Хакер #305. Многошаговые SQL-инъекции
Британские биометрические паспорта оказались совершенно не такими защищенными, как уверяло правительство Соединенного Королевства. Журналист газеты The Guardian Стив Богган с помощью компьютерного эксперта сумел без особого труда получить доступ к сведениям, содержащимся в чипах новых документов.
Выдача биометрических паспортов началась в Великобритании в марте этого года. На сегодняшний день новыми документами владеют уже три миллиона британцев. Электронные паспорта снабжены микросхемой, на которой записаны данные владельца - его цифровая фотография, имя и адрес. С 2008 года планируется пополнить эти сведения отпечатками пальцев и рисунком радужной оболочки глаза. На контрольно-пропускных пунктах эта информация считывается специальным устройством и поступает на компьютер. Сами данные не зашифрованы, кодируется лишь "диалог" между чипом и сканирующим прибором.
Для шифровки этого "диалога" МВД Великобритании применило военный стандарт кодировки данных 3DES. Однако при создании ключа был нарушен один из главных принципов шифрования, исключающий использование общедоступной информации. Причем ошибку допустило не МВД, а ICAO: не мудрствуя лукаво, организация порекомендовала составить код из номера паспорта, даты рождения владельца и даты истечения срока действия документа, набранных именно в таком порядке. А поскольку все эти сведения напечатаны в самом паспорте, система защиты новых документов не выдерживает никакой критики.
Чрезвычайную легкость доступа к личным данным, записанным на микросхеме, обнаружили Богган и технический директор компании Bunker Secure Hosting Адам Лори. По их словам, мошенники могут с легкостью создавать клоны биометрических паспортов - для этого надо лишь купить недорогое считывающее устройство и просканировать чип любого находящегося поблизости паспорта.
Обескураженные Богган и Лори сообщили о своем неприятном открытии в МВД, где на их заявление отреагировали спокойно. Представители ведомства уверены, что злоумышленникам нет никакого проку от данных, хранящихся на чипе, поскольку все эти сведения можно увидеть в паспорте невооруженным глазом. А подделать документ мошенникам все равно будет сложно, гораздо проще украсть настоящий паспорт.
