Der Hitag S Transponder wird in verschiedensten Applikationen eingesetzt. Während Angriffe für den Hitag 2 bereits bekannt sind, gilt der Hitag S in der Literatur noch nicht als gebrochen. Wir haben die beschriebenen Angriffe auf den Hitag S übertragen. Wir sind in der Lage den Schlüssel zu brechen und Informationen wie das Kennwort zu ermitteln, obwohl diese zusätzlich vor Lesezugriff geschützt sind. In Abhängigkeit des gewählten Angriffs benötigen wir für das Brechen des Schlüssels zwischen mehreren hundert Tagen und 5 Minuten. Wir haben einen Emulator gebaut, der jeden Hitag S Transponder nachbilden kann. Wird der Transponder in einem Schließsystem eingesetzt, können wir so eine Schlüsselkopie erstellen. Basierend auf unseren Ergebnissen und den Erfahrungen mit anderen Transpondern aus dem 125kHz Bereich können wir nur vor dem Einsatz in sicherheitskritischen Bereichen warnen.
Die Hitag Transponderfamilie besteht aus mehreren unterschiedlichen Transpondern, zu denen auch der Hitag S gehört. Der Hitag S Transponder wird von dem Hersteller NXP in erster Linie für die folgenden Zwecke empfohlen: Wäscherei-Automation, Logistik, Lagerverwaltung und die Überwachung und Verwaltung von Tierherden. In der Realität werden Sie aber auch in Zutrittskontrollsystemen wie dem blueSmart-System der Firma Winkhaus eingesetzt. Der Hitag S Transponder bietet zwei Modi: Plain und Authentication. Im Authentication Mode ist der Zugriff auf den Speicher des Transponders erst nach einer erfolgreichen Authentifizierung möglich. Grundlage der Authentifizierung ist ein 48Bit Pre-Shared-Key. Für dieses Verfahren ist laut Hersteller leserseitig ein Krypto-Coprozessor erforderlich. In diesem Vortrag erläutern wir die unterschiedlichen, bei dem Hitag S, erfolgreich durchgeführten Angriffe zur Überwindung der Authentifizierung bzw. dem Brechen des verwendeten Schlüssels. Hierbei berücksichtigen wir sowohl deren chronologische Entwicklung als auch ihre steigende Komplexität. Neben einem einfachen Replay-Angriff, der uns bereits Zugang zu den auf dem Transponder gespeicherten Daten gibt, kann auch der verwendete Schlüssel gebrochen werden. Während entsprechende Angriffe für den Hitag 2 bereits bekannt sind, gilt der Hitag S in der Literatur noch nicht als gebrochen. Wir haben die beschriebenen Angriffe auf den Hitag S übertragen. Wir sind in der Lage den Schlüssel zu brechen und Informationen wie das Kennwort zu ermitteln, obwohl diese zusätzlich vor Lesezugriff geschützt sind. In Abhängigkeit des gewählten Angriffs benötigen wir für das Brechen des Schlüssels zwischen mehreren hundert Tagen und 5 Minuten. Die hierfür benötigten Daten können mit geeigneter Hardware innerhalb von wenigen Minuten durch Abhören der Funkkommunikation des Transponders mit einem Leser erhalten werden. Wir haben einen Emulator gebaut, der jeden Hitag S Transponder nachbilden kann. Wird der Transponder in einem Schließsystem eingesetzt, können wir so eine Schlüsselkopie erstellen. Basierend auf unseren Ergebnissen und den Erfahrungen mit anderen Transpondern aus dem 125kHz Bereich können wir nur vor dem Einsatz in sicherheitskritischen Bereichen warnen. Hierbei ist es unerheblich, ob es sich um ein Online- oder Offline-System handelt. Keiner der uns bekannten 125 kHz Transponder verfügt über ausreichende Kryptographieverfahren, um derartige Angriffe abzuwehren. Daher ist, selbst bei starker Verschlüsselung der Daten auf dem Transponder, es immer möglich mit einem Emulator einen exakten Klon zu erzeugen. Die Lesegeräte, online wie offline, können diesen Klon nicht erkennen. Wenn die RFID-Anwendung die auf dem Transponder gespeicherten Daten nicht ausreichend schützt, können diese auch verändert werden. Bei einer Schließanlage sind dann zum Beispiel beliebige Änderungen der Schließberechtigungen denkbar.
Speakers: Ralf Spenneberg Hendrik Schwartke Oguzhan Cicek