Die Mifare Classic Karten von NXP Semiconductors sind eine der weltweit am häufigsten verwendeten kontaktlosen Smartcards. Sie kommen zum Beispiel als Schlüsselkarten für Hotels oder sogar in Zahlungssystemen für den öffentlichen Verkehr zum Einsatz.

Im Jahr 2020 hat das chinesische Unternehmen Shanghai Fudan Microelectronics eine Karte mit der Bezeichnung FM11RF08S auf den Markt gebracht. Dabei handelt es sich um eine unlizenzierte Karte, die aber mit den Systemen von Mifare kompatibel ist.

Die originale Mifare Classic Karte litt unter einigen Schwachstellen, die sie zum Ziel für Hackerangriffe machte. Die FM11RF08S sollte diese Sicherheitslücken schließen. Sie gewann weltweit an Marktanteil, oft sogar ohne, dass Unternehmen wussten, dass es sich dabei nicht um ein offizielles Produkt handelte, berichtet der Sicherheitsforscher Philippe Teuwen von Quarkslab.

Der Forscher hat nun herausgefunden, dass die FM11RF08S des chinesischen Herstellers über eine Hardware-Backdoor verfügt. Damit ist es möglich, die Schlüsselkarten innerhalb von wenigen Minuten zu knacken und zu klonen.

Auch beim Vorgängermodell der Fudan-Karte mit der Bezeichnung FM11RF08 hat der Forscher die gleiche Backdoor gefunden. Ein Angriff erfordert, dass der Angreifer die Karte physisch besitzt und über ein entsprechendes Lesegerät verfügt.

Weiter führt der Sicherheitsforscher aus, dass die Karten mit der Backdoor von vielen Unternehmen, vor allem Hotels in Europa, den USA und Indien genutzt werden, ohne dass sie sich der Sicherheitslücke bewusst sind.

Unternehmen sollten deshalb überprüfen, ob sie von dieser Schwachstelle betroffen sind. Hotelbesucher sollten derweil auf ihre Schlüsselkarte aufpassen und diese nicht aus der Hand geben.

Laut Teuwen gilt das Mifare Classic Protokoll als unsicher, egal ob offizielle Karten oder die Karten von Fudan verwendet werden. Er rät darum, auf andere Alternativen wie Mifare Desfire zurückzugreifen.