Viren, Spyware, Datenschutz 11.012 Themen, 90.994 Beiträge

News: Faules Sicherheitskonzept enttarnt

RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen

Michael Nickles / 15 Antworten / Baumansicht Nickles

Die Sicherheitsexperten an deutschen Flughäfen haben jetzt ein böses Problem. Laut Bericht des ARD-Magazins Kontraste ist es Hackern des Chaos Computer Clubs (CCC) gelungen, die elektronischen Sicherheitsausweise von Flughafen-Mitarbeitern zu knacken.

Die basieren auf RFID-Funktechnik und können leicht mit einem simplen Selbstbau-RFID-Empfänger abgegriffen werden. Hacker müssen sich dazu eigentlich nur in die Nähe eines Flughafen-Mitarbeiters mit "umgehängtem" Sicherheitsausweis schleichen um ihn auszulesen.

Ein Flughafenmitarbeiter räumte gegenüber Kontraste ein, dass man alleine mit so einem Ausweis problemlos durch die Sicherheitsbereiche des Flughafens bis rein "ins Flugzeug" kommt - menschliche Ausweiskontrollen gibt es nicht.

Bei der RDIF-Implementierung scheint sich das zuständige Sicherheitsunternehmen "Legic Prime" wenig Mühe gemacht zu haben. Laut Chaos Computer Club scheint es beim Auslesen der Karten mit einem Fremdlese-Geräte keinerlei Hürden zu geben. Bereits Ende Dezember informierte der CCC über die gravierende Sicherheitslücke, passiert ist bislang aber nichts. Erprobt wurde die Sache am Hamburger Flughafen.

Der ist allerdings nicht der einzige, bei dem Sicherheitsausweise mit RFID verwendet werden. Laut Kontraste wird das "witzlose" Sicherheitssystem auch auf den Flughäfen Stuttgart, Dresden, Hannover und Berlin Tegel verwendet. Einen Kommentar zur Sache wollten die zuständigen "Flughäfen" nicht abgeben. Immerhin wurde Kontraste ein vertrauliches Schreiben des Schweizer Sicherheitsunternehmens "Legic Prime" zugespielt.

Darin wurde den Kunden erklärt, dass ein Aufzeichnen und übertragener Daten und späteres Wiedereinspeisen praktisch unmöglich sei, weil durch Datenverschlüsselung eine hohe Sicherheit garantiert ist. Der CCC dementiert diese Behauptung. Tatsächlich soll es keine Verschlüsselung geben.

Erwartungsgemäß verweigerte Legic Prime Kontraste ein Interview, soll laut Kontraste inzwischen aber seine Internetseite geändert haben. Zuvor wurde mit "hohe Sicherheit" geworben, jetzt ist dort nur noch von "Basis-Sicherheit" die Rede.

Michael Nickles meint: Wie können Flughafen-Sicherheitsexperten so blöd sein und der Technik eines "Sicherheitsanbieters" vertrauen, ohne sie vorher ausgiebig zu überprüfen? Warum reden die nicht einfach im Vorfeld mit Experten wie dem CCC?

Denn: so was ist keine Pippifax-Investition. Laut Bericht von Kontraste sind über 15.000 Karten zuzüglich Lesegeräten im Einsatz und den Flughäfen ist es zu teuer die "Schrotttechnik" auszutauschen. Auch die Kosten für "menschliche Kontrollen" wichtiger Sicherheitsbereiche seien zu hoch.

Anscheinend brauchen die ihr Geld aktuell für die Installation der "Nacktscanner".

bei Antwort benachrichtigen
deroppi Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Guten Morgen, schön das der Winterschlaf vorbei ist.
Mifare ist geknackt, Legic Prime ist geknackt.
Damit sind 90% aller im großen Stil eingesetzten Zugangskontrollsysteme sinnfrei geworden.
Der Austausch der Systeme erfordert Unsummen und lange Zeiträume.
Schlimmer noch, es gibt im Moment keinen Industriestandard der diese Systeme "sicher", "günstig" und "nahtlos" ersetzen könnte.

Frage: Was ist nicht geknackt?
Ich denke alles was etwas älter ist, ist knackbar.
Die Gedanke wirklich sichere Systeme zu entwickeln und nicht nur Placebos und "security through obscurity" basierte Lösungen hat sich erst in den letzen 12 Monaten durchgesetzt.
(siehe die unglaublich intelligent USB Stick Verschlüsselung bei älteren Kingston, Verbatim und Sandisk ROFL)

Die Info ist nicht neu, nur so langsam dämmert's den Normalos wo der Krempel überall verbaut ist.

bei Antwort benachrichtigen
XAR61 deroppi

„Guten Morgen, schön das der Winterschlaf vorbei ist. Mifare ist geknackt, Legic...“

Optionen

Grundsätzlich gibt es doch keine 100 Prozentige Sicherheit - und wer fälschungssicher verspricht sollte erst einmal den 100 prozentigen Beweis erbringen. Was heute als absolut sicher klingt ist spätestens morgen bereits löchrig wie ein Schweizer Käse und das mit einer 99 prozentigen Wahrscheinlichkeit.

bei Antwort benachrichtigen
Ma_neva Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Hallo,

wozu soll da noch soviel oder überhaupt Geld für diese sowieso unsinnigen und somit nutzlosen Nacktscanner ausgegeben werden?
Ist hier die Politik mit der Wirtschaft doch irgendwie liiert? Das muß einem doch förmlich, kommen dieser Gedanke, bei derart viel Un-Blödsinn der da verzapft wird.

Gruß
Manfred

Das Genie tut was es muß, das Talent tut was es kann
bei Antwort benachrichtigen
the_mic Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen
Nacktscanner
muahahahaha! Etwa diesen supertollen Dinger da???
cat /dev/brain > /dev/null
bei Antwort benachrichtigen
Borlander the_mic

„ muahahahaha! Etwa diesen supertollen Dinger da???“

Optionen

Für alle mit wenig Zeit: Ab Minute 18 wird es sehr interessant. Da wird gezeigt wie wenig Schutz die Geräte bringen :-(

bei Antwort benachrichtigen
Unholy Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

So verkauft man der deutschen Politik eben Sicherheit, es wir immer schlimmer...


Gruss

bei Antwort benachrichtigen
XAR61 Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Ich hab mir vermutlich vorgestern schon die Schnautze verbrannt, als ich den Begriff Lobbyismus erwähnte, natürlich möchte ich nicht alle dieser Lobby in einen Topf werfen.

bei Antwort benachrichtigen
Frenchie Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Moin,


ich arbeitete am Flughafen, meine Frau immer noch. Der Affenzirkus hilft gerade mal um die Büros vor Bleistiftklau zu schützen. Wer wirklich Bomben unterbringen will (meiner Meinung nach die übliche Tätigkeit von Terroristen) braucht nur etwas Dreistigkeit. Und das die "modernen Selbstmordattentäter" noch nicht auf die naheliegendste (au, richtig geschrieben?) Idee gekommen sind ist nur ein Riesenglück..

Oder so dämlich einfach das keiner glaubt daß es geht.

Frenchie

bei Antwort benachrichtigen
Ulmer_Paulchen1 Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Glücklicherweise bin ich nicht auf irgendwelche Flieger angewiesen, denn unter den Machern von Terroranschlägen gibts ja auch IT Spezialisten und denen dürften die Sicherheitsstandards und deren Lücken besser bekannt sein als Otto-Normalverbraucher.
Trötzdem wäre es unbedingt notwendig all diese Lücken schnellstens zu schließen.
Auch wenn ich nicht fliegen werde, ich habs auch nicht gerne, wenn mir so eine Kiste aufs Hirn fällt.

der, wo immer seine Passwörter vergisst!
bei Antwort benachrichtigen
fakiauso Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Die Sicherheit eines funkbasierten Zugangssystems naja, ob es trotz der anscheinend leicht zu knackenden RFID-Technik dann so einfach ist, an den anderen Mitarbeitern vorbei auf das Rollfeld zu kommen, oder ob hier auch ein wenig Sensation dabei ist, lasse ich mal im Raum stehen.
Letzten Endes ist jede Sicherheitstechnologie irgendwann überholt, schlimm ist eigentlich nur die Ignoranz der Hersteller und Betreiber, die erstmal wieder alles zuschmieren.
Damit ist Profit wieder einmal wichtiger als echte Sicherheit, genau wie mit den Körperscannern.
Und sollten die Körperscanner breiten Einzug finden, reihen sie sich in die sinnlosen Dinge ein wie die Wahlcomputer.

Ist es nicht herrlich, wie bei den Scannern die Massen wieder veräppelt werden, damit ein paar Hersteller ihren voreilig gebauten Schrott loswerden, der mit Nutzwert Null eingesetzt wird?
Aber es gibt genug andere Beispiele, wo die Anwendung "erfunden" wird, nachdem das Produkt existiert.

fakiauso

Wenn die Welt gerettet wurde, wird es durch Frauen geschehen sein...
bei Antwort benachrichtigen
Borlander fakiauso

„Die Sicherheit eines funkbasierten Zugangssystems naja, ob es trotz der...“

Optionen
ob es trotz der anscheinend leicht zu knackenden RFID-Technik dann so einfach ist, an den anderen Mitarbeitern vorbei auf das Rollfeld zu kommen [?]
Das wird sicher auch kein Problem sein. Auf einem Flughafen arbeiten nun mal mehr als 10 Personen, da kennt nicht mehr jeder jeden...
bei Antwort benachrichtigen
Prosseco Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Wie war mal der Link von Wikipedia, wo man den RFID/Mifare Chip aushebelst !

Ach ja, jetzt erinnere ich mich wieder. Mit ein leichten schlag eines Hammer auf dem Chip.

Ich meine. Das ist ja das Problem, der heutigen Technik. Was kostet mehr ?

Millionen in die Technik stopfen wo es keine Sicherheit garantiert oder 1000 Leute einstellen mit Loehne, damit sie alles ueberwachen. Aber das bei diese anstellung, man ja auch Korruptbar ist, biete es auch keine Sicherheit. Hi Hi Hi

Gruss
Sascha

Das ist keine Signatur. Sondern ich putz hier nur
bei Antwort benachrichtigen
SoulMaster Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Ist doch klar,

jede Sicherheitsvorkehrung ist knackbar. Es ist nur eine Frage der Zeit die man dafür aufwendet.

Für Terroristen ist die Effizienz untergeordneter Bestandteil des Hackerjobs.

Das gilt natürlich für alle Karten die weltweit und sonstewo im Einsatz sind.
keine Pippifax-Investition
nope! aber sie bleibt der Unsicherheitsfaktor Nr. 1

Nacktscanner: der Brüller überhaupt.

bei Antwort benachrichtigen
Mike9 Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Ob das irgendein Sicherheitsproblem löst, wage ich auch zu bezweifeln. Datenschutzmäßig sage ich nur Metalletui.

MfG
Mike

bei Antwort benachrichtigen
mcdaggett Michael Nickles

„RFID-Ausweise an Flughäfen - leichtes Spiel für Terroristen“

Optionen

Da sieht man mal wieder, wie die Chance verspielt wurde, mit extrem wenig Aufwand viel Ergebnis zu erhalten.

Kurzer Abschweif: Mein Tresor wiegt über eine Tonne. Da habe ich freundlich bei der hiesigen Feuerwehr angefragt, ob nicht Lust bestünde, eine Übung zu fahren mit Kran und was weiß ich was. Die waren hellauf begeistert und haben mir, im Gegenzug zu ihrer Übung mit schwerem Gerät, den Tresor ins Haus gestellt. Als Dankeschön gabs die obligatorischen Kästen Bier an die Jungs.

So etwas geht mit dem CCC (zumindest den örtlichen Niederlassungen) mit absoluter Sicherheit auch. Ich denke, ein kleiner Verband würde sich schon über ein gutes "Taschengeld" (gerne auch im Tausenderbereich) freuen, um RFID-Sicherheitsmerkmale vorab zu testen. Es hätte hierbei also keiner zweiten Sicherheitsfirma mit horrenden Kosten bedurft. Und das entsprechende Geld steht sicherlich in absolut keinem Verhältnis zu einer "professionellen" (sagen wir "kommerziellen") Sicherheitsfirma. Aber ich denke, hier liegt das Problem wieder in der Unternehmensstruktur - an so etwas denkt man einfach gar nicht. Oder man ist sich nicht bewusst, wer oder was der CCC ist und welche großartige Arbeit seit Jahrzehnten geleistet wird...

bei Antwort benachrichtigen