遠(yuǎn)距離讀取你的卡片信息？GeekPwn2018帶你直面無線安全威脅

你想象過這樣的場景嗎?當(dāng)你乘坐地鐵準(zhǔn)備下班回家時(shí)，車廂暗處的某人，在非接觸情況下，悄無聲息地獲取了你的門卡信息，并早你一步進(jìn)入你的家門。將會(huì)發(fā)生怎樣的后果?恐怕類似的威脅離我們的日常生活并不遙遠(yuǎn)。10月24日至25日，以“人攻智能 洞見未來”為主題的GeekPwn2018國際安全極客大賽在上海順利舉辦。大賽現(xiàn)場不僅有專注于探索未來智能生活下AI安全問題的酷炫破解挑戰(zhàn)，更有諸多貼近人們?nèi)粘５闹悄苌钔{演示與技術(shù)分享。

專注于RFID的研究團(tuán)隊(duì)Proxgrind在GeekPwn2018分享了一個(gè)RFID技術(shù)相關(guān)的安全隱患——RFID遠(yuǎn)距離讀寫?，F(xiàn)場，安全研究員將“刷卡開門”這一稀松平常的生活場景搬到舞臺(tái)上，通過遠(yuǎn)距離讀寫RFID設(shè)備信息的技術(shù)演示，帶用戶直面無線安全的威脅。最終，安全研究員成功在24厘米距離外讀取到目標(biāo)門卡的關(guān)鍵信息，并打開了目標(biāo)房門。以此提醒所有用戶：就算不接觸到卡片，也能夠“隔空”讀取到里面的關(guān)鍵信息。

提及RFID大家或許還覺得有些陌生。但聯(lián)系到生活中息息相關(guān)的公交卡、門卡及銀行卡，恐怕大家都無法置身事外。近年來，RFID技術(shù)逐漸變得“流行”起來，它能夠給任何物件貼上“電子標(biāo)簽”，讓世界上的每一個(gè)物件都擁有自己的“身份證”。小到我們隨身攜帶的各種卡片，大到物流業(yè)的智能倉儲(chǔ)系統(tǒng)。面對(duì)如此廣泛的應(yīng)用場景，大家可曾想過背后的威脅?雖然以往針對(duì)門禁等RFID設(shè)備的破解、攻擊研究也不少見。但由于RFID存在著傳輸距離等問題，攻擊需要在若干厘米之內(nèi)接觸到設(shè)備才能實(shí)現(xiàn)，因此實(shí)際意義有限。但是如果能把這個(gè)限制距離擴(kuò)大到一米甚至更遠(yuǎn)，那么這個(gè)威脅將會(huì)有多么恐怖?

　　極棒主持人與安全研究員配合完成RFID遠(yuǎn)距離讀寫

在極棒主持人的配合下，Proxgrind團(tuán)隊(duì)在GeekPwn現(xiàn)場演示了這樣的“危險(xiǎn)”一幕：安全研究員利用一個(gè)配置調(diào)試好的讀卡器，成功在24厘米距離外，瞬間讀取到主持人錢包里的門卡——RFID設(shè)備里的關(guān)鍵信息，并通過技術(shù)手段(后門的URD號(hào))，將卡片關(guān)鍵信息輸入到事先準(zhǔn)備好的另一個(gè)RFID設(shè)備里——備用門卡，最終拿備用門卡打開主持人的“家門”。

對(duì)此，Proxgrind團(tuán)隊(duì)補(bǔ)充道，為了讓讀卡器的機(jī)身更為輕便，大部分讀卡所需的“傳輸能量”、“運(yùn)算能量”都要依靠天線提供。因此，天線承載著讀卡器成功讀卡與否的關(guān)鍵能量。然而小的天線往往功率不夠，大的天線功率夠大，但本身噪音也會(huì)越高，干擾了有效信號(hào)。在這樣諸多技術(shù)難點(diǎn)下，24厘米是安全研究員在GeekPwn2018現(xiàn)場所能夠突破的距離極限。

　　KEEN公司CEO、GeekPwn大賽發(fā)起和創(chuàng)辦人王琦

在今年GeekPwn大賽的開場發(fā)言中，碁震KEEN公司CEO，GeekPwn發(fā)起創(chuàng)辦人王琦曾表示，智能安全距離大眾生活并不遙遠(yuǎn)，它與生活息息相關(guān)，從前瞻的技術(shù)趨勢(shì)出發(fā)，智能安全應(yīng)該引起更廣泛的重視。極棒既不神話黑客，也不刻意放大危險(xiǎn)，僅希望以科學(xué)的評(píng)判及可視化的展示，讓大家在安全事故發(fā)生之前意識(shí)到安全漏洞威脅。

因此，白帽黑客就是要先人一步，發(fā)現(xiàn)危險(xiǎn)。作為全球最大關(guān)注智能生活的黑客大賽，GeekPwn未來將聯(lián)合騰訊安全玄武實(shí)驗(yàn)室希望以RFID遠(yuǎn)距離讀寫挑戰(zhàn)賽這樣創(chuàng)新的比賽形式，讓RFID的威脅變得更加具有現(xiàn)實(shí)意義。據(jù)悉，GeekPwn將以“RFID讀寫距離的平方數(shù)”作為獎(jiǎng)金額的形式，鼓勵(lì)更多的選手前來挑戰(zhàn)RFID讀寫距離的極限。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。