एउटा कम्पनीको उदाहरणमा MIfare कार्डहरूको SL3 एन्क्रिप्शन मोडको आवेदन

नमस्ते, मेरो नाम एन्ड्रे हो र म देशको सबैभन्दा ठूलो व्यवस्थापन कम्पनीको कर्मचारी हुँ। यस्तो देखिन्छ कि Habré मा एक कर्मचारी बताउन सक्छ? विकासकर्ताले बनाएका भवनहरू आफैंलाई शोषण गर्नुहोस् र केही रोचक छैन, तर यो त्यस्तो होइन।

व्यवस्थापन कम्पनी एक घर निर्माण को भूमिका मा एक महत्वपूर्ण र जिम्मेवार कार्य छ - यो निर्माण को लागी प्राविधिक विशिष्टता को विकास हो। यो व्यवस्थापन कम्पनी हो जसले आवश्यकताहरू अगाडि राख्छ जुन समाप्त, निर्मित ACS प्रणाली पूरा हुनेछ।

यस लेखमा, म ढाँचा भित्र प्राविधिक अवस्थाहरू सिर्जना गर्ने विषयलाई कभर गर्न चाहन्छु जसको ACS प्रणालीको साथ घर निर्माण भइरहेको छ जसले Mifare Plus सुरक्षा स्तर SL3 टेक्नोलोजी प्रयोग गर्दछ सुरक्षा कुञ्जीको साथ सेक्टर ईन्क्रिप्शनको साथ विकासकर्ता, न त। ठेकेदार, न उपठेकेदारलाई थाहा छ।

र विश्वव्यापी मध्ये एउटा पहिलो नजरमा स्पष्ट छैन - घरमा ACS प्रणालीसँग काम गर्ने बिल्डरहरू, ठेकेदारहरू, विक्रेताहरू र अन्य जिम्मेवार व्यक्तिहरूको पदानुक्रम भित्र Mifare प्लस कार्डहरूको इन्क्रिप्शनको लागि छनौट गरिएको एन्क्रिप्शन कोडको चुहावटलाई कसरी रोक्ने। यसको निर्माण सुरु देखि पोस्ट वारेन्टी अवधि मा सञ्चालन को चरण मा।
आज सम्पर्कविहीन कार्डहरूको मुख्य प्रविधिहरू:

• EM मरीन (StandProx, ANGstrem, SlimProx, MiniTag) 125 kHz
• NXP द्वारा Mifare (क्लासिक, प्लस, अल्ट्रालाइट, DESfire) (Mifare 1k, 4k) 13,56 MHz
• HID निर्माता HID निगम (ProxCard II, ISOProx-II, ProxKey II) 125 kHz
• iCLASS र iCLASS SE (HID Corporation द्वारा निर्मित) 13,56 MHz
• Indala (Motorola), Nedap, Farpointe, Kantech, UHF (860-960 MHz)

Em-Marine ACS प्रणालीहरूमा प्रयोग गरिएपछि धेरै परिवर्तन भएको छ, र हामीले भर्खरै Mifare क्लासिक SL1 ढाँचाबाट Mifare Plus SL3 इन्क्रिप्शन ढाँचामा स्विच गरेका छौं।

Mifare Plus SL3 ले AES ढाँचामा गोप्य 16-बाइट कुञ्जीको साथ निजी क्षेत्रको इन्क्रिप्सन प्रयोग गर्दछ। यी उद्देश्यहरूको लागि, Mifare प्लस चिप प्रकार प्रयोग गरिन्छ।

SL1 एन्क्रिप्शन ढाँचामा ज्ञात कमजोरीहरूको कारण स्विच बनाइएको थियो। अर्थात्:

कार्डको क्रिप्टोग्राफी राम्रोसँग अनुसन्धान गरिएको छ। हामीले नक्साको स्यूडो-रेन्डम नम्बर जेनेरेटर (PRNG) को कार्यान्वयनमा कमजोरी र CRYPTO1 एल्गोरिथ्ममा एउटा जोखिम भेट्टायौं। अभ्यासमा, यी कमजोरीहरू निम्न आक्रमणहरूमा प्रयोग गरिन्छ:

• अँध्यारो पक्ष - आक्रमणले PRNG जोखिमको शोषण गर्दछ। MIFARE क्लासिक कार्डहरूमा EV1 पुस्तासम्म काम गर्दछ (EV1 मा, PRNG जोखिम पहिले नै तय गरिएको छ)। आक्रमण गर्न, तपाईलाई नक्सा मात्र चाहिन्छ, तपाईलाई कुञ्जीहरू थाहा छैन।
• नेस्टेड - आक्रमणले CRYPTO1 जोखिमको शोषण गर्दछ। आक्रमण माध्यमिक प्राधिकरणहरूमा बनाइएको छ, त्यसैले आक्रमणको लागि तपाईंले एउटा वैध कार्ड कुञ्जी जान्न आवश्यक छ। अभ्यासमा, शून्य क्षेत्रको लागि, मानक कुञ्जीहरू प्राय: MAD सञ्चालनको लागि प्रयोग गरिन्छ - तिनीहरू यसको साथ सुरु हुन्छन्। CRYPTO1 (MIFARE क्लासिक र यसको इमुलेशन) मा कुनै पनि कार्डहरूको लागि काम गर्दछ। यो आक्रमण प्लान्टेन कार्डको जोखिमको बारेमा लेखमा प्रदर्शन गरिएको छ
• सुन्ने आक्रमण - आक्रमणले CRYPTO1 जोखिमको शोषण गर्दछ। आक्रमण गर्नको लागि, तपाईंले पाठक र कार्ड बीचको प्राथमिक प्राधिकरणमा सुन्नु पर्छ। यो विशेष उपकरण आवश्यक छ। CRYPTO1 (MIFARE क्लासिक र यसको इमुलेशनहरूमा आधारित कुनै पनि कार्डहरूको लागि काम गर्दछ।

त्यसैले: कारखानामा कार्डहरूको एन्क्रिप्शन पहिलो क्षण हो जहाँ कोड प्रयोग गरिन्छ, दोस्रो पक्ष पाठक हो। र हामी अब ईन्क्रिप्शन कोडको साथ पाठक निर्माताहरूलाई विश्वास गर्दैनौं, केवल किनभने तिनीहरू यसमा रुचि राख्दैनन्।

प्रत्येक निर्मातासँग पाठकमा कोड प्रविष्ट गर्नका लागि उपकरणहरू छन्। तर यो यस क्षणमा हो कि ACS प्रणालीको निर्माणको ठेकेदार र उप-ठेकेदारहरूको अनुहारमा तेस्रो पक्षहरूलाई कोड चुहावट रोक्नको समस्या देखिन्छ। व्यक्तिगत रूपमा कोड प्रविष्ट गर्नुहोस्?

यहाँ कठिनाइहरू छन्, किनकि संचालित घरहरूको भूगोल रूसका विभिन्न क्षेत्रहरूमा प्रतिनिधित्व गरिएको छ, मस्को क्षेत्र भन्दा बाहिर।

र यी सबै घरहरू एक मानक अनुसार, बिल्कुल एउटै उपकरणमा बनाइएका छन्।

Mifare कार्ड रिडर बजारको विश्लेषण गरेर, मैले कार्ड प्रतिलिपि सुरक्षा प्रदान गर्ने आधुनिक मानकहरूसँग काम गर्ने कम्पनीहरूको ठूलो संख्या भेट्टाउन सकिन।

आज, अधिकांश हार्डवेयर निर्माताहरूले UID रिड मोडमा काम गर्छन्, जुन NFC सँग कुनै पनि आधुनिक सेल फोनद्वारा प्रतिलिपि गर्न सकिन्छ।

केही निर्माताहरूले थप आधुनिक SL1 सुरक्षा प्रणालीलाई समर्थन गर्छन्, जुन 2008 मा पहिले नै सम्झौता गरिएको थियो।

र केवल केहि निर्माताहरूले SL3 मोडमा Mifare टेक्नोलोजीसँग काम गर्नको लागि मूल्य-गुणस्तर अनुपातको सन्दर्भमा उत्कृष्ट प्राविधिक समाधानहरू प्रदर्शन गर्छन्, जसले कार्ड प्रतिलिपि गर्न र यसको क्लोन सिर्जना गर्न असम्भव बनाउँछ।

यस कथामा SL3 को मुख्य फाइदा कुञ्जीहरू प्रतिलिपि गर्न असम्भव छ। यस्तो प्रविधि आज छैन।

म 200 भन्दा बढी प्रतिलिपिहरूको सर्कुलेशनको साथ कार्ड प्रतिलिपि प्रयोग गर्ने जोखिमहरूको बारेमा छुट्टै कुरा गर्नेछु।

• भाडामा लिनेहरूको तर्फबाट जोखिमहरू - साँचोको प्रतिलिपि बनाउन "मास्टर" लाई विश्वास गर्दै, भाँडादारको साँचोको डम्प उसको डाटाबेसमा जान्छ, र "मास्टर" ले प्रवेशद्वारमा हिंड्ने मौका पाउँछ, र प्रयोग गर्न पनि। पार्किंग स्थल वा भाडामा लिने पार्किंग ठाउँ।
• वाणिज्य जोखिमहरू: यदि कार्डको खुद्रा मूल्य 300 रूबल छ भने, अतिरिक्त कार्डहरूको बिक्रीको लागि बजारको हानि सानो घाटा होइन। कुञ्जीहरू प्रतिलिपि गर्ने "मास्टर" एउटै एलसीडीमा देखा पर्दा पनि, कम्पनीको घाटा सयौं हजारौं र लाखौं रूबलमा हुन सक्छ।
• अन्तिम तर कम्तिमा होइन, सौन्दर्य गुणहरू: बिल्कुल सबै प्रतिलिपिहरू कम-गुणस्तर डिस्कहरूमा बनाइन्छ। मलाई लाग्छ कि तपाईं मध्ये धेरैलाई मूलको गुणस्तरसँग परिचित हुनुहुन्छ।

अन्तमा, म भन्न चाहन्छु कि केवल उपकरण बजार र प्रतिस्पर्धीहरूको गहिरो विश्लेषणले तपाईंलाई 2019 को आवश्यकताहरू पूरा गर्ने आधुनिक र सुरक्षित ACS प्रणालीहरू सिर्जना गर्न अनुमति दिन्छ, किनकि यो अपार्टमेन्ट भवनमा रहेको ACS प्रणाली हो जुन एक मात्र कम छ। हालको प्रणाली जुन एक निवासीले दिनमा धेरै पटक सामना गर्दछ।

स्रोत: www.habr.com