Se bienvenido a estas tierras digitales...
...especialmente si eres un molino....
El primer café del 2009
RFID. Crackeado en 1 segundo
Researchers show how to crack popular smart cards
Scientists publish a cryptographic algorithm and source code that can be used to duplicate smart cards used by major transit systems
By Brenno de Winter, Webwereld_Netherlands , IDG News Service
October 07, 2008
Researchers have published a cryptographic algorithm and source code that could be used to duplicate smart cards used by several major transit systems, including Boston’s Charlie Card and the London Oyster card.
Scientists from the Dutch Radboud University Nijmegen presented their findings during the Esorics security conference on Monday in Malaga, Spain. They also published an article with cryptographic details.
[ Learn how to secure your systems with Roger Grimes’ Security Adviser blog and newsletter, both from InfoWorld. ]
Their presentations show how to circumvent the security mechanism of NXP Semiconductor’s Mifare Classic RFID cards, which are widely used to provide access control to buildings and public transportation systems.
Researchers had previously reported that they had broken cryptography used in Mifare Classic, but NXP sued to prevent the information from being made public. The company asked for a lengthy delay to give customers enough time to secure their systems. However, a Dutch court ruled that free speech protected the researchers and that they shouldn’t fall victim to mistakes made by the supplier.
Some details on the Mifare encryption were already public, but the publication of the Dutch paper marks the first time this information has been disclosed in a complete form, making it easy for a determined attacker to clone one of the cards.
In the paper, the researchers say they discovered the workings of the chip by analyzing communication between the chip and the reader. An RFID-compatible device, the Ghost, was made to function independently from a computer. Ultimately they were able to obtain the cryptographic protocol. One issue is that the reader has to communicate in a predictable way, which opened the path to data analysis.
When the mechanism was cracked, the scientists were able to crack keys in less than a second using a industry standard computer with only 8MB of memory. Given the state of technology in 1996, when the Mifare Classic was introduced, even then such a crack would take only minutes.
The Radboud University paper shows that researchers looked at another chip, the Hitag2, in order to crack the Mifare Classic. This chip was later introduced, but cracked some years ago. Since the information on this hack is freely available, this helped the researchers.
Security experts had expected source code to surface soon after complete details of the Mifare Classic hack were published. However, last week a Russian Web site featured source code and documents. According to Professor Bart Jacobs, one of the paper’s authors, the code lacked the authentication mechanism required to clone a Mifare Classic card.
But on Monday, another paper released by German researcher Henryk Plotz does feature functioning source code. Jacobs said that this implementation could be used to build a working card.
The German group working on the Mifare Classic chip cracked its encryption by removing a Mifare chip from a card and then cutting layers off. By photographing each layer under a microscope and analyzing all the connections they discovered the workings of the chip and derived the algorithm.
The Netherlands is introducing a new nationwide transportation card, OV-chipkaart, in a multi-billion-dollar project. Despite criticism, the Mifare Classic chip won’t be replaced before the new technology is introduced in 2009.
Webwereld Netherlands is an InfoWorld affiliate.
Primeros problemas de seguridad de ‘Chrome’ (ELMUNDO.ES)
![[foto de la noticia]](https://i0.wp.com/estaticos02.cache.el-mundo.net/navegante/imagenes/2008/09/04/1220519020_1.jpg "[foto de la noticia]")
MADRID.- Pocas horas después de ser lanzada la versión en pruebas de ‘Google Chrome’, que desafía directamente a Microsoft, algunos expertos de seguridad detectaron problemas en el navegador. Concretamente, existe una importante vulnerabilidad heredada de la versión de Webkit de Apple utilizada, que la compañía de la manzana ya había solucionado.
El experto en seguridad Aviv Raff descubrió esta vulnerabilidad en ‘Google Chrome’, que permite a un atacante remoto ejecutar una aplicación en el ordenador de la víctima sin su permiso. Raff apunta que la versión en pruebas usa la versión 525.13 de Webkit (el núcleo del navegador), el mismo usado para el navegador Safari v3.1.
Por ejemplo, la víctima puede iniciar una descarga haciendo doble clic en la parte inferior del navegador directamente y sin ningún tipo de advertencia, y de esta manera un potencial atacante podría iniciar un programa Java en el ordenador de la víctima, explica Read Write Web.
Raff se pregunta por qué ‘Google Chrome’ ha tomado características tanto de Safari como de Firefox mezcladas sin detenerse a analizar las vulnerabilidades que podría heredar.
Otros expertos en seguridad habían advertido a los usuarios que, dado que se trata de una versión de prueba, no es recomendable el uso diario de este navegador. Así, alertaron de que el programa asigna automáticamente un número de identificación que es buscado y facilitado para posibles actualizaciones desde que se enciende el ordenador, lo que haría teóricamente identificables a sus usuarios.
Lo cierto es que Google, al lanzar esta versión en pruebas, se cubre las espaldas por posibles problemas de seguridad. De hecho, no hay una fecha definida para la versión definitiva, y la publicación de estos fallos suele ayudar al perfeccionamiento de la plataforma.
Otras críticas
El lanzamiento ha copado el interesés de prácticamente todos los medios especializados y las secciones de tecnología de los medios más generalistas, y los expertos se han lanzado a diseccionar el navegador.
Walter Mossberg, experto de ‘The Wall Street Journal’, aseguraba esta semana que «Chrome es un navegador inteligente e innovador que hace más rápido, más ligero y menos frustrante el uso de Internet«, que sin embargo lamentó que el programa carezca de varias funciones que sí tienen otros navegadores, como la administración de marcadores.
David Pogue, de ‘The New York Times’, destacó un «extraordinario comienzo» de Chrome, aunque no lo vio preparado para una lanzamiento a gran escala.
Otros, como la revista PC World, aventuró más problemas en los próximos meses, debido a que se trata de una versión en pruebas. También echa en falta un gestor de extensiones como tienen Firefox o IE, una función de sincronización similar a la que tiene Firefox, y alerta de la cantidad de datos que puede conseguir Google a través de esta herramienta, ya que se ‘comunica’ con la compañía.
En Kriptópolis se han preocupado por ver si ‘Google Chrome’ respeta los estándares web, y han realizado el test Acid3, que mide precisamente la compatibilidad de los navegadores con las normas de diseño en Internet, y ha obtenido un resultado de 78/100. Esta página especializada también se hace eco de otras vulnerabilidades importantes del nuevo navegador.
Otras funciones que se echas en falta es la incorporación de un lector de RSS, la barra de estado (que muestra la progresión de carga de una página) o un buen gestor de favoritos. Y, por supuesto, faltan versiones para otros sistemas operativos aparte de Windows (Linux, Mac), aunque Google asegura que habrá versiones próximamente.
Espectacular arranque
Por otro lado, el estreno no podría ir mejor, según los primeros datos medidos por algunas compañías de estadísticas Web. Según informa StatCounter, ‘Google Chrome’ habría conseguido en tan sólo 24 horas desde su lanzamiento el 1% del mercado mundial de navegadores.
En el blog oficial de esta compañía, se recuerda que si bien estos datos indican que la guerra con el navegador Internet explorer de Microsoft ha comenzado, el gran perdedor podría ser Firexox, de Mozilla, que además ‘vive’ de la financiación de Google. ¿la razón? El usuario de Firefox tiende a experimentar más con las novedades que el tradicional de Internet Explorer.
De momento, Internet Explorer de Microsoft copa el mercado y acapara el 75% del mismo, mientras que Firefox ocupa el 18%.
El acceso rápido y fiable a los resultados de la investigación, especialmente a través de Internet, puede impulsar la innovación, promover los descubrimientos científicos y apoyar el desarrollo de una fuerte economía basada en el conocimiento. La Comisión Europea desea velar por que los resultados de la investigación que financia al amparo del 7º programa marco de investigación de la UE (7º PM) con más de 50 000 millones de euros en el período comprendido entre 2007 y 2013 se difundan tan amplia y eficazmente como sea posible para garantizar su máximo aprovechamiento y efecto en el mundo de la investigación y fuera de él. La Comisión ha puesto en marcha hoy un proyecto piloto que facilitará un acceso en línea sin restricciones a los resultados de la investigación financiada por la UE, principalmente a los artículos de investigación aparecidos en publicaciones con revisión por colegas independientes, tras un período de retención de entre seis y doce meses. Este proyecto piloto cubrirá alrededor del 20 % del presupuesto del 7º PM en ámbitos tales como la salud, la energía, el medio ambiente, las ciencias sociales y las tecnologías de la información y las comunicaciones.
Janez Potočnik, Comisario comunitario de Ciencia e Investigación, ha declarado lo siguiente: «Un acceso fácil y gratuito a los conocimientos más avanzados en ámbitos estratégicos es crucial para la competitividad de la investigación comunitaria. Este proyecto piloto de libre acceso constituye un paso importante hacia la realización de la «quinta libertad», la libre circulación de los conocimientos entre los Estados miembros, los investigadores, la industria y el público en general. Además, es una justa compensación a la población por una investigación financiada con el dinero de la UE».
Viviane Reding, Comisaria comunitaria de Sociedad de la Información y Medios de Comunicación, ha declarado lo siguiente: «El rápido desarrollo de las tecnologías digitales ofrece a los investigadores posibilidades sin precedentes de intercambio oportuno y eficaz de información. Nuestro nuevo proyecto piloto aprovechará ese potencial, facilitando así a los investigadores, las empresas y los responsables políticos abordar desafíos mundiales como el cambio climático gracias al acceso a la investigación más reciente. Me congratulo especialmente de que los editores científicos hayan empezado a adoptar gradualmente nuevos métodos de difusión y que colaboren con los investigadores en materia de libre acceso. Han aportado elementos valiosos a la Comisión sobre estos temas, que han servido para elaborar el proyecto piloto. Esto permitirá una coexistencia beneficiosa para ambas partes que potencie al máximo los efectos del libre acceso a la investigación financiada por el sector público dejando sitio a los modelos editoriales basados en la financiación privada».
El proyecto piloto de libre acceso de la Comisión, válido hasta el final del 7º PM, tiene por objeto velar por que los resultados de la investigación financiada por la UE se pongan progresivamente a disposición de todos. Se requerirá que los beneficiarios de subvenciones pongan en un archivo en línea sus artículos de investigación revisados por colegas o sus manuscritos finales resultado de sus proyectos del 7º PM. También tendrán que hacer todo lo posible para facilitar el libre acceso a esos artículos en el plazo de seis o doce meses desde su publicación, dependiendo del campo de investigación. Este período de retención permitirá a los editores científicos obtener un rendimiento por el capital invertido.
El libre acceso a los artículos de investigación, que antes solo se podían conseguir suscribiéndose a las publicaciones, puede contribuir a aumentar la incidencia de la inversión comunitaria en investigación y desarrollo, cifrada en 50 000 millones de euros, y evitar las pérdidas de tiempo y de recursos valiosos debido a investigaciones duplicadas. Con un acceso a un surtido de documentación más amplio, los investigadores podrán aprovechar estos conocimientos para hacer avanzar su propio trabajo. Las pequeñas y medianas empresas y los empresarios también podrán aprovechar el mejor acceso a los últimos avances de la investigación para acelerar la comercialización y la innovación.
Antecedentes
El proyecto piloto de libre acceso puesto en marcha hoy se anunció en la Comunicación de febrero de 2007 de la Comisión Europea sobre la información científica en la era digital: acceso, difusión y preservación (IP/07/190). A raíz de esta Comunicación, el Consejo de noviembre de 2007 de ministros de Investigación de la UE invitó a la Comisión a experimentar con el libre acceso en el 7º PM.
Desde 2006, la Comisión ha organizado amplias consultas a las partes interesadas sobre las políticas de libre acceso, incluida una conferencia de alto nivel de las partes interesadas, con unos 500 participantes, en febrero de 2007.
Muchos organismos de financiación nacionales, por ejemplo Wellcome Trust en el Reino Unido o los institutos nacionales de sanidad de los EE UU ya tienen normas sobre libre acceso. El Consejo Científico del Consejo Europeo de Investigación adoptó sus directrices sobre el libre acceso en diciembre de 2007.
Información disponible en MEMO/08/548
Enlace al texto completo de la Decisión:
http://ec.europa.eu/research/press/2008/pdf/decision_grant_agreement.pdf
http://ec.europa.eu/research/press/2008/pdf/annex_1_new_clauses.pdf
La información sobre el proyecto piloto de libre acceso se podrá consultar desde el 1 de septiembre de 2008 en:
http://ec.europa.eu/research/science-society/open_access
Actividades conexas:
http://ec.europa.eu/research/science-society/scientific_information
http://ec.europa.eu/information_society/activities/digital_libraries/index_en.htm
http://erc.europa.eu/pdf/ScC_Guidelines_Open_Access_revised_Dec07_FINAL.pdf
