恩智浦回應NFC乘車卡入侵事件

　　最近，移動安全專家Intrepidus Group的研究人員展示了如何用安卓NFC手機為乘車卡充值，而且不用花費一分一毫。據研究人員說，這款名為“UltraReset”的應用可以向舊金山城市鐵路和新澤西路軌交通系統發布的卡進行十次免費充值。

　　對于這次的事件，恩智浦回應說，這些漏洞的存在，是因為發布商沒有將Mifare Ultralight升級到Mifare Ultralight C技術。

　　“研究人員利用NFC手機進行充值的智能紙質票是基于Mifare Ultralight技術的。而這項技術是一個成本優化方案，設計理念是用于一次性、非充值、應用范圍受限的紙質票上的。它只提供基本的安全功能，如一次性可編程（OTP）比特，以及一個寫入鎖定功能，防止改寫儲存頁面，但是并不包含乘車卡中所使用的加密手段。”

　　“恩智浦在08年就已經推出了Mifare Ultralight的改良版——Mifare Ultralight C。這項新技術改善了安全性能（3DES鑒定），防止未經授權的訪問，預期能廣泛應用于NFC手機中、防止黑客入侵。Mifare Ultralight C由恩智浦和領銜運輸系統方案供應商聯合開發。目前所知，許多公共交通運營商正在調整系統設計。”

　　“就目前所得的第一手資料顯示，這款名為‘UltraReset’的應用，與其說是針對乘車卡和NFC的相關漏洞，倒不如說是針對系統本身的漏洞。其報道的關鍵句中提到‘比特本身并沒有被打開’，這里的比特指的就是OTP比特，這就意味著乘車卡在這里的用途已經超出了Mifare Ultralight的應用范圍。”

　　“智能紙質票的一個關鍵元素是不可復原性，用于實施系統安全措施。Mifare Ultralight的OTP比特就代表著這樣一個元素。像Mifare Ultralight C這樣的改良版已經加入了單向計數器，擴大了其不可復原性。”(RFID世界網編輯整理)

【責任編輯：廖小亞】