Gisteren hebben onderzoekers van de Vrije Universiteit van Amsterdam een paper gepubliceerd waarin staat dat RFID-tags op te modificeren zijn zodat ze als virus, worm of trojan kunnen functioneren. De RFID technologie is al vaker mikpunt geweest van kritiek.
RFID (radio frequency identification) tags zijn een soort mini-chips die (een kleine hoeveelheid) data bevatten. Met behulp van speciale scanapparatuur is op tientallen meters afstand te zien wat voor data de chip bevat. Deze technologie geniet een sterk stijgende mate van populariteit aangezien snel en eenvoudig te zien is waar bijvoorbeeld een object, product, dier of mens zich bevindt, of om wat voor object het precies gaat.
Anti-Virus producent Kaspersky Lab heeft de paper bestudeerd en wil hier vanuit haar security expertise een reactie op geven. Aanleiding voor deze reactie is dat er in Nederland malware geschreven wordt met goedkeuren van de VUA en de NWO en het feit dat de auteurs hebben aangegeven deze malware publiek te willen maken.
"Sinds wanneer is het schrijven van malware legaal in Nederland? De auteurs van het artikel hebben het over het maken van hun punt, dat hoef je niet te doen door het te hebben over polymorphic code en andere ‘optimalisaties’ om detectie te omzeilen. Noch is de wereld erbij gebaat de malware in te kunnen zien. Als ze de vendors willen overtuigen dan moeten ze de code aan de betreffende vendors laten zien en eventueel ook aan security bedrijven. De malware met de rest van de wereld delen maakt het er écht niet veiliger op. Stuur de code dus naar de vendors en naar niemand anders." aldus Roel Schouwenberg, Senior Research Engineer van Kaspersky Lab Benelux:
"Ik ben verbijsterd. Hoe kan het dat niemand vraagtekens zet bij ethische zijde van dit verhaal? Hebben we dan niets geleerd van de Nederlandse maker van de Kournikova worm?"
Schouwenberg vraagt zich verder af of de goedkeurende organisaties wel hebben nagedacht over de consequenties: "Precies wat was men aan het denken toen hier goedkeuring voor werd gegeven? Voor we het weten wordt dit soort ‘research’ – het schrijven van kwaadaardige code – standaard voor universitair onderzoek. Het feit dat er wordt stilgestaan bij oplossingen voor dit probleem is absoluut geen vrijbrief voor het schrijven van kwaadaardige code. Het is totaal onacceptabel, wij boycotten dan ook alle goedkeurende partijen. Net zoals het geval is bij de Universiteit van Calgary, waar men zelfs les krijgt in het schrijven van malware. Ik ben er van overtuigd dat wij zeker niet het enige anti-virus bedrijf zijn met dit standpunt."
Hoewel het medium nieuw is, zijn de achterliggende kwetsbaarheden dat niet. De software van de RFID readers verwerkt code die het niet behoort te verwerken. Met het aankomende ‘smart’ tijdperk, met allerhande slimme apparatuur, verwacht Kaspersky Lab meer van dit soort ontdekkingen.
4 uur geleden
