Digital signature transponder

Кіріспе

Texas Instruments цифрлық қолтаңба транспондері (DST) - сырғанақсыз аутентификация қолданбаларының әртүрлісінде қолданылатын шифрлау арқылы радиожиілік сәйкестендіру (RFID) құрылғысы. DST-ның ең үлкен орналасуы Exxon Mobil Speedpass төлем жүйесіне (шамамен 7 миллион транспондер), сондай-ақ көптеген соңғы модельдегі Ford-та қолданылатын әр түрлі көлік иммобилизатор жүйелеріне жатады. Әрбір DST тегінде 40 биттік шифрлау кілті сақталатын ұшпа RAM мөлшері болады. Бұл кілт оқырман шығарған 40 биттік сынақты шифрлау үшін қолданылады, 40 биттік шифрланған мәтін шығарады, содан кейін 24 биттік жауап шығарып, оқырманға қайта беріледі. Тексерушілер (олар да шифрлау кілтін иеленеді) бұл сынақты күтілетін нәтижені есептеу және оны тегтің жауабымен салыстыру арқылы тексереді. Транспондерлік шифрлау кілттері пайдаланушы бағдарламалай алады, олар қарапайым аудио протоколды пайдаланады. Дұрыс бағдарламаланғаннан кейін, транспондерлер жеке команда арқылы "бұғатталуы" мүмкін, бұл ішкі кілт мәнін одан әрі өзгертуді болдырмайды. Әрбір транспондер фабрикада 24 биттік сериялық нөмірмен және 8 биттік өндіруші кодымен жабдықталады. Бұл мәндер тұрақты және егер транспондер бұғатталған болса, өзгертілмейді.

DST40 шифрлау

2005 жылға дейін DST шифр (DST40) Texas Instruments компаниясының коммерциялық құпиясы болды, ол құпиялылық келісім бойынша клиенттерге қолжетімді болды. Бұл ереже шифрдың стандартты емес дизайны мен кішкентай кілттің көлеміне байланысты енгізілген болуы мүмкін, бұл оны сыбайлас жемқорлықпен кілт іздеуге бейім етті. 2005 жылы Джонс Хопкинс университетінің ақпараттық қауіпсіздік институты мен RSA лабораториясының студенттері шифрлауды арзан Texas Instruments бағалау жиынтығын қолдана отырып, шифрлау схемалары арқылы Интернетте және қара қорап техникасы арқылы шифрлауды кері инженерлік жолмен жасады (яғни, радио интерфейсі арқылы транспондерлерді сұрау салу, оларды сымдарды тексеру үшін бөлшектеуден гөрі). Шифрлау дизайны белгілі болғаннан кейін, команда бірнеше FPGA құрылғыларын белгілі сын / жауап жұптарына негізделген мықты күшті кілт іздеулерін орындау үшін бағдарламалады. Бір FPGA құрылғысын пайдаланып, команда шамамен 11 сағат ішінде (орташа жағдай) екі белгілі сын / жауап жұптарынан кілтті қалпына келтіре алды. 16 FPGA құрылғысы бар массивпен олар бұл уақытты бір сағаттан аз уақытқа қысқартты. Сонымен қатар, KU Leuven COSIC зерттеу тобының зерттеушілері уақыт / жады сауда-саттығы шабуыл жасады, ол үшін 5,6 ТБ іздеу кестесі алдын ала есептелуі керек, содан кейін кілтті екі секунд ішінде Raspberry Pi 3B арқылы екі жауапқа жауап беру жұптарын илеп алу арқылы қалпына келтіруге болады. DST80 криптоанализіне қосымша, олар криптографиялық кілттерді алу үшін де қолданылатын жанама арналық шабуылды тапты. DST80 әлі де L0 және R0 үшін бірдей мәндері бар 200 раундтан тұратын теңгерімсіз Фейстель желісі болып табылады. Кілттің кестесі, қазір әрбір раундты жаңартып, 80 бит кілттерді пайдаланады, әлі де LFSR-ге негізделген. Бұл DST40-қа қарсы қолданылған күшті шабуылды түзететін болса да, әлсіз кілттер мәселесі әлі де жалғасуда. Бұдан басқа, бірнеше өндірушілер DST80 негізделген транспондерлерін дұрыс емес конфигурациялады, бұл жалпы жүйенің қауіпсіздікті күшті шабуылдарға қарсы DST40-дан жоғары емес деңгейге дейін төмендетті (280-ден 241-ге дейін). Сонымен қатар, кейбір өндірушілер (Kia, Hyundai және Toyota) энтропиясы төмен кілттерді оңай болжағандықтан, жоғарғы шек көбінесе одан да төмен болады. Соңында, оның іске асырылуы қосалқы арналар шабуылдарына ұшырайды.

Until 2005, the DST cipher (DST40) was a trade secret of Texas Instruments, made available to customers under non disclosure agreement. This policy was likely instituted due to the cipher's non standard design and small key size, which rendered it vulnerable to brute force keysearch. In 2005, a group of students from the Johns Hopkins University Information Security Institute and RSA Laboratories reverse engineered the cipher using an inexpensive Texas Instruments evaluation kit, through schematics of the cipher leaked onto Internet, and black box techniques (i. e., querying transponders via the radio interface, rather than dismantling them to examining the circuitry). Once the cipher design was known, the team programmed several FPGA devices to perform brute force key searches based on known challenge/response pairs. Using a single FPGA device, the team was able to recover a key from two known challenge/response pairs in approximately 11 hours (average case). With an array of 16 FPGA devices, they reduced this time to less than one hour. Additionally, researchers from the COSIC research group of KU Leuven implemented a time/memory trade off attack for which a 5.6 TB lookup table has to be precomputed, after which a key can be recovered in two seconds using a Raspberry Pi 3B by sniffing two challenge response pairs. Additional to the cryptanalysis of DST80, they also found a side channel attack that can also be used to extract the cryptographic keys. DST80 is still an unbalanced Feistel network of 200 rounds with the same values for L0 and R0. The key schedule, now updating every round and using 80 bit keys, is still based on an LFSR. While this would fix the brute force attack used against DST40, the issue of weak keys still persists. Furthermore, several manufacturers improperly configured their DST80 based transponders reducing the security of the overall system against brute force attacks to hardly any higher than that of DST40 (a downgrade from 280 to 241). Furthermore, as some manufacturers (Kia, Hyundai, and Toyota) used easy to guess low entropy keys, the upper bound is often even lower. Finally, its implementation is vulnerable to side channel attacks.

Реакция және түзетулер

DST-ге негізделген иммобилизатор жүйелері мен Exxon Mobil Speedpass жүйесіне қауіп төндіргені белгісіз. Бұл жүйелер қауіпсіз транспондерлермен жаңартылуы немесе осалдықтардан қорғау үшін қосымша шаралар қолданылуы мүмкін. Бұл жүйелерді пайдаланушылар транспондерлік кілттерін қорғауда абай болулары және Speedpass шот-фактураларын алаяқтық белгілері үшін мұқият тексерулері маңызды. Металл қалқандарды қолдану DST тегтерінің рұқсатсыз сканерлеуіне қарсы қосымша қорғаныс болуы мүмкін. Пайдаланушыларға осы жүйелердің қауіпсіздігі туралы ақпарат алу және оларды қорғау үшін қажетті сақтық шараларын қолдану ұсынылады.