diamonds55
3rd October 2008, 07:37 PM
vonJeekنام مستعار پژوهشگری است که ادعای جالبی دارد. وی می گوید توانسته کدی طراحی کند که گذرنامه های الکترونیکی را همانندسازی می نماید. او جزئیات این هک را منتشر کرده است.
vonJeek به ZDNet.co.uk اظهار داشته است که با استفاده از تراشه های همانندسازی شده، می توان تمهیدات امنیتی گذرنامه های الکترونیکی را دور زد.
وی می گوید: «وقتی درباره دور زدن (bypassing) صحبت می کنیم، منظورمان دست بردن در یک سیستم به گونه ای است که پردازش های آن، بر خلاف پیش بینی ها و طراحی های قبلی، صورت بگیرد.»
هکر عقیده دارد که در گذرنامه های الکتریکی برای ردیابی تغییرات غیرمجاز اطلاعات تراشه ها، از مکانیسمی به نام passive authentication استفاده می شود. یک document security object (که به اختصار SOD نامیده می شود) در تراشه ذخیره شده است که حاوی دو الی شانزده مقادیر ریاضی بوده و از آن برای شناسایی تغییرات احتمالی در گذرنامه استفاده می گردد.
مجموعه این مقادیر، حکم یک امضای دیجیتالی را دارد. این امضا به همراه کلید عمومی (Public Key) امضا کننده که معیار صحت امضا به شمار می رود، در فایل SOD ذخیره می گردد.
برای تایید صلاحیت و اعتبار گذرنامه های الکترونیکی، باید کارهای مختلفی صورت بگیرد که بخشی از آن عبارت است از: بررسی فایل ذخیره شده در تراشه، بررسی مقادیر ثبت شده در فایل SOD و بررسی امضا و درست آزمایی Public Key.
به گزارش zdnet کشورها می توانند از یک مکانیسم امنیتی دیگر به نام active authentication نیز استفاده کنند. این مکانیسم مشخص می کند که آیا اطلاعات تراشه، دچار تغییر گشته یا این اطلاعات همانندسازی شده است یا خیر.
مکانیسم active authentication در گذرنامه های الکترونیکی هلند مورد استفاده قرار می گیرد.
VonJeek مدعی است یک برنامه مقلد که از آسیب پذیری موجود در گذرنامه الکترونیکی بهره می برد، می تواند active authentication را با هر برنامه اضافه دیگری از قبیل اثر انگشت یا مشخصه های بیومتریک «دور بزند».
شیوه ای که سیستم گذرنامه الکترونیکی از آن برای رجوع به ایندکس و بررسی فایل های ذخیره شده در تراشه استفاده می کند، باعث بروز این اختلال امنیتی است.
vonJeek می گوید که این برنامه مقلد، می تواند هر نوع گذرنامه الکترونیکی را دست کاری کند؛ البته به این شرط که سیستم، دستورالعمل سازمان بین المللی هوانوردی (ICAO) را بدون اعمال تغییر دنبال کرده باشد.
این محقق می گوید: گذرنامه های الکترونیکی مورد استفاده در انگلیس که در آنها از active authentication استفاده نگشته نیز قابل هک شدن است.
vonJeek به ZDNet.co.uk اظهار داشته است که با استفاده از تراشه های همانندسازی شده، می توان تمهیدات امنیتی گذرنامه های الکترونیکی را دور زد.
وی می گوید: «وقتی درباره دور زدن (bypassing) صحبت می کنیم، منظورمان دست بردن در یک سیستم به گونه ای است که پردازش های آن، بر خلاف پیش بینی ها و طراحی های قبلی، صورت بگیرد.»
هکر عقیده دارد که در گذرنامه های الکتریکی برای ردیابی تغییرات غیرمجاز اطلاعات تراشه ها، از مکانیسمی به نام passive authentication استفاده می شود. یک document security object (که به اختصار SOD نامیده می شود) در تراشه ذخیره شده است که حاوی دو الی شانزده مقادیر ریاضی بوده و از آن برای شناسایی تغییرات احتمالی در گذرنامه استفاده می گردد.
مجموعه این مقادیر، حکم یک امضای دیجیتالی را دارد. این امضا به همراه کلید عمومی (Public Key) امضا کننده که معیار صحت امضا به شمار می رود، در فایل SOD ذخیره می گردد.
برای تایید صلاحیت و اعتبار گذرنامه های الکترونیکی، باید کارهای مختلفی صورت بگیرد که بخشی از آن عبارت است از: بررسی فایل ذخیره شده در تراشه، بررسی مقادیر ثبت شده در فایل SOD و بررسی امضا و درست آزمایی Public Key.
به گزارش zdnet کشورها می توانند از یک مکانیسم امنیتی دیگر به نام active authentication نیز استفاده کنند. این مکانیسم مشخص می کند که آیا اطلاعات تراشه، دچار تغییر گشته یا این اطلاعات همانندسازی شده است یا خیر.
مکانیسم active authentication در گذرنامه های الکترونیکی هلند مورد استفاده قرار می گیرد.
VonJeek مدعی است یک برنامه مقلد که از آسیب پذیری موجود در گذرنامه الکترونیکی بهره می برد، می تواند active authentication را با هر برنامه اضافه دیگری از قبیل اثر انگشت یا مشخصه های بیومتریک «دور بزند».
شیوه ای که سیستم گذرنامه الکترونیکی از آن برای رجوع به ایندکس و بررسی فایل های ذخیره شده در تراشه استفاده می کند، باعث بروز این اختلال امنیتی است.
vonJeek می گوید که این برنامه مقلد، می تواند هر نوع گذرنامه الکترونیکی را دست کاری کند؛ البته به این شرط که سیستم، دستورالعمل سازمان بین المللی هوانوردی (ICAO) را بدون اعمال تغییر دنبال کرده باشد.
این محقق می گوید: گذرنامه های الکترونیکی مورد استفاده در انگلیس که در آنها از active authentication استفاده نگشته نیز قابل هک شدن است.