安全与密码学2024eprint.iacr.org
MIFARE Classic：揭示静态加密 nonce 变体
MIFARE Classic: exposing the static encrypted nonce variant
进阶 · 约 60 分钟读完前置知识：RFID/NFC 基础、密码学基础、MIFARE Classic 已知漏洞
导读
这篇论文研究 MIFARE Classic 卡中一种使用静态加密 nonce 的变体芯片。作者通过实证研究发现了芯片中的硬件后门并破解了其密钥：任何知道该后门的人只需与卡片交互几分钟，即可在无需预知密钥的情况下获取卡上所有用户自定义密钥；在较老的卡上还发现了多家厂商共用的另一个硬件后门密钥。
HN 关注点：是因为这不是理论性漏洞，而是影响大量仍在部署的 MIFARE Classic 卡的严重硬件后门，涉及门禁、交通卡等广泛使用的场景。
HN 评论精选
这几条评论里：支持 1 质疑 1 补充 1 亲历 1
亲历业内人士表示 MIFARE Classic 的不安全性早已是常识，继续部署是自担风险。
我从事卡片复制行业 10 多年了，MIFARE Classic 卡的问题至少这么久以来就广为人知。任何业内人都（至少应该）会告诉你别用它们，改用 DESFire 或其他更新更安全的芯片。论文引言里也说了“到 2024 年，大家都知道 MIFARE Classic 已经被彻底攻破”。如果你还在部署 MIFARE Classic 卡，那是自食其果。
noddingham查看英文原文
I've been involved with carding for 10+ years and issues with MIFARE Classic cards have been around and known for at least that long. Anyone in the carding industry will (should at the very least) tell you not to use them and move on to DESFire or some other newer safer chips. The introduction even says as much "By 2024, we all know MIFARE Classic is badly broken." If you're still deploying MIFARE Classic cards you reap what you sow.
支持引用论文摘要强调这是实际可利用的严重漏洞，而非理论威胁。
这个问题相当严重，不是那种深奥的理论可利用漏洞，而是一个巨大的窟窿。摘自摘要：通过实证研究，我们发现了一个硬件后门并成功破解其密钥。该后门使任何知晓它的实体无需预知密钥，只需访问卡片几分钟即可攻破卡上所有用户自定义密钥。此外，对老卡的调查还发现了多家厂商共用的另一个硬件后门密钥。
nine_k查看英文原文
The problem is pretty serious, not an esoteric theoretically exploitable vulnerability, but a gaping hole. From the abstract: > Through empirical research, we discovered a hardware backdoor and successfully cracked its key. This backdoor enables any entity with knowledge of it to compromise all user-defined keys on these cards without prior knowledge, simply by accessing the card for a few minutes. Additionally, our investigation into older cards uncovered another hardware backdoor key that was common to several manufacturers.
补充提问者想弄清该漏洞的实际攻击场景和影响范围。
有人能用大白话解释一下威胁场景吗？我不是怀疑，只是不知道该怎么想象。后门意味着有人能“进入”我的 RFID，但 RFID 大部分时间处于“离线”状态。那当我的 RFID 上电时，给它供电的“主机”是否也需要是不安全的或处于被入侵的网络？然后……会突然出现什么新能力？门本来就能开，我的信用卡本来就能刷……还是说它只是让路过我身边的人能复制我的卡？
fsckboy查看英文原文
could somebody ELI5 the threat vector here? I'm not skeptical, I just don't know what to imagine. backdoor implies somebody can "get in" to my rfid, but rfid's spend most of their time "off the grid". So when my rfid powers up, does the "host" who powered it up also need to be insecure or on an insecure/compromised net? then... what capabilities would suddenly become possible; unlocking the door is already unlocked, my credit card is already all ready to spend... or does it simply allow people passing me on the sidewalk to make a copy of my card?
质疑讽刺使用廉价仿制安全芯片本身就是错误决策。
“我们该不该买 MIFARE Classic 的中国仿制品”在我看来是个自问自答的问题，不过我猜这就是为什么我至今还没升上 CISO。
jeffbee查看英文原文
"Should we buy a Chinese knockoff of MIFARE Classic" strikes me as a self-answering question, but I guess that's why I still haven't been promoted to CISO.
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2024Hacker News 讨论帖250 分 · 95 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选