Découverte d’une Grave Vulnérabilité de Sécurité dans des Millions de Cartes RFID

Une grave vulnérabilité de sécurité a été découverte dans des millions de cartes RFID sans contact fabriquées par l’entreprise chinoise Shanghai Fudan Microelectronics. Cette porte dérobée permet aux attaquants de cloner instantanément les cartes utilisées pour accéder aux bureaux et aux chambres d’hôtel dans le monde entier. La vulnérabilité a été découverte par Philippe Teuwen, un chercheur de la société de sécurité française Quarkslab, lors d’une série d’expériences de sécurité sur des cartes RFID.

La porte dérobée est présente dans la variante FM11RF08S de la famille de cartes MIFARE Classic, un produit largement utilisé, initialement lancé par Philips (désormais NXP Semiconductors) en 1994. Ces cartes ont été largement déployées dans les systèmes de transport public et dans l’industrie hôtelière. Malgré les efforts déployés au fil des ans pour sécuriser les cartes MIFARE Classic contre diverses attaques, il a été découvert que la variante FM11RF08S, qui inclut des contre-mesures spécifiques pour prévenir les attaques connues sous le nom de “card-only”, contient une faille sérieuse.

Les recherches de Teuwen ont révélé que les cartes FM11RF08S possèdent une porte dérobée matérielle permettant une authentification avec une clé inconnue. Il a réussi à décrypter cette clé secrète, commune à toutes les cartes FM11RF08S, ainsi qu’à d’autres modèles du même fournisseur, tels que les FM11RF08 et FM11RF32. De manière surprenante, la même vulnérabilité a été trouvée dans les anciennes cartes produites par NXP Semiconductors et Infineon Technologies.

Cette découverte a des implications alarmantes pour la sécurité, car elle permet à toute entité connaissant la porte dérobée de compromettre toutes les clés définies par l’utilisateur sur ces cartes, même si elles sont entièrement diversifiées. Quarkslab a exhorté les organisations et les individus utilisant ces systèmes RFID à examiner immédiatement leur infrastructure et à évaluer les risques.

Les recherches soulignent que de nombreux utilisateurs pourraient ne pas être conscients que les cartes MIFARE Classic qu’ils utilisent sont en réalité des variantes Fudan FM11RF08 ou FM11RF08S, qui ne sont pas limitées au marché chinois. Ces cartes ont été trouvées dans de nombreux hôtels aux États-Unis, en Europe et en Inde, soulevant de sérieuses inquiétudes quant à la sécurité des systèmes de contrôle d’accès à l’échelle mondiale.

Source: SecurityWeek

La European Cyber Intelligence Foundation est un think tank à but non lucratif spécialisé dans le renseignement et la cybersécurité, offrant des services de conseil aux entités gouvernementales. Pour atténuer les menaces potentielles, il est important de mettre en œuvre des mesures supplémentaires de cybersécurité avec l’aide d’un partenaire de confiance comme INFRA www.infrascan.net, ou vous pouvez essayer vous-même en utilisant check.website.