logo

Knowledge Is Power

 
 

- Reinit des nouveaux posts -

- Recherche -

Messages Privés - Derniers posts
S'enregistrer - Login - Liste des membres
Vous logger : Login Pass

Challenges >> Challenge VIGIK Newtopic | Reply
1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 | 21 | 22 | 23 | 24 | 25 | 26 | 27 | Page suivante
poster txt
Bryk
Inscrit le 18-06-2007
Posté le 18-03-2014 19:47

Quote:

Le 17-03-2014 23:19, sp_setsuna a écrit :
___________________________________________________
Bonsoir,
Après réflexion je dois avouer que je n aurais jamais cru les fabriquant de contrôle d accès et d interphonie capable de miser sur le fait que leurs lecteurs vigik allaient garder la bonne date / heure pendant toute la vie de produit.
Et pourtant.. Ils l ont fait!
Ce qui veut dire que, a moins de connaitre la clee prive vigik chose quasi impossible, la possibilité de faire un badge vigik sur mesure reste compromise.
Ce qui m amène a proposer une approche différente :
Il y a des immeubles ou le lecteur vigik gère les services ET les résidents. Et d autre ou le lecteur ne gère QUE les services ( les résidents n ont pas de badge par ex).

Dans ce deuxième cas on pourrait remplacer la centrale vigik par un petit système embarqué ( par exemple arduino). Ce système serait relié à internet (3g/wifi).
Lorsque il reconnaitrait quelque chose qui ressemble a un badge vigik (bah oui il ne sais pas exactement ce que c est car on a pas les clés privé /publiques), il ouvrirait la porte ( normale) ET enverrait le dump de la carte sur une base de donné sur un site web.

Ensuite ne resterait plus qu a coder une apli Android qui recupere le dump et l inscrit sur un badge.
Voilà mon idée dans les grandes lignes.



Une attaque de type "re jeu" est une bonne idee. As tu pensé à attaquer un lecteur? Extraire la clé publique, trouver une erreur d'implémentation ...]
profil | edit | quote
sp_setsuna
Inscrit le 15-06-2011
Posté le 20-03-2014 15:55

Dans 99% des cas les lecteurs vigiks sont reliés à des petites centrales autonomes.
Le fonctionnement des badges résident est différent des services vigik :
-soit ils fonctionnent par mémorisation de l'UID des badges , on passe un badge maitre puis les badges residents à la volée.
-soit on programme un code site dans la centrale puis on rentre le code dans les badges et, très rarement, on rentre un programme horraire.

Donc en cas de panne de la pile on peut imaginer qu'on perd les services vigik mais pas les residents sauf si programme horraire.

Bryk : tu me surestime ^^ je n'ai pas ( encore ) les connaissance pour m'attaquer au programme même d'un lecteur.
Mais je ne demande qu'a apprendre
profil | edit | quote
seb34000
Inscrit le 06-03-2014
Posté le 24-03-2014 18:00

Quote:

Le 06-03-2014 18:13, seb34000 a écrit :
___________________________________________________
Je relance un peu ce topic qui m'intéresse grandement. Je met des pubs dans les boites aux lettres pour ma société et VIGIK nous empêche de bosser. il faut sonner aux interphones et c'est une perte de tmeps, pourtant ADREXO a les PASS et vend aux sociétés la distribution de pub...
Je propose 1000 euros à celui qui parvient à me transmettre 3 badges ou cartes permanent(e)s VIGIK qui donne accès à toutes les résidences munies d'un système vigik.

Jai bien précisé permanent pour les petits malins qui voudraient me refourguer un badge de la poste valable 24H.

Voilà j'espère qu'il reste encore des motivés!



Je retire ce qui a été dit. De plus il existe une solution légale et créée dans un souci de non monopole.
profil | edit | quote
Bryk
Inscrit le 18-06-2007
Posté le 24-03-2014 19:50

Et tu économiseras 1000€!!
profil | edit | quote
Adrian
Inscrit le 18-04-2014
Posté le 18-04-2014 16:34

Bonjour,
Je voudrais relancer le challenge vigik.

J'ai avancé sur la structure des données pour un badge de type résident.
En ce qui concerne le réel badge vigik j'aurai besoins de quelques dump de ces badges (Poste,Urgence,Police). Les badges natifs attribués aux urgences n'ont pas besoins de rechargement, ils sont d'autant plus intéressants.

Si vous en avez n'hésitez pas à me contactez en privé.

[ Ce Message a été édité par: Adrian le 2014-04-18 16:35 ]
profil | edit | quote
Bryk
Inscrit le 18-06-2007
Posté le 18-04-2014 20:57

Quote:

Le 18-04-2014 16:34, Adrian a écrit :
___________________________________________________
Les badges natifs attribués aux urgences n'ont pas besoins de rechargement, ils sont d'autant plus intéressants.



Salut Adrien,

Tu tiens cette info d'où?
profil | edit | quote
atchum
Inscrit le 17-05-2013
Posté le 18-04-2014 21:12

Si il n'y a pas de rechargement tout le challenge s’arrête. Il suffit alors juste de faire un dump de ce badge... Je doute qu'ils aient mis un badge comme cela sur le marché. Toute la sécurité serai mis en danger. Mais si cela est vrai ceci est une très bonne nouvelle.
Qui sont les services d'urgence dont il parle car la police a des badges. Les pompiers peut être ?
profil | edit | quote
nono2357
Inscrit le 23-04-2014
Posté le 23-04-2014 18:28

Tout, tout, tout, vous saurez tout sur le Vigik ce samedi à Paris, je donne une conférence en partie sur le sujet :
http://2014.hackitoergosum.org/speakers/#lifchitz


profil | edit | quote
Bryk
Inscrit le 18-06-2007
Posté le 23-04-2014 20:39

Enooorme!!! Malheureusement je ne serai pas présent

J'espère que tu nous feras un compte rendu ... partagera les slides et vidéo ...

Histoire de vérifier mes théories.

Have Fun ...
profil | edit | quote
Xylitol
Inscrit le 01-11-2012
Posté le 24-04-2014 22:24

cool nono !
par contre si j'ai compris le résumé c'est de l'extraction de "clés publiques" ? après il se passe quoi y'a moyen de factorisé et de calculé D ?
profil | edit | quote
atchum
Inscrit le 17-05-2013
Posté le 25-04-2014 15:37

Clé publique on pourra déjà savoir ce qui est enregistré sur la clé et arrêter les suppositions savoir si une date d'expiration est bien enregistré sur la clé.
Si c'est la cas faire une clé avec une date d'expiration dans 50ans marcherai peut être si il y a aucune autre verif mais il faudrait la clé privée pour le 'coder'
J’espère qu'un retour de cet événement sera fait sur le forum pour avancer.
Wait and see
profil | edit | quote
nono2357
Inscrit le 23-04-2014
Posté le 26-04-2014 19:55

Quelques détails rapides de sortie de conférence :
- La signature RSA utilisée par Vigik est un RSA modifié proche de l'ISO 9796-2 avec e=2, d=((p-1).(q-1)+4)/8 et m'=(p-1).(q-1)/4
- Un pass de service Vigik est programmable avec 3 créneaux horaires ne pouvant pas dépasser 84 heures consécutivement, sinon le pass est refusé par le lecteur

Pour ce qui est des autres détails (clés utilisées, contenu détaillé du pass) je vous invite à assister à la Nuit du Hack le samedi 28 juin à Paris (http://nuitduhack.com/) où je donnerai ma conférence en français.

[ Ce Message a été édité par: nono2357 le 2014-04-26 19:56 ]
profil | edit | quote
Xylitol
Inscrit le 01-11-2012
Posté le 28-04-2014 00:36

Slides ~ http://2014.hackitoergosum.org/slides/day3_extractpub_Renaud_Lifchitz_hes2014.pdf
profil | edit | quote
nono2357
Inscrit le 23-04-2014
Posté le 28-04-2014 19:10

Et un article d'introduction : http://www.01net.com/editorial/618862/securite-physique-la-bombe-a-retardement-des-badges-vigik/
profil | edit | quote
Bryk
Inscrit le 18-06-2007
Posté le 28-04-2014 21:40

Merci beaucoup Nono2357!!

Trop bon, il me reste a bien lire en détail tes slides

Tu as du froiser des gens avec ça, pas de menaces, ou pressions?

Have Fun ...
profil | edit | quote
Protechnique
Inscrit le 05-06-2014
Posté le 05-06-2014 19:19

Bonjour,

Je me permets de re-lancer ce topic à propos du système Vigik. Je viens de m'équiper avec du matériel proxmark3 et des cartes, NXP Mifare 1K chinoise dans le but de hacker ce système. Je pense pouvoir réussir avec la totalité de vos dumps, je sais ou se trouve le timestamp dans les datas hexadécimal. Merci d'avance pour votre retour, je vous tiendrai au courant !
profil | edit | quote
gambit
Inscrit le 26-09-2014
Posté le 26-09-2014 17:59

bonjour
je reup aussi le topik.
j'ai programmé un badge chinois avec l'uid de edf/gdf
sans changer les cles A et B par defaut fffff....
mais ça ne fonctionne pas.
merci de votre aide.
profil | edit | quote
arnoperso
Inscrit le 10-10-2014
Posté le 10-10-2014 15:46

Bonjour tous
pas du tout competent en informatique techno et autres ... j espere que vous ne m en voudrez pas
je profite de ce topic tres interessant pour poser une question.
Je m interesse au cote resident du systeme vigik (qui n est donc pas gere par vigik)
Est il possible de recopier son pass resident? et si oui est il possible selon vous de le faire sur un autre support qu un badge?
merci a vous
(mon mail perso: arnoperso@hotmail.fr)
profil | edit | quote
Xylitol
Inscrit le 01-11-2012
Posté le 18-10-2014 20:24

@arnoperso: oui c'est possible de cloné ton badge sur un autre support, sur certaine centrale tu peut même mettre de la merde au niveau du nom et ça s’affiche sur le LCD c'est fun.
profil | edit | quote
arnoperso
Inscrit le 10-10-2014
Posté le 22-10-2014 11:53

@Xylitol
Merci pour ta réponse, tu as l air de t y connaitre.
J en profite pour te poser une question de neophyte:c est normal de pouvoir copier le badge resident ou est ce juste une faiblesse du systeme dont tout le monde se tape?
profil | edit | quote
Newtopic | Reply 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 | 21 | 22 | 23 | 24 | 25 | 26 | 27 | Page suivante

Online : Agustinbluts, AgustinPhine, Agustinwhase, Bbbarrige, BbbUnsels, best canadian pharcharmy online, canadian pharmacy online for viagra, Cevbraics, Cevvifura, Donaldjem, DonaldJinna, ebuyuhiphapu, edeuohuv, elewafuz, eolabizuliwax, eunagidez, euwbiku, generic cialis canadian, inacotob, inaxuuwapia, Jorgeviomb, Juanitamache, Juanitarhync, KevinAeron, KevinExicy, Ksbvgainty, Lmldneefe, Lnbikayany, Lnbiunsemi, MarcusAgock, MartinMoigh, ohobaso, ojeyovegoxuet, Ralphcak, RalphSiree, Romeotab, SonjaBrisk, SonjaNuS, SonjaOrigh, ubeirufqufow, uromueboe, utenesecig, uyiumof, uzazitehousoo, Vtbunelay, Vvbfrunse, yatsonizayad et 108 Guests


Retour Index NewFFR Repository : http://taz.newffr.com
Cagades à Stick : http://alcane.newffr.com
Forum HTML et Archive -> ici
ForumFR Sql/Xml (2006/04) (SF pas à jour du tout...) - Alive since 2001 Newffr.com
Pour toute plainte ou problème -> Contacter Borax, Hyatus, Tweakie ou Stick par message privé (ou Gueulez sur le forum :) )
Retour haut de page