ご注意！数百万枚の RFID カードにバックドアの脆弱性が見つかり、瞬時に複製が可能に

フランスのセキュリティサービス企業 Quarkslab による最近の発見は、セキュリティコミュニティに衝撃を与えました。研究者は、数百万枚の非接触型 RFID カードに重大なバックドアを発見しました。これにより、無数のオフィス、ホテル、その他の施設がセキュリティ侵害の危険にさらされる可能性があります。中国の大手チップサプライヤーである上海復旦微電子グループが製造したこのカードは世界中で使用されており、この脆弱性の影響は広範囲に及びます。

重大な RFID セキュリティ欠陥の発見

Quarkslab の研究者 Philippe Teuwen 氏が、このバックドアを明るみに出した調査の先頭に立っています。公共交通機関やホスピタリティ業界で広く利用されている RFID 技術である MIFARE Classic カード ファミリのセキュリティ実験中に、Teuwen 氏はこれらのスマート カードを瞬時に複製できるバックドアを発見しました。この脆弱性が特に懸念されるのは、わずか数分の物理的接近だけで悪用できるため、攻撃者が世界中のオフィスやホテルの部屋にあるセキュリティ ドアを開けるために使用されているカードを複製できる可能性があるからです。

世界的な脆弱性

MIFARE Classic ファミリーは、1994 年に Philips (現 NXP Semiconductors) によって最初に発売されて以来、長年にわたってさまざまな攻撃の標的となってきました。しかし、2020 年に上海 Fudan Microelectronics によって導入された FM11RF08S バリアントに関する最新の暴露により、新たなレベルのリスクが明らかになりました。このバリアントは、既知のカードのみの攻撃に対する対策を組み込むように設計されており、世界中で市場シェアを拡大しています。これらの予防措置にもかかわらず、Teuwen の調査では重大な欠陥が明らかになりました。

FM11RF08S カードは、不正アクセスを防ぐために「静的暗号化ノンス」と呼ばれる方法を使用しています。しかし、Teuwen は、攻撃者が少なくとも 3 つのセクターまたは 3 枚のカードにアクセスできる場合、わずか数分で FM11RF08S キーをクラックできることを発見しました。さらに調査を進めると、未知のキーによる認証を可能にするハードウェア バックドアが見つかりました。このバックドアを悪用すると、これらのカード上のすべてのユーザー定義キーが侵害される可能性があります。

脆弱性の驚くべき広がり

バックドアの問題は、FM11RF08S バリアントに限ったことではありません。Teuwen 氏の調査は、FM11RF08、FM11RF32、FM1208-10 モデルなど、以前のカード世代にまで及んでいます。これらのバリアントに共通する秘密キーとともに、同じバックドアの脆弱性が見つかりました。心配なことに、NXP Semiconductors や Infineon Technologies の古いカードにも影響があることが判明しました。

「FM11RF08S バックドアは、このカードに数分間アクセスするだけで、たとえ完全に分散化されていたとしても、このカードのユーザー定義キーをすべて侵害できる可能性がある」と Quarkslab は警告した。同社は、組織に対し、直ちに自社のインフラストラクチャを評価し、リスクを軽減するための措置を講じるよう促している。

今すべきこと

これらの RFID カードは世界中で普及しているため、多くの企業は、使用している MIFARE Classic カードが実際には Fudan FM11RF08 または FM11RF08S のバリアントであることに気付いていない可能性があります。Quarkslab は、米国、ヨーロッパ、インドのホテルでこれらのカードを特定し、このセキュリティ上の欠陥が広範囲に及んでいることを明らかにしました。

組織がセキュリティのために RFID カードに依存している場合は、カードがこの脆弱性の影響を受けるかどうかを確認することが重要です。インフラストラクチャを評価し、セキュリティの専門家に相談し、潜在的な侵害から保護するために、より安全な代替手段にアップグレードすることを検討してください。

今後の道筋: 脆弱な世界で安全を保つ

この発見は、セキュリティ技術を定期的に監査し、更新することの重要性をはっきりと思い出させるものです。攻撃者がますます巧妙になるにつれ、RFID のような確立されたシステムでさえ、潜在的な脆弱性を抱える可能性があり、それを放置すると重大なセキュリティ侵害につながる可能性があります。資産を保護し、セキュリティ インフラストラクチャの整合性を維持するには、常に警戒を怠らず、積極的に行動することが不可欠です。

デジタルセキュリティと物理セキュリティがますます絡み合う世界において、この RFID の脆弱性は、最も重要なシステムを保護するために継続的な革新と警戒が必要であることを強調しています。