Demo di passaporto elettronico mostra debolezze nei nuovi controlli di bordo

Secondo i ricercatori di sicurezza, i dati sui chip radio nei cosiddetti passaporti elettronici possono essere clonati e modificati senza rilevamento, rappresentando un vuoto buco di sicurezza nei sistemi di controllo di frontiera di nuova generazione. di 50 paesi stanno lanciando passaporti con chip RFID (identificazione a radiofrequenza) integrati contenenti dati biometrici e personali. La mossa ha lo scopo di ridurre i passaporti fraudolenti e rafforzare gli screening dei confini, ma gli esperti di sicurezza dicono che i sistemi hanno diversi punti deboli.

Il ricercatore olandese Jeroen van Beek ha rilasciato un toolkit software che può essere usato per codificare i chip RFID con informazioni false. In un video dimostrativo, van Beek mostra come uno scanner all'aeroporto di Amsterdam legge un chip di passaporto che ha codificato con le informazioni e la fotografia di Elvis Presley.

Significa che un truffatore potrebbe potenzialmente creare un passaporto falso con un chip RFID che sembrerebbe legittimo. La ragione per cui i dati sembrano legittimi è dovuta a un problema fondamentale nel modo in cui i governi stanno istituendo sistemi per gestire i passaporti elettronici, ha dichiarato Adam Laurie, un ricercatore indipendente della sicurezza che ha collaborato con van Beek alla dimostrazione.

Dati sui passaporti su chip RFID è firmato con un certificato digitale appartenente al paese a cui è stato rilasciato il passaporto. I sistemi di passaporto elettronico dovrebbero verificare il certificato durante la scansione di un passaporto, ha detto Laurie.

Tutti i paesi che emettono passaporti elettronici devono caricare il loro certificato digitale nella PKD (Public Key Directory), un database che deve essere interrogato per assicurati che il certificato sia corretto, ha detto Laurie.

Ma solo 10 dei circa 50 paesi hanno accettato di caricare tali certificati sul PKD, ha detto Laurie. Solo cinque paesi stanno contribuendo al database, ha detto.

"Fondamentalmente, tutto crolla", ha detto Laurie. La sicurezza del sistema di passaporto elettronico è radicata nei controlli del database back-end di tali certificati, ha detto.

Nella dimostrazione di van Beek, il chip del passaporto contenente dati fraudolenti presenta il proprio certificato che sembra provenire da un'autorità legittima ma non è 't. Poiché i Paesi Bassi non utilizzano la PKD per verificare i certificati del passaporto, il certificato è accettato, ha dichiarato Laurie.