Группы данных BAC: риски безопасности и потенциал мошенничества

Электронные паспорта, использующие стандарт ICAO 9303, стали краеугольным камнем современной международной поездки. Однако, безопасность этих документов не является непреодолимой. Критически важным компонентом является система BAC (Basic Access Control), которая управляет доступом к конфиденциальным данным, хранящимся на чипе. Понимание особенностей групп данных BAC, их потенциальных слабостей и способов их эксплуатации имеет решающее значение для надежной проверки личности и предотвращения мошенничества. В этой статье мы глубоко погружаемся в технические аспекты BAC, исследуя потенциальные уязвимости и растущую угрозу мошенничества с компрометированным чипом.

Ключевой вывод 1: BAC полагается на генерацию псевдослучайных чисел; недостатки в этом процессе могут привести к предсказуемым ключам и несанкционированному доступу к данным.

Ключевой вывод 2: Структура групп данных Icao9303 BAC вносит уязвимости, особенно в отношении диверсификации ключей и политик контроля доступа.

Ключевой вывод 3: Злоумышленники могут использовать предсказуемые закономерности в генерации псевдослучайных чисел для расшифровки и манипулирования данными на чипе.

Ключевой вывод 4: Надежные системы проверки личности должны выходить за рамки простого считывания чипа, включая расширенные меры безопасности для обнаружения попыток утечки данных.

Понимание BAC и групп данных

Стандарт Icao9303 определяет, как данные структурированы в чипе электронного паспорта. Система BAC контролирует доступ к этим данным, разделяя их на различные «Группы данных». Каждая группа данных содержит определенную информацию, такую как личные данные, биометрические данные или информацию о безопасности. Доступ к этим группам контролируется ключами, полученными из объекта безопасности документа (SOD). SOD содержит ключи, используемые для шифрования и аутентификации данных. Важно отметить, что эти ключи не используются напрямую для доступа к данным; вместо этого они используются для генерации сеансовых ключей.

BAC использует иерархическую функцию получения ключей. SOD содержит ключ Удостоверяющего центра подписи страны (CSCA) и ключ подписи документа (DS). Эти ключи используются для генерации «ключей BAC» для каждой группы данных. Процесс сильно зависит от генерации псевдослучайных чисел. Именно здесь возникает потенциальная уязвимость. Если генератор псевдослучайных чисел предсказуем, злоумышленник может восстановить ключи BAC и получить несанкционированный доступ к данным паспорта.

Роль генерации псевдослучайных чисел

Безопасность BAC зависит от качества генератора псевдослучайных чисел (PRNG), используемого для получения ключей BAC. Истинно случайный генератор чисел непрактичен для этого приложения из-за ограничений производительности. Вместо этого используется детерминированный алгоритм, инициализированный уникальным значением, полученным из SOD. Качество этого начального значения и прочность алгоритма PRNG имеют первостепенное значение. К сожалению, ранние реализации Icao9303 часто использовали слабые PRNG.

Если злоумышленник может предсказать начальное значение или выходные данные PRNG, он может получить ключи BAC и обойти механизмы контроля доступа. Это не теоретическая проблема; несколько атак продемонстрировали возможность предсказания ключей BAC на основе известных недостатков в реализациях PRNG. Предсказуемость этих ключей усугубляется тем фактом, что многие органы, выдающие паспорта, используют аналогичные или идентичные алгоритмы PRNG и методы инициализации.

Слабости в структуре данных BAC

Помимо PRNG, структура самих структур данных BAC может представлять уязвимости. В частности, схема диверсификации ключей, используемая для генерации различных ключей для каждой группы данных, может быть недостаточно надежной. В некоторых реализациях процесс диверсификации относительно прост, что приводит к предсказуемым взаимосвязям между ключами. Злоумышленник, который может определить один ключ BAC, может быть в состоянии экстраполировать другие.

Кроме того, сами политики контроля доступа могут быть ошибочными. Например, некоторые паспорта могут предоставлять более широкий доступ к определенным группам данных, чем необходимо, увеличивая поверхность атаки. Неправильно настроенные политики контроля доступа могут позволить злоумышленнику читать конфиденциальные данные без надлежащей аутентификации. Стандарт Icao9303 обеспечивает гибкость в контроле доступа, но эта гибкость должна быть реализована с осторожностью, чтобы избежать внесения уязвимостей.

Эксплуатация и атаки в реальном мире

Исследователи продемонстрировали атаки, использующие уязвимости в реализациях BAC. Эти атаки обычно включают извлечение SOD из чипа (процесс, требующий физического доступа к паспорту), а затем использование недостатков в PRNG или схеме диверсификации ключей для получения ключей BAC. Как только ключи BAC получены, злоумышленник может читать и даже изменять данные, хранящиеся на чипе, потенциально создавая поддельные документы или изменяя информацию об удостоверении личности.

Эти атаки становятся все более сложными, используя передовые методы, такие как анализ по сторонним каналам, для извлечения информации из чипа. Это включает в себя мониторинг энергопотребления чипа или электромагнитного излучения для получения информации о ключах и алгоритмах, используемых. Появление специализированных инструментов и общедоступного кода эксплуатации снизило порог входа для злоумышленников, что сделало эти атаки более распространенными. Риск утечки данных значителен, особенно по мере распространения этих методов.

Как Didit помогает

Платформа проверки личности Didit выходит за рамки простого считывания чипа, чтобы снизить риски, связанные с уязвимостями BAC:

• Расширенное считывание чипа: Мы используем криптографическое считывание чипа (NFC-верификация) для проверки цифровой подписи чипа и обеспечения целостности данных.
• Обнаружение аномалий: Наша платформа использует сложные алгоритмы обнаружения аномалий для выявления подозрительных закономерностей в данных, прочитанных с чипа, что указывает на возможное вмешательство или мошенничество.
• Проверка данных: Мы сопоставляем данные, извлеченные из чипа, с внешними базами данных и официальными государственными источниками для проверки их подлинности.
• Обнаружение активности: Встроенное обнаружение активности предотвращает использование атак спуфинга, гарантируя, что предъявляющий паспорт является законным владельцем.
• Разведка угроз в реальном времени: Didit непрерывно обновляет свои каналы разведки угроз, чтобы опережать возникающие векторы атак и уязвимости.

Готовы начать?

Защитите свой бизнес и своих клиентов от мошенничества с паспортами с помощью надежного решения Didit для проверки личности. Закажите демонстрацию сегодня, чтобы узнать, как мы можем помочь вам обеспечить безопасность ваших операций. Изучите нашу техническую документацию для более глубокого понимания наших возможностей.