Probleme bei autonomen Zutrittskontrollen – Dort, wo man es nicht erwartet hat.

Allen einen guten Tag. Ich beginne mit der Vorgeschichte, die mich zu dieser Untersuchung veranlasst hat, aber vorher möchte ich warnen: Alle praktischen Handlungen wurden mit Zustimmung der leitenden Strukturen durchgeführt. Jeder Versuch, dieses Material zu nutzen, um ohne das Recht dort zu sein, in gesperrte Territorien einzudringen, stellt ein strafrechtliches Vergehen dar.

Alles begann damit, dass ich beim Aufräumen auf dem Tisch zufällig den RFID-Schlüssel für den Eingang auf den NFC-Leser ACR122 gelegt habe – wie groß war meine Überraschung, als Windows den Ton für die Erkennung eines neuen Geräts abspielte und die LED grün leuchtete. Bis zu diesem Moment dachte ich, dass diese Schlüssel ausschließlich im Proximity-Standard funktionieren.

Aber da der Leser ihn erkannt hat – bedeutet das, dass der Schlüssel einem der Protokolle oberhalb des ISO 14443 Standards (auch bekannt als Near Field Communication, 13,56 MHz) entspricht. Das Aufräumen war sofort vergessen, da ich die Möglichkeit sah, die Schlüsselbund zu eliminieren und den Eingangsschlüssel im Telefon zu speichern (die Wohnung ist schon lange mit einem elektronischen Schloss ausgestattet). Nachdem ich mich mit dem Studium beschäftigt hatte, stellte ich fest, dass sich unter dem Plastik ein NFC-Tag Mifare 1k verbarg – das gleiche Modell, das in Mitarbeiterausweisen, Fahrkarten usw. verwendet wird. Die ersten Versuche, in den Inhalt der Sektoren einzudringen, waren zunächst erfolglos, und als ich den Schlüssel schließlich knackte, stellte sich heraus, dass nur der 3. Sektor verwendet wird, und darin wurde der UID des Chips selbst dupliziert. Es schien zu einfach, es stellte sich tatsächlich so heraus und es gäbe keinen Artikel, wenn alles wie geplant gelaufen wäre. Hier habe ich das Innere des Schlüssels erhalten und es gab keine Probleme, wenn es nötig war, den Schlüssel auf einen anderen, gleichen zu kopieren. Aber die Aufgabe war es, den Schlüssel auf ein mobiles Gerät zu übertragen, was ich in Angriff nahm. Und hier begann der Spaß – wir haben ein Telefon – iPhone SE mit installiertem iOS 13.4.5 Beta build 17F5044d und einigen benutzerdefinierten Komponenten für den reibungslosen Betrieb von NFC – darauf möchte ich aus bestimmten objektiven Gründen nicht näher eingehen. Bei Interesse ist alles, was später gesagt wird, auch für das Android-System anwendbar, jedoch mit einigen Vereinfachungen.

Aufgabenliste zur Lösung:

• Zugang zum Inhalt des Schlüssels erhalten.
• Die Möglichkeit der Emulation des Schlüssels durch das Gerät realisieren.

Wenn die erste Version relativ einfach war, traten mit der zweiten Probleme auf. Die erste Version des Emulators funktionierte nicht. Das Problem wurde ziemlich schnell erkannt – bei mobilen Geräten (sowohl iOS als auch Android) ist die UID im Emulationsmodus dynamisch und unabhängig davon, was im Image hinterlegt ist, schwankt sie. Die zweite Version (die mit Administratorrechten gestartet wurde) fixierte die Seriennummer auf die gewählte – die Tür öffnete sich. Ich wollte jedoch alles perfekt machen und erstellte schließlich eine vollständige Version des Emulators, die Mifare-Dumps öffnen und emulieren konnte. Plötzlich hatte ich einen Anfall und änderte die Schlüssel der Sektoren in beliebige und versuchte, die Tür zu öffnen. Und sie... GING AUF! Nach einer Weile verstand ich, dass geöffnet wird alle Türen mit diesem Schloss, sogar diejenigen, für die der ursprüngliche Schlüssel nicht geeignet war. In diesem Zusammenhang erstellte ich eine neue Aufgabenliste:

• Herausfinden, welcher Controller für die Verwaltung der Schlüssel verantwortlich ist
• Verstehen, ob eine Verbindung zum Netzwerk und eine gemeinsame Datenbank vorhanden sind
• Herausfinden, warum ein faktisch nicht lesbarer Schlüssel universell wird

Nach einem Gespräch mit dem Ingenieur der Hausverwaltung erfuhr ich, dass einfache Controller von Iron Logic z5r ohne Anbindung an ein externes Netzwerk verwendet werden.

Lesegerät CP-Z2 MF und Controller IronLogic z5r
Mir wurde ein Ausrüstungsset für Experimente ausgehändigt:

Wie hier zu sehen ist, ist das System vollständig autonom und äußerst primitiv. Zunächst dachte ich, der Controller sei im Lernmodus – der Sinn dahinter ist, dass er einen Schlüssel liest, ihn im Speicher ablegt und die Tür öffnet – dieser Modus wird genutzt, um alle Schlüssel zu speichern, zum Beispiel bei der Schlosswechsel in einem Mehrfamilienhaus. Aber diese Theorie bestätigte sich nicht – programmtechnisch ist dieser Modus ausgeschaltet, die Brücke ist in Arbeitsposition – und dennoch sehen wir beim Anhalten des Gerätes Folgendes:

Screenshot des Emulationsprozesses auf dem Gerät

… und der Controller signalisiert, dass der Zugang gewährt wurde.

Das bedeutet, das Problem liegt in der Software des Controllers oder des Lesegeräts. Lassen Sie uns das Lesegerät überprüfen – es arbeitet im iButton-Modus, also schließen wir die Sicherheitsplatine Bolid an – wir haben die Möglichkeit, die Ausgabedaten des Lesegeräts zu betrachten.

Die Platine wird später über RS232 angeschlossen.

Durch die Methode der mehrfachen Tests stellen wir fest, dass der Leser im Fall einer fehlgeschlagenen Autorisierung denselben Code überträgt: 1219191919

Die Situation beginnt sich zu klären, allerdings ist mir momentan unverständlich, warum der Controller auf diesen Code positiv reagiert. Es gibt die Vermutung, dass bei der Befüllung der Datenbank versehentlich oder absichtlich eine Karte mit anderen Sektor-Schlüsseln herangezogen wurde – der Leser hat diesen Code gesendet und der Controller hat ihn gespeichert. Leider habe ich keinen firmenmäßigen Programmierer von IronLogic, um in die Schlüssel-Datenbank des Controllers zu schauen, aber ich hoffe, dass ich darauf hinweisen konnte, dass das Problem existiert. Eine Videodemonstration der Arbeit mit dieser Schwachstelle ist verfügbar. unter diesem Link.

P.S. Gegen die Theorie der zufälligen Hinzufügung spricht die Tatsache, dass ich in einem Bürozentrum in Krasnojarsk ebenfalls in der Lage war, die Tür mit derselben Methode zu öffnen.

Quelle: habr.com