Je viens vous présenter mon dernier projet, Calypso Inspector.
Contexte
Beaucoup de villes dans le monde utilisent des cartes de transport utilisant la technologie Calypso (cartes PassPass, Navigo, TransGironde, Lyon, Bruxelles, Tel Aviv, et tant d'autres).
Ces cartes contiennent un petit microprocesseur chargé de sécuriser les échanges de données et veiller à leur intégrité.
Les usagers de transports en commun utilisent bien souvent cette carte sans se soucier de ce qui peut être stocké dessus. Et même s'ils voulaient consulter ces données, cela serait bien compliqué voir infaisable pour la plupart d'entre eux.
À l'intérieur de ces cartes, les données sont organisées sous forme de fichiers. Chaque fichier contient des données encodées selon la norme Intercode (NF P99-405, devenue NF EN 1545)
Calypso Inspector
Équipé d'un lecteur de cartes NFC, j'ai entrepris il y a une semaine de créer un programme qui lit et décode l'intégralité des fichiers présents sur ces cartes, en fournissant un moyen de l'adapter en fonction du réseau de transport concerné (chaque réseau de transport utilise des identifiants différents pour faire référence aux lignes, arrêts, profils, et abonnements).
Certaines données peuvent être décodées de façon universelle, peu importe le réseau de transport ayant émis la carte. D'autres par contre nécessitent l'ajout de fichiers de configuration pour pouvoir être décodées correctement. Si cela n'est pas fait, des valeurs brutes apparaîtront à l'écran.
Voici la liste des fichiers de configuration Calypso qu'il est possible d'utiliser :
Noms et identifiants des lignes : les lignes de métro, bus, tram, etc...
Noms et identifiants des arrêts : les stations de métro, bus, tram, etc...
Noms et identifiants des profils usagers, par exemple 12-25 ans, retraité, habitant dans la municipalité, etc...
Noms et identifiants des tarifs proposés : ex: trajet unitaire, trajet x10, abonnement semaine, mensuel, annuel, etc...
Ces informations ne sont pas introuvables, mais peuvent nécessiter un peu de recherche.
Aussi, l'utilisation de CalypsoInspector permet de constituer ces fichiers par soi-même !
Par exemple, supposons qu'on souhaite constituer une liste des arrêts présents sur le réseau. Il suffit alors de lire sa carte, regarder les dernières validations (datées et heurées), et ajouter dans topology.xml le nom de la station (de mémoire) associé à l'identifiant extrait par CalypsoInspector.
Ainsi, lors de la prochaine lecture, les arrêts seront correctement décodés en fonction des données présentes dans topology.xml.
Il en va de même pour les lignes (même fichier), abonnements/tarifs (fares.xml), et profils usagers (profiles.xml) !
La configuration fournie dans le dépôt est compatible avec le réseau de transports de Lille, exploité par Transpole.
Contributions
CalypsoInspector doit évoluer pour supporter davantage de villes. Toutefois, n'ayant accès qu'au réseau de Lille et Paris, je ne peux contribuer davantage concernant les fichiers configurations.
Si vous êtes équipés d'un lecteur de carte NFC, n'hésitez pas à soumettre vos IDs de station, ligne, etc... par pull request sur le dépôt GitHub
Avenir
Pour l'instant, ce programme est plus un proof-of-concept que quelque chose de véritablement utilisable pour le grand public.
D'ici 2018 on s'attend à ce que 2/3 des smartphones en France soient compatibles NFC. Une application Android verra donc le jour pour faciliter à la fois les consultations de cartes, et les contribution de la part de utilisateurs. C'est d'ailleurs principalement pour cela que j'ai choisi de faire ce programme en Java, ainsi la majorité du code pourra être repris.
Comme d'hab, la doc complète arrive en dernier, ma ça vient !
J'attends de lire vos retours, je n'ai encore montré ça à personne pour l'instant
programme qui lit et décode l'intégralité des fichiers présents sur ces cartes
Il n'est pas question de modifier le contenu, juste le consulter
Boastther a écrit:
Elried a écrit:
Et pas moyen de s'offrir un petit abonnement a vie? Je suis decu
C'est la première chose à la quelle j'ai pensé, il y a t'il d'autres données dessus (Qui ne sont pas encore décrypté) ?
C'est là que ça devient croustillant :
Dans le dépôt, il y a un second outil : Calypso File Finder. Il permet d'énumérer tous les fichiers présents (et eventuellement non utilisés ou non documentés), de les dumper, et de rechercher des motifs de bits à l'intérieur.
Donc si jamais quelqu'un découvre des petites surprises, il peut se lancer dans le reverse des données contenues plus ou moins facilement
Je n'ai rien trouvé de louche dans les cartes lilloises. Les autres seront peut-être plus cachottières
La version console/desktop est plutôt terminée. Elle restera consacrée à ceux qui veulent bidouiller et faire le reverse des enregistrements non documentés.
Les plus aventureux oseront télécharger directement l'APK, je ne suis pas certain d'avoir publié le projet correctement sur github. Si vous préférez recompiler compiler tout ça, il vous faudra aussi compiler libcalypso.jar présent dans le dépôt d'origine.
Ce qui marche :
Sélection du réseau de transports en commun (pour l'instant il n'y a que Transpole, RATP est factice)
Lire tout le contenu de la carte
Sauvegarder / charger des dumps
Même si vous utilisez un autre réseau de transports, la lecture fonctionnera quand même. Vous n'aurez simplement pas le décodage des lignes/arrêtes/tarifs/profils.
Si l'API 21 d'Android support l'émulation NFC-B, il y aurait sans doute des choses intéressantes à faire avec les dumps pour simuler une carte (uniquement en lecture seule). Pour ceux qui espéreraient trouver un moyen de frauder : je vous le déconseille au plus haut point. Aucune documentation n'est disponible sur le fonctionnement du processus de contrôle des titres avec ces cartes. Et en cas de triche avérée, vous risquez gros, bien plus qu'une amende classique. Et puis de toute façon sépabien. Voilà.
Dans les fonctionnalités à venir :
contributions des utilisateurs pour ajouter des réseaux/arrêts/lignes
mises à jour des réseaux pour récupérer les derniers ajouts
une interface un peu moins moche (si quelqu'un se propose pour bosser avec moi là dessus, je suis preneur ! )
Au risque de me répéter : le but de ce projet n'est pas de créer un outil de fraude, mais simplement de pouvoir consulter les données présentes sur un support a priori opaque
Très intéressant. Dans mon ancien lycée on avait des cartes de cantines peu sécurisées qui fonctionnaient par NFC, à l'aide d'une application j'avais réussi à la copier sur mon téléphone et je n'oubliais plus jamais ma carte ! Heureux de voir que quelqu'un a pris le temps d'étendre le système aux transports en commun.
Comme on dit sur les internets : here goes my upvote
Bonjour à tous, étant parfaitement néophyte en informatique je ne comprends pas tout ici pour ce topic même si cela m'a l'air vraiment passionnant ! Pourriez-vous m'expliquer plus simplement ce qu'il pourrait y avoir d'intéressant sur ces cartes ? Concrètement à quoi peut servir le type d'application que vous proposez ? Perso j'ai ma carte Pass-Pass pour métro et bus dans l'agglomération lilloise, je ne vois pas ce qui m'avantagerait à lire les données stockées dessus mdr
(je me permet de répondre rapidement, sans doute que Varamox aura une réponse plus complète)
En fait pour l'utilisateur "normal" il n'y a pas grand intérêt. La lecture se fait à des fins informatives, cela nous permet en tant qu'informaticiens de comprendre comment un autre système informatique qui n'est pas le notre (en l'occurence celui de la société de transports) fonctionne. Déjà parce que c'est amusant, mais aussi car ça nous permet de voir comment les choses ont été pensées et conçues, on pourra les documenter et si d'autres ont des projets similaires ils pourront s'en inspirer. Donc en gros, "pour voir comment c'est fait", un peu comme un scientifique observerait un phénomène nouveau.
Ensuite selon les informations trouvées, peut être que quelqu'un en fera quelque chose. C'est un principe courant en informatique, on démonte un objet et en fonction de ce qu'on trouve en voit ensuite ce qu'on peut en faire. Peut être qu'on pourra remplacer les cartes d'abonnement par nos téléphones : on pourra passer le téléphone à la place de la carte. Peut être qu'on aura la liste des arrêts ce qui sera pratique pour faire des cartes. On ne sait pas encore
De manière générale les informaticiens aiment bien bidouiller tout ce qu'ils ont sous la main, pour voir, et des fois ça leur permet d'en tirer quelque chose. Mais pas toujours, c'est la surprise !
Strictement rien à ajouter à ce que tu viens d'expliquer Bibou34, c'est exactement le concept.
Je fais simplement partie des gens qui aiment savoir comment les choses fonctionnent de l'intérieur, à plus forte raison quand elles sont utilisées aussi vastement et avec aussi peu de documentation technique officielle ouvert au public.
Et ce que tu dit est intéressant car il est question dans un futur assez proche de remplacer ces cartes physiques par les services Android HCE (Host-based Card Emulation).
Pour en revenir aux cartes de ton bahut, il est fort probable qu'il s'agissait de MiFARE Classic.
Ca devait être ça, le terme MiFARE me parle mais c'était il y a plusieurs années donc je me souviens pas de tout xD C'était avec une application du Google Play Store toute faite, je n'avais pas eu à écrire une seule ligne de code (mais je ne sais plus laquelle).
Ah d'accord merci beaucoup pour ces explications claires et précises C'est un peu du hacking en soit ?
Je suis normalement en DUT Informatique l'année prochaine (ou sinon Licence) et j'aimerais par la suite poursuivre dans un Master Info ou MIAGE, j'espère que j'aurais autant de connaissances par la suite, même si pour l'instant n'étant pas dans un cadre scolaire je ne sais pas vraiment comment apprendre (même si j'ai déjà fais divers tutoriels sur OC comme le HTML/CSS, PHP).
Cependant j'ai quelques difficultés lors de l'utilisation de ton application Android. J'ai tout d'abord essayé avec ma carte navigo (Paris) et rien. L'application ne s'ouvre pas. J'ai ensuite essayé avec ma carte étudiante qui est NF et là l'application s'ouvre ! (Le lecteur NFC de mon OnePlus a donc reconnu la carte).
Cependant le message est de mémoire : "Network loaded waiting for card". N'ayant que peu de temps mais étant curieux j'ai essayé rapidement mais je n'ai pas eu le temps de regarder ton dépot et autres.
Du coup je balance comme ça rapidement mon expérience. Si ça peut t'aider tant mieux... sinon pas grave !
EDIT
J'ai essayé avec d'autres applications lecteur de cartes NFC et apparemment mon lecteur (celui du OnePlus One) ne reconnait que ma carte étudiante. Du coup le problème doit venir de là...
En fait tout ce projet n'est destiné qu'à fonctionner avec les cartes respectant le standard Calypso. Les carte étudiante utilisent pour la plupart des chips du genre Mifare Desfire.
Pour le Navigo, cela devrait fonctionner. Pour lire la carte, lance d'abord l'application, puis seulement après passe la carte en dessous
Je serai à Paris dans une semaine, je me procurerai un nouveau pass Navigo pour effectuer des tests. (Pour l'instant je n'en ai qu'un vieux violet et vert).
Enfin, le network RATP est factice comme je l'avais précisé. Les informations seront lues, mais certaines seront mal decodées. Il faut que je forme un fichier de config pour le réseau du STIF, mais ça prend un peu de temps et pas mal de recherche
Je posterai ça ici dès que c'est prêt
Edit : Mince ! Je viens de me souvenir qu'au moment où je détecte le tag, j'effectue une vérification de la version du chip à l'intérieur. Les pass navigo n'utilisent peut-être pas le même. Ça sera corrigé dans le prochain commit.
Edit2: Corrigé, j'ai mis à jour le lien de l'APK. Au cas où : le revoici.
Alors je vois qu'il y a pas mal d'allusions au fait de se faire des passes gratuits. Or désolé de vous décevoir, mais c'est strictement impossible. Voici pourquoi :
Ce système de billettique repose sur l'utilisation de crypto symétrique. Chaque carte, chaque validation et chaque distributeur contient un module sécurisé (SAM) permettant de signer les transactions effectuées, et de s'authentifier mutuellement.
Ainsi une carte ne peux accepter des opérations d'écriture seulement si elle reconnaît que le lecteur est légitime. De même, le validateur n'accepte d'échanger des données qu'avec des cartes légitimes.
Cette authentification mutuelle s'effectue par signature des données échangées, et par un système de mémoire transactionnelle.
Cela signifie que tant que la transaction complète n'est pas achevée et signée, rien n'est persisté en mémoire.
Donc même si vous ouvrez une session sur la carte, que vous tentez d'ajouter des enregistrements, il faudra signer le hash de la totalité de la transaction avec une clé. Si la carte reconnaît la signature, la transaction est correctement terminée. Sinon, rien.
Et n'essayez pas d'aller dézinguer une borne pour en extraire le SAM, il sera immédiatement révoqué, et donc inutile.
Pour ceux qui aiment voir de la bonne crypto, c'est plutôt satisfaisant Pour les fraudeurs... je les plains haha
Après un nouvel essai avec le nouveau apk, toujours rien pour le badge RATP. Mais je pense que le problème vient de mon lecteur NFC qui ne semble même pas détecter la carte...
À priori non parce que tu n’as pas accès à tous les fichiers. Je vais donner un exemple qui n’est pas forcément le cas dans toutes les cartes mais ça illustre le principe :
Il y a un système RSA, c’est a dire un algo mathématique qui fait que tu peux chiffrer un message avec une Clé publique, mais que pour le déchiffrer il faut une clé privée. On ne peut pas chiffrer avec la clé privée, on ne peut pas dechiffrer avec la clé publique.
La carte est émise par la compagnie de bus. Dans les serveurs de la compagnie de bus, elle stocke les clés publiques des cartes. Dans la carte, de manière inaccessible, est stockée la clé privée.
Tu es la compagnie de bus, tu veux savoir si une carte est vraie. Tu choisi une phrase au hasard, et tu la crypte avec la clé publique. Puis tu dis à la carte « vas y rend moi la phrase décryptée« . La carte ne peut le faire que si elle à la clé privée. A chaque fois que tu valides la carte, ça se produit. En quelques millisecondes mais je t’assures que c’est fait à chaque fois que tu montes dans le bus. Et dans les fichiers que tu peux trouver sur l’an carte il n’y a pas la clé privée car celle ci est gardée bien au chaud dt est innacessible.
Tu vas me dire oui mais j’ai qu’a me faire passer pour une borne de validation et demander à la carte toutes les phrases possibles. Oui, mais comme tu n’as pas la clé publique non plus (seule la compagnie de bus l’a), ça prendrait un temps fou ! En plus, il y a le processus exactement inverse qui fait que la carte vérifie que c’est bien la compagnie qui l’interroge (la carte à la clé publique de la compagnie et cette dernière garde sa clé privée).
Ils ont pensé à tout. Et encore t’as pas vu ce à quoi les gens qui font des cartes bleues sont prêts à faire pour la sécurité : il est impossible de voir le circuit électronique de la puce même en la regardant au microscope (contrairement aux puces normales). Regarde ici : https://youtu.be/MptCiGAEh-Y
Merci Bibou34 d'avoir pris le temps de me répondre.
Je comprends très bien se que tu veux me faire comprendre. Je doit croire encore au Père Noël pour me dire faire un copier coller fonctionnera.
Après ton exemple de carte bleu ça m'as mis le sourire au lèvre a 8H du matin, j’espère bien que nos cartes bleu sont mieux protéger que nos cartes de transports.
Merci pour la vidéo, effectivement y en a qui sont prêt a tous.
En gros si je résume pour nos carte de transport, il faut qu'on est accès a l'ordinateur qui crée les abonnement, mais même la c'est pas sur en faite, faudrait avoir accès au serveur principal?
Qu'elle est la fréquences de cryptage des cartes de transport?
Je pense qu’avoir accès à l’ordinateur des abonnements est suffisant. C’est comme créer une nouvelle carte quoi
Pour ce qui est des cartes bleues, il ne serait pas étonnant que certaines cartes qui on permettent d’ouvrir Les portes dans les grandes entreprises sécurisées utilisent la même technologie. C’est pour montrer à quel degré de sécurité on arrive.
Il n’y a pas de « fréquence de cryptage » parce que c’est du numérique. On ne parle de fréquence de cryptage qu’en analogique (radio...). Le système de chiffrement qui assure la sécurité s’appelle RSA et devine quoi ? C’est le même qui sécurise les cartes bleues. Tu trouveras pleins d’explication sur RSA via Wikipedia ou Google. Même sur YouTube probablement.
je penser pas que sa sois autant sécurisé, en effet de grosses entreprises avec des gros projets je peux le comprendre, mais pas une carte de transports sachant que je connais bien leur système
Noms et identifiants des lignes : les lignes de métro, bus, tram, etc...
Noms et identifiants des arrêts : les stations de métro, bus, tram, etc...
Noms et identifiants des profils usagers, par exemple 12-25 ans, retraité, habitant dans la municipalité, etc...
Noms et identifiants des tarifs proposés : ex: trajet unitaire, trajet x10, abonnement semaine, mensuel, annuel, etc..
(j'ai repris de varamox ça)
En effet a aucun moment il est stipuler le nom prénom de l'usager, quand je conduisais les bus de ma ville, les vérificateurs avais attraper un mec avec une carte de quelqu'un d'autre, pas grâce au nom mais au type d’abonnement ( il y avais un abonnement 12 25, alors que c’était un home d'un certain age SDF) il on retourner la carte pour vérifier indenter de la carte bref la est pas le sujet
mais j'avais demander si avec le game boy comme on appeler çà l'outil pour vérifier si on a valider ou pas les cartes pouvez donner le nom de la carte et a ma surprise NON juste si le forfait est valide ou non, en gros les vérificateur savent juste si on a valider ou non, le type d'abonnement qu'on a.
je suis surpris que les cartes sois autant sécuriser si au final même le nom de l'utilisateur ni es pas inscrit
Apres ce n’est peut être pas le cas sur tous les systèmes de cartes de bus, selon qui fabrique et le prix. A Paris refaire un Navigo perdu c’est plus de 20 euros donc il y a intérêt que la carte soit sécurisée !
En fait « être aussi sécurisé », c’est une sécurité très simple à mettre en œuvre. les algorithmes mathématiques sont très bien documentés et il y a des modules tout prêts pour les adapter dans plein de situations : clés de voiture, pour se connecter à openclassrooms ou n’importe quel site le mot de passe est protégé comme ça, téléphonie mobile, Bitcoin... Tout est sécurisé comme ça !
Je peux te dire que dans ma ville c'est la même 20euro pour refaire sa carte
j'attends de recevoir mes 2 commandes, je pense que un sur deux me servira a rien pour les carte de transport mais a la base je l'avais pas acheter pour cela.
× Après avoir cliqué sur "Répondre" vous serez invité à vous connecter pour que votre message soit publié.
× Attention, ce sujet est très ancien. Le déterrer n'est pas forcément approprié. Nous te conseillons de créer un nouveau sujet pour poser ta question.
Avatar by MaxRoyo. Venez parler du sdz
Our democracy has been hacked
Avatar by MaxRoyo. Venez parler du sdz
Avatar by MaxRoyo. Venez parler du sdz
Our democracy has been hacked
Avatar by MaxRoyo. Venez parler du sdz
Avatar by MaxRoyo. Venez parler du sdz
Avatar by MaxRoyo. Venez parler du sdz
Avatar by MaxRoyo. Venez parler du sdz