RFID Guardian is opened //RFID стражник открывает забрало

Писатель Кори Доктороу (Cory Doctorow) , последний рассказ которого "Выгуглен" рекомендую всем, написал в Boinboing о полном освобождении знакомого нам с прошлого года проекта RFID Guardian.

Обрадованный читатель, поспешив на сайт http://www.rfidguardian.org,
вроде бы находит подтверждение факту:

We launched our new wiki-based website! Together with this new website we're presenting our new open-source infrastructure for the RFID Guardian. From now on everyone can start downloading our HW/SW source code, and propagating their changes back to the project.

Однако, не спешите хлопать в ладоши. Анабазис здесь таков: не все файлы проекта открыты (пока, надеюсь). Сейчас пытаюсь выяснить на форуме сайта RFID Guardian
"случайность" это или нет. Ниже - перевод сообщения на русский язык:

Уважаемая Мелани!
Простите за возможно глупый вопрос.
Я увидел на страничке : http://www.rfidguardian.org/index.php/FPGA_Code
такое предложение:

"Здесь вы найдете список файлов для Verilog/VHDL проектв для RFID Guardian V3 ревизии B".

Однако, я не обнаружил никаких ссылок на файлы для FPGA.
Я нашел на вашем сайте принципиальную схему и топологию печатной платы для RFID Guardian V3.
Но что с ними можно сделать без FPGA кода?
Сейчас Ваш проект RFID Guardian - это черный ящик для каждого.
Cory Doctorow писал в boingboing.net

Новая версия полностью открыта, и обновленный сайт RFID Guardian включает: wiki движок, репозитарий с исходниками и отслеживанием ошибок. (Спасибо, Мелани!)

И вы тоже в последних новостях сайта упомянули про "new open-source infrastructure for the RFID Guardian".

Помогите мне понять степень открытости вашего проекта.

С наилучшими пожеланиями!
Андрей Фаткуллин
andy123злая_собакаmail.ru
http://www.rfidigest.blogspot.com

Итак, ждите ответа.
...
Ответ от Мелани пришел через день. Недоразумение разрешилось: упомянутая страница ее сайта наполнилась информацией. Пусть хоть пре-альфа версия проекта для FPGA, но все-таки народу можно с чего-то начинать: загрузить себе Квартус и вперед с песнями.

Спасибо Мелани! Кстати, она дает ссылку для бесплатного Квартус - среды проектирования от Altera. Наверное это оценочная версия, надо проверить. Идем по ссылочке. Здесь как-бы даром предлагается Quartus II Web Edition. Чтобы скачать пакет надо указать MAC-адрес своей сетевой карты и ответить на кучу вопросов от маркетологов Altera. В конце выскакивает сообщение:

Thank you for choosing the Quartus^® II Web Edition development software. A license file enabling your free Quartus II Web Edition software will be emailed to you within 12 hours. Most license files are emailed to you within minutes. However, the delivery of the license file may be delayed between 1-12 hours in some cases. If you do not receive a license file immediately, please wait at least 12 hours before requesting a second license.

Не буду утомлять деталями. Все загружается.
Как среда проектирования будет готова попробую пре-альфу RFID Guardian. Это будет сюжет для нового рассказа.

Файрвол RFID Guardian

Как сообщает Boingboing.net, лучшей разработкой на конференции USENIX LISA (Large Installation Systems Administration) признан RFID-файрвол Guardian (по русски - Охранник), сконструированный Мелани Рибак (Melanie R. Rieback) и Георгием Гайдаджиевым (Georgi N. Gaydadjiev).

Мелани Рибак (фото внизу), как бы между делом, написала еще и первый в мире вирус для RFID. Про это Александр Рыбаков (а не родственник ли он Мелани Рибак ?:))) написал в своей заметке, выдержки из которой помещаем ниже ( с некоторыми исправлениями).

Файрвол RFID Guardian, автоматически блокирует все ваши RFID-метки для считывания и позволяет считать нужную из них только тогда, когда это на самом деле необходимо. Разработчики предлагают встраивать этот модуль безопасности в КПК или сотовый телефон, чтобы человеку не приходилось еще больше забивать свои карманы электроникой. Такой подход удобнее и тем, что для администрирования файрвола можно использовать дисплей мобильного устройства.

Так как большинство RFID-считывателей не рассчитано на использование файрволов или других подобных устройств, RFID Guardian приходится самостоятельно эмулировать нужные пакеты данных и становиться посредником между считывателем и радиочипом. Файрвол постоянно сканирует эфир на предмет соединений и не только защищает ваши данные, но и ведет логи – кто, когда и что именно хотел считать. Похоже, по мере распространения RFID-устройств, чтение таких логов может стать не менее увлекательным, чем просмотр логов точки доступа Wi-Fi, к которой постоянно кто-нибудь хочет несанкционированно подключиться.

RFID Guardian позволяет управлять не только дорогими радиочипами, в которых уже встроены кое-какие функции защиты и шифрования, но и самыми простыми, которые просто рассчитаны на то, чтобы передать информацию, которую потребует совместимый с ними считыватель. При наличии нарушающих безопасность запросов, файрвол перехватывает пакеты данных с чипа и посылает вместо них свои собственные, не содержащие конфиденциальной информации. Разработчики RFID Guardian даже позаботились о том, как избежать атаки на сам файрвол и встроили в него защиту от переполнения стека и DoS-атак.

PDF Link

У этого Охранника должна быть очень толковая антенна. Наглядный "трудный" пример:
RFID метка находится в подошве Ваших кроссовок, маломощный ридер спрятан под полом у порога спортивного магазина - для tracing атаки и получения статистики. Охранник в этом случае может не услышать ридера ... :((( Напишу ка Мелани про это.

Здравствуйте, а вот и мы: первые RFID вирусы

Новый тип атаки на RFID системы описали авторы статьи Is Your Cat Infected With a Computer Virus?
(Ваша кошка инфицирована компьютерным вирусом?)

Исследователи из Vrije Universiteit в Амстердаме под руководством знаменитого создателя ОС Minix профессора Эндрю Таненбаума (Andrew S. Tanenbaum) обозначили проблему кривых ручек программистов middleware и контроллеров RFID ридерных сетей.

Вывод: тщательнее надо, в метках RFID могут содержаться не только EPC коды но и вредные инструкции для тупых SQL серверов. Надо отделять данные от кода и будете спать спокойно. Например, для этого завести "безопасные" служебные символы форматирующие данные в блоках метки. Новый геморой конечно не обрадует ленивых программистов и системных архитекторов (которые забухтят: итак мало памяти! еще на всякую лабуду тратить!)

Отличная работа нисколько не устрашающая новаторов RFID-остроения, но заставляющая задуматься над полезностью открытых middleware проектов.
Это и новый повод Кате Альбрехт (Katherine Albrecht) воскликнуть "RFID VULNERABLE TO VIRUS ATTACKS COULD WREAK HAVOC " выпустив скоро очередную книгу ужастик.

В статье содержатся указания для вирусописателей. Первый SQL-вирус для RFID меток ISO15693 и Oracle (OCI) написала студентка третьего курса Мелани Рибак (Melanie Rieback). Текст его ниже:

%content%',NewContents=(SELECT SUBSTR(SQL_TEXT,43,%len%)FROM v$sql WHERE INSTR(SQL_TEXT,'%payload%')>0)--

Мелани трудится под руководством профессора Танненбаума и доцента Бруно Криспо (Bruno Crispo) над благородным устройством RFID Guardian защищающем приватность человека от RFID атак. Это может происходить например так: RFID карточки ISO15693 используемые в качестве пропуска "RFID Охранник" не дает считать посторонним ридерам. Владелец карточки выключит его при входе на фирму чтобы пройти КПП системы "hands-free".

/.Comments