Leveranciers van RFID-chips hebben te vaak op de beveiliging beknibbeld, waardoor er nu miljoenen onveilige chips in omloop zijn, aldus onderzoekster Melanie Rieback in een interview met Security.nl. Tijdens de Infosecurity beurs op 3 en 4 november, geeft ze een lezing over de RFID Guardian, een apparaat om de veiligheid van RFID-systemen te onderzoeken.

Een vaak gehoorde opmerking van leveranciers is dat veel van de problemen met de technologie zich alleen in oude versies voordoen. Nieuwe chips beschikken over sterkere encryptie en zouden daardoor hackers op afstand houden. "Natuurlijk zit het probleem ook in de implementatie. De crypto mag dan kloppen, de implementatie laat je allerlei aanvallen uitvoeren en sleutels achterhalen. Mensen zijn erin geslaagd om geldautomaten te kraken. Die zijn beter beveiligd dan een RFID-chip." Volgens Rieback blijft het een kat-en-muis spel. De onderzoekster vindt het goed dat leveranciers nu op nieuwere chips overstappen, nu gebleken is dat de oudere chips zeer eenvoudig zijn te kraken. "Leveranciers moeten er wel rekening mee houden dat de generatie die ze nu uitbrengen ook gekraakt zal worden."

En dat is een probleem, aangezien het onmogelijk is om oudere RFID-chips te updaten. "Ze hebben al een gigantisch probleem met alle legacy techniek die er nog is. Daarom moeten mensen RFID-systemen evalueren voordat ze gebouwd worden, want nu zijn er al miljoenen kaarten gedistribueerd." Rieback vergelijkt het met de problemen waar Microsoft tegen aanloopt. "Namelijk dat er oudere versies van de software in omloop zijn. Dat kun je niet in een dag oplossen, wat betekent dat alle 'loopholes' die je oudere producten hebben, open moeten blijven, omdat ze anders niet meer werken en dat is onacceptabel."

Afweging
De vraag blijft waarom RFID-leveranciers niet over de veiligheid van zo'n belangrijke techniek nadachten. "Destijds was RFID-beveiliging niet zo'n vraagstuk als het nu is. Ze hebben bewust afwegingen gemaakt om meer geld uit te geven aan een chip met meer crypto of minder geld aan een chip met proprietary crypto. Ze gingen uiteindelijk voor de goedkopere optie. Het was een afweging en het is nu duidelijk dat ze de verkeerde keuze maakten." Rieback merkt op dat leveranciers in de toekomst met dit soort afwegingen te maken blijven krijgen. Aan het eind van de dag komt het erop neer hoeveel budget ze hebben en of er mensen naar de veiligheid van het systeem willen kijken. "In sommige gevallen met de stemcomputers heb je dat de mensen die het systeem testen, dezelfde mensen zijn die het bouwden. Hoe we er ook om kunnen lachen, ook voor RFID en paspoorten begint dezelfde situatie te gelden."

"Ja ze hebben externe consultants ingehuurd. De andere keuze die ze maakten was voor gesloten systemen, technologieën, protocollen standaarden, in plaats van open varianten te gebruiken. En wederom was dit een afweging die ze maakten, waar ze uiteindelijk de rekening voor betaalden. Zoals elke cryptograaf je kan vertellen, open crypto is goede crypto. Ze hadden daarvoor kunnen kiezen, maar kozen er niet voor."

Inmiddels duikt RFID overal op. Zo test ABN Amro volgens Rieback contactloos betalen. "Hoe gaan ze hiermee om. Nu zullen we zien of ze iets geleerd hebben." Ze ziet dat er langzaamaan en bewustzijn ontstaat dat RFID veilig moet. "Is het snel genoeg? misschien niet. Maar aan het eind van de dag zal ook RFID er komen, net als alle andere technologieën."

Malware
In het verleden schreef Rieback de eerste RFID-malware, die chips kon 'infecteren'. De meeste malware voor computers heeft een financiële motivatie. Volgens haar is er ook met RFID-malware geld te verdienen. "RFID is niet uniek. Het is een manier om een systeem binnen te dringen." Daarbij maakt het niet uit of de RFID-chips veel informatie bevatten of niet. "Het is alleen een frontend, een interface voor een computersysteem. Als je die interface kunt misbruiken kun je uiteindelijk binnendringen."

Portemonnee
Sommige mensen maken zich zorgen over hun privacy als het om RFID-tags gaat en gebruiken speciale portemonnees of wikkelen de pasjes met een chip in folie. Rieback begrijpt de risico's van RFID, maar vindt op dit moment de risico's kleiner dan veel andere zaken en vindt het waarschijnlijker dat iemand haar tas steelt dan de RFID-chips uitleest. "Ik denk echter niet dat dit scenario het zelfde zal blijven."

Juist de RFID Guardian waar ze aan werkt kan hiervoor zorgen. "Op dit moment maak ik me nog geen zorgen en zie ik geen reden om een aluminiumfolie portemonnee te gebruiken." Voor bedrijven en overheidsinstanties is dat een heel ander verhaal. "Die hebben met een heel ander dreigingslandschap te maken. Een vervoersbedrijf zoals GVB heeft veel meer te verliezen met RFID security dan ik persoonlijk. Als iemand de laatste drie stations uitleest waar ik ben geweest, lig ik daar niet wakker van. Andere mensen misschien wel. Maar voor het GVB kan het wel direct financiële gevolgen hebben als mensen gratis lezen. Het is waarschijnlijker dat RFID-aanvallen op grote organisaties plaatsvinden dan op mij."

De RFID Guardian gaat zo rond de 500 euro kosten en is volledig open source. Gebruikers kunnen zo een soort Metasploit-achtige omgeving bouwen om RFID-chips aan te vallen. Het idee is dat de gemeenschap straks aanvullende software gaat ontwikkelen, net als met Nessus en Snort. Ook wie beveiligingslekken met de OV-chipkaart wil onderzoeken heeft met de RFID Guardian het juiste gereedschap in handen, merkt de onderzoekster op. Het project voor Rieback is nog niet voorbij als het apparaat straks op de markt is. Dan pas kan de gemeenschap aanvullende software ontwikkelen en onderzoekers het gaan gebruiken voor beveiligingswerk op echte systemen. "Het is het einde van het ene, maar het begin van een nieuw en mogelijk nog veel spannender avontuur."

Het eerste deel van het interview vind je hier.