An Analysis of Security Weaknesses in the Evolution of RFID Enabled Passport Bruna Carolina Baudel de Santana Ermano Ardiles Arruda Guilherme Reis da Rocha Borba Marques Nicolle Chaves Cysneiros Rafael Lucena Cavalcanti de Oliveira Roberta Cabral Mota

Mecanismos de controle de segurança Roteiro O que é um e-passport? Mecanismos de controle de segurança Autenticação Passiva (PA) Autenticação Ativa (AA) Controle de Acesso Básico (BAC) Controle de Acesso Estendido (EAC) Modelagem de ataques O que é um e-passport? Mecanismos de controle de segurança / geração Vulnerabilidades de segurança Modelagem de ataques

Machine Readable Passport (MRP) O que é um E-passaport ? Machine Readable Passport (MRP) Número do passaporte País emissor Data de expedição Nome / Sobrenome Nacionalidade Data de Nascimento Etc. Machine Readable Zone (MRZ)

E-passport: Infraestrutura de novos componentes O que é um E-passaport ? E-passport: Infraestrutura de novos componentes RFID Informações MRZ Foto do portador do passaporte Número de identificação única do chip Assinatura digital Dados adicionais

E-passport: Infraestrutura de novos componentes O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Criptografia de chave pública private key public key 6EB695708E03C Hello, World! Hello, World! Encrypt Decrypt

E-passport: Infraestrutura de novos componentes O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Criptografia de chave pública Confidencialidade: a chave pública é usada para cifrar mensagens, com isso apenas o dono da chave privada pode decifrá-la. Bob Alice Hello, Alice! Hello, Alice! 6EB695708E03C Decrypt Encrypt Alice’s public key Alice’s private key

E-passport: Infraestrutura de novos componentes O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Criptografia de chave pública : FALHA DE SEGURANÇA MUA HA HA! Bob David Hello, Alice! Hello, Alice! 6EB695708E03C Decrypt Encrypt Alice’s FAKE public key David’s private key

A chave de Alice é a número 1. O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Criptografia de chave pública + Certificado Digital A chave de Alice é a número 1. 1 Ok, John. John 2 Bob 3

A chave de Alice é a número 1. O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Criptografia de chave pública + Certificado Digital A chave de Alice é a número 1. Eu te conheço? 1 John Bob 2 Pode confiar. Ok. Roberta Bob 3

E-passport: Infraestrutura de novos componentes O que é um E-passaport ? E-passport: Infraestrutura de novos componentes PKI Controle de Imigração CA DGs DGs 6EB695708E03C Decrypt Encrypt private key publickey

Passive Authentication (PA) Único dispositivo de segurança obrigatório na primeira geração de passaportes eletrônicos Objetivo de verificar a integridade dos dados armazenados no chip RFID Não verifica se o passaporte pertence a pessoa que o esta carregando Não previne a cópia dos dados do chip do passaporte

Passive Authentication (PA)

Passive Authentication (PA) Problemas de segurança relacionados a PA. Clonagem das informações do chip. Vazamento de dados. Interceptação e monitoramento da comunicação entre passaporte e leitor. Rastreamento do passaporte.

Passive Authentication (PA) Exemplo de falha na segurança

Passive Authentication (PA) Cenário de possível ataque 10m

Basic Access Control (BAC) Primeira Geração de E-Passport Procura garantir que os dados do chip RFID sejam lidos apenas por leitores autorizados pelo dono do passaporte Provê canal de comunicação segura (Secure Messaging) entre chip RFID e leitor

Basic Access Control (BAC) Chaves de encriptação gerada a partir de dados lidos da Machine Readable Zone (MRZ)

Basic Access Control (BAC) A autenticação mutua entre o chip RFID e o leitor é feito pelo protocolo Challenge-Response (ISO/IEC 11770-2) Leitor RFID GET_CHALLENGE rand( 𝑛 𝑇 ) 𝑛 𝑇 rand( 𝑛 𝑅 ) rand 𝑘 𝑅 𝑆= 𝑛 𝑅 | 𝑛 𝑇 | 𝑘 𝑅 𝐶 𝑅 = 𝐸 𝐾𝑒𝑛𝑐 (𝑆) 𝑀 𝑅 = 𝑀𝐴𝐶 𝐾𝑚𝑎𝑐 ( 𝐶 𝑅 ) MUTUAL_AUTHENTICATE ( 𝐶 𝑅 || 𝑀 𝑅 ) NAJERA, P.; MOYANO, F.; LOPEZ , J. Security Mechanisms an Access Control Infrastructure for e-Passports and General Purpose e-Documents. University of Malaga. Malaga.

Basic Access Control (BAC) Leitor RFID 𝑀 𝑅 =? 𝑀𝐴𝐶 𝐾𝑚𝑎𝑐 𝐶 𝑟 𝑆 ′ = 𝐷 𝐾𝑒𝑛𝑐 ( 𝐶 𝑅 ) 𝑛′ 𝑅 𝑛 ′ 𝑇 𝑘 ′ 𝑅 =𝑆′ 𝑛′ 𝑇 =? 𝑛 𝑇 𝑟𝑎𝑛𝑑( 𝑘 𝑇 ) 𝑅= 𝑛 𝑇 | 𝑛 𝑅 | 𝑘 𝑇 𝐶 𝑇 = 𝐸 𝐾𝑒𝑛𝑐 (𝑅) 𝑀 𝑇 = 𝑀𝐴𝐶 𝐾𝑚𝑎𝑐 ( 𝐶 𝑇 ) 𝐶 𝑇 || 𝑀 𝑇 𝑀 𝑇 =? 𝑀𝐴𝐶 𝐾𝑚𝑎𝑐 ( 𝐶 𝑇 ) 𝑅 ′ = 𝐷 𝐾𝑒𝑛𝑐 ( 𝐶 𝑇 ) 𝑛′ 𝑇 𝑛 ′ 𝑅 𝑘 ′ 𝑇 =𝑅′ 𝑛′ 𝑅 =? 𝑛 𝑅 NAJERA, P.; MOYANO, F.; LOPEZ , J. Security Mechanisms an Access Control Infrastructure for e-Passports and General Purpose e-Documents. University of Malaga. Malaga.

Basic Access Control (BAC) Vulnerabilidade As chaves são calculadas a partir de 3 dados: Número do Passaporte Data de Nascimento Data de Validade do Passaporte Com chaves de entropia de apenas 56 bits (número de passaporte composto por apenas números), o BAC é vulnerável a ataques de força-bruta.

Active Authentication (AA) Primeira Geração de E-Passport (Opcional) Mecanismo anti-clonagem ou modificação do chip Assegura que as informações lidas são do chip original, escrito pela entidade emissora do passporte.

Active Authentication (AA) É preciso que o Data Group 15 esteja presente no RFID

Private Key ( 𝐾𝑃𝑟 𝐴𝐴 )

Active Authentication (AA) A autenticação mutua entre o chip RFID e o leitor é feito pelo protocolo Challenge-Response (ISO/IEC 11770-2) Leitor RFID R (Challenge) R = random() Z (Response) 𝑍= 𝑠𝑖𝑔𝑛(𝑅, 𝐾𝑃𝑟 𝐴𝐴 ) GET_PUBLIC_KEY 𝐾𝑃𝑢 𝐴𝐴 (DG-15) 𝐾𝑃𝑢 𝐴𝐴 R, Z, 𝐾𝑃𝑢 𝐴𝐴 CHECK (𝑅,𝑍, 𝐾𝑃𝑢 𝐴𝐴 ) NAJERA, P.; MOYANO, F.; LOPEZ , J. Security Mechanisms an Access Control Infrastructure for e-Passports and General Purpose e-Documents. University of Malaga. Malaga.

Active Authentication (AA) Vulnerabilidade Manipulação de Index AA não é obrigatório É possível fazer com que o IS ignore a verificação Basta fazê-lo pensar que o DG-15 não consta no passaporte The AA increases the cryptographic capabilities and this is an advantage over the Passive Authentication because the AA comes with faster processing times and works in conjunction with the BAC

Active Authentication (AA) Vulnerabilidade Side-channel atacks Time Analysis (Computation time) Power Analysis (Power consuption) Side-channels provide unintended means to analyze or manipulate the behavior of cryptographic implementations. Common side channel analysis methods are: Time analysis and Power analysis

Active Authentication (AA) Vulnerabilidade Time Analysis Here process duration is used to reveal secrets. After analyzing RSA trace, and noting the distance variations between higher and lower parts, the key can be derived from a single observation.  attacks based on measuring how much time various computations take to perform.

Active Authentication (AA) Vulnerabilidade Power Analysis Here power consumption pattern to reveal secrets. Collect many (>1000) RSA power traces and compute average energy per modular operation. Small variations reveal key bits. More advanced correlation analysis is also possible. attacks which make use of varying power consumption by the hardware during computation.

Active Authentication (AA) Vulnerabilidade Side-channel atacks Time Analysis (Computation time) Power Analysis (Power consuption) Tracking Grandmaster Chess Attack Dependeny on BAC (Low Key Entropy) Side-channels provide unintended means to analyze or manipulate the behavior of cryptographic implementations. Common side channel analysis methods are: Time analysis and Power analysis

Extended Access Control (EAC) Dispositivo de segurança obrigatório pela UE na segunda geração Adiciona funcionalidades para autenticar o chip RFID e o leitor Utiliza dois protocolos de segurança Chip Authentication (CA) Terminal Authentication (TA)

Chip Authentication (CA) Verifica se os dados foram alterados ou o chip foi clonado Método Diffie-Hellman (DH – chave efêmera) Utiliza um par de chaves pública (DG-14) e privada https://www.bsi.bund.de/EN/Topics/ElectrIDDocuments/SecurityMechanisms/securEAC/securCA/ca_node.html

Chip Authentication (CA) Vulnerabilidades Espionagem de uma comunicação Leitor válido com certificado expirado Denial of Service DoS (Jamming e blocking) Ataque Grandmaster Chess Dependência Low key entropy (BAC)

Terminal Authentication (TA) Verifica se o leitor tem permissão para acessar os dados no chip RFID PKI: CVCA → Terminal Certificate (TC) http://www.frontex.europa.eu/assets/Publications/Research/Operational_and_Technical_Security_of_Electronic_Pasports.pdf

Terminal Authentication (TA) Vulnerabilidades Denial of Service DoS (Jamming) Leitor válido com certificado expirado Terminais roubados

Modelagem de Processo de Ataque Sequências ou passos de Ataque

Attack Trees Ataque man-in-the-middle Ataque à vulnerabilidade da entropia baixa da chave BAC

Attack Trees

Attack Trees

Attack Trees Attack Tree Threat Analisys

Conclusão Vimos: Duas gerações de passaportes com RFID Suas vulnerabilidades Como criar um perfil de vetores de ataque Gerenciamento de risco