자율출입통제 시스템의 문제점 - 예상하지 못한 부분

모두에게 좋은 하루 되세요. 이 연구를 수행하게 된 배경부터 시작하겠습니다. 하지만 먼저 경고하겠습니다. 모든 실제 조치는 정부 구조의 동의를 받아 수행되었습니다. 이 자료를 사용하여 제한 구역에 들어갈 권리 없이 제한 구역에 들어가려는 모든 시도는 형사 범죄입니다.

테이블을 청소하는 동안 실수로 ACR122 NFC 리더에 RFID 입구 키를 놓았을 때 모든 것이 시작되었습니다. Windows가 새 장치를 감지하는 소리를 내고 LED가 녹색으로 바뀌었을 때 놀랐습니다. 지금까지 나는 이 키가 Proximity 표준에서만 작동한다고 믿었습니다.

그러나 독자가 이를 봤다면 이는 키가 ISO 14443 표준(근거리 무선 통신(Near Field Communication, 13,56MHz)이라고도 함)의 프로토콜 중 하나를 충족한다는 의미입니다. 열쇠 세트를 완전히 제거하고 현관 열쇠를 전화기에 보관할 수 있는 기회를 보았기 때문에 청소는 즉시 잊혀졌습니다(아파트에는 오랫동안 전자 자물쇠가 장착되어 있었습니다). 공부를 시작하면서 플라스틱 아래에 기업 배지, 교통 카드 등과 동일한 모델인 Mifare 1k NFC 태그가 숨겨져 있다는 것을 알게 되었습니다. 섹터의 내용에 들어가려는 시도는 처음에는 성공하지 못했으며, 마침내 키를 크랙했을 때 세 번째 섹터만 사용되었으며 칩 자체의 UID가 중복된 것으로 나타났습니다. 너무 단순 해 보였고 결과적으로 그렇게되었고 모든 것이 계획대로 정확하게 진행된다면 기사가 없을 것입니다. 그래서 열쇠의 곱창을 받았고, 같은 종류의 열쇠를 다른 열쇠에 복사해야 해도 문제가 없습니다. 하지만 작업은 키를 모바일 장치로 전송하는 것이었고 제가 한 일이었습니다. 여기서부터 재미가 시작되었습니다. 우리에겐 전화기가 있습니다. 아이폰 SE 설치된 iOS 13.4.5 베타 빌드 17F5044d NFC의 무료 작동을 위한 일부 사용자 정의 구성 요소 - 객관적인 이유로 이에 대해 자세히 설명하지 않겠습니다. 원하는 경우 아래에 설명된 모든 내용이 Android 시스템에도 적용되지만 일부 단순화되었습니다.

해결해야 할 작업 목록:

• 키 내용에 액세스합니다.
• 장치에서 키를 에뮬레이트하는 기능을 구현합니다.

첫 번째 경우에는 모든 것이 상대적으로 간단했지만 두 번째에는 문제가 있었습니다. 에뮬레이터의 첫 번째 버전이 작동하지 않았습니다. 문제는 매우 빠르게 발견되었습니다. 에뮬레이션 모드의 모바일 장치(iOS 또는 Android)에서 UID는 동적이며 이미지에 무엇이 내장되어 있는지에 관계없이 부동 상태입니다. 두 번째 버전(수퍼유저 권한으로 실행)은 선택한 버전의 일련 번호를 엄격하게 고정하여 문이 열렸습니다. 그러나 나는 모든 것을 완벽하게 하고 싶었고 결국 Mifare 덤프를 열고 에뮬레이션할 수 있는 완전한 버전의 에뮬레이터를 구성하게 되었습니다. 나는 갑작스러운 충동에 굴복하여 섹터 키를 임의의 키로 변경하고 문을 열려고 했습니다. 그리고 그녀는… 오픈했습니다! 잠시 후 나는 그들이 열렸다는 것을 깨달았습니다. 어떤 이 자물쇠가 달린 문은 원래 열쇠가 맞지 않는 문이라도 마찬가지입니다. 이와 관련하여 나는 완료해야 할 새로운 작업 목록을 만들었습니다.

• 키 작업을 담당하는 컨트롤러가 무엇인지 알아보십시오.
• 네트워크 연결 및 공통 기반이 있는지 이해
• 사실상 읽을 수 없는 키가 범용화되는 이유를 알아보세요.

관리사 엔지니어와 이야기를 나눈 후, 외부 네트워크에 연결하지 않고 간단한 Iron Logic z5r 컨트롤러를 사용한다는 것을 알게 되었습니다.

CP-Z2 MF 리더 및 IronLogic z5r 컨트롤러
나는 실험을 위해 일련의 장비를 받았습니다.

여기에서 알 수 있듯이 시스템은 완전히 자율적이며 극도로 원시적입니다. 처음에는 컨트롤러가 학습 모드에 있다고 생각했습니다. 즉, 키를 읽고 메모리에 저장한 다음 문을 여는 것입니다. 이 모드는 예를 들어 키를 교체할 때와 같이 모든 키를 기록해야 할 때 사용됩니다. 아파트 건물을 잠그세요. 그러나이 이론은 확인되지 않았습니다. 이 모드는 소프트웨어에서 꺼지고 점퍼는 작동 위치에 있지만 장치를 켜면 다음이 표시됩니다.

장치의 에뮬레이션 프로세스 스크린샷

... 그리고 컨트롤러는 액세스가 승인되었음을 알립니다.

이는 문제가 컨트롤러나 리더의 소프트웨어에 있음을 의미합니다. 리더를 확인해 보겠습니다. iButton 모드에서 작동하므로 Bolid 보안 보드를 연결해 보겠습니다. 리더의 출력 데이터를 볼 수 있습니다.

보드는 나중에 RS232를 통해 연결됩니다.

여러 테스트 방법을 사용하여 인증 실패 시 리더가 동일한 코드 1219191919를 브로드캐스팅한다는 사실을 알아냈습니다.

상황이 점점 더 명확해지기 시작했지만 현재로서는 컨트롤러가 이 코드에 긍정적으로 응답하는 이유가 명확하지 않습니다. 실수로 또는 의도적으로 다른 섹터 키가 있는 카드가 제시된 데이터베이스가 채워졌을 때 리더가 이 코드를 전송하고 컨트롤러가 이를 저장했다고 가정합니다. 안타깝게도 컨트롤러 키 데이터베이스를 조사할 수 있는 IronLogic의 독점 프로그래머가 없지만 문제가 존재한다는 사실에 관심을 끌 수 있었으면 좋겠습니다. 이 취약점을 다루는 방법에 대한 비디오 데모를 볼 수 있습니다. 링크.

추신: 무작위 추가 이론은 크라스노야르스크의 한 비즈니스 센터에서도 동일한 방법을 사용하여 문을 열 수 있었다는 사실에 반대됩니다.

출처 : habr.com