Radyo Frekansıyla Tanımlama (RFID) pasaport etiketleri tehlikede



Ekleyen
robut
Güncelleme Zamanı
08.09.2009

Bir güvenlik araştırmacısı, iki yeni sınır geçişi belgelerinde kullanılan ABD'deki RFID (Radyo Frekansıyla Tanımlama) etiketlerinin, kopyalanmaya ve çalınmaya karşı savunmasız olduğunu iddia ediyor. Araştırmacıya göre ABD'deki RFID etiketleri 45 metre öteden okunabiliyor...

RFID Güvenlik ProblemiABD Dışişleri Bakanlığı tarafından verilen Amerika Birleşik Devletleri Pasaport Kartları ve Washington eyaletinde verilen Gelişmiş Sürücü Ehliyetleri (EDL), sınır geçişlerinde görevlilere verilmeden taranabilen RFID etiketleri içeriyor. Bu iki belgenin her ikisi de, bu yılın başlarında sadece kara ve su sınır geçişlerinde kullanılmak için çıkarıldı. Uçak seyahatlerinde ise bu belgeler kullanılamıyor. New York, bir EDL'ye sahip tek ABD eyaleti olsa da, diğer eyaletler bu kartlarla ilgili çalışmalarını sürdürüyorlar.

Araştırmacılar etiketlerdeki kişiye özel bilgilerin kartın yasal sahibinden kullanıma hazır bir etikete kopyalanabileceğini söylüyorlar. Bir ABD İç Güvenlik Bakanlığı yetkilisinin sınırda kartın görmemesi durumunda da bu kartı kullanmak mümkün olabilir.

Diğer bir tehlike ise, bazı durumlarda bu etiketlerin 45 metre mesafeden bile okunabilmesi ve bu yüzden kötü niyetli kişilerin fark edilmeden bu bilgileri okuyabileceği tehlikesi. Araştırmacılar kişisel bilgi içermese de, devam eden gözetimlerde, bir kişinin hareketlerini takip etmek için, bu etiketlerin kullanılabildiğini söylüyorlar.

Ayrıca diğer bir tehlikenin, bilgisayar korsanlarının, belli bir numara yollayarak EDL'lerin (Gelişmiş Sürücü Ehliyetleri) kendi kendilerini yok etmesine neden olabilme tehlikesi olduğu açıklandı.

Washington Üniversitesi Bilgisayar Bilimleri ve Mühendisliği bölümü yardımcı doçenti Tadayoshi Kohno "Birinin, sizin pasaport kartınızı ya da EDL'nizi okuması göreceli olarak kolay" diyor ve devam ediyor: "Panik yapmak için herhangi bir neden olmasa da, kalplerimiz biraz daha hızlı artmaya başlamalı". Araştırma raporu özetine göre bireysel yolcular için risk düşük fakat sorunlar, sınır geçiş sistemlerinde zayıflık yaratıyor deniyor.



Satış, taşımacılık ve diğer iş sektörleri her geçen gün, normal yazılı barkotlar yerine, daha fazla bilgi içeren kablosuz barkotlar olarak RFID etiketlerini kullanmaya başlıyor. Kohno'ya göre teknolojinin büyümesi, RFID korsanlığı için gerekli araçları çok daha kolay bulunur hale getiriyor.

RFID GüvenliğiBir kopyalama saldırısında, kart taşıyıcısı oradan tesadüfen geçerken ya da resmi kart okuyucusu veriyi alırken, bir bilgisayar korsanı bir kartın RFID etiketini okuyabiliyor. Saldırganın daha sonra aynı veriyle genel bir RFID etiketi kodlaması mümkün. Kohno, "Bu yeni kodlanan etiketle birlikte, kartın aslının görülmek istenmemesi durumunda, birisi sınırdaki RFID okuyucusundan geçerek yasal bir kimlik tanıma kartına sahip olur", diye uyarıyor.

"Gerçekte, sınır geçişlerinde kullanılan sistem, bu teknik detaydan aslında çok daha iyi" diyor Kohno, "Örneğin, sınır görevlileri genellikle sürücüler ve yolcular sınırı geçtiklerinde onlarla görüşme yapar ve kimlik kartlarına bakarlar. Bu görevliler, kart klonlamayı engellemek için sınır geçişlerinde başka ölçüleri de kullanabilirler." önerisini yapıyor.

Ancak, Kohno ve birlikte çalıştığı üç araştırmacı arkadaşı, RFID etiketleri için ABD ve Washington yönetimlerinin kullanmadığı mekanizmalar olduğuna inanıyor.

Örneğin her etiketin bir erişim PIN (kişisel tanımlama numarası) kodu ve bir de etkisizleştirme PIN kodu gibi iki özelleşmiş numarası var (Bu kodlar, banka kartları PIN kodlarından daha büyük ve kart taşıyıcılar tarafından seçilmezler). Erişim PIN kodu, bir etiketin yasallığını doğrulamak için kullanılabilirken, etkisizleştirme PIN kodu ise etiketi okunamaz hale getirebilir.

Erişim PIN kodları, hem pasaport kartlarında hem de EDL'lerde (Gelişmiş Sürücü Ehliyetlerinde) kullanılıyor fakat araştırmacılar, yetkililerin kullanmadığı başka güvenlik yöntemlerinin de olduğuna inanıyorlar. Örneğin, "Erişim PIN kodunu, veri tabanından bir bilgi kullanarak test edebilirler", diyor Kohno. Buna ek olarak, etkisizleştirme PIN kodu, EDL'lerde (Gelişmiş Sürücü Ehliyetlerinde), etiketin saldırıya maruz kaldığı durumlarda, etiket okunamaz hale getirilemeyeceğinden etiketin güvenliği tehlikeye girecektir. Böyle bir saldırı, bir sıkıntıya ya da seyahat eden kişinin güvenliğini temelden sarsacaktır, deniyor raporun özetinde.

Araştırmacılar, hem ABD hem de Washington yetkililerine önerilerde bulunuyorlar. Kart yerine bir kitapçık olan tam boyutlu ABD pasaportları, bu tip savunma zaaflarından etkilenmiyor çünkü bu pasaportların RFID etiketlerinin şifreli koruması ve kitapçık şeklinde olan pasaportun bu tip saldırıları engelleyen metalik bir kapağı bulunuyor.

Bu kartları kullanan kişilerin kendilerini korumaları için, her iki kartla birlikte gelen ve gizlice yapılan taramaları engellemeye yardımcı olabilecek koruyucu kapları kullanmaları öneriliyor.