Mifare-krakers ontdekken ook fout in paspoortchip

Een bom kan dat echter niet. Nu wel dus.

Ik loop al een jaar rond met een laag alu-folie in mijn paspoorthoes(ik ben over dat soort dingen redelijk paranoïde).
Aan mij kunnen ze ook wel zien dat ik Nederlander ben, en ik ben ook niet echt bang voor een paspoortbom, maar op deze manier is het alleen maar wachten totdat ze meer informatie uit je paspoort kunnen krijgen.

Waarom plaatsen ze die folie niet standaard in de kaft van het paspoort? Dan ben je gelijk van het probleem af.
Tevens kunnen ze vast nog wel iets doen om er een vervalsingskenmerk van te maken en het kost vrijwel niets extra.

Aan de andere kant bestaat er niet iets als een certificaat die aangeeft dat een bedrijf bekwaam genoeg is voor ontwikkeling van high-security objecten zoals een dergelijk passport.

Klinkt als misplaatst vertrouwen in een keurmerk. Zelfs RSA heeft steken laten vallen, en als er wel een bedrijf is dat kennis heeft van "high-security" dan is het RSA.

Dit is misschien allemaal een noodzakelijk kwaad om de ICT sector meer volwassen te laten worden?

Hoezo? Waarom is dit de schuld van de ICT sector? Volgens mij was het toch echt de overheid die bepaalde goedkope technologie wou pushen die nog niet goed genoeg getest is.

[Reactie gewijzigd door elmuerte]

Iedereen kan een fout maken, ook de beste van het beste.

Feit is dat alles te kraken is. Als het niet nu is dan over een paar jaar, met nieuwere/goedkopere apparatuur.

Een schrijnwerker maakt samen met een slotenmaker een naar hun inzien "perfecte deur", een metaalarbeider ontwerpt vervolgens een krachtigere hamer en slaat de deur (gedeeltelijk) stuk.
Zijn schrijwerker of slotenmaker incompetent?
Imho pas als ze e niet in slagen opnieuw een deur te ontwerpen, die ook deze aanval weerstaat.

moraal: imho zijn er altijd gaatjes, je moet ze alleen maar weten vinden

Vaak ook onder productie druk of deadlines gebeuren dit soort dingen. Er wordt gewoon te weinig getest.
Ook echt testen van dat soort dingen is een echt vaak maar wordt heel vak onderschat.

[Reactie gewijzigd door bonus]

Als ik het met bedrijven over beveiliging heb, dan is het eerste wat ik ze vertel altjjd dat de persoon die claimt een 100% veilig netwerk te ontwikkelen, meteen op straat gezet moet worden.

Een beetje off-topic misschien, aar het geeft het probleem hier ook meteen weer. Het is helaas niet mogelijk om 100% alles uit te sluiten. De reden is dat je nooit alles weet. Als ik een beveiliging maak, dan kan het best zo zijn dat jij toevallig een idee hebt, waar ik niet aan gedacht heb. En als ik 1.000.000 mensen bij elkaar zet om een beveiliging te maken, dan kan dat nog steeds zo zijn. Het probleem is dat je de fout eerst moet zien, om hem te kunnen ondervangen. En daar ligt nu net het probleem.

In dit geval denk ik dat de nationaliteit te achterhalen is, omdat de chips van de verschillende landen gewoon allemaal iets anders op het ongeldige verzoek reageren. Ik denk dat ik dat kan zien als een "404-error" die ook voor elk type server een iets ander scherm oplevert. Als dat het geval is, dan heeft gewoon niemand eraan gedacht dat je op deze maneir kunt zien waar de persoon vandaag komt. De chip geeft de nationaliteit dan ook niet af via het nationaliteitsrecord op de chip, maar hij praat zijn mond voorbij door de "taal die hij spreekt".

Het probleem is, dat steeds meer producten dergelijke chips in zich hebben en dat het voor steeds meer mensen interessant is om hier iets mee te doen. Terroristen zijn inderdaad een groep, maar ik denk dat dit maar voornamelijk bangmakerij is en dat we van deze groep relatief weinig te duchten hebben. Grote bedrijven zie ik daar als een groter probleem. Zij willen graag veel weten van ons consumenten en het liefste zouden zij gewoon op ons willen klikken en dan de kenmerken van ons willen uitlezen, zoals dat bij spellen uit de Tycoon serie kan. Een actieve chip die gekoppeld kan worden aan personen en hun koopgedag zou hier al een heel mooie oplossing zijn. AH kan zijn bonuskaart wegdoen als ze in plaats daarvan gewoon via ons paspoort ons kunnen registreren. En het mooie van dit alles is: het kan met een enkele chip. De chip van ons paspoort of rijbewijs kan overal gebruikt worden en zal overal hetzelfde resultaat geven. Als dus een manier wordt gevonden om alleen al het serienummer uit te lezen, dan is het mogelijk om databases aan te leggen op basis van dat serienummer. Meer heb je niet nodig, want die gegevens kun je elders wel krijgen. op het moment dat de persoon met zijn pin afrekend bij de kassa weet men via de bankafschrijfing naam woonplaats en bankrekeningnummer. Een koppeling met de telefoongids levert vaak de rest van de gegevens. En het mooie is, dat iedereen die dit doet dezelfde serienummers uitleest. Dus kan AH met shell de gegevens ruilen. Shell kan via hun camerasysteem kentekenplaten inlezen en via de site van de RDW kun je weer zien wat voor een auto hier bij hoort. Dit kun je oneindig ver doorvoeren.

Ik geef dit even weer, omdat hier de grootste problemen van dit soort systemen zitten. Men komt steeds meer over ons te weten en dat kan tegen ons gebruikt worden. Vroeger of later komt er een verzekeringsmaatschappij die mensen om onduidelijke redenen weigert of hogere premies laat betalen. Uiteindelijk zal dan blijken dat deze verzekering dat doet, omdat de peronen die geweigerd worden te vee pizza's bij AH meenemen, te vaak tanken, en dus weinig of niet met de fiets gaan, regelmatig bij de dokter zitten met een of ander kwaaltje etc. De weg die we nu inslaan is potentieel erg gevaarlijk.

Ik heb dit inderdaad ook al eerder voorbij zien komen, toen werd er het idee aan gekoppeld dat terorristen een bom zouden kunnen bouwen die alleen afgaat wanneer er een (vul nationaliteit in) in de buurt is.
Ze hadden zelfs een proof-of-concept bom gemaakt die afging toen er een amerikaans paspoort langs kwam. Ik meen dat dit tijdens een hackers conferentie speelde.

Geniaal!
Helemaal eens met leuk_he. Humor moet een onderdeel van deze website blijven. Daarom moet Henk ook terug als boegbeeld van t.net!

Beveiliging is altijd te kraken, dat zou toch duidelijk moeten zijn.

Blijkbaar niet. Anders snap ik namelijk niet waarom we plotseling deze chip in onze pas moeten hebben. Puur en alleen om dat de US denkt dat dat veiliger is...

Dus hoe moeilijk maken we dat? Om een product niet belachelijk duur te maken pleit ik voor een graad die voor gemiddelde gebruikers te moeilijk is, meer beveiliging heeft weinig zin...afhankelijk dan van het type informatie. Maar ook bij staatsgeheimen...wie heeft daar iets aan...een ander land/groep...en ja, die kraken zich dan suf en komen vast met een manier. Zo kan je bezig blijven met geld spenderen.

En toch: als ik word gedwongen een paspoort bij mij te hebben met al deze gegevens er op dan vind ik dat de overheid er flink wat moeite in mag steken om dit goed te beveiligen. En dan inderdaad tegen de wat verder ontwikkelde criminelen ja.

Nog even en het is normaal dat de overheid je maar gewoon vraagt om met je BSN en PIN op je hoofd rond te lopen: het is immers toch niet goed te beveiligen...

maar stel je nou voor dat de volgende stap (het uitlezen van persoonsgegevens) ook gekraakt wordt. Met 25 cm afstand in op een druk treinstation, vliegveld, voetbalwedstrijd etc etc etc heb je binnen een uurtje honderden identiteiten gestolen.

Vervolgens kan je rfid chips zo maken dat ze dit signaal weer uitzenden, en voila je identiteit is gekopieerd en kan nu gebruikt worden voor drugstransporten tot illegale immigratie

Het gevaar is dat criminelen nu veel gerichter paspoorten kunnen stelen. Als ze een Peruaans paspoort nodig hebben, gaan ze naar een vliegveld toe, gaan ergens in een rij voor de WC ofzo staan en scannen even welke nationaliteiten er allemaal zijn.

Zeker nog nooit in de rij gestaan op het vliegveld om bijvoorbeeld in te checken, of een van de vele security check points.

Het gaat erom dat je informatie vrijgeeft waarvan je zelf niet gekozen hebt die vrij te geven en dat je geen keuze hebt om een ander merk paspoort aan te schaffen. De keuze is: in je eigen landje blijven of met zo'n ding op zak gaan lopen.

De vraag blijft natuurlijk: als je kennelijk bepaalde informatie kan afleiden uit de response van het paspoort, welke informatie is nog meer betroffen?

Ik mis vooralsnog de reaktie van de fabrikant, waarin duidelijk wordt gemaakt welke velden wel/niet zijn uit te lezen met een soortgelijke hack als nu voor de nationaliteit wordt toegepast.

Tot die verklaring wordt gepubliceerd en gecontroleerd, moet je er veiligheidshalve van uitgaan dat de hack alles blootlegt.

Als jij op vakantie bent in een land, heb je je paspoort niet zichtbaar bij je, maar vaak wel in je jaszak.
Tegenwoordig zijn wij NLers vanwege een of ander filmpje niet meer heel populair in een groot aantal landen. Tevens zijn dat landen waarin men niet zo bekend staat om discussies. Dus zo heel puur theoretisch is dit idee van een ontsteker ook weer niet.

Amen.

Als je op deze manier gaat redeneren, dan moeten we ook bang zijn voor de nieuwe generatie compact digicams, want deze hebben gezichtsherkenning. Met een beetje tweaken kun je de camera vast zo instellen dat ie ook nog eens herkent van welk ras iemand is. Koppel daaraan een wapen en...

Afijn, met een beetje fantasie kun je iedereen wel bang maken.