На своем компьютере ван Бек изменил содержимое чипа-клона, подменив фотографию подлинного владельца фотографией другого человека - для смеха взяв снимок бен Ладена. Точно так же, прокомментировал свои действия ван Бек, можно изменять и любые другие биометрические параметры, которые со временем планируется заносить в чип, будь то отпечатки пальцев или снимок радужной оболочки глаза. Поскольку содержимое памяти чипа хешируется и шифруется криптографией с открытым ключом (дабы цифровой подписью защитить данные от подделки), поначалу Golden Reader отказалась принимать модифицированный чип-клон как подлинный.
Но на этот случай у ван Бека есть утилита, созданная известным новозеландским хакером Питером Гутманом (Peter Gutmann) из Оклендского университета. Гутман нашел способ прописывать в чип другую цифровую подпись, которая при проверке будет приниматься за подлинную. Фактически манипулятор может выступать в роли "государства", выпустившего собственный сертификатключ для легитимной подписи паспортов. И на сей раз программа-ридер ICAO принимает чип-клон с новой фотографией и цифровой сигнатурой без возражений…
Дабы понять, как такое возможно, рассмотрим механизм борьбы с подделкой криптоключей.
Для этих целей ICAO учредила специальную базу данных - Public Key Directory (PKD). Управляет ею сингапурская компания Netrust, победившая в конкурсе среди восьми претендентов. В идеале, если бы PKD работала как задумывалось, можно было бы моментально подтвердить подлинность настоящего ключа или выявить подделку. Но для этого нужно, чтобы все страны-члены ICAO (а их около двух сотен) подтвердили данные о своих ключахсертификатах.
Но процесс движется медленно… Сейчас, спустя полтора года после запуска PKD, к ней подключились и регулярно используют лишь пять стран: Австралия, Новая Зеландия, Сингапур, США и Япония. Поскольку принуждение в данном случае невозможно, ICAO пытается применять и другой способ борьбы с клонированием паспортов - активную аутентификацию. Увы, и она не является обязательной. Это ван Бек тоже продемонстрировал, переписав в чипе-клоне индексный файл так, чтобы ридер пропускал процедуру активной аутентификации. В принципе, можно было бы защитить хешированием и индексный файл, однако в существующих паспортах этого не сделано. А чтобы сделать это сейчас, потребовалось бы отозвать и заменить миллионы уже выпущенных документов.
Комментируя столь унылую ситуацию, сложившуюся вокруг "надежно защищенных" электронных удостоверений личности, вышеупомянутый Эдам Лори резюмировал: "Если вы оцениваете безопасность системы в 99%, то она все равно уязвима на 100%, потому что и оставшийся процент можно использовать по полной программе".
МИКРОФИШКИ: Микрофишки
Седьмое сентября станет не только первым воскресным днем осени, но и стартом продаж iPhone 3G в американской сети Best Buy. До этого момента купить модный гаджет в США можно было только в Apple Store и салонах AT&T. Что касается России, по самым оптимистичным прогнозам, официальные продажи трубки начнутся не раньше следующего года. Как заявляют представители МТС, ведущие активные переговоры с Apple, вероятно, ни один российский оператор не получит эксклюзивного права продавать аппарат на территории страны. ЖС
App Store, онлайновый магазин софта для iPhone, пополнился странным приложением I Am Rich. За 999 долларов разработчик предлагал программу, которая не умеет абсолютно ничего! Вернее, ничего полезного. "Красная иконка на iPhone будет напоминать вам и окружающим о том, что вы можете позволить себе подобные вещи" - гласило описание софтины. Проще говоря, за кровную штуку предлагалось тупо "понтануться". "Пожалуйста, скажите мне, что это шутка", - так звучал один из отзывов. Автор приложения с такой трактовкой согласен: "Это произведение искусства, без каких-либо функций". Нашлось, однако, восемь человек, пожелавших прикупить "luxury"-программу. Правда, некоторые из них потребовали деньги назад, мотивируя тем, что совершили покупку по ошибке. Администрации App Store ничего не оставалось, как убрать из магазина вызывающе бесполезную софтину, уже ставшую к тому времени причиной горячих сетевых дискуссий. КШ