Читать «Журнал «Компьютерра» N 29 от 15 августа 2006 года» онлайн - страница 10

Атака клоном

На прошедшей в Лас-Вегасе хакерской конференции Black Hat/Defcon было наглядно продемонстрировано, сколь легко поддаются копированию новые «хайтек-паспорта» со встроенным RFID-чипом. Лукас Грюнвальд (Lukas Grunwald), исследователь германской компании DN-Systems, в ходе своей презентации за несколько минут создал электронный клон собственного RFID-паспорта. Для этого ему понадобились ноутбук и относительно недорогое, ценой в несколько сотен долларов, оборудование для считывания RFID и программирования чипов смарт-карт.

В роли проверочного устройства, подтверждающего качество клонирования, выступил считыватель службы паспортного контроля, применяемый на пограничных постах и изготовленный германской компанией ACG Identification Technologies. Как выяснилось, этот прибор не видит разницы между оригинальным паспортом и его электронным клоном, изготовленным из свободно доступной на рынке смарт-карты с RFID.

По словам Грюнвальда, ему понадобилось около двух недель на то, чтобы создать свою технологию клонирования, причем большая часть времени пришлась на изучение особенностей формата данных в RFID-чипах новых паспортов. Эта информация выложена на сайте ICAO, Международной организации гражданской авиации, которой ООН поручила курировать вопросы разработки единого формата для новых документов идентификации. И хотя атака Грюнвальда продемонстрирована на германском паспорте, нет никаких сомнений, что она точно так же будет работать и на паспортах других стран, коль скоро документы создаются на основе единого стандарта ICAO.

Демонстрируя свою работу, исследователь подчеркнул, что таким способом можно делать исключительно копии «один в один». Никакие манипуляции с данными и попытки их модификации здесь невозможны, ибо целостность информации в чипе защищена с помощью проверочной хеш-функции. С одной стороны, это означает, что и при наличии чипа в паспорте критически важным элементом в проверке личности продолжает оставаться визуальная сверка лица владельца с цифровой фотографией в чипе (это пока единственный «биометрический» параметр, зашиваемый в паспорт). С другой же стороны, эта процедура практически ничем не отличается от обычной сверки лица с фотографией в документе. И получается, что затея с RFID-паспортами не добавила ни грана безопасности, зато привела к гигантским затратам средств и породила кучу новых проблем вроде дистанционного считывания и незаметной кражи персональных данных.

Нельзя сказать, чтобы этого совсем не понимали властные структуры, инициировавшие крупномасштабные «антитеррористические» мероприятия с усилением паспортного контроля. Очевидные технологические изъяны явно требуют доработки RFID-паспортов, поэтому в июне нынешнего года Еврокомиссия, к примеру, опубликовала подробности о планах «биометрических дополнений» в документы, предназначенные для граждан Евросоюза. Наряду с цифровой фотографией лица, обязательной в ныне выдаваемых паспортах, к 2009 году всем государствам-членам Союза надлежит обеспечить внесение в чипы еще и отпечатков двух пальцев владельца документа. Насколько это поможет дать отпор террористам - сказать трудно, но то, что проверка личности на пропускном пункте станет выглядеть существенно иначе, больше напоминая задержание преступников, - это точно. - Б.К.