Britský biometrický pas prolomen

Britská vláda začala vydávat RFID pasy přibližně před rokem a postupně v nich chce integrovat další biometrické informace, například digitalizované otisky prstů. V současné době čip obsahuje digitalizované pasové údaje, fotografii a bezpečností údaje sloužící k identifikaci toho, zda nebylo s daty modifikováno. Bezpečností experti se již dříve obávali o dostatečnou ochranu uložených dat a nejnovější průlom dat dává jejich obavám zapravdu.

K prolamovacímu útoku byla využita běžná čtečka RFID čipů (radio frequency identification) a připravený kód. Data byla načtena z RFID čipu v pasu uzavřeném v obálce, takové, ve které jsou pasy rozesílány z pasového oddělení. Útok je možné provést na vzdálenost až deseti centimetrů a bez vědomí oběti. Pas této konkrétní „oběti“ náležel ženě z organizace No2ID, skupině lidí protestující proti biometrickým pasům a podobných identifikačním dokladům.
Údaje na čipu jsou uzamčena do doby, než vyšle RFID čtečka kódovací klíč. Ten je vypočítám jako kombinace osobních dat konkrétní osoby (mj. datum narození) a je obsažen ve strojově čitelné zóně (Machine Readable Zone - MRZ) znaků vytištěné ve spodku první stránky pasu (něco podobného je i na spodní části českých pasů).



Optická čtečka v imigračním oddělení přečte údaje ze strojově čitelné zóny, a tím získá kód, kterým odemkne RFID čip, imigrační pracovník tak může číst údaje.

Při tomto bezpečnostním útoku si bezpečnostní expert dobře prostudoval ICAO 9303, což je standard Mezinárodní organizace civilního letectví (International Civil Aviation Organization - ICAO) využívaný celosvětově pro tvorbu strojově čitelných pasů, tímto zjistil, jak je MRZ vytvořena. Kromě toho znal některé z údajů „oběti“, další potřebné znalosti si našel na internetu. Následným krokem bylo sepsání prolamovacího programu, který pomocí hrubé síly (brute force) zkouší nejrůznější kombinace dat ke zjištění klíče. Ten byl získán po vyzkoušení přibližně 40 000 kombinací. Data z RFID čipu pak přečetl pomocí běžně dostupné RFID čtečky.

Pokud by šlo o skutečného zločince, mohlo by dalším krokem být vytvoření duplikátu pasu s takto získanými údaji. Z této události plyne, že největší slabostí nových britských pasů je relativní snadnost, s níž lze potřebná data sestavit. Aby byly bezpečnější, je třeba přidat více náhodných prvků pro generování otevíracího klíče, které by použití „hrubé síly“ pro prolomení kódu učinily neúměrně dlouhým.

Autor tohoto znepokojujícího činu dal na internetu k dispozici open-source nástroje napsané v programovacím jazyku Python. Ty fungují s RFID čtečkami vyrobenými rakouskými společnostmi ACG a Frosch Electronics OEG.

Grafika: www.scienceprog.com, www.silicon.com