L’anello debole è la terza settimana tematica annuale di Motherboard dedicata al futuro dell’hacking e della sicurezza informatica. Seguitelo qui.

Ascoltate il nuovo podcast di Motherboard sull’hacking, CYBER, qui.

Era poco prima di mezzanotte quando ho preso la decisione impulsiva che mi avrebbe trasformato nel cyborg più inutile del mondo.

Il mio amico ed io avevamo appena lasciato un concerto gratuito al 25° Def Con, la più grande conferenza hacker del mondo, e stavamo vagando per i corridoi del Caesars Hotel di Las Vegas cercando di decidere cosa fare per il resto della nostra serata. Poi ho ricevuto il fatidico messaggio di testo da un amico: “

Ho fatto qualche osservazione casuale durante il fine settimana sul fatto che volevo farmi impiantare un chip NFC (Near Field Communications) nella mano, ma ogni volta che sono andato a visitare lo stand c’era una lunga attesa. Questa sarebbe stata la mia ultima possibilità di ricevere il chip alla conferenza, così abbiamo deciso di fermarci mentre uscivamo dall’hotel.

Quando sono arrivato al villaggio del biohacking era rimasto solo un singolo chip NFC. Sembrava destino, così ho sborsato 50 dollari in contanti e mi sono seduto alla stazione di piercing. Mi sono fatto qualche piercing prima, quindi la prospettiva di essere punzecchiato non mi preoccupava tanto quanto la prospettiva di farmi iniettare un dispositivo elettronico passivo nella mano in una sala conferenze di un hotel.

Se avessi un singolo consiglio per chiunque stia pensando di farsi impiantare un chip NFC sarebbe quello di farlo da sobrio.

I chip NFC sono simili ai chip ID a radiofrequenza (RFID) usati per cose come i badge dei dipendenti o per tracciare la merce nei negozi, tranne che non sono così potenti (quindi near-field) e permettono una comunicazione bidirezionale. I chip NFC possono essere utilizzati per memorizzare piccole quantità di informazioni, come password, informazioni di contatto, un indirizzo web o anche una foto.

Quando un chip NFC viene portato entro pochi centimetri da un lettore NFC (la maggior parte degli smartphone moderni sono dotati di capacità NFC), i dati sul chip possono essere trasferiti al lettore. Il modo in cui funziona è che il lettore genera una debole corrente elettrica che crea un piccolo campo magnetico. Quando il chip NFC si trova all’interno di quel campo magnetico, una piccola bobina nel chip utilizza l’energia del telefono per produrre il proprio campo in modo che i dati memorizzati sul dispositivo possano essere trasferiti al lettore.

Il chip NFC che mi sono fatto iniettare nella mano è stato realizzato da Dangerous Things, una società di biohacking fondata da Amal Graafstra che è stata anche pioniera delle pistole biometriche fai da te. Graafstra vende questi chip da quando ha raccolto 30.000 dollari in una campagna di crowdfunding nel 2014. Il chip è racchiuso in un piccolo tubo di vetro che è poco meno di mezzo pollice di lunghezza e appena due millimetri di diametro. Questo tubo viene iniettato nella carne morbida tra il pollice e l’indice, appena sopra la fettuccia. Quando si tiene la mano in certe posizioni, il contorno del chip può essere appena visto spingere contro la pelle.

Il processo effettivo dell’impianto è andato via senza problemi, ma le cose sono rapidamente peggiorate dopo. La cosa sui chip NFC è che chiunque abbia un lettore può anche scrivere sul dispositivo se non è protetto. Mentre questo non è esattamente un’enorme minaccia per la sicurezza, dato che qualcuno dovrebbe portare il lettore a diversi centimetri dalla tua mano per scrivere sul chip, quando sei alla più grande conferenza di hacker del mondo è meglio andare sul sicuro.

Così, su sollecitazione di tutti alla stazione di impianto, la prima cosa che ho fatto con il mio impianto è stato assicurarlo con un pin a quattro cifre. Non avevo ancora deciso che tipo di dati volevo mettere sul chip, ma di sicuro non volevo che qualcun altro scrivesse prima sul mio chip e potenzialmente mi bloccasse fuori. Ho scelto lo stesso pin che ho usato per il mio telefono in modo da non dimenticarlo al mattino – o almeno, pensavo di averlo fatto.

Leggi tutto: 72 ore di Pwnage: A Paranoid Noob Goes to Def Con

Se avessi un singolo consiglio per chiunque stia pensando di farsi impiantare un chip NFC sarebbe quello di farlo da sobrio. Per cominciare, il piercer probabilmente non vi darà nemmeno l’impianto se sospettano che siate intossicati per ragioni che riguardano il consenso e la sicurezza (l’alcol assottiglia il sangue, che è anche il motivo per cui non si dovrebbe fare un tatuaggio da ubriachi). Ma, cosa più importante, non ti sveglierai la mattina dopo con un mal di testa lancinante e assolutamente nessuna idea su come sbloccare la tua mano.

Ho passato la maggior parte del mio primo giorno da cyborg a scorrere disperatamente le varie possibilità di pin che mi rendevano impossibile sbloccare il chip NFC che avevo in mano e aggiungervi dati. Ho provato tutti i candidati ovvi-0000, 1234, 6969 e i vari pin che uso per altre parti della mia vita. Ho provato lettori NFC su vari telefoni così come dispositivi NFC dedicati. Ho passato troppo tempo a leggere sui protocolli utilizzati per proteggere il chip, ma la conclusione sembrava inevitabile: Avevo irrevocabilmente posseduto me stesso.

Come ho recuperato l’accesso alla mia mano

Quando ho lasciato Def Con, avevo accettato il mio destino di cyborg totalmente inutile. È possibile rimuovere gli impianti NFC, naturalmente. Il processo comporta un piccolo intervento chirurgico e da quello che ho letto non è davvero un grosso problema. Ma quando la settimana dell’hacking di quest’anno è arrivata, tuttavia, mi è sembrata una buona occasione per provare a sbloccare la mia mano un’ultima volta. Così ho postato sul forum di Dangerous Things nella speranza che qualcun altro avesse avuto problemi simili con il loro chip NFC.

Graafstra ha risposto e ha detto che probabilmente aveva a che fare con il fatto che avevo usato una app NFC di terze parti per impostare la password quando ho ricevuto il chip. Dangerous Things raccomanda di proteggere i suoi impianti di chip usando la sua app NFC. Dopo di che, qualsiasi app di terze parti può essere utilizzata per aggiungere o leggere il contenuto dell’impianto. Il problema, tuttavia, è se si usa una di queste app per impostare la password in primo luogo.

Senza entrare nei dettagli tecnici del perché questo è un problema, queste app alterano una parte specifica del meccanismo di sicurezza del chip in modo che possa essere alterato solo da quella stessa app. In altre parole, per sbloccare la mia mano avrei dovuto ricordare non solo la password, ma anche quale applicazione NFC avevo usato per impostarla.

Non ero del tutto sicuro della password che avevo usato per proteggere la mia mano, ma avevo una mezza dozzina di candidati principali, quindi era soprattutto una questione di capire quale applicazione era stata usata per proteggere il chip. Ho iniziato utilizzando un’app chiamata NFC Shell che permette agli utenti di impartire comandi in formato esadecimale direttamente al chip NFC. L’app era stata rimossa dal Google Play store qualche mese prima per ragioni sconosciute, così ho dovuto caricare l’app sul mio telefono. Dopo diversi tentativi di capire la password usando la shell, ho iniziato a provare varie applicazioni commerciali.

Dopo aver provato un’applicazione chiamata NFC Tools senza fortuna, sono passato a NXP TagWriter. Ho provato cinque o sei diverse combinazioni di pin, nessuna delle quali ha funzionato. Stavo per rinunciare a quell’applicazione quando ho deciso di provare un’ultima combinazione di pin – e ha funzionato. Tutto sommato, ci sono volute probabilmente cinque ore a leggere documenti tecnici e a provare diverse combinazioni di password, applicazioni NFC e lettori NFC per riottenere l’accesso al mio impianto.

È una strana sensazione avere accesso al chip nella mia mano per la prima volta da quando me lo hanno impiantato più di un anno fa. Ora tutto quello che devo fare è decidere cosa memorizzare sui circa 900 byte di memoria impiantati nella mia mano. Forse metterò una GIF o le mie informazioni di contatto, ma una parte di me vuole lasciarlo vuoto. Dopo un anno di vita con un impianto NFC totalmente inutile, ha iniziato a piacermi. Quel piccolo, quasi impercettibile bernoccolo sulla mia mano sinistra mi ricordava costantemente che anche le tecnologie più sofisticate e infallibili non sono all’altezza dell’incompetenza umana.