211service.com
Come (non) correggere un difetto
Gli sforzi per censurare tre studenti del MIT che hanno riscontrato falle di sicurezza nel sistema di pagamento della metropolitana di Boston sono stati duramente criticati dagli esperti, i quali sostengono che sopprimere tale ricerca potrebbe in definitiva rendere il sistema più vulnerabile.
Agli studenti è stato notificato un ordine restrittivo temporaneo questo fine settimana presso il defcon conferenza sulla sicurezza a Las Vegas, impedendo loro di tenere il discorso previsto sul sistema di pagamento della metropolitana di Boston.
Secondo le diapositive presentate prima della conferenza, che sono state anche pubblicate online, la loro presentazione Anatomy of a Subway Hack avrebbe rivelato modi per falsificare o copiare sia le vecchie tessere a banda magnetica che le nuove carte di identificazione a radiofrequenza (RFID) utilizzate su La metropolitana di Boston, che permette di viaggiare gratuitamente. L'ordinanza restrittiva è stata depositata per conto del Autorità dei trasporti della baia del Massachusetts (MBTA), che ha speso più di 180 milioni di dollari per installare il sistema, secondo i documenti del tribunale. L'MBTA ha anche intentato una causa più ampia accusando gli studenti di aver violato il Computer Fraud and Abuse Act e accusando CON di essere negligente nel suo controllo su di essi.
Uno degli studenti coinvolti, Zack Anderson, afferma che la sua squadra non aveva mai avuto intenzione di dare un vantaggio ai veri attaccanti. Abbiamo tralasciato alcuni dettagli nel lavoro che abbiamo svolto, perché non volevamo che nessuno potesse attaccare il sistema di ticketing; non volevamo che le persone potessero eludere il sistema e ottenere tariffe gratuite, dice.
Marcia Hoffman, avvocato del personale della Electronic Frontier Foundation, un gruppo per i diritti digitali che sta assistendo il team del MIT nella sua difesa, sostiene che i ricercatori devono essere protetti mentre indagano su questi tipi di difetti. È estremamente raro che un tribunale impedisca a qualcuno di parlare prima che quella persona abbia anche avuto la possibilità di parlare, dice. Pensiamo che questo crei un terribile precedente che è molto pericoloso per la ricerca sulla sicurezza.
L'MBTA dice che non sta cercando di fermare la ricerca, ma solo di guadagnare tempo per affrontare qualsiasi difetto che gli studenti potrebbero aver trovato. L'agenzia ha anche espresso scetticismo sul fatto che gli studenti del MIT abbiano effettivamente trovato dei veri difetti. Stanno raccontando una storia formidabile di diffusi problemi di sicurezza, ma non hanno ancora fornito all'MBTA informazioni credibili a sostegno di tale affermazione, afferma Joe Pesaturo, portavoce dell'MBTA. È così semplice.
Non è chiaro, tuttavia, se l'MBTA possa realisticamente guadagnare il tempo di cui ha bisogno. Karsten Nohl , uno studente di dottorato dell'Università della Virginia che è stato uno dei primi a pubblicare i dettagli delle vulnerabilità della sicurezza in MiFare Classic, il marchio di smart card wireless utilizzato nel sistema di Boston, afferma che la risoluzione dei problemi potrebbe richiedere un anno o due e potrebbe anche comportare la sostituzione di tutti lettori di carte e tutte le carte in circolazione.
Questa non è la prima causa che colpisce i ricercatori che hanno studiato la sicurezza di MiFare Classic. Il mese scorso, azienda olandese Semiconduttori NXP , che produce le carte MiFare, ha citato in giudizio un'università olandese nel tentativo di impedire ai ricercatori di pubblicare dettagli di falle di sicurezza simili. L'ingiunzione non ha avuto successo, ma poiché la tecnologia RFID continua a proliferare, altri esperti di sicurezza sono preoccupati di poter discutere apertamente della ricerca sulla sicurezza pertinente.
Bruce Schneier , Chief Security Technology Officer presso Contropannello BT , afferma che l'ultima causa distrae solo da ciò che è veramente in gioco. MiFare ha venduto un prodotto scadente a clienti che non sapevano come chiedere un prodotto migliore, dice. Ciò non verrà mai risolto finché la sicurezza scadente di MiFare sarà tenuta segreta. Aggiunge: Il motivo per cui pubblichiamo le vulnerabilità è perché non c'è altro modo per migliorare la sicurezza.
La stessa marca di carta RFID viene utilizzata sulle reti di trasporto in altre città, tra cui Londra, Los Angeles, Brisbane e Shanghai, nonché per i pass di identità aziendale e governativa. La tecnologia è stata persino incorporata in alcune carte di credito e telefoni cellulari.
Nohl afferma che l'industria dovrebbe considerare il lavoro degli studenti del MIT come un servizio gratuito che potrebbe in definitiva portare a una maggiore sicurezza. Sebbene ci sia stata molta ricerca accademica sulla sicurezza dell'RFID, dice, ben poco si è ancora fatto strada nei prodotti. Il nocciolo del problema è ancora la convinzione dell'industria che dovrebbero costruire da soli la sicurezza e che ciò che hanno costruito da soli sarà più forte se lo manterranno segreto, afferma Nohl.
Nel frattempo, ricercatori indipendenti hanno escogitato una serie di idee per migliorare la sicurezza delle carte RFID. Nohl e altri stanno cercando modi migliori per crittografare le informazioni memorizzate sulle carte. Ma parte del problema è che le carte sono passive, il che significa che restituiranno un segnale a qualsiasi lettore che invia una richiesta. Tadayoshi Kohno e i colleghi dell'Università di Washington stanno anche lavorando a un sistema di rilevamento del movimento che consentirebbe agli utenti di attivare le proprie carte con un gesto specifico, in modo che normalmente non risponda alle richieste. Karl Koscher, uno dei ricercatori che ha lavorato al progetto, afferma che il loro sistema mira ad aumentare la sicurezza senza distruggere la praticità che ha reso le carte così popolari.