Sponzorovaný výskum

Prelom technológiu, napíš opensource a získaj odmenu!

Technológie sú neodmysliteľnou súčasťou nášho moderného života – uchovávajú, používajú, či prenášajú naše osobné údaje a súkromne informácie. Ich technologická zastaralosť, z bezpečnostného hľadiska nepremyslený návrh, či vysoká komplexnosť spôsobujú, že sa uvedené technológie stávajú zraniteľné a priamo zneužiteľné.
Vedeli ste, že:

• vaše GSM hovory dokáže ktokoľvek anonymne odpočúvať so zariadením lacnejším ako $2000 ?
• A5/3 šifra využívaná v „bezpečnejšej“ 3G komunikácii bola už tiež prelomená?
• čipové RFID karty Mifare Classic masívne používane na celom svete aj Slovensku ako električenky, univerzitné/ISIC preukazy, parkovacie karty, či vstupy do budov a plavární boli praktické prelomené už pred pár rokmi, napriek tomu sa stále používajú a ktokoľvek vo vašej fyzickej blízkosti dokáže vašu kartu kompletne prečítať (vrátane vášho krstného mena a priezviska), upraviť podľa ľubovôle, vyklonovať, či nenavrátne zničiť?
• Hitag2 čip využívaný v kľúčikoch od áut Renault, Opel, Peugeot, Citroen je prelomený?
• KeeLoq šifru využívaná v kľúčikoch od áut Chrysler, Daewoo, Fiat, General Motors, Honda, Toyota, Volvo, Volkswagen, či Jaguar je možné prelomiť za 2 dni?
• všetky uvedené technológie sa stále používajú a hromadne nasadzujú, ich výrobcovia a dodávatelia pokladajú veľakrát uvedené hrozby len za teoretické a prakticky nerealizovateľné a v snahe ušetriť zanedbávajú ich bezpečnosť?
• tento stav ohrozuje súkromie obyčajných ľudí a úplne vyhovuje kriminálnemu podsvetiu, ktoré dokáže uvedené zraniteľnosti zneužiť v svoj prospech?

Dlhoročná prax v IT bezpečnosti na celom svete ukazuje, že jeden z mála účinných prostriedkov,ktorý dokáže prevádzkovateľov a výrobcov zraniteľných technológií prinútiť zraniteľnú technológiu opraviť, prípadne nahradiť za bezpečnejšiu, je zverejnenie tzv. „Proof-Of-Concept“ – t.j. funkčnej implementácie, ktorá prakticky demonštruje zneužitie danej technológie.

IT bezpečnostná spoločnosť Nethemba, ktorá podporuje bezpečné technológie a otvorený softvér, sa rozhodla na vývoj funkčnej a verejnej implementácie, ktorá by prakticky demonštrovala zneužitie rôznych technológií, venovať pre každý takýto projekt sumu 500 až 2500 € (v závislosti od technológie a komplexnosti samotnej implementácie).

Implementácia môže byť napísaná v ľubovoľnom programovacom jazyku, pokým rozhranie k danej technológie nevyžaduje použitie konkrétneho jazyka (napr. C alebo Java).

Implementácia bude zverejnená pod otvorenou licenciou GNU GPLv2 (v prípade vzájomnej dohody je možné použiť aj inú otvorenú licenciu).

Cieľová skupina riešiteľov:

• študenti technických vysokých škôl (vhodná téma pre diplomovú alebo bakalársku prácu)
• členovia hackerspaceov
• ktokoľvek s množstvom voľného času, nadšenia a znalostí

Podpora zo strany spoločnosti Nethemba:

• kompletné finančné pokrytie projektu, nákup a zabezpečenie špecifického hardware
• vedenie projektu, technická pomoc a konzultácie zo strany našich zamestnancov
• prepojenie s komunitou – s inými riešiteľmi daného projektu, prípadne výskumníkmi venujúcim sa danej oblasti

• v prípade úspešnej implementácie ktoréhokoľvek projektu spoločnosť Nethemba bude dodržiavať etické zásady jeho zverejnenia

Podmienky vyplatenia odmeny:

• odmena (500-2500 €) je vyplatená len prvej funkčnej implementácii daného projektu
• je možné na danom projekte kolaborovať, v tom prípade je odmena rozdelená medzi jednotlivých riešiteľov
• implementácia musí byť zverejnená pod otvorenou licenciou

Platnosť akcie:

• do odvolania zo strany spoločnosti Nethemba

Integrácia nástrojov MFOC a MFCUK, optimalizácie a zlepšenie doterajších nástrojov na získavanie kľúčov z kariet Mifare Classic

MFOC predstavuje otvorenú implementáciu nástroja na prelomenie čipových kariet Mifare Classic a získanie všetkých kľúčov využitím zraniteľnosti „nested authentication“ vyvinutý spoločnosťou Nethemba.
MFCUK predstavuje ďalšiu otvorenú implementáciu nástroja na prelomenie čipových kariet Mifare Classic vyvinutý Andreiom Costinom.
Cieľom projektu je zintegrovať uvedené nástroje a využívané prístupy, analyzovať ako navzájom súvisia UID/bloky/kľúče/Nt/Nr danej karty s cieľom urýchliť čas prelomenia, analyzovať ako je možné urýchliť útok pri znalosti prefixov alebo celých častí už používaných („default“) kľúčov a vytvoriť funkčnú robustnú optimalizovanú verziu nástroja na získavanie kľúčov kariet Mifare Classic.

Tvorba nástroja na 100% emuláciu Mifare Classic kariet pomocou Nokia NFC telefónov (6212, 6131)

Cieľom projektu je umožniť 100% emuláciu čipových kariet Mifare Classic na Nokia NFC telefónoch (štandardne je emulácia UID znemožnená na úrovni Nokia NFC SDK). Cieľom je použitím reverzného inžinierstva Nokia NFC SDK sfunkčniť emuláciu UID alebo napísať vlastnú implementáciu emulácie bez použitia Nokia NFC SDK – využitím GCF (Generic Connection Framework).
Okrem toho je potrebné napísať jednoduchú GUI aplikáciu, ktorá umožní vybrať mfd dump (získaný našim nástrojom MFOC) a interaktívne ho odemulovať na Nokia NFC telefóne (6212, 6131).
Viac informácií – Mifare Classic 100% SoftTag Emulation – using Nokia 6131 or Nokia 6212, Series 40 Nokia 6212 NFC SDK.

Overenie bezpečnosti čítačiek slovenských biometrických pasov

Cieľom projektu je vytvoriť nástroj, ktorý načíta slovenský biometrický pas pri znalosti MRZ kódu, to znamená bez odtlačku prstu vlastníka pasu (EF.DG3) a „Active Authentication Public Key Info“ (EF.DG15), vytvorí jeho nedokonalý klon (upravený passport index, tak aby neobsahoval EF.DG3 a EF.DG15) a umožní jeho emuláciu cez Nokia NFC telefón alebo čipovú kartu NXP JCOP41 v.2.2.1 72K RANDOM_UID. Súčasťou projektu je overiť, či takto vytvorený nedokonalý klon biometrického pasu bude akceptovaný oficiálnymi čítačkami biometrických pasov.
Viac informácii – ePassport emulator , thC-ePassport.

Implementácia prelomenia hitag2

Cieľom projektu je napísať funkčnú implementáciu demonštrácie prelomenia technológie Hitag2 (čip používaných v autách Renault, Opel, Peugeot) pomocou SAT solverov. Pri implementácii je možné použiť open-source implementáciu MiniSat. Viac informácií o prelomení – Breaking Hitag2 Hardware a Breaking Hitag2 Crypto.

Implementácia prelomenia Keeloq

Cieľom projektu je napísať funkčnú implementáciu demonštrácie prelomenia technológie Keeloq (šifra používaná v autách Chrysler, Daewoo, Fiat, GM, Honda, Toyota, Volvo, Volkswagen Group, Jaguar). Viac informácií – A Practical Attack on Keeloq I, A Practical Attack on KeeLoq II, A Practical Attack on Keeloq (paper).
Možnosť prečítať Keeloq komunikáciu pomocou USRP2/GNURadio.