Einkaufsbetrug mit RFID-Umprogrammierung

RFDump liest RFIDs aus - und beschreibt sie. Mit einem von Lukas Grunwald und Boris Wolf programmierten Tool lassen sich mittels handelsüblichem RFID-Lesegerät nicht nur die Daten von RFID-Etiketten auslesen, sondern auch selbst verändern. Die auf RFIDs in der Regel fehlende Verschlüsselung macht's möglich - und verdeutlicht die daraus entstehenden Datenschutzprobleme nicht nur für Endkunden, sondern auch für Ladenbesitzer.

29. Juli 2004 um 13:24 Uhr / Christian Klaß

RFDump läuft auf Linux- oder Windows-PCs sowie mit Linux bespielten iPAQ-PDAs von HP; es gibt das Tool als Java- (Windows, Linux) und als Gtk-Anwendung (Linux) jeweils mit Benutzeroberfläche sowie als noch etwas eingeschränktes Perl-Script für Linux (PC oder PDA) mit Kommandozeilen-Steuerung. Nötig zum Ausprobieren ist neben einem ACG-Multi-Tag-Reader (Compact Flash) oder einer ähnlichen Card-Reader-Hardware natürlich auch eine 13,56-MHz-RFID-Etikette.

RFDump zeigt Meta-Informationen wie Etiketten-ID und -Typ sowie Hersteller. Der Datenbereich für den Nutzer ("User Data Memory") kann angezeigt und entweder per Hex- oder ASCII-Editor modifiziert werden. Zusätzlich zeigt eine integrierte Cookie-Funktion, wie leicht es für Unternehmen ist, mittels RFID-Technik ihre Kunden oder die ihrer Konkurrenz auszuspionieren. Es wird dabei eine eigene Cookie-ID erzeugt und jeder Funkkontakt zum mit dem Cookie versehenen RFID automatisch mitgezählt.

Laut News.com hat Lukas Grunwald vom Hildesheimer Beratungsunternehmen DN-Systems auf der Sicherheitstechnik-Veranstaltung "Black Hat Security Briefings" nicht nur darauf hingewiesen, dass jeder Nutzer nach dem Verlassen des Ladens die Möglichkeit haben sollte RFIDs zu löschen, sondern auch, dass die aktuelle Technik noch Sicherheitsrisiken für den Handel aufweise. Ohne Schutz der Daten könnten Fremde mutwillig die RFID-Etiketten im Vorbeigehen löschen und so Chaos auslösen oder eine Ware als schon bezahlt deklarieren. Vorausgesetzt, sie wissen um die Datenstruktur des eingesetzten RFID-Systems. Noch soll die Rechenleistung von RFIDs nicht für die Integration eines verschlüsselten Zugangsschutzes ausreichen.

Die mit Funktechnik versehenen Etiketten bringen seit einiger Zeit Datenschützer und Bürgerrechtler dazu, gegen die Einführung von RFIDs zu protestieren, welche die Industrie am liebsten in jeden Gegenstand zwecks Identifikation und Verwaltung integrieren würde. Aus diesem Grunde drängt etwa die Bürgerrechtler-Vereinigung FoeBuD e.V. auf Gespräche zwischen Datenschützern und Industrie.