Grupos de Dados BAC: Riscos de Segurança e Potencial de Fraude

Os passaportes eletrónicos, que utilizam a norma ICAO 9303, tornaram-se uma pedra angular das viagens internacionais modernas. No entanto, a segurança que sustenta estes documentos não é impenetrável. Um componente crítico é o sistema BAC (Controlo Básico de Acesso), que governa o acesso a dados sensíveis armazenados no chip. Compreender as complexidades dos grupos de dados BAC, as suas potenciais fraquezas e a forma como podem ser exploradas é crucial para uma verificação de identidade robusta e prevenção de fraudes. Este artigo aprofunda-se nos aspetos técnicos do BAC, explorando potenciais vulnerabilidades e a crescente ameaça de fraude por chip comprometido.

Ponto Chave 1: O BAC depende da geração de números pseudoaleatórios; fraquezas neste processo podem levar a chaves previsíveis e acesso não autorizado a dados.

Ponto Chave 2: A estrutura dos grupos de dados Icao9303 BAC introduz vulnerabilidades, particularmente em torno da diversificação de chaves e das políticas de controlo de acesso.

Ponto Chave 3: Os atacantes podem explorar padrões previsíveis na geração de números pseudoaleatórios para descriptografar e manipular dados no chip.

Ponto Chave 4: Sistemas robustos de verificação de identidade devem ir além da simples leitura do chip, incorporando medidas de segurança avançadas para detetar tentativas de violação de dados.

Compreender o BAC e os Grupos de Dados

A norma Icao9303 define como os dados são estruturados dentro de um chip de passaporte eletrónico. O sistema BAC controla o acesso a estes dados, dividindo-os em diferentes 'Grupos de Dados'. Cada Grupo de Dados contém informações específicas, como detalhes pessoais, dados biométricos ou informações de segurança. O acesso a estes grupos é controlado por chaves derivadas de um Objeto de Segurança do Documento (SOD). O SOD contém as chaves utilizadas para encriptar e autenticar dados. Crucialmente, estas chaves não são utilizadas diretamente para aceder aos dados; em vez disso, são utilizadas para gerar chaves de sessão.

O BAC emprega uma função de derivação de chaves hierárquica. O SOD contém uma chave da Autoridade de Certificação de Assinatura do País (CSCA) e uma chave de Assinatura do Documento (DS). Estas chaves são utilizadas para gerar 'Chaves BAC' para cada Grupo de Dados. O processo depende fortemente da geração de números pseudoaleatórios. É aqui que surge o potencial de vulnerabilidade. Se o gerador de números pseudoaleatórios for previsível, um atacante pode reconstruir as Chaves BAC e obter acesso não autorizado aos dados do passaporte.

O Papel da Geração de Números Pseudoaleatórios

A segurança do BAC depende da qualidade do gerador de números pseudoaleatórios (PRNG) utilizado para derivar as Chaves BAC. Um gerador de números verdadeiramente aleatórios é impraticável para esta aplicação devido a restrições de desempenho. Em vez disso, é utilizado um algoritmo determinístico, com uma semente única derivada do SOD. A qualidade desta semente e a força do algoritmo PRNG são fundamentais. Infelizmente, as primeiras implementações do Icao9303 frequentemente empregavam PRNGs fracos.

Se um atacante conseguir prever a semente ou a saída do PRNG, poderá derivar as Chaves BAC e contornar os mecanismos de controlo de acesso. Esta não é uma preocupação teórica; vários ataques demonstraram a viabilidade de prever as Chaves BAC com base em fraquezas conhecidas nas implementações do PRNG. A previsibilidade destas chaves é agravada pelo facto de muitas autoridades de emissão de passaportes utilizarem algoritmos e métodos de semeadura de PRNG semelhantes ou idênticos.

Fraquezas na Estrutura dos Grupos de Dados BAC

Além do PRNG, a estrutura das próprias estruturas de dados BAC pode apresentar vulnerabilidades. Especificamente, o esquema de diversificação de chaves empregado para gerar chaves diferentes para cada Grupo de Dados pode não ser suficientemente robusto. Em algumas implementações, o processo de diversificação é relativamente simples, levando a relações previsíveis entre as chaves. Um atacante que conseguir determinar uma Chave BAC poderá ser capaz de extrapolar outras.

Além disso, as próprias políticas de controlo de acesso podem ser falhas. Por exemplo, alguns passaportes podem conceder um acesso mais amplo a determinados Grupos de Dados do que o necessário, aumentando a superfície de ataque. Políticas de controlo de acesso mal configuradas podem permitir que um atacante leia dados sensíveis sem autenticação adequada. A norma Icao9303 permite flexibilidade no controlo de acesso, mas esta flexibilidade deve ser implementada com cuidado para evitar a introdução de vulnerabilidades.

Exploração e Ataques no Mundo Real

Investigadores demonstraram ataques que exploram fraquezas nas implementações do BAC. Estes ataques envolvem tipicamente a extração do SOD do chip (um processo que requer acesso físico ao passaporte) e, em seguida, a utilização das fraquezas no PRNG ou no esquema de diversificação de chaves para derivar as Chaves BAC. Uma vez obtidas as Chaves BAC, um atacante pode ler e até modificar os dados armazenados no chip, criando potencialmente documentos falsificados ou alterando informações de identidade.

Estes ataques estão a tornar-se cada vez mais sofisticados, utilizando técnicas avançadas como a análise de canal lateral para extrair informações do chip. Isto envolve o monitoramento do consumo de energia ou das emissões eletromagnéticas do chip para inferir informações sobre as chaves e os algoritmos utilizados. O surgimento de ferramentas especializadas e código de exploração prontamente disponível reduziu a barreira de entrada para os atacantes, tornando estes ataques mais prevalentes. O risco de uma violação de dados é significativo, especialmente à medida que estas técnicas se tornam mais difundidas.

Como a Didit Ajuda

A plataforma de verificação de identidade da Didit vai além da simples leitura do chip para mitigar os riscos associados às vulnerabilidades do BAC:

• Leitura Avançada do Chip: Utilizamos leitura criptográfica de chip (verificação NFC) para validar a assinatura digital do chip e garantir a integridade dos dados.
• Deteção de Anomalias: A nossa plataforma emprega algoritmos sofisticados de deteção de anomalias para identificar padrões suspeitos nos dados lidos do chip, indicando potencial adulteração ou fraude.
• Validação de Dados: Cruzamos os dados extraídos do chip com bases de dados externas e fontes oficiais do governo para verificar a sua autenticidade.
• Deteção de Atividade: A deteção de atividade integrada impede o uso de ataques de falsificação, garantindo que a pessoa que apresenta o passaporte é o titular legítimo.
• Inteligência de Ameaças em Tempo Real: A Didit atualiza continuamente os seus feeds de inteligência de ameaças para se manter à frente dos vetores de ataque e vulnerabilidades emergentes.

Pronto para Começar?

Proteja o seu negócio e os seus clientes da fraude de passaportes com a robusta solução de verificação de identidade da Didit. Solicite uma demonstração hoje para saber como podemos ajudá-lo a proteger as suas operações. Explore a nossa documentação técnica para um mergulho mais profundo nas nossas capacidades.