Hacking RFID

By: Toni (aka. Sh0x)

Hacking RFID - Clonación de tarjetas

certified red team professional

máster en seguridad de las tic (uem)

Ingeniero informático - software (uco)

Plan Nacional de Ciberseguridad Gobierno de España

Auditor de seguridad - Telefónica Tech

$ WHOAMI

@Antonio Sánchez (aka. Sh0x)

@T0n1sm

@Sh0ox8

Toni (aka. sh0x)

Actualmente - 2022

hacking - rfid

DISCLAIMER

Las técnicas vistas en este charla son para un uso ético y de aprendizaje, NO se recomienda realizar este tipo de acciones sin consentimiento previo.

HACKING RFID

DISCLAIMER

08 - Contramedidas

07 - Pulsera Hotel ****

06 - Auditoría Real

05 - Clonación garaje

01 - Qué es RFID

02 - Tipos tarjetas

03 - Laboratorio

04 - Pasos Clonación

índice

hacking - rfid

Rfid - control de acceso

01

USO RFID - CONTROL DE ACCESO

Accesos de control, hoteles, autobuses, gimnasios, estadios de fútbol, museos...

Tipos de contoles de acceso

USO RFID - CONTROL DE ACCESO

La mayoría de las etiquetas RFID son etiquetas pasivas sin fuente de alimentación interna. El chip interior está completamente apagado hasta que la etiqueta se expone al campo electromagnético de un lector. En cuanto entra en el radio de acción, la antena de la etiqueta empieza a absorber la energía del campo electromagnético del lector y el chip recibe energía. A continuación, el chip se enciende y comienza a comunicarse con el lector. Cabe mencionar que la antena de una etiqueta está sintonizada a una frecuencia específica, por lo que la etiqueta sólo puede activarse cuando está dentro de un campo electromagnético adecuado.

Funcionamiento

hacking - rfid

tipos de tarjetas

02

Mifare Classic, Mifare Desfire, iCLASS, Legic, pagos sin contacto...

EM4XX (Unique), Indala, AWID, T5577...

125 KhZ

VS

13.56 mhZ

TIPOS DE TARJETAS

SmartCon seguridadCorto Alcance

DumbSin seguridadLargo Alcance

125 KhZ

VS

13.56 mhZ

TIPOS DE TARJETAS

diferenciar tipo de tarjetas

Las tarjetas utilizan el estándar ISO 14443 Tipo A como protocolo para la comunicación en frecuencias de 13.56MHz (Alta Frecuencia)

Mifare Classic

Mifare Classic fueron creadas por una compañía llamada NXP Semiconductors (Old Philips Electronics)

Historia

Mifare Classic

• Identificador Único (UID) es sólo lectura.
• Autenticación entre el tag y lector para compartir la clave de sesión.
• Algoritmo de cifrado Crypto1
• Sólo implementado en hardware

Características de seguridad Mifare Classic

Mifare Classic

• El primer bloque del sector 0 contiene el UID, BCC y Datos del fabricante (sólo lectura).

• Cada sector contiene 64 bytes.
• Cada bloque contiene 16 bytes.
• El último bloque de cada sector (trailer) contiene las claves A y B, así como las Condiciones de acceso.

• Algoritmo de cifrado Crypto1
• Las condiciones de acceso determinan los permisos en cada bloque.

Estructura Mifare Classic

Mifare Classic

• El primer bloque del sector 0 contiene el UID, BCC y Datos del fabricante (sólo lectura).

• Cada sector contiene 64 bytes.
• Cada bloque contiene 16 bytes.
• El último bloque de cada sector (trailer) contiene las claves A y B, así como las Condiciones de acceso.

• Algoritmo de cifrado Crypto1
• Las condiciones de acceso determinan los permisos en cada bloque.

Estructura Mifare Classic

hacking - rfid

laboratorio

03

diferenciar tipo de tarjetas

Fase de reconocimiento

laboratorio

+ info

laboratorio

• Fuente de alimentación
• Retekess T-AC03
• Cerradura

laboratorio - 125Khz

clonación 125khz

EM410x ID : Número que identifica al llaveroUnique TAG ID : Número asociado de fábricaHoneywell IdentKey : Diferentes codificaciones del ID del llavero.

Clonación llaveros 125khz

hacking - rfid

pasos para la clonación

04

UID (Unique Identifier) : Vendría a ser el TAG ID de los llaveros/tarjetas de baja frecuencia (suelen ser de 7 bytes).ATQA y SAK : Información del fabricante.Magic capabilities : Nos indica el modelo usado de la tarjeta detectada.Prng detection: Nivel de dificultada para realizar nested attack.ISO 14443-A: Información sobre el chip que usa la tarjeta para su comunicación.

información de la tarjeta

información 13.56mhz

Ataques por diccionario Nested Attack

Descubrimientos de las keys

KEYS

https://github.com/ikarus23/MifareClassicTool/blob/master/Mifare%20Classic%20Tool/app/src/main/assets/key-files/extended-std.keys

ATAQUE POR DICCIONARIO

Ataque por diccionario

ATAQUES 13.56MHZ

NESTED ATTACK

Nested attack

ATAQUES 13.56MHZ

LECTURA DE INFORMACIÓN DEL SECTOR 2

Lectura por sectores

LECTURA SECTORES

DUMPEO DE LOS DATOS DE LA TARJETA

dumpeo de la tarjeta

dumpeo

LECTURA DE LOS DATOS DEL EMPLEADO

LECTURA INFORMACIÓN DE LA TARJETA

lectura información

Modificación de los datos del empleado

modificación de los datos

modificación datos

CLONACIÓN TARJETA CON DATOS MODIFICADOS

clonación

clonación 13.56MHz

LECTURA DE LA NUEVA INFORMACIÓN

lectura nuevos datos

lectura tarjeta clonada

hacking rfid

clonación GARAJE

05

clonación GARAJE

hacking rfid

auditoría real

06

clonación a una empresa

clonación de tarjetas 13.56

clonación a una empresa

clonación de tarjetas 13.56

clonación a una empresa

clonación de tarjetas 13.56

hacking rfid

hotel ****

07

clonación pulsera hotel

clonación de tarjetas 13.56

clonación pulsera hotel

clonación de tarjetas 13.56

clonación pulsera hotel

clonación de tarjetas 13.56

En todos los sectores aparecía un dato curioso...53 e7

información pulsera hotel

clonación de tarjetas 13.56

clonación pulsera hotel

clonación de tarjetas 13.56

clonación pulsera hotel

clonación de tarjetas 13.56

RFID

Relación Contramedidas

hacking rfid

THANKS