悠遊カードが天才高校生に解読された？サイバーセキュリティ専門家：MIFARE Classicの脆弱性は15年前にすでに公開されていた！

17歳の高校生がNFCリーダーを使って悠遊カードの残高を改ざんし、半年間で40回以上返品し、70万元近い違法な利益を上げました。 この事件により、長年眠っていたMIFARE Classicの脆弱性が浮き彫りになり、当局とセキュリティコミュニティは、スマート決済インフラストラクチャが直面するセキュリティの脆弱性を再調査することを余儀なくされました。 (あらすじ:アダム・バック反量子コンピュータが「ビットコインをクラック」:TaprootをSLH-DSAと統合することが推奨されています)(背景補足:シェントゥ・チンチュン:1350BTCのTrezorウォレットをクラックしました) 台湾は最近、17歳の停学中の高校生がNFCリーダーを使用してYouyouカードの残高を改ざんし、半年間で40回以上返還し、約70万元の違法な利益を上げたと報じました。 この事件は、長年眠っていたMIFARE Classicの脆弱性を浮き彫りにし、当局とセキュリティコミュニティに決済インフラストラクチャの「古い問題」を再調査することを余儀なくされました。 MIFARE Classicは長い間クラックされてきた 情報セキュリティの専門家であるHu Li Huliは、この事件を見て、NTUの電気工学科の教授であるZheng Zhenmouが、早くも2010年にMIFARE Classicをクラックするために使用されたCRYPTO1を実証したと投稿しました。 現在のYouyouカードで使用されている仕様でもあるアルゴリズムは、15年前に完全に解読されています。 CRYPTO1暗号化の脆弱性、サイドチャネル攻撃(SPA、DPA)、およびオープンソースツールのProxmark3は、Youyouカードのコピー、改ざん、およびクローンプロセスのしきい値を大幅に下げる「三部作」を形成します。 専門家のHu Li Huli氏は、「付加価値レコードはサーバー側に保存され、最終的には金額が見つかります。 本当のリスクは、チップの交換が簡単すぎて、検出と法執行のコストが警察にアウトソーシングせざるを得なくなることです。」 2011年に呉という姓の情報セキュリティコンサルタントがスーパーマーケットでの消費でYouyouカードをクラックして逮捕された事件を振り返ると、情報セキュリティコンサルタントは消費を通じて直接現金化しており、今回は高校生が「MRT会社が払い戻し後にYouyouカードで直接支払いを申請しないため、途中でタイムラグが生じ、すぐに発見されない」と払い戻しの仕組みに切り替えました。 ニュース報道によると、和解中に異常に気づくのに数ヶ月かかったようですか? そして今回はその量がいっぱいで、実際には数十万個あります。」しかし、本質的には、カード側の情報を変更することがすべてです。 Hu Li Huli氏は「Youyouカードの新バージョンは、基盤となる技術に取って代わった。しかし、古いカードがまだ市場で流通している限り、同様の事件を完全に根絶することは不可能だ。 それを解決したいなら、古いシステムを使用していたすべてのカードを取り戻してそれらを排除するだけでよいですよね?」 警察の捜査により、高校生はインターネットで中国製のNFCリーダーを購入し、自己教育を通じてチップ内のカードの量フィールドの変更を習得し、カードの金額を1,000元に繰り返し書き込んだ後、MRT駅に行ってスワイプを解除し、シングルサイクルプロセス全体に3分未満かかったことがわかりました。 2024年末、同社はバックオフィスの照合を通じて異常な状況を発見し、今年2月に学生を逮捕しました。 同社は、監視のロジックを強化したと述べましたが、事件が司法手続きに入ったため、現時点では詳細を開示するのは不便です。 外部参考文献:「論文:Mifare Classicのカードのみの攻撃」 「NFC情報セキュリティの実践–Xingda情報社会コース」関連レポート DeFiプロトコルResupplyFiがハッキングされ、960万ドルを失い、ネイティブのステーブルコインreUSDは一度0.969ドルに固定解除されました コールドウォレットTrezorは警告します:ハッカーはフィッシング攻撃の公式書簡を偽造し、ウォレットの秘密鍵を共有しません 〈Youyouカードは才能のある高校生によって解読されましたか? セキュリティ専門家:MIFARE Classicの脆弱性が15年前に公開されました! この記事は、BlockTempoの「Dynamic Trend - The Most Influential Blockchain News Media」に掲載されたものです。