Probleemid iseseisvate juurdepääsukontrolli süsteemide (SKUD) — Sealt, kust ei oodatud

Tere kõigile. Alustan eelhistoriast, mis ajendas mind seda uuringut läbi viima, kuid hoiatav sõnum: kõik praktilised tegevused viidi läbi juhtorganite loal. Iga katse kasutada seda materjali suletud territooriumile sisenemise eesmärgil, kus seaduslikku kohalolekut ei ole, on kriminaalne rikkumine.

Kõik algas sellest, et koristades oma lauda, panin kogemata RFID võtme sisenemisse NFC-loetavusse ACR122 - kui suur oli minu üllatus, kui Windows mängis uue seadme avastamise heli ning LED süttis roheliseks. Ma arvasin, et need võtmed töötavad ainult Proximity standardi alusel.

Aga kui loetav seade selle nägi - siis tähendab, et võti vastab ühele protokollile ISO 14443 standardi peal (Sama, mis Near Field Communication, 13,56 MHz). Koristamine unustati koheselt, sest nägin võimalust täiesti vabaneda võtmete komplektist ja hoida sissepääsuvõti telefonis (korter on ammu varustatud elektroonilise lukuga). Uuringutele süvenedes selgus, et plasti all peitub NFC-silt Mifare 1k - sama mudel, mis on ettevõtete kaardi- ja transpordikaartides jne. Esialgsed katsed sektorite sisu juurde pääseda ei õnnestunud, ja kui võtme ikkagi õnnestus murda - selgus, et kasutusel on vaid 3. sektor, kus on dubleeritud kiibi UID. Tundus liiga lihtne, ja nii see oligi, ja artiklit ei oleks, kui kõik oleks läinud just nii, nagu planeeritud. Nii sain võtme sisemuse, ja pole mingeid probleeme, kui on vaja kopeerida võti teise sama sarnasele. Aga ülesanne oli - viia võti mobiilseadmesse, millega ma ka tegelesin. Just siin see lõbusus algas - meil on telefon - iPhone SE paigaldatud iOS 13.4.5 Beta build 17F5044d ja mõned eritooted NFC vabaks tööks - sellele ei hakka ma pikemalt peatuma, mõnedest objektiivsetest põhjustest. Soovi korral on kõik järgnev kehtiv ka Androidi süsteemi jaoks, kuid mõne lihtsustusega.

Probleemide nimekiri lahendamiseks:

• Juhtima sisu juurde pääsemist võtme.
• Rakendama võtme emuleerimise võimalust seadmest.

Kui esimese probleemiga oli suures osas lihtne, siis teisega tekkisid raskused. Esimene emulaatori versioon ei töötanud. Probleem avastati üsna kiiresti — mobiilseadmetes (nii iOS kui Android) emulatsioonirežiimis on UID dünaamiline ja olenemata sellest, mis on pildis fikseeritud, muutub see. Teine versioon (käivitatuna superkasutaja õigustega) fikseeris valitud seerianumbri kindlalt — uks avanes. Otsustasin teha kõik ideaalselt ja kogusin lõpuks kokku valmis emulaatori, mis suutis avada Mifare dump'e ja emuleerida neid. Äkitselt mind ajendades muutsin sektorite võtmed suvalisteks ja üritasin ust avada. Ja see… AVANES! Mõne aja pärast taipasin, et avanevad iga ukse sellega lukuga, isegi need, mille algne võti ei sobinud. Seetõttu koostasin uue ülesannete nimekirja, et täita:

• Selgitada välja, milline kontroller vastutab võtmete töö eest
• Mõista, kas on ühendus võrku ja ühine andmebaas
• Selgitada, miks tegelikult mitte loetav võti muutub universaalseks

Suheldes haldusfirma inseneriga, sain teada, et kasutatakse lihtsaid kontrollerid Iron Logic z5r ilma ühenduseta välise võrguga.

Lugeja CP-Z2 MF ja kontroller IronLogic z5r
Mulle anti katsetamiseks varustus:

Nagu siit selge — süsteem on täielikult autonoomne ja äärmiselt primitiivne. Alguses arvasin, et kontroller on õpetamismoodis — idee on selline, et see loeb võtme, salvestab selle mällu ja avab ukse — seda režiimi kasutatakse siis, kui on vaja salvestada kõik võtmed, näiteks luku vahetamisel korterelamus. Kuid see teooria ei saanud kinnitust — programmiliselt on see režiim välja lülitatud, sild on töökohas — ja sellegipoolest, kui seadet lähedale tuua, näeme järgmist:

Ekraanipilt emulatsiooni protsessist seadmel

… ja kontroller annab märku, et juurdepääs on antud.

Seega peitub probleem kas kontrolleri või lugeja tarkvaras. Kontrollime lugejat — see töötab iButton režiimis, seega ühendame turvakaardi Bolid — meil on võimalus vaadata lugeja väljundeid.

Kaart, hiljem ühendatakse RS232 kaudu

Kasutades mitmeid katseid, selgub, et lugeja edastab sama koodi autoriseerimise ebaõnnestumise korral: 1219191919

Olukord hakkab selguma, kuid hetkel ei saa ma aru, miks kontrollija sellele koodile positiivselt reageerib. On oletus — et kui baas täideti — juhuslikult või spetsiaalselt viidi kaardiga teised sektori võtmed lähedale — edastas lugeja selle koodi ja kontrollija salvestas selle. Kahjuks ei ole mul IronLogic'i bränditud programmeerijat, et pääseda kontrollija võtmebaasi, kuid loodan, et sain tähelepanu juhtida sellele, et probleem eksisteerib. Videodemonstreerimine selle haavatavuse kohta on saadaval linki pidi.

P.S. Juhusliku lisamise teooria vastu räägib see, et ühes Krasnojarski ärihoones sain samuti selle meetodiga ukse avada.

Allikas: habr.com