НОВОСТИ : 100% уязвимости при 99% безопасности
НОВОСТИ : 100% уязвимости при 99% безопасности
Автор: Киви Берд
Десять лет назад Малайзия стала первым государством, где были введены электронные паспорта со встроенным чипом, дублирующим содержимое документа в цифровой форме. Уже в 1999 году этой технологией заинтересовалась ICAO, Международная организация гражданской авиации. А после печально известных событий 2001 года ICAO под нажимом США стала главной силой, продвигающей электронные паспорта.
Сегодня их ввели уже полсотни государств, гражданам которых выдано около ста миллионов документов нового образца.
Одним из важнейших достоинств этого нововведения принято считать то, что встроенный RFID-чип хорошо защищает документ от подделки.
Во-первых, потому, что его технологически сложнее изготовить, нежели обычный паспорт. А вовторых - и это самое главное, - записанные в память микросхемы данные о владельце надежно защищены от манипуляций и подмены с помощью криптографии, взломать которую невозможно. Так, по крайней мере, заявляют официальные лица, отвечающие за ускоренное внедрение технологии в международном масштабе.
Насколько декларируемая надежность соответствует действительной, решили проверить журналисты британской газеты Times, пригласив для этого известного в своем кругу "хакера в законе" Йерона ван Бека (Jeroen van Beek) из Амстердамского университета. Ван Бек давно экспериментирует с разнообразными технологиями анализа RFID-чипов, так что ему не составило труда наглядно продемонстрировать уязвимости электронных паспортов.
Для считывания информации с чипа достаточно компактного ридера ценой около 60 евро - и через несколько секунд вся информация появляется на экране компьютера. Вообще-то так быть не должно, поскольку "разговор" чипа с ридером зашифрован, но два года назад британский исследователь Эдам Лори (Adam Laurie) сумел обойти криптозащиту в этом канале (см. "КТ" #662 и rfidiot.org).
Еще несколько секунд понадобилось ван Беку, чтобы скопировать содержимое встроенного в паспорт RFID-чипа в другой чип. Примечательно, что идентичность клона подтверждает программа Golden Reader Tool, одобренная и рекомендованная ICAO в качестве стандарта для проверки подлинности электронных паспортов. Впрочем, удивить здесь может разве что легкость и быстрота операции, поскольку собственно клонирование RFID паспортов германский хакер Лукас Грюнвальд (Lukas Grunwald) продемонстрировал еще два года назад (см. "КТ" #649). Самое интересное, однако, началось дальше.
На своем компьютере ван Бек изменил содержимое чипа-клона, подменив фотографию подлинного владельца фотографией другого человека - для смеха взяв снимок бен Ладена. Точно так же, прокомментировал свои действия ван Бек, можно изменять и любые другие биометрические параметры, которые со временем планируется заносить в чип, будь то отпечатки пальцев или снимок радужной оболочки глаза. Поскольку содержимое памяти чипа хешируется и шифруется криптографией с открытым ключом (дабы цифровой подписью защитить данные от подделки), поначалу Golden Reader отказалась принимать модифицированный чип-клон как подлинный.
Но на этот случай у ван Бека есть утилита, созданная известным новозеландским хакером Питером Гутманом (Peter Gutmann) из Оклендского университета. Гутман нашел способ прописывать в чип другую цифровую подпись, которая при проверке будет приниматься за подлинную. Фактически манипулятор может выступать в роли "государства", выпустившего собственный сертификатключ для легитимной подписи паспортов. И на сей раз программа-ридер ICAO принимает чип-клон с новой фотографией и цифровой сигнатурой без возражений…
Дабы понять, как такое возможно, рассмотрим механизм борьбы с подделкой криптоключей.
Для этих целей ICAO учредила специальную базу данных - Public Key Directory (PKD). Управляет ею сингапурская компания Netrust, победившая в конкурсе среди восьми претендентов. В идеале, если бы PKD работала как задумывалось, можно было бы моментально подтвердить подлинность настоящего ключа или выявить подделку. Но для этого нужно, чтобы все страны-члены ICAO (а их около двух сотен) подтвердили данные о своих ключахсертификатах.
Но процесс движется медленно… Сейчас, спустя полтора года после запуска PKD, к ней подключились и регулярно используют лишь пять стран: Австралия, Новая Зеландия, Сингапур, США и Япония. Поскольку принуждение в данном случае невозможно, ICAO пытается применять и другой способ борьбы с клонированием паспортов - активную аутентификацию. Увы, и она не является обязательной. Это ван Бек тоже продемонстрировал, переписав в чипе-клоне индексный файл так, чтобы ридер пропускал процедуру активной аутентификации. В принципе, можно было бы защитить хешированием и индексный файл, однако в существующих паспортах этого не сделано. А чтобы сделать это сейчас, потребовалось бы отозвать и заменить миллионы уже выпущенных документов.
Комментируя столь унылую ситуацию, сложившуюся вокруг "надежно защищенных" электронных удостоверений личности, вышеупомянутый Эдам Лори резюмировал: "Если вы оцениваете безопасность системы в 99%, то она все равно уязвима на 100%, потому что и оставшийся процент можно использовать по полной программе".
Более 800 000 книг и аудиокниг! 📚
Получи 2 месяца Литрес Подписки в подарок и наслаждайся неограниченным чтением
ПОЛУЧИТЬ ПОДАРОКЧитайте также
Общий обзор средств безопасности: дескриптор безопасности
Общий обзор средств безопасности: дескриптор безопасности Анализ дескриптора безопасности предоставляет хорошую возможность для общего ознакомления с наиболее важными элементами системы безопасности Windows. В этом разделе речь будет идти о самых различных элементах
5.2. Место информационной безопасности экономических систем в национальной безопасности страны
5.2. Место информационной безопасности экономических систем в национальной безопасности страны В современном мире информационная безопасность становится жизненно необходимым условием обеспечения интересов человека, общества и государства и важнейшим, стержневым,
Глава 18 Уязвимости и их ландшафт
Глава 18 Уязвимости и их ландшафт В первой части мы теоретически рассматривали атаки: какие существуют виды нападений и нападающих. Но, как я каждый раз не устаю повторять, теория отличается от практики. Каждый, кто читает детективные романы или криминальную хронику в
Центр обеспечения безопасности и компоненты безопасности
Центр обеспечения безопасности и компоненты безопасности В обеспечении безопасности компьютера участвуют специализированные службы и программы. Важнейшие из них находятся под контролем Центра обеспечения безопасности. Этот компонент Windows отслеживает стабильность
Настройки безопасности
Настройки безопасности Наконец-то все? И опять нет: нас ждет еще один пульт управления, причем, как обычно, в совершенно другом разделе настроек! Вернитесь на вашу анкету, вновь щелкните по стрелке рядом с меню Главная, выберите в открывшемся меню раздел Настройки
Спам и уязвимости
Спам и уязвимости Поиск генерируемого контента. Контент, сгенерированный автоматически, с высокой долей вероятности будет расценен поисковой системой как спамный. Необходимо изучить сайт на предмет такого контента. Это делается ручным поиском блоков с генерированным
1.7. Уязвимости программ и хакерские технологии
1.7. Уязвимости программ и хакерские технологии Если после всего рассказанного в предыдущих главах у вас еще не пропало желание работать с компьютером, вам будет интересно узнать, как различные зловредные программы могут попасть в систему. Эта информация, возможно,
33.8. Проблемы безопасности
33.8. Проблемы безопасности Уместным будет лишний раз предупредить о соблюдении мер предосторожности при работе с незнакомыми сценариями. Сценарий может содержать червя, трояна или даже вирус. Если вы получили сценарий не из источника, которому доверяете, то никогда не
3.7. Механизмы безопасности
3.7. Механизмы безопасности В Windows Vista многие механизмы безопасности операционной системы были существенным образом доработаны. Кроме того, также появились совершенно новые механизмы безопасности, работу которых можно настроить.О них, а также и о стандартных механизмах
Уязвимости
Уязвимости "Даже если на дешифрование одного шифртекста PGP задействовать весь вычислительный потенциал планеты — 260 миллионов компьютеров, — всё равно на взлом, в среднем, потребуется время, в 12 миллионов раз превосходящее возраст нашей Вселенной" — Уильям Кроуэлл,
НОВОСТИ: Балансы безопасности
НОВОСТИ: Балансы безопасности Автор: БіРД КИВИ Общеизвестная истина гласит, что обеспечение безопасности — всегда поиск баланса между взаимно противоречивыми требованиями. Максимально безопасная система столь дорога и сложна, что практически непригодна к
Суть методологии исследования уязвимости
Суть методологии исследования уязвимости Поясним простым языком, что понимается под методологией исследования уязвимости. Уязвимость – это нечто, что независимо от того, воспользовался ли ею кто-нибудь или нет, присутствует всюду, будь то микроконтроллер или
Пластиковый сейф: исследование уязвимости в системах цифровой сертификации Андрей Васильков
Пластиковый сейф: исследование уязвимости в системах цифровой сертификации Андрей Васильков Опубликовано 17 сентября 2013 Многие смарт-карты обладают низкой криптографической защитой либо не имеют её вовсе. Это утверждение справедливо даже для
Новости Новости и комментарии: pcmag.ru/news
Новости Новости и комментарии: pcmag.ru/news Раздел подготовил Максим Белоус, Олег Лебедев Оруэллу и не снилось Лучшие антиутопии написаны в середине XX века. Их авторов всерьез беспокоила проблема сокращения личного пространства – такое сокращение неизбежно обусловлено
НОВОСТИ: Лицо и изнанка безопасности
НОВОСТИ: Лицо и изнанка безопасности Автор: Киви БердПриход новой ОС Microsoft Windows Vista — хоть и неоднократно переносившийся — грядет, как бы там ни было, с неумолимостью смены времен года. Но чем ближе становится эта дата, тем острее ощущается давний конфликт между
Новости Новости и комментарии: pcmag.ru/news
Новости Новости и комментарии: pcmag.ru/news Раздел подготовили: Максим Белоус, Игорь Новиков Ничто не вечно под DRM Встречаются люди, искренне убежденные, что владелец авторских прав вправе оберегать от нелицензированного копирования любыми доступными способами всякий