Category Archives: IT Security

Bruteforce APDU SELECT using Cardpeek + Lua script

After a couple of hours trying to find free smartcard app on my tinkering time, finally I found this Cardpeek. Simple yet light smartcard reader app.

My objective is to create simple APDU “bruteforce” to the smart card by iterate some EF values using standards APDU SELECT. By bruteforce means that the SELECT command is sent to the smartcard for any possible EF value.

Finding this Cardpeek app + powered with Lua script is enough for me. For now.

The bruteforcing idea is to create iteration of EF value using 2 bytes length, this assumed the smartcard is having 2 bytes EF structures. With this iterations hopefully some approved response (SW1-SW2 = 0x9000) is given by the smartcard, and do further exploit using known approved EF.

Following is the Lua script I created to bruteforce SELECT APDU (or you can download directly here):

And I tested the script using Commuter Line Kartu Multi Trip card, and here is some interesting responses from the card  😀

Let’s hack! Membedah e-money Bank Mandiri

Kenapa e-money Bank Mandiri? Ada beberapa alasan mengapa saya penasaran dengan keamanan produk e-money ini.

  1. Saat ini produk e-money yg ada di dompet saya
  2. Saat ini produk e-money yg meluncurkan aplikasi reader (mandiri e-money info)

Dari dua alasan tersebut saya coba mem-“bedah” keamanan untuk produk e-money tersebut. Kenapa? Saya pikir memberikan aplikasi pembaca kartu seperti memberikan kunci yang patah untuk mengintip isi sebuah kotak yang dikunci dengan gembok. Pertanyaan selanjutnya apakah kunci patah tadi hanya bisa untuk mengintip saja? atau bahkan bisa membuka isi kotak?

Jika belum mudeng maksud analogi saya di atas, ada analogi lain: bayangkan anda akan masuk ke sebuah rumah yang memiliki dua lapis pintu. Di balik pintu pertama terdapat ruang tamu dengan foto-foto harta benda yang berada di dalam rumah itu. Di balik pintu kedua kemungkinan kita bisa menemukan harga yang sebenarnya. Di depan rumah tersebut ada pelayan yang bertugas hanya mengantar anda untuk masuk rumah melewati pintu pertama. Pelayan tersebut membawa beberapa kunci, bisa jadi salah satu kunci yang lain merupakan kunci untuk memasuki pintu kedua. Continue reading

e-KTP dan Security (Bagian II)

Update (29/11/2014):

  1. Aplikasi proof of concept pembacaan e-KTP ini saya putuskan untuk dipublish ke Play Store
  2. Jika ada yang berminat atau penasaran ingin mencoba ngulik contactless card berbasis ISO-DEP/ISO14443-4 (termasuk dalam pengujian pembacaan data foto e-KTP ini saya menggunakan tools ini); bisa langsung install aplikasi APDU Debug di Play Store

Melanjutkan postingan sebelumnya mengenai keamanan e-KTP karena terlalu panjang sebagai update postingan sebelumnya, maka saya putuskan untuk menjadi postingan terpisah.

Kembali ke tujuan awal dari postingan saya, yang sebenarnya adalah memberikan semacam alert kepada institusi pemerintahan pengelola e-KTP. Bahwa ada celah keamanan yang mungkin bisa dieksploitasi lebih lanjut oleh siapa pun di luar sana. Celah ini bukan pada desain sistem e-KTP, melainkan pada implementasi di lapangan. Sehingga memungkinkan orang yang tidak berkepentingan (red: non pemerintah) mendapat materi dalam hal ini aplikasi termasuk library untuk membaca e-KTP. Exploit lebih lanjut bisa saja dilakukan oleh expert-expert di luar sana 😀

Lalu PoC untuk membaca e-KTP?

Continue reading