[Lorcan]

Moin,
bei uns in der Mensa wird mit RFID-Karten gezahlt. Vorher werden die Karten an einem Terminal per Überweisung aufgeladen. Beim bezahlen wird offensichtlich das Geld direkt von der Karte abgebucht da bei erneutem Auslesen der neue Geldbetrag schon angezeigt wird.
Ist es möglich eine solche Karte zu manipulieren?
Schönen Dank für die Antworten.
Lorcan

( Ich habe natürlich nichts illegales vor...! )

[Kokser]

( Ich habe natürlich nichts illegales vor...! )

Nee natürlich nicht...für Betrug wirst du hier keine Hilfestellung erhalten, soviel sollte dir klar sein.

[Lorcan]

Es geht um die theoretische Möglichkeit ein technisches System Gewaltfrei zu umgehen bzw. evtl. vorhandene Sicherheitslücken aufzuzeigen...
Soll ja nur eine Herausforderung sein.
Gruß
Lorcan

[Study]

Besorg dir einfach den "Data Becker RFID Manipulator 2006".
Oder du wickelst die Karte in Alufolie ein und läufst schnell an der Kasse vorbei ;-)

Nee, mal im ernst:
Deine Überweisung wird auf einem Server gespeichert,
du gehst an der Kasse vorbei,
die Kasse liest über RFID deine Matrikelnummer,
der Betrag des Essens wird auf dem Server abgezogen.

Da gibt es nix zu faken.

CU Study

[notintel]

Zitat von Lorcan 

Es geht um die theoretische Möglichkeit ein technisches System Gewaltfrei zu umgehen bzw. evtl. vorhandene Sicherheitslücken aufzuzeigen...
Soll ja nur eine Herausforderung sein.
Gruß
Lorcan

nur glaub ich dir das nicht so ganz...
möglicherweise vorhandene sicherheitslücken sind nicht wichtig, solange sie keiner entdeckt bzw ausnutz. aber wenn dann so ein spast kommt und meint er müsse die anderen bescheissen und sich einen vorteil verschaffen sind die sicherheitslücken relevant und man sollte sie vor ihm nicht erwähnen oder gar beschreiben.
das heisst natürlich nicht, dass du ein solcher mensch bist, aber eben ein potenzieller...

[Freeldr77]

Der RFID ist AFAIK nicht beschreibbar, sondern ein fest "verlöteter" Chip (ROM), der einmalig mit einer Identität verbunden wird.

In einer Datenbank wird diese Identität mit der Deinigen verbunden (auch wegen des Geldeingangs per Überweisung). Zahlst Du Geld ein, wird das in der DB eingetragen. Gehst Du an die Kasse, wirst Du per RFID identifiziert, Dein Guthaben aus der DB abgefragt und entsprechend angepasst, also abgebucht. Deswegen kannst Du auch unmittelbar nach Abbuchung den aktuellen Kontostand abfragen. Im Grunde ist das das gleiche wie bei einer EC-Card.

Manipulation "lohnt" nicht, da der Aufwand (Verschlüsselung der Identitäten ermitteln, RFID mit in der DB vorhandenen Identität herstellen) im Vergleich zu einem Ergaunerten Mittagessen zu hoch ist. Und dann wird in kürzester Zeit der echte Inhaber der Identität die Karte sperren lassen, da es ja von seinem Konto abgeht.
Alternativ kommt die selbe Methode wie bei der EC-Card in Frage: Ausspähen des Pin-Codes und anschliessender Kartendiebstahl (Kopie fällt bei RFID wohl aus). Auch das wird dem Inhaber der Karte schnell auffallen.

Insgesamt ist das also schon für eine Mensa ein sicheres System, bei dem sich der Betrug mit Sicherheit nicht auszahlen würde.

[frogger9]

zum Thema Sicherheit bei RFID
http://www.heise.de/tp/r4/artikel/18/18845/1.html

[Greg5000]

Wenn die es beschreiben können, kannst Du das auch. Brauchst ein passendes Gerät und Ahnung.

[gunknown]

Zitat von notintel 

möglicherweise vorhandene sicherheitslücken sind nicht wichtig, solange sie keiner entdeckt bzw ausnutz.

Es wird immer einen geben der sie entdeckt und ausnutzt. Daher ist es sehr wichtig offen mit jeder neuen Sicherheitslücke umzugehen und diese zu schließen. Das schlimmste was man machen kann ist versuchen sie zu verschweigen/vertuschen und darauf zu hoffen, dass es keiner merken wird.

Manipulation "lohnt" nicht, da der Aufwand (Verschlüsselung der Identitäten ermitteln, RFID mit in der DB vorhandenen Identität herstellen) im Vergleich zu einem Ergaunerten Mittagessen zu hoch ist.

Mag sein, aber alleine der Gedanke dass es möglich ist reizt dazu sich das ganze näher anzusehen. Was in der Mensa funktioniert klappt dann auch wo anders :P