NXP klagt gegen Hacker der RFID-Karten "Mifare" (Update)

Verbreitung einer wissenschaftlichen Arbeit soll unterbunden werden

US-Berichten zufolge klagt der Halbleiterhersteller NXP gegen die Radboud-Universität in Nijmegen. Ein dortiges Forscherteam hat bereits seit mehreren Monaten nachgewiesen, dass der weltweit verbreitete Standard "Mifare" für RFID-Karten schwere Sicherheitslücken aufweist.

Bekannt geworden sind die Schwächen von Mifare bereits Ende 2007, auch das deutsche Magazin c't widmete den Schwächen der NXP-Technik in der Ausgabe 8/08 einen ausführlichen Artikel. Im April 2008 demonstrierten britische Forscher die Schwächen von Mifare schließlich auch auf der Sicherheitskonferenz Eurocrypt 2008. Weltweit ist Mifare Schätzungen zufolge auf über einer Milliarde RFID-Karten im Einsatz. Diese werden für Zugangskontrollsysteme, aber auch Micro-Payments eingesetzt.

So dienen sie beispielsweise in den U-Bahnen von London und Amsterdam als Zahlungsmittel. In einem YouTube-Video hatte auch Dr. Bart Jacobs von der Radboud-Universität gezeigt, wie er mittels einer geklonten Mifare-Karte die Londonder U-Bahn gratis benutzen konnte.

Video: Mifare Hack

Die Schwächen von Mifare stecken nicht nur im Abfangen der Schlüssel von Lesegeräten. Die Karten können auch vergleichsweise einfach kopiert werden. Wenn keine anderen Sicherungsmechanismen verwendet werden, können sich Personen mit einer kopierten RFID-Karte Zugang zu Gebäuden oder anderen Sicherheitsbereichen verschaffen.

Mindestens sechs Monate lang sind diese Lücken bereits bekannt, und nun versucht NXP einem Bericht von Cnet zufolge, die Verbreitung der Arbeiten der Radboud-Universität zu unterbinden. Ein wissenschaftliches Papier, das die meisten der Lücken aufdeckt, wurde bereits im Oktober 2007 von der Hochschule publiziert.

Eine Anhörung vor einem niederländischen Gericht soll am heutigen Donnerstag, dem 10. Juli 2008, stattfinden. Eine Entscheidung der Richter ist für die kommende Woche zu erwarten. NXP, die ehemalige Halbleitersparte von Philips, wollte zu den Berichten gegenüber Golem.de nicht unmittelbar Stellung nehmen.

Nachtrag vom 10. Juli 2008, um 13:30 Uhr:
Wie NXP inzwischen erklärte, halten sich beide Seiten des Prozesses auf Wunsch des Richters mit öffentlichen Äußerungen derzeit noch zurück. Das Unternehmen bestätigte jedoch, dass es mit seiner Klage die Veröffentlichung eines weiteren Papiers der Universität der Radboud-Universität verhindern möchte. Diese Arbeit wollen die Forscher nach bisherigem Plan im Oktober 2008 vorlegen.