crédito. Para agregar crédito necesita el keys para eso y esto puede ser un procedimiento realizado en un lugar diferente en un entorno más seguro y quizás incluso por un operador humano.
Siempre existe el riesgo de compromiso, pero se puede mitigar mediante el uso inteligente de la keys y separación de servicios en diferentes aplicaciones. Tal vez tenga 200 máquinas de café repartidas por toda el área de la oficina que pueden funcionar sin conexión, pero solo necesita 10 para recargar la tarjeta y tal vez esto incluso se haga en línea para mayor seguridad.
La máquina de café puede utilizar un módulo de acceso de seguridad para almacenar el keys. Si lo hacen o no, y si lo necesitan, esa es otra historia.
Si aceptas, tienes la habilidad dejar un ensayo acerca de qué le añadirías a esta reseña.