Skipass RFID-Daten

[enviadi]

Ausgehend von der Frage im GR Card-Topic, ob man die WTP-Nummer selber auslesen kann, habe ich mir die Karten mal genauer angeschaut mit der NFC Tools Android App. Das Funktionsprinzip von RFID-Karten ist, dass am Drehkreuz die UID ausgelesen wird und dann im System gecheckt wird, ob für die UID ein gültiges Ticket existiert.

Ich habe mir zuerst Skidata angeschaut, die Nummern sind wie folgt aufgebaut: 01-1614 7159 9229 9670 9834-2

Alle Nummern haben ein 01-1614 Präfix, das ist nicht Bestandteil der UID. Die letzte Nummer nach dem 2. Bindestrich ist auch nicht Teil der UID, vermutlich eine Checksumme. Die mit der App ausgelesene UID ist: CA:89:A4:0D:66:3C:16:E0. Laut Spec beginnt jede UID mit E0, d.h. die App zeigt die UID verkehrt herum an, d.h. die UID ist eigentlich: E0:16:3C:66:0D:A4:89:CA. Ohne das konstante Anfangs-Byte hat man also 7 Bytes zur Verfügung. Der Kern der Skidata-Nummer besteht aus 16 Ziffern: 7159 9229 9670 9834. Die minimale Speichergrösse für 16 Ziffern sind 56bit = 7 Bytes, d.h. die Nummern passen genau in den verfügbaren Speicher für eine UID. Wenn man 16:3C:66:0D:A4:89:CA von Hex zu Dezimal konvertiert, kommt das raus: 6258 8585 0085 2170. Das sieht schon mal wie eine Skidata-Nummer aus, ist allerdings immer geringer. Das liegt daran, dass hier noch eine "Magic Number" im Spiel ist, die konstant ist. Das macht man, damit es nicht ganz so auffällig ist.

Die Magic Number ist: 901064495857664

6258 8585 0085 2170 + 901064495857664 = 7159 9229 9670 9834

D.h. bei Skidata wird über die Skipass-Nummer direkt die UID definiert, wenn man z.B. online eine Karte registriert. Und die Skidata-Nummer kann man aus der UID rekonstruieren, selbst wenn sie nicht auf der Karte aufgedruckt ist.

Bei Axess sind sogenannte WTP-Nummern aufgedruckt, z.B. G9811154-H63-E4Q. Das sind 14 Zeichen, die aus 26 Buchstaben + 10 Ziffern bestehen können, d.h. 36 mögliche Werte pro Zeichen. Um die speichern zu können, braucht man 6bits. Bei 14 Zeichen wären das 84bits, d.h. die WTP-Nummer kann unmöglich eine direkte Abbildung der UID sein. WTP steht für die Web Ticketing Plattform von Axess, die WTP-Nummer ist eine UID in dem System, aber nicht direkt die UID der Karte. D.h. irgendwo muss ein Mapping der WTP-Nummer auf die UID der RFID definiert sein. Entweder ist das auf den Servern von Axess gespeichert oder im Speicherbereich der Karte. Den könnte man sich auch noch mal näher anschauen, dafür habe ich aber bisher keine Zeit gehabt.

[hch]

Mich würde mal eine Sicherheitsanalyse sowohl der traditionellen offline Daten als auch der Online-Tickets interessieren. Würde mich irgendwie wundern wenn es da nicht die eine oder andere böse Lücke gibt

[biofleisch]

Mich würde mal eine Sicherheitsanalyse sowohl der traditionellen offline Daten als auch der Online-Tickets interessieren. Würde mich irgendwie wundern wenn es da nicht die eine oder andere böse Lücke gibt

Die Wahrscheinlichkeit einer Sicherheitslücke ist imho verschwindend gering.

Warum? Ganz einfach: weil die Gültigkeit des Tickets in einem komplett geschlossenen System vorgehalten wird. Selbst wenn man in dieses System "eindringen" könnte, würde das kaum etwas nutzen. Selbst bei dem Preis einer SnowCard lohnt sich der Aufwand nicht - im schlimmsten Fall könnte man die Datenbank zerstören oder verschlüsseln. Aber was brächte das? Maximal eine negative Aussenwirkung, weil alle Karten nicht mehr gingen. Für diesen Fall dürfte es aber Backupdaten geben, so dass man den korrekten Zustand relativ schnell wieder herstellen könnte.

Merke: Ein Angriff (auch bei Geldsystemen) ist zwar prinzipiell immer möglich, aber die Fragestellung lautet: unter welchem Aufwand?

PS: bin KEIN Spezialist für diese Systeme, meine Meinung ergibt sich lediglich aus der Logik und Kenntnissen in anderen Systemen.

[sheridan]

@hch Das ist noch ein guter Punkt. Für eine Offline-Validierung der Gültigkeit müssen die Daten auf der Karte gespeichert sein. Bei einer Online-Buchung auf eine Skidata-Karte gibst du wie erwähnt nur die UID bekannt. D.h. mindestens das erste Drehkreuz beim Einstieg muss online sein. Könnte sein, dass dabei dann die Gültigkeit im Kartenspeicher aktualisiert wird, damit dann später die Offline-Validierung funktioniert. Hier müsste man mal vor und nach dem Drehkreuz einen Dump der Kartendaten machen.

[hch]

Die Reinen Offline-Karten sind inzwischen recht selten, aber zumindest bei einigen Kleinstskigebieten und am Venet noch vorhanden. Und dass das gut alte reine Offline-System das wahrscheinlich schon seit Ewigkeiten nicht geupdated wurde krytographisch auf dem neuesten Stand ist kann ich mir nicht so recht vorstellen.

Bei allem das Online Funktioniert dürfte das Threat-Model reine Erschleichung einer Leistung in der Tat wie von biofleisch erwähnt recht schwer sein, wenn sie es nicht voll verbockt haben, und dann auch nicht wirklich langfristig sein. Was aber interessanter und IMHO echt gefährlich wäre ist wenn man die UID einfach duplizieren kann, sprich man könnte jemanden an der Hotelbar oder ähnlichem die UID auslesen und dann selber benutzen. Zur Erschleichung von Leistungen funktioniert das natürlich auch nur gut wenn der andere sie nicht gleichzeitig nutzt, aber auch als Denial of Service kann das ziemlich nervig sein.

[sheridan]

Die UID kann man auch klonen. Auf normalen Karten ist die zwar nicht beschreibbar, es gibt aber auch sogenannte "Magic Cards", bei denen das geht. Beim Online-Skipasskauf würde dann der gewinnen, der als erster durchs Drehkreuz geht. Das fällt dann aber natürlich auf.

[sheridan]

Beim CCC habe ich noch ein informatives Video dazu gefunden:
Zum lesen und schreiben braucht man kryptografische Schlüssel. Bei Skidata müsste es dann entweder nur einen Schlüssel geben oder der Schlüssel wird von der UID abgeleitet.

[Stäntn]

Ok verstanden. Und ab wann können wir jetzt Skipässe selbst programmieren? Brauch ich dafür AlpinfansPRO?

[Matthias_B_aus_M]

D.h. bei Skidata wird über die Skipass-Nummer direkt die UID definiert, wenn man z.B. online eine Karte registriert. Und die Skidata-Nummer kann man aus der UID rekonstruieren, selbst wenn sie nicht auf der Karte aufgedruckt ist.

Das geht auch einfacher. Mit der Skiline App kannst Du auch über NFC den Skipass einlesen (Skipass hinzufügen --> passendes oder irgend ein Skigebiet aussuchen --> Skipass an Smartphone NFC Sensor halten). Die Skipassnummer wird dann in der App angezeigt (in der Dezimalschreibweise mit 01-1614- usw.), und da kann man es mit Copy & Paste auch rauskopieren. Mache ich eigentlich immer so, wenn ich irgendwo online ein Ticket kaufe und auf einen vorhanden Skipass laden möchte. So kann es nicht zu einem Tippfehler kommen ..

Bei Axess bin ich mir nicht sicher, ob das da auch funktioniert. Gerade zeigt er irgendwie Müll an (eine Skipass-Nummer im Skidata Format ???).

[sheridan]

Die App macht vermutlich die gleiche Rechnung aus der UID zurück, deswegen passt es bei Axess nicht.

[Matthias_B_aus_M]

Ja, vermutlich, aber ich meine dass das schonmal anders gewesen wäre. Möglicherweise aktuell ein Fehler in der App. Bin mir aber nicht 100%ig sicher, da ich im Jahr genau einmal einen Axess Skipass in Skiline eintrage.

[Theo]

Hier mal ein Bild von den Daten wo ich maximal angezeigt bekomme.
Die Transaktions-ID gibt es nur bei online gekauften Karten, die Bestätigungsnummer glaub auch.
Interessant dürfte die DTA ID in Verbund mit der DS sein.
Das System ist immer noch so aufgebaut dass es auch offline funktioniert. Ausgenommen sind da dann halt die im Internet gekauften Karten wo noch keinen Erstzutritt hatten und der Chip noch nicht geladen ist.
Dieses Jahr neu bei uns ist, dass der Ikon-Pass direkt am Leser funktioniert. Dort gibt es in der Anzeige dann allerdings nur die DS, jedoch keine separate BS. Wo genau überprüft wir ob auf dieser DS ein gültiger Ikon-Pass ist weis ich nicht, die ca. 1.5 Millionen Nummer sind aber wahrscheinlich bei uns in der DAZ.

[seilreiter]

DS ist die Skidata-Kartennummer.
BS ist eine ID, die das Ticket im Billing-System identifiziert. Syntax ist:

[cardId]-[companyNumber]-[cashNumber]-[sequenceNumber]

D.h. 1280 steht für Zermatt. Die BS-Nummer wird in Zermatt auch auf dem Skipass aufgedruckt.

Man beachte auch den Preis für 2 Tage international von damals

[Theo]

Zermatt hat die Poolnummern1280 - 1283, dies weil es früher vier Gesellschaften gab und jetzt noch zwei.
Mit nur einer Poolnummer würde es samt den Automaten und online langsam mit den Kassanumnern knapp.
Die BS ist zum Arbeiten die wichtigste Nummer, ohne die geht nichts.

[sheridan]

Möglicherweise aktuell ein Fehler in der App. Bin mir aber nicht 100%ig sicher, da ich im Jahr genau einmal einen Axess Skipass in Skiline eintrage.

Ich hab es mal ausprobiert, mit Axess wird auch eine 1614-Nummer angezeigt. Die Daten werden aber korrekt angezeigt. D.h. die UID wird ebenfalls bei Axess intern verwendet, muss sie auch konzeptionell.

[sheridan]

Im Baqueira wird ein sehr merkwürdiger Skipass verwendet, den ich auch nicht mit dem Handy auslesen konnte. D.h. er entspricht nicht dem NFC-Standard. Die Antenne ist auch merkwürdig wellenförmig. Ich vermute, dass das noch ein simples 125KHz-System ist. Bei 13.56MHz-Karten ist die Antenne typischerweise rechteckig an den Rändern der Karte.

Der untere Teil ist eine Art Abreissquittung und der aufgedruckte Barcode ist ein Hinweis darauf, dass wohl früher mal verschiedene Techniken verwendet wurden. Witzig ist auch, dass draufsteht, dass man den Pass sichtbar tragen sollte, aber das hat niemand gemacht.

[sheridan]

Bezüglich Axess habe ich noch herausfinden können, dass die WTP-Nummer doch auch die RFID-UID enthält. Die Nummern sind typischerweise in diesem Syntax aufgedruckt:
M9811008-4AU-Z8F

Die UID der Karte ist: 04010800822B7F

Der rot markierte Teil enthält die UID. Die Nummer kann 0-9 und A-Z enthalten, von daher dachte ich zuerst an Base-36. Allerdings treten die folgenden Buchstaben nie auf: B,I,O,V. Es wird also effektiv in Base-32 codiert. Das hat man vermutlich deswegen gemacht, weil B leicht mit 8, I mit 1 usw verwechselbar ist.

04010800822B7F in Base-32 ist: 10110084ARV, hier sieht man schon, dass der Teil 110084A gleich ist. Das erste Byte mit 04 wird vermutlich nicht codiert. Ich habe bisher auf allen Karten nur 04 gefunden, da der Hersteller bei Axess immer NXP zu sein scheint. Die Buchstaben nach A verschieben sich wegen den fehlenden B,I,O,V entsprechend nach hinten. Base-32 wäre 0-9 und A-V, mit den weggelassenen Buchstaben verschiebt sich dann RV -> UZ.

Die letzten beiden Zeichen der WTP-Nummer sind ein Indikator für das Skigebiet. 8F steht z.B. für die Jungfrau-Region, FX für Portes du Soleil usw.

Wofür die ersten drei Zeichen gut sind, habe ich noch nicht herausfinden können. Vielleicht ist dort doch noch der RFID-Hersteller codiert. Der erste Buchstabe könnte eine Checksumme sein.

[Frans]

Im Baqueira wird ein sehr merkwürdiger Skipass verwendet, den ich auch nicht mit dem Handy auslesen konnte. D.h. er entspricht nicht dem NFC-Standard. Die Antenne ist auch merkwürdig wellenförmig. Ich vermute, dass das noch ein simples 125KHz-System ist. Bei 13.56MHz-Karten ist die Antenne typischerweise rechteckig an den Rändern der Karte.

Hat das Personal in Baqueira-Beret nicht überall manuell mit ein Barcode-Scanner die Tickets kontrolliert? Das war bei uns in 2018 so... an nahezu jeden Lift stand am Eingang jemand unter ein Sonnen/Schneeschirm die dann "Skidata" gespielt hat und die Barcodes vom jeden Fahrer gescannt und überprüft hat. Sogar an Liften ohne speziellen Scan-Personal, kam immer jemand aus dem Lifthäuschen gerannt, während wir schon auf dem Förderband zum Sesseleinstieg standen, um gehastig die Barcodes zu scannen. Das war sensationell lustig. Wir konnten dennoch den Skitag über Skiline auswerten lassen. Anscheinend hatten die damals schon eine Schnittstelle, wo alle Liftfahrten - die per Hand (!) gescannt wurden - an Skiline übermittelt wurden.

Apropos Skiline... Damit findet man per NFC sofort und Benutzerfreundlich seine Skidata-Nummer heraus. Zwar ohne 01- am Anfang und ohne Kontrollzahl am Ende (die kann man ja online ermitteln), aber den Rest ist mit dabei. So habe ich online mein Swisspass schon auch in Italien und Frankreich erfolgreich einsetzen können. Auch direkt vor Ort wurde unseren Swisspass im Aostatal ohne Kommentar an der Kasse jeweils aufgeladen. Während man in Österreich schon angemeckert wird, dass man ein Skipass von einem Fremdgebiet wieder aufladen möchte, sind die Italiener oder Franzosen da tiefsten entspannt. Auch in der Schweiz war das noch nie ein Thema, als ich noch kein Swisspass hatte. Die Österreicher sind da etwas 'speziell'.

[sheridan]

Hat das Personal in Baqueira-Beret nicht überall manuell mit ein Barcode-Scanner die Tickets kontrolliert? Das war bei uns in 2018 so...

Man muss sich immer noch vom Personal scannen lassen, aber nicht mehr optisch. D.h. der Pass kann auch in der Jacke stecken, obwohl auf dem Pass noch draufsteht, dass man ihn sichtbar tragen soll.