The Weakest Link is Motherboard’s third, annual theme week dedicated to the future of hacking and cybersecurity. Śledź tutaj .

Posłuchaj nowego podcastu hakerskiego Motherboard, CYBER, tutaj.

Było tuż przed północą, kiedy podjąłem impulsywną decyzję, która zmieni mnie w najbardziej bezużytecznego cyborga na świecie.

Mój przyjaciel i ja właśnie opuściliśmy darmowy koncert na 25. dorocznym Def Con, największej na świecie konferencji hakerów, i przemierzaliśmy korytarze hotelu Las Vegas Caesars, próbując zdecydować, co zrobić z resztą naszej nocy. Wtedy otrzymałem fatalną wiadomość tekstową od przyjaciela: „Wioska Biohacking zamyka się na noc, zostało jeszcze kilka implantów.”

Wygłosiłem kilka zdawkowych uwag w ciągu weekendu na temat chęci uzyskania chipu komunikacji bliskiego pola (NFC) wszczepionego w moją rękę, ale za każdym razem, gdy szedłem odwiedzić stoisko, było długie oczekiwanie. To byłaby moja ostatnia szansa, aby uzyskać chip na konferencji, więc postanowiliśmy zatrzymać się w drodze z hotelu.

Do czasu, gdy dotarłem do wioski biohacking było tylko jeden chip NFC lewo. Czułem się jak przeznaczenie, więc przekułem 50 dolarów w gotówce i zająłem miejsce przy stacji piercingu. Dostałem kilka piercingów wcześniej, więc perspektywa dostania pokemonów nie martwiła mnie tak bardzo, jak perspektywa otrzymania pasywnego urządzenia elektronicznego wstrzykniętego do mojej ręki w hotelowej sali konferencyjnej.

Jeśli miałbym jedną radę dla każdego, kto myśli o uzyskaniu implantu chipu NFC, byłoby to, aby zrobić to na trzeźwo.

Czipy NFC są podobne do chipów Radio Frequency ID (RFID) używanych do takich rzeczy jak identyfikatory pracowników lub śledzenie towarów w sklepach, z wyjątkiem tego, że nie są całkiem tak potężne (stąd near-field) i pozwalają na komunikację dwukierunkową. Chipy NFC mogą być używane do przechowywania niewielkich ilości informacji, takich jak hasła, informacje kontaktowe, adresy internetowe, a nawet zdjęcia.

Gdy chip NFC znajdzie się w odległości kilku centymetrów od czytnika NFC (większość nowoczesnych smartfonów jest wyposażona w funkcję NFC), dane na chipie mogą zostać przeniesione do czytnika. Działa to w ten sposób, że czytnik generuje słaby prąd elektryczny, który wytwarza niewielkie pole magnetyczne. Gdy chip NFC znajdzie się w tym polu magnetycznym, mała cewka w chipie wykorzystuje energię z telefonu do wytworzenia własnego pola, dzięki czemu dane zapisane na urządzeniu mogą zostać przesłane do czytnika.

Czip NFC, który wstrzyknięto mi w rękę, został wykonany przez Dangerous Things, firmę biohackingową założoną przez Amal Graafstra, która jest również pionierem w dziedzinie pistoletów biometrycznych DIY. Graafstra sprzedaje te chipy, odkąd zebrał 30 000 dolarów w kampanii crowdfundingowej w 2014 roku. Chip jest zamknięty w małej szklanej rurce, która ma nieco mniej niż pół cala długości i tylko dwa milimetry średnicy. Ta rurka jest wstrzykiwana w miękką tkankę pomiędzy kciukiem a palcem wskazującym, tuż nad pajęczyną. Gdy trzymasz rękę w pewnej pozycji, zarys chipa jest ledwo widoczny, gdy naciska na skórę.

Faktyczny proces uzyskiwania implantu przebiegł bezproblemowo, ale sprawy szybko się potem rozwinęły. W przypadku chipów NFC chodzi o to, że każdy, kto ma czytnik, może również zapisywać dane na urządzeniu, jeśli nie jest ono zabezpieczone. Chociaż nie jest to wielkie zagrożenie dla bezpieczeństwa, biorąc pod uwagę, że ktoś musiałby zbliżyć czytnik na odległość kilku centymetrów od twojej ręki, aby zapisać dane na chipie, kiedy jesteś na największej na świecie konferencji hakerów, lepiej grać bezpiecznie.

Tak więc, za namową wszystkich w stacji implantologicznej, pierwszą rzeczą, jaką zrobiłem z moim implantem, było zabezpieczenie go czterocyfrowym pinem. Nie zdecydowałem jeszcze, jakie dane chcę umieścić na chipie, ale na pewno nie chciałem, żeby ktoś inny zapisał się na nim jako pierwszy i potencjalnie mnie zablokował. Wybrałem ten sam pin, którego używałem do mojego telefonu, więc nie zapomnę go rano – a przynajmniej tak mi się wydawało.

Read More: 72 Hours of Pwnage: A Paranoid Noob Goes to Def Con

Gdybym miał jedną radę dla każdego, kto myśli o wszczepieniu sobie implantu z chipem NFC, to zrobiłbym to na trzeźwo. Na początek, piercer prawdopodobnie nawet nie da ci implantu, jeśli podejrzewa, że jesteś nietrzeźwy z powodów dotyczących zgody i bezpieczeństwa (alkohol rozrzedza krew, co jest również powodem, dla którego nie powinieneś robić tatuażu będąc pijanym). Ale co ważniejsze, nie obudzisz się następnego ranka z rozdzierającym bólem głowy i absolutnie nie będziesz miał pojęcia, jak odblokować swoją rękę.

Spędziłem większość mojego pierwszego dnia jako cyborg, desperacko przeczesując różne możliwości pinów, które uniemożliwiały mi odblokowanie chipu NFC w mojej ręce i wprowadzenie do niego danych. Próbowałem wszystkich oczywistych kandydatów-0000, 1234, 6969 i różnych pinów, których używam w innych częściach mojego życia. Wypróbowałem czytniki NFC w różnych telefonach, jak również dedykowane urządzenia NFC. Spędziłem zbyt wiele czasu na czytaniu o protokołach używanych do zabezpieczenia chipu, ale wniosek wydawał się nieuchronny: nieodwołalnie posiadłem samego siebie.

Jak odzyskałem dostęp do mojej ręki

Do czasu opuszczenia Def Con, zaakceptowałem swój los jako całkowicie bezużytecznego cyborga. Oczywiście możliwe jest usunięcie implantów NFC. Proces ten wymaga drobnej operacji i z tego, co czytałem, nie jest to aż tak duży problem. Kiedy jednak nadszedł tegoroczny tydzień hackingu, wydawało się, że to dobra okazja, aby spróbować odblokować moją rękę po raz ostatni. Wysłałem więc wiadomość na forum Dangerous Things w nadziei, że ktoś inny doświadczył podobnych problemów z chipem NFC.

Graafstra odpowiedziała i powiedziała, że prawdopodobnie miało to związek z faktem, że użyłem aplikacji NFC innej firmy do ustawienia hasła, gdy po raz pierwszy dostałem chip. Dangerous Things zaleca zabezpieczanie swoich implantów chipowych za pomocą własnej aplikacji NFC. Następnie, każda aplikacja innej firmy może być użyta do dodania lub odczytania zawartości implantu. Problem jednak pojawia się, gdy używasz jednej z tych aplikacji do ustawienia hasła w pierwszej kolejności.

Bez zagłębiania się w szczegóły techniczne, dlaczego jest to problem, aplikacje te zmieniają specyficzną część mechanizmu zabezpieczającego chipa tak, że może on być zmieniony tylko przez tę samą aplikację. Innymi słowy, aby odblokować moją rękę, musiałbym pamiętać nie tylko hasło, ale także aplikację NFC, której użyłem do jego ustawienia.

Nie byłem całkowicie pewien hasła, którego użyłem do zabezpieczenia mojej ręki, ale miałem pół tuzina wiodących kandydatów, więc była to głównie kwestia zorientowania się, która aplikacja została użyta do ochrony chipa. Zacząłem od użycia aplikacji o nazwie NFC Shell, która pozwala użytkownikom na wydawanie poleceń w formacie szesnastkowym bezpośrednio do chipa NFC. Aplikacja została usunięta ze sklepu Google Play kilka miesięcy wcześniej z nieznanych powodów, więc musiałem sideload aplikację na moim telefonie. Po kilku próbach rozgryzienia hasła za pomocą powłoki, zacząłem próbować różnych komercyjnych aplikacji.

Po wypróbowaniu aplikacji o nazwie NFC Tools bez powodzenia, przeszedłem do NXP TagWriter. Wypróbowałem pięć lub sześć różnych kombinacji pinów, z których żadna nie zadziałała. Już miałem zrezygnować z tej aplikacji, kiedy zdecydowałem się wypróbować ostatnią kombinację pinów – i zadziałało. W sumie, prawdopodobnie zajęło mi to pięć godzin czytania dokumentów technicznych i próbowania różnych kombinacji haseł, aplikacji NFC i czytników NFC, aby odzyskać dostęp do mojego implantu.

To dziwne uczucie mieć dostęp do chipa w mojej ręce po raz pierwszy od czasu wszczepienia go ponad rok temu. Teraz muszę tylko zdecydować, co zapisać na około 900 bajtach pamięci wszczepionej w moją rękę. Może umieszczę tam GIF-a lub moje dane kontaktowe, ale część mnie chce pozostawić ją pustą. Po roku życia z całkowicie bezużytecznym implantem NFC, w pewnym sensie zacząłem go lubić. To małe, prawie niezauważalne zgrubienie na mojej lewej ręce było ciągłym przypomnieniem, że nawet najbardziej wyrafinowane i odporne na błędy technologie nie mogą się równać z ludzką niekompetencją.