"Scantron afviser at stille op til interview, men bekræfter over for Version2, at de har modtaget og ignoreret advarslerne, fordi afsenderen var anonym"

Er det muligt at hale en eller anden form for svar ud af Scantron om logikken i dette?

Alle løsninger, hardware så vel som software, kan have fejl - selv med de eksorbitante mængder af penge, der bruges på udvikling og kvalitetskontrol af person transport i rumfarten, er der også fejl på deres løsninger. Vi slipper ikke for fejl, men vi kan bestemt mindske risikoen og håndtere dem bedre, når de bliver opdaget.

Det er ikke strafbart for en bil producent, at der opdages fejl i deres biler (så længe det ikke er fejl, der bevist er solgt). Bil producenterne er tilgengæld lovmæssigt forpligtede til at informere om fejlene og udbedre fejlene med det samme, uden beregning.

Hvorfor gælder samme lovgivning ikke for "smart" enheder, som de låse? Ja, risikoen for personskade grundet usikrere "smart låse", er markant lavere end ved usikker bremser på biler, men den er bestemt forøget...

Jeg kan godt forstå at man kan klone et mifare clasic kort. (Replay attak) Men jeg kan ikke forstå hvorledes et kort kan gøres til universal nøgle.

På kun to minutter lykkedes det at kopiere de digitale nøgler i  forskellige boligforeninger og lave dem om til universalnøgler, der kunne åbne samtlige døre i den enkelte forening. Der kræves en kodestump fra den legitime kodebase Github, en lovlig kortscanner, der kan købes for nogle hundrede kroner på eBay, samt en vilkårlig nøglebrik fra den forening, man ønsker at kompromittere.

Ved at se denne video, giver nogle hint til hvordan det virker:https://www.youtube.com/watch?v=-EKz1iyd5W4De bruger ordet ‘blacklist’, og de er ude ved den enkelte lås for at programmere den om.

Dette indikere at der ikke er nogen kommunikation mellem de enkelte låse, og en central enhed for autentificering.

Normalt vil man fjerne et tabt kort fra en ’whitelist’ , men her anvendes der en ’blacklist’ process i stedet?

Mit gæt er at det i stedet er baseret på en algoritme, således at der kan udstedes nye kort uden at skulle omkode alle låse til fældes arealer. Den algoritme har så den svaghed at man ud fra et kort, kan udregne universal nøglen.

Scantron afviser at stille op til interview, men bekræfter over for Version2, at de har modtaget og ignoreret advarslerne, fordi afsenderen var anonym.

Og navngivne henvendelser politianmeldes straks for hacking?

MIfare chip, må bare ikke benyttes til adgangskontrol med mindre at der er pinkode på. Rejsekortet har ikke pinkode og har på den hårde måde lært at der er noget der hedder replay attacks, hvor kortets indhold læses, så rejser man, og skriver efterfølgende den læste info tilbage til kortet. Kortet har nu ikke længere info om at man har været ude at rejse.

Dette kan opdages i backenden, men jeg tænker at scantron og tilsvarende ikke har en overvåget backend der holder øje med replay attacks.