Unterschiede Zugangssysteme

[MCsnuffBobbyK]

Der CCC ist aber kein Verein wo Hersteller kostenlose Produkttests bekommen...

[Alexander79]

Desfire (u.a. bei Telenot und Sesam eingesetzt) funkt nach AES-128 (https://de.wikipedia.org/wiki/Mifare#Zertifizierung)

Deswegen schrieb ja die einfach verschlüsselten Mifare Karten bzw gibt sogar Unverschlüsselte.
Mifare ist nicht generell einfach, aber man muß eben schauen was man kauft.

[moritzj]

Hallo,

ich beschäftige mich derzeit auch mit RFID Zutrittssystemen, unter ähnlicher Fragestellung wie der Threadersteller.

Desfire (u.a. bei Telenot und Sesam eingesetzt) funkt nach AES-128

Wie erfolgt denn typischerweise die Erkennung der Karte in RFID Systemen die DESfire unterstützen?

Vielleicht kann mir ja mal jemand sagen, ob ich das bisher richtig verstehe oder auf dem Holzweg bin:

Soweit ich es bisher verstehe, kann die UID der Karte einfach ausgelesen werden. (einfach = mit jedem Leser der DESfire unterstützt, auch von dritten)
Auf der Karte können dann verschiedene Applikationen hinterlegt/gespeichert sein, diese sind verschlüsselt. Beispielsweise Guthaben, Zugriffsrechte, etc..
Diese zu manipulieren ist schwierig, da ein dritter die Schlüssel nicht kennt (https://docplayer.org/19098067-Mifar...lomarbeit.html), aber es ist theoretisch möglich.

Was ich mich nun frage: Bei Systemen wie bspw. von ikeys oder auch ekey RFID, wie erfolgt die sichere Identifikation der Karte? Wenn lediglich die UID abgeglichen wird, dann wäre eine DESfire Karte ja auch nicht "sicherer" als jeder andere RFID Token, oder?

Das esp-rfid Projekt "unterstützt" z.B. auch DESfire, mit dem Hinweis, dass bisher lediglich die UID ausgelesen wird und das System als ganzes damit relativ leicht manipulierbar ist.

[moritzj]

Nach vielen Stunden Recherche zum Thema Mifare DESfire, RFID und Wiegand Protokoll meine ich nun etwas schlauer zu sein. Vielleicht ist es euch schon allen bekannt, aber da ich sehr wenige eindeutige Post/Blogs/Produktbeschreibungen/... dazu gefunden habe, fasse ich mal zusammen:

Es stimmt was ich in meinem vorigen Post vermutet habe:
- die UID jedes Tags kann einfach ausgelesen werden (auch von DESfire Tags!)
- es gibt relativ einfache Möglichkeiten eine beliebige(!) UID zu simulieren

=> Solange die Identifikation anhand der UID des Tags erfolgt, erachte ich ein RFID System als unsicher! Der Tag kann relativ unbemerkt (da berührungslos) ausgelesen und dann emuliert werden. Auch wenn es bei einer 7 byte UID wie bei DESfire 2⁵⁶ mögliche UIDs gibt und damit eine bruteforce Attacke eventuell schwierig ist, besteht meines Erachtens nach durchaus die Gefahr eines "gezielten" Angriffs. Wie realistisch das nun bei einem typischen EFH Einbruch sein mag sei mal dahingestellt...

OK, soweit ist das vermutlich auch die Meinung vieler die RFID als "pauschal unsicher" bezeichnen, was auch hier in einigen Threads immer wieder vorkommt.

Warum wird dann Mifare DESfire so oft als "sicher" bezeichnet? Mein Ergebnis: Mifare DESfire kann sicher sein. Jedoch reicht es nicht allein den entsprechenden Tag zu verwenden!

Auf der DESfire Karte können sogenannte Applikationen abgespeichert werden, diese werden verschlüsselt und auch verschlüsselt übertragen. (Sorry, ich bin kein Kryptograph, wer mehr Details braucht muss selber lesen). Der RFID Leser muss mit der Karte eine verschlüsselte Sitzung initiieren, dann kann der Speicherinhalt übertragen werden. Dieser kann vom Leser (bzw. dem dahinter liegenden Controller im sicheren Bereich) entschlüsselt werden, da dieser den entsprechenden Schlüssel hat. Eine andere Applikation kann von dem Leser nicht entschlüsselt werden. Diese Art der Identifikation/Datenspeicherung wird aktuell als sicher angesehen.

Die spannende Frage: Welche Systeme unterstützen eine sichere Identifaktion mittels DESfire Transpondern?

- ekey: Ja, laut Aussage des Supports. Beliebige DESfire EV1 Transponder werden beim "Einlernen" mit einer entsprechenden Applikation beschrieben.

- i-keys: einzelne Systeme ja. Die Tags werden hier von i-keys auf einen speziellen Reader programmiert. Nur i-keys kann neue Tags erstellen, außerdem haben sie die Codes. Die Entschlüsselung findet außerdem direkt im Reader statt, nicht im gesicherten Bereich.
https://www.i-keys.de/de/zutrittskon...ansponder.html
Alle anderen Reader "unterstützen" zwar DESfire in den Spezifaktionen, das heißt aber lediglich, dass diese die UID auslesen können!!

- wer kennt noch mehr? leider muss man immer anfragen, da alle nur flapsig "Mifare DESfire" in die Tech Specs schreiben...

An dieser Stelle auch noch ein Wort zum Wiegand Protokoll:
Viele der günstigen Reader kommunizieren über das Wiegand Protokoll. Entgegen meiner ursprünglichen Annahme, dass es sich dabei um was ähnliches wie RS-232 oder so handelt, können die Wiegand RFID Reader wohl nur in eine Richtung kommunizieren. Nach meinem aktuellen Stand ist somit unmöglich mit einem Wiegand RFID Reader und einem abgesetzen Controller eine sichere DESfire Sitzung aufzubauen. Wenn überhaupt kann nur der Reader die verschlüsselte Kommunikation betreiben, das Ergebnis wird dann über den (unsicheren) Wiegand Bus geschickt. (so wie bei i-keys bspw.)

Insbesondere für die DIY Fans sei vorallem dieses Projekt empfohlen: (auch viele allgemeine Infomationen über DESfire)
https://www.codeproject.com/Articles...Battery-Backup
sowei die Portierung auf ESP8266: https://github.com/mruettgers/Doorguard (leider noch relativ knapp dokumentiert)

Ich jedenfalls werde jetzt wohl nochmal gründlicher darüber nachdenken welches RFID System für mich in Frage kommt. Die "günstige" Variante mit sogar relativ hübschen Readern von i-keys, die ich lange favorisiert habe, ist leider vom Tisch... die DIY Komponenten mal bestellt, soweit nicht sowieso vorhanden.

Um auf die Eingagnsfrage des Threads zurückzukommen: Die Preisunterschiede ikeys vs. ekey scheinen durchaus gerechtfertigt!

[tobiasr]

Ich möchte nurnochmal an das Gesamtpaket Sicherheit erinnern: Alle Türen, Fenster, etc. sind vor Aufbruch geschützt? Du hast keines dieser modernen Sandwitch-Garagentore (Standard Sektionaltor) und dahinter einen relativ ungesicherten Zugang ins Haus?

Die Türstation kommuniziert VERSCHLÜSSELT mit der Innenstion und teilt dieser mit "öffne" anstatt den Türöffnerkontakt außen zu haben?

Ich erachte aus heutiger Sicht das Desfire System von i-keys als ausreichend, wenn auch nicht als super sicher.

Hast du von den großen Hersteller (Assa, Evva, Dorma, etc.) eine Rückmeldung?

[moritzj]

an das Gesamtpaket Sicherheit erinnern

sehr richtig. Das schwächste Glied bestimmt. Und die Zufälligkeit der UID ist sicher auch ein gewisser Schutz. Aber es bleibt halt gezielt manipulierbar, für jeden mit 200€ Kleingeld für Equipment und einem Samstag bei youtube.
In einem anderen Thread wurde vorgeschlagen seine Alarmanlage von außern mit so einem System scharf/unscharf zu schalten. Super praktisch und würde ich auch gerne machen. Aber wenn ich schon ein paar tausend Euro für eine Alarmanlage ausgebe, dann sollte ich nicht an dem blöden Terminal sparen.

Ich erachte aus heutiger Sicht das Desfire System von i-keys

Das will ich dir nicht absprechen! Wie du sagst, ich kann die tollste Schließanlage haben, wenn jemand einen Backstein in meine Panoramaverglasung wirft ist er trotzdem im Haus!
Aber DESfire ist in diesem Fall auch nicht sicherer als Mifare Classic. Und das ist meiner Meinung nach das Gefährliche: Man liest überall, dass sobald man DESfire Transponder hat ist es sicher. Das ist aber leider nur ein Teil der Wahrheit.

Hast du von den großen Hersteller (Assa, Evva, Dorma, etc.) eine Rückmeldung?

Da habe ich bisher noch nicht angefragt, da mir die Schließanlagen für ein EFH bisher etwas oversized vorkamen. Ich hatte immer gehofft das ganze Thema mit <1000€ Equipment von i-keys erschlagen zu können. Danke aber für den Hinweis, die werde ich mir jetzt nochmal genauer anschauen! Ich gehe ehrlich gesagt davon aus, dass die "großen" Schließanlagen Systeme sicher sind, auch mit drahtlosen Schlüsseln. Da kann man meist auch keine fremden Transponder einlernen, sondern nur Originale vom Hersteller etc.

Bei den ganzen IP Türstationen mit RFID wäre ich mir jedoch weniger sicher...
Türöffnerkontakte sollten immer im sicheren Bereich sitzen, ansonsten ist die ganze Mühe sowieso umsonst.

Ich will hier auch niemandem sein Setup schlecht reden oder sagen eure Häuser sind alle unsicher. Ich habe nur die letzten Tage viel nach genau diesen Informationen gesucht und extrem wenig verständliches gefunden. Deswegen dachte ich, ich teile das mal.

[ITler]

Ich bin ein großer Fan von Aktiv-Transpondern!
Sicherlich sind diese nicht ganz so bequem wie passive Komponenten, aber es relativiert viele Angriffs-Szenarien schon per Definition.

Ich liebäugle schon eine Weile mit der Simons Voss Lösung, war aber bisher zu geizig.