Hallo zusammen
Bei den "Standart" RFID Karten, ist es ja so, das meist die Daten auf
den Karten per Password/Key gesichert sind. Z.b. Bei Mifare Classic und
konsorten ist sind ja die Datenblöcke individuell per Passwort
bearbeitbar, es ist möglich das auslesen von Daten zu sperren oder auch
das schreiben.
Das ermöglicht es, zu verhindern das z.b. ein Endkunde die Karten bei
einem fremden Lieferant erwirbt. Wird beispielsweise auf den Datenblock
eine eindeutige Kunden-ID geschrieben und geprüft, können
fremdgelieferte Karten als "unlesebar" in der Software deklariert
werden.
Nun ist es jedoch so, das es z.b. bei Mifare keinen Schutz zum lesen der
UID gibt, das bedeutet, das beispielsweise Karten eines bestehenden
Kunden übernommen werden können, sofern nur die UID lesbar sein muss.
Beispielsweise nutzt Softwarelieferant "A" eine Software welche die
Kunden-ID einer Mifare-Classic Karte prüft, und so vor Fremdkarten
geschützt ist. Softwareliferant "B" benötigt nur die Seriennummer, und
kann daher ohne weiteres die bestehenden Karten von "A"'s Kunde
weiterverwenden, und sich so bedeutend günstigere Gesamtpreise ermogeln
kann.
Was ich mich nun frage ist, gibt es eine RFID-Technologie, welche
bereits beim lesen der UID eine Verschlüsselungstechnik besitzt? Also
so, das z.b. der Leser bereits beim lesen der UID ein Passwort oder
ähnliches aussenden muss, damit der Tag überhaupt reagiert?
Grüsse Gunter
Und was soll das bringen?
B kann mit fast allen karten Arbeiten der Kunde findet.
A Schützt sein ökoSystem und erlaubt nur seine Karten. Die er sich
vermutlich auch gut bezahlen lässt. ggf ist dadurch das system auch
sicher.
Du willst jetzt verhindern das die teuren Karten von A mit billig System
B funktionieren? Wieso sollte der Kunde das machen wollen? Wenn die
Karten von A nicht gehen besorgt er sich andere günstige Karten. Und du
steigerst damit nur die begründung weshalb A ein "Schrott" System war.
ggf braucht auch das System A die UID erst mal unverschlüsselt um zu
wissen wie es mit der Karte zu reden hat. z.B. um den Key zu ermitteln
der für die Karte zu verwenden ist. (ggf wird für jede karte ein eigener
key generiert, damit durch auslesen des Keys aus einer karte nicht alle
karten gefärdet sind)
Geht man von einem angenommenen, jedoch realistischen Einkaufspreis
einer Mifare Classic Karte von ca. 1€ bei grossen Mengen aus, wird sich
sicherlich ein Verkaufspreis von ~1.20€ ergeben, um wenigstens etwas
gewinn zu machen.
Nimmt man jetzt an, das B die technische Möglichkeit hat, die Karten von
A einfach "wiederzuverwedenden", so kann sich dieser einen erheblichen
Preisvorteil ermogeln. Bei 5000 Tags macht das schon nicht gerade wenig
aus.
Sollte die UID in deinem System für mehr benutzt werden als x Karten im
Lesefeld auseinanderzuhalten, dann würde ich das System wechseln.
Die UID ist wurscht. Sensible Daten werden eh im geschützten Segment des
Transponders abgelegt. Da kann dann eine eigene Ausweisnummer hinterlegt
werden, auf die dann aber nur ein entsprechend konfiguriertes Lesegerät
Zugriff hat(wir gehen mal davon aus, dass die Herstellerverschlüsselung
soweit sicher ist etc etc)
Eine sichere UID in dem Sinne gibt es nicht bzw sollte man sie gar nicht
benötigen. Es gibt Transponder, die jedesmal wenn sie ins Lesefeld
gehalten werden eine zufällige UID generieren, welche so lange Bestand
hat, wie der Transponder im Lesefeld ist.
Das würde eine Zuordnung bzw Tracking von Transpondern verhindern. Ich
weiß nicht wie relevant das tatsächlich ist und was genau der Beweggrund
dafür war, so eine zufällige UID einzuführen
Die UID wir bei jedem Transponder benötigt um den Tranponder
anzusprechen und zu identifizieren. MIFARE DESFire EV1 EV2 EV3 kann
man auf Random ID konfigurieren. Somit melden die sich bei jedem
einlesen mit einer anderen UID. Die echte UID bekommt man dann raus wenn
man den passenden KEY hat und sich authorisiert.
Generell ist es aber keine gute Idee seine Sicherheit auf einer UID
aufzusetzen. Diese kann beliebig emuliert oder kopiert werden.
Dann lieber auf die Speicherverwaltung der DESfire Tranponder setzen und
AES Keys nutzen.
Ich glaube ich wurde etwas falsch verstanden, es ginge darum, die Tags
nur lesbar zumachen mit einem speziell dafür hergestellen bzw..
programmierten leser, so das die Karten genau von diesen Lesern bedient
werden können, für fremde Hardware schlichtweg aber keine Funktion
darstellen. Bei Mifare kann jeder mit einem Mifare Leser die UID lesen,
da diese noch die Basis von ISO14443 benutzt. Liefert A nun Karten des
Typ Mifare, so können diese von jedermann für jede Anwendung benutzt
werden, welche mit ISO1443 kompatibel ist. Das soll aber verhindert
werden. Ähnlich einer Smartcard, die kann ja auch nicht einfach so
angesprochen werden
Die Transpondertechnologie nach der ich suche, müsse schon bei der UID
anfrage ein Secret überprüfen bevor der Transponder überhaupt antwortet.
Da hätt ich gleich eine passende Frage dazu, hab mir ein billiges
China-Keypad mit 13.56 MhZ Mifare Leser besorgt und die Wiegand
Schnittstelle über Arduino ausgelesen, das Keypad liest brav alle Karten
(Metro-Karte, Ausweise, Schlüsselbunde etc.) immer mit dem gleichen
Code.
Lege ich mein Handy drauf (Samsung Galaxy Note 10+) liest es auch brav
einen Code, nur der ändert sich bei jedem erneuten Scannen immer wieder
- wie gehts das? und kann man das Smartphone dazu überreden, immer den
gleichen Code zu senden..
@Gunther:
Du wurdest schon verstanden. Aber du hast das Sicherheitskonzept von
RFID Tags noch nicht verstanden.
Ob irgendjemand deine UID lesen kann ist einfach Wurscht. Bzw. es sollte
Wurscht sein. Es gibt nämlich durchaus Systeme welche die UID
fälschlicherweise als Sicherheitsmerkmal benutzen. Das ist dann halt
Käse
Du musst deinen Transponder&deinen Leser so konfigurieren, dass nur er
den Zugang zum geschützten Bereich des Transponders bekommt. Da kannst
du dann beliebige Daten platzieren.
Deine UID wird nur dazu benutzt, um mehrere Transponder im Lesefeld
auseinanderhalten zu können
Denn natürlich kann jedes Lesegerät welches ISO14443 oder ISO 15693
unterstützt, jeden kompatiblen Transponder lesen. ABER: es kann eben
nicht jeden Bereich des Transponders auslesen. Das geht nur, wenn es
entsprechend programmiert wurde
Gunter schrieb:> es ginge darum, die Tags> nur lesbar zumachen mit einem speziell dafür hergestellen bzw..> programmierten leser, so das die Karten genau von diesen Lesern bedient> werden können, für fremde Hardware schlichtweg aber keine Funktion> darstellen.
Und genau aus diesem Grund ist bei uns grad eine Zutrittsteuerung aus
der Ausschreibung geworfen worden.
Wir wollen moderne Technik einsetzen und dann schleppt jeder 20
Transpoinder mit sich rum weil jeder Hersteller auch unbedingt noch 20ct
am Transponder verdienen muß.
Wir haben schon eine Schrankenanlage mit 125kHz Transpondern die nur mit
einem bestimmten Nummernbereich funktioniert. Da sind beschreibbare
Karten und das Beschreiben inzwischen billiger als Karten beim
Hersteller zu kaufen.
Aber wenn Ihr die Vorteile der Transponder zu Last der Kunden wegwerfen
wollt, Ihr werden sehen, die Kunden sind nicht so dumm wie Ihr hofft.
Gunter schrieb:> Nimmt man jetzt an, das B die technische Möglichkeit hat, die Karten von> A einfach "wiederzuverwedenden", so kann sich dieser einen erheblichen> Preisvorteil ermogeln. Bei 5000 Tags macht das schon nicht gerade wenig> aus.
Dann würde ich versuchen, den Grund herauszufinden, warum der Anwender
unzufrieden mit A ist und deshalb zu B wechselt. Irgendwelche
Spezialkarten, die zu allem inkompatibel sind, werden keinen einzigen
Kunden generieren, sondern nur welche vertreiben.
Chips, die universell sind und mehrere Schlüssel speichern können, halte
ich aber für zukunftsweisend. Keiner freut sich, wenn das Portemonnaie
vor Karten nur so explodiert.
Ja, es gibt kartensysteme, mit dem gewuenschten Schutz. Allerdings ist
der Preis prohibitiv hoch. Das NDA alleine geht fuer 100k, dann brauchst
du ein paar Kurse resp die Unterlagen zur Verwendung und schwupp sind
nochmals 50k draussen. Die Karten sind dann extra. Lohne sich nur bei
100k+ stueckzahlen.
Christian schrieb:> MIFARE DESFire EV1 EV2 EV3 kann> man auf Random ID konfigurieren.
Geht das mit "Mifare SmartMX" auch? Die gefällt mir persönlich besser,
da sowohl kontaktbehaftet als auch RFID.
Peter D. schrieb:> Chips, die universell sind und mehrere Schlüssel speichern können, halte> ich aber für zukunftsweisend. Keiner freut sich, wenn das Portemonnaie> vor Karten nur so explodiert.
Dann müsste es aber m.E. einen Industrieverband geben, sonst sagt jede
Firma "Das ist meine Karte, da lasse ich doch nicht jeden
reinschreiben". Einen solchen Verband wird es aber sehr wahrscheinlich
nie geben. Wir haben doch schon bei den Verkehrsverbünden das Problem,
dass jeder seine eigene App und/oder Kundenkarte hat, aber gerade da
wäre "Eine für alle, alles in einer" vorteilhaft, aber die
Verkehrsverbünde machen ja lieber ihre eigenen Ökosysteme (wie Apple).
Manfred S. schrieb:> Lege ich mein Handy drauf (Samsung Galaxy Note 10+) liest es auch brav> einen Code, nur der ändert sich bei jedem erneuten Scannen immer wieder> - wie gehts das?
Random-ID. Wie beim Personalausweis. Mit jedem Zugriff generiert die
Software auf dem Smartphone bzw. dem nPA eine neue ID. Du müsstest Dein
Programm entsprechend programmieren, dass er nicht die Random-DI
ausliest sondern andere Daten. Wie das geht weiss ich nicht (ich kann
nur VBA, und ein klein wenig CSS und HTML)
Irgendwie hat ein Großteil der Leute hier kein Plan wovon sie schwätzen.
Natürlich kann so ein Transponder auch segmentiert werden und zum Zugang
für mehrere Systeme verwendet werden. Erfordert halt Absprache und
Koordination bei der Transponderprogrammierung.
Endlos viel Speicher hat so ein Transponder nicht, aber um paar
Ausweisnummer abzuspeichern reichts dicke.
Peter D. schrieb:> Irgendwelche> Spezialkarten, die zu allem inkompatibel sind,
Das ist bei Kartensystemen, bei welcher die Karten eine grosse
Endanwenderzahl abgegeben wird, eher irrelevant. Bei z.b.
Haustechnik-Türöffnungen oder Parkplatzsystem ist der Punkt berechtigt,
dort ist aber die Menge auch kleiner.
Christian schrieb:> Die UID wir bei jedem Transponder benötigt um den Tranponder> anzusprechen und zu identifizieren. MIFARE DESFire EV1 EV2 EV3 kann> man auf Random ID konfigurieren. Somit melden die sich bei jedem> einlesen mit einer anderen UID. Die echte UID bekommt man dann raus wenn> man den passenden KEY hat und sich authorisiert.
Vielen Dank für die Info! Das ist quasi nach dem ich suche. So kann auf
einem Block eine selbst generierte ID abgelegt werden, welcher nur durch
den KEY erreichbar ist. Für fremde Systeme welche "UID" basiert sind,
sind die Karten wertlos, da sie jedes mal eine andere ausgeben!
> Bei bis zu 32kb sollte schon viel Platz sein. Oder nicht?
Da bekommt man schon was unter. Das stimmt. Ich war noch bei 4kB
Transpondern. Und meistens wird ja eh nur lesend zugegriffen
> Für fremde Systeme welche "UID" basiert sind, sind die Karten wertlos, da> sie jedes mal eine andere ausgeben!
Find doch erstmal ein UID basiertes System. Ich hfofe, da wirst du
heutzutage nichts finden.
dunky schrieb:> Da bekommt man schon was unter. Das stimmt. Ich war noch bei 4kB> Transpondern.
Die meisten Transponder haben nur 8k. Aber das dürfte auch schon reichen
für ein paar tausend Zeichen. Bei 10 bis 20 Zeichen pro "Ausweis" passt
da auch schon was rein.
dunky schrieb:> Find doch erstmal ein UID basiertes System. Ich hfofe, da wirst du> heutzutage nichts finden.
Da kann ich dir sehr viele zeigen, gerade im bereich von gästezugängen
ist das oft das gängiste System. Dort werden für den einmaligen Zugang
oft Barcode/Qrcode Tickets verwendet, und für mehrfachen oder
dauerhaften Zugang oft Transponderkarten. Dort ist auch die Anforderung
an die Kopiersicherheit nicht so gross, da es dem Endandwender keinen
Vorteil bringt, wenn du einen Transponder kopierst, der dann aber auf
das gleiche Konto zugreift, es kann ja dadurch keine zusätzliche
Leistung erschlichen werden.
Konzerttickets mit Barcode kannst du ja auch einfach kopieren mit einem
Kopierer, nur bringt das dir selbst nicht, da das Ticket nur einmal
entwederte werden kann. Hier wäre lediglich ein Betrug möglich in dem
man kopierte Tickets verkauft und dadurch Geld erhält.
Der einzige Unterschied zwischen Barcode und Transponder ist hier, das
Barcodetickets sehr wenig kosten, und Transponderkarten oft relativ
teurer sind (Mifare Classic ca. 1.10€ / Stück bei 10k Stück)
dunky schrieb:> Find doch erstmal ein UID basiertes System. Ich hfofe, da wirst du> heutzutage nichts finden.
Bei Konica-Minolta wird das zur Identifikation am Drucker so benutzt -
für den Ausdruck vertraulicher Daten. Argh.
Gunter schrieb:> Da kann ich dir sehr viele zeigen, gerade im bereich von gästezugängen> ist das oft das gängiste System. Dort werden für den einmaligen Zugang> oft Barcode/Qrcode Tickets verwendet, und für mehrfachen oder> dauerhaften Zugang oft Transponderkarten. Dort ist auch die Anforderung> an die Kopiersicherheit nicht so gross, da es dem Endandwender keinen> Vorteil bringt, wenn du einen Transponder kopierst, der dann aber auf> das gleiche Konto zugreift, es kann ja dadurch keine zusätzliche> Leistung erschlichen werden.
Da wird die Sicherheit dann aber eben über andere Mechanismen
hergestellt mit einer Datenbank im Hintergrund oder ähnlichem.
Ich bin jetzt mehr vom Bereich klassische Zutrittskontrolle
ausgegangen...und da wird die UID hoffentlich nicht verwendet.
