Hakeri mogu da kloniraju čipove sa ličnim podacima
Koliko su bezbedni elektronski pasoši koje uvode SAD i neke zemlje EU?
Na konferenciji o bezbednosti, održanoj prošle nedelje u Las Vegasu pred okupljenim međunarodnim stručnjacima za sigurnost elektronskih podataka, jedan nemački konsultant pokazao je da može da klonira elektronske pasoše koje će SAD i neke evropske zemlje početi da izdaju svojim građanima već krajem ove godine. Ti pasoši, naime, sadrže radiofrekvencijsku identifikaciju, ili RFID čipove, koji treba da garantuju tajnost podataka. Međutim, ovaj stručnjak po imenu Lukas Grinvald tvrdi da podaci u tim čipovima veoma lako mogu da se kopiraju, te je izrada RFID pasoša čisto bacanje novca.
Čitač čipa aktivira eksploziv
Dvojica američkih istraživača na pomenutom skupu u Las Vegasu demonstrirala su na video-materijalu koj isu doneli, kako RFID čitač, prikačen na improvizovanu eksplozivnu napravu može teorijski da identifikuje građanina koji prolazi pored te eksplozivne sprave i da u željenom trenutku aktivira eksploziv. Oni još uvek nisu isprobali svoju teroiju na pravom američkom e-pasošu jer taj dokument još nije u upotrebi, ali su koristili njegov prototip koji su sami naprvaili pomoću RFID čipa smeštenog u džepu žrtve. Kad čip prođe pored čitača, čitač aktivira eksploziv smešten u kanti za đubre.
Sjedinjene Američke Države među prvima su insistirale na uvođenju elektronskih pasoša, smatrajući da je lakše otkriti falsifikat kad postoje čipovi u pasošima.
Iako je u početku bilo govora o enkripciji podataka na čipu, njihovo dešifrovanje isuviše bi bilo složeno i skupo, pa će se u prvo vreme lični podaci samo upisivati u čip onakvi kakvi jesu.
Grinvald tvrdi da podaci koji mogu da se pročitaju, mogu i da se kloniraju i smeste na novi čip. On sam je uspeo to da uradi za samo dve nedelje, obavivši svojevrsni test sigurnosti novog nemačkog pasoša Evropske unije. On je svoj pasoš stavio iznad profesionalnog RFID čitača pasoša koji koriste pogranične inspekcije, i ubacio program koji se koristi prilikom kontrole pasoša na granici, pod nazivom Golden Reader Tool. Posle nekoliko sekundi, podaci iz pasoškog čipa pojavili su se na ekranu u šablonu Golden Reader-a.
Zatim je uzeo praznu stranicu pasoša sa još neispunjenim RFID čipom, postavio je ispod RFID čitača i uz pomoć programa koji su on i njegov kolega napravili pre dve godine, nazvanog RFDUMP (RFID-smetlište), prebacio podatke sa čipa svog pasoša na novi.
Počinje izdavanje RFID pasoša u SAD
Američki Stejt department počeće uskoro da izdaje državljanima SAD elektronske pasoše sa ugrađenim čipom za radiofrekventnu identifikaciju (RFID) koji će sadržati informacije o vlasniku pasoša. Iako pojedini stručnjaci za računarsku bezbednost podozrevaju da novi e-pasoši nisu baš sasvim otporni na napade hakera, projekat zamene postojećih pasoša elektronskim uveliko je odmakao. Prvi e-pasoši biće izdati u Denveru, a u sledećih nekoliko godina širom SAD izdavaće ih pored Stejt departmenta i lokalne državne agencije. U čipu, ugrađenom u korice novih pasoša, biće objedinjena tehnologija za prepoznavanje lica i tehnologija koja se koristi u bezkontaktnim karticama.U čipu će se čuvati iste informacije koje se sada nalaze u papirnim pasošima - ime i prezime vlasnika, datum njegovog rođenja, pol, mesto rođenja, datum izdavanja pasoša i rok njegove važnosti, broj pasoša i skenirana fotografija vlasnika pasoša. Podatke će od krađe štititi digitalni potpis vlasnika, a skenirana slika njegovog lica i digitalizovani otisci prstiju služiće za biometrijsku proveru i poređenje. Čip će sadržati i tehnologiju koja će sprečavati neovlašćeno čitanje podataka, a razmatra se i upotreba tehnologije koja će sprečiti da podaci uopšte budu očitani dok se korice pasoše ne otvore i knjižica ne približi mašini za očitavanje podataka. Novi pasoši imaju i svoje protivnike, prvenstveno iz redova stručnjaka za računarsku bezbednost ili organizacija koje se bore za građanske slobode, koji smatraju da predviđene mere zaštite možda neće biti dovoljne. Kritičari e-pasoša se, uopšteno govoreći, protive svakoj upotrebi identifikacionih tehnologija u ličnim dokumentima, jer ne veruju da državne institucije mogu da razviju dovoljno efikasan sistem za sprečavanje krađe identiteta. Radioidentifikacione čipove i tehnologiju potrebnu za očitavanje sadržaja koji se u njima čuva obezbedile su kompanija Infineon Technologies North America iz San Hozea u Kaliforniji i kompanija Gemalto iz Amsterdama. Standarde za upotrebu e-pasoša propisala je Međunarodna organizacija za civilni aerosaobraćaj (International Civil Aeronautics Organization, ICAO). Predstavnici tog tela Ujedinjenih nacija trenutno su angažovani u pomaganju carinskim organima svake od 189 zemalja članica organizacije ICAO da do 2010. godine uvedu u upotrebu elektronske pasoše koji će moći mašinski da se očitavaju. N. M.
Elektronski čitač pasoša ne može da razlikuje falsifikat od pravog čipa, kaže Grinvald. Međutim, osim kloniranja, dodaje on, nije zasad moguće izmeniti već postojeće podatke na čipu, zbog toga što ti pasoši sadrže kriptografske delove koji potvrđuju autentičnost podataka.
Grinvald je, međutim, istim postupkom kopirao podatke sa pasoškog čipa na običnu pametnu karticu - kakve korporacije koriste za ulazak u firmu - i formatirao njen čip prema ICAO standardu pasoških čipova. Uspeo je da zavara čitač pasoša poturivši tu karticu između čitača i pasoškog čipa. Pošto čitač može odjednom da čita samo jedan čip, i to najbliži, učitao je podatke sa kartice, umesto sa pasoškog čipa.
To znači da terorista čije je ime na listi sumnjivih može da nosi pasoš sa svojim imenom i fotografijom, ali sa RFID čipom koji sadrži drukčije podatke klonirane sa tuđeg pasoša. Svaki pogranični kompjuter koji se oslanja na elektronsku informaciju - umesto na ono što je štampano na pasošu, mogao bi da završi zadatak tako što bi proveravao pogrešno ime.
To bi se lako ispravilo pomoću fizičke provere samog pasoša da bi se videlo da li slika i ime odgovaraju podacima u čipu, kao i proverom mašinski čitljivog štampanog teksta na dnu pasoša.
Zvaničnici Stejt Departmenta, koji kažu, međutim, da im je odavno poznato da se čipovi mogu klonirati, ali da bi drugi bezbednosni elementi u pasošu, kao digitalna fotografija nosioca pasoša ubačena u čip mogli da zaštite pasoš od zloupotreba. Ujedno, nigde se neće primenjivati samo automatska, kompjuterska provera čipova, već i živi kontrolori koji će sve podatke lično proveravati i upoređivati. U Australiji, međutim, već se razmišlja o uvođenju automatske kontrole pasoša za određene kategorije putnika.
Grinvald upozorava i na to da bi neko mogao da ubaci u čip neispravne podatke koji bi mogli da dovedu do kraha za to nepripremljenog sistema čitanja.
Planirano je da američki elektronski pasoši sadrže mrežu metalnih vlakana utkanu u prednju koricu dokumenta da bi ih štitila od neautorizovanih čitača. Međutim, iako bi ta vrsta kontrole pristupa bazi štitila čip da ne prenosi korisne informacije napadačima, pravi čitači bi ipak mogli da dođu do podataka iz njega. Ta zaštita je dodata nakon što su branioci privatnosti izrazili zabrinutost zbog mogućnosti da neki terorista samo uperi RFID čitač u gomilu ljudi i identifikuje traženog putnika.
To je moguće ukoliko je pasoš makar i pola centimetra otvoren, recimo u novčaniku, ili torbi, a podaci su dostupni svakom ko je udaljen nešto manje od metra, ukoliko ima odgovarajući čitač.
Pored pasoša Grinvald je klonirao i studentske RFID kartice koje se koriste za univerzitetske menze i sl., zatim je sa saradnicima uspeo da sruši RFID alarmne sisteme koji se oglašavaju ukoliko neko razbije prozor ili vrata da bi ušao, zatim RFID priključke u pametnim ključnim karticama za hotelske sobe, kancelarije i sl.
Grinvald i njegovi saradnici napravili su rečničku bazu podataka o svim karticama ovog tipa koje su pronašli u literaturi, koju su ugradili u svoj program. Bili su iznenađeni kad su uspeli da pročitaju 75 odsto svih kartica koje su im dospele u ruke.
Priredila: V. R.