VIDEO Aveti pasaport electronic? Un expert roman in securitate IT sustine ca protectia datelor este slaba si cipul poate fi clonat / Ministerul Internelor spune ca datele necesare citirii pasaportului nu pot fi obtinute usor si ca timp de 4 ani nu s-au semnalat incercari de falsificare

Datele primare (mai putin amprentele) inscrise pe cipul unui pasaport electronic romanesc pot fi citite in mod electronic, de la distanta, folosind produse legale disponibile public, iar nivelul de indemanare este unul mediu, avertizeaza Asociatia pentru Tehnologie si Internet (APTI), care prezinta demonstratia facuta de un expert roman in securitate IT. Totul cu un telefon cu tehnologia NFC (Near Field Communication), o aplicatie gratuita si o cheie de acces relativ usor de ghicit. Expertul sustine ca pe baza acestor date cipul ar putea fi clonat si s-ar putea intra fraudulos in unele tari. In replica, oficialii MAI spun ca datele necesare citirii pasaportului electronic nu ar fi usor de obtinut, ca ar fi imposibila clonarea cipului si ca nu au fost semnalate pana acum in tara cazuri de falsificare a datelor.

• In Romania, pasaportul electronic a fost pus in circulatie la data de 31.12.2008 si nu este obligatoriu, existand alternativa obtinerii unui pasaport temporar, a carui valabilitate este de 12 luni. Pasaportul electronic are o valabilitate de 3 ani pentru persoanele cu o varsta de pana la 6 ani si 5 ani pentru persoanele care au implinit aceasta varsta. In cazul depunerii cererii la un serviciu public comunitar pentru eliberarea si evidenta pasapoartelor simple este de 276 lei (244 costul pasaportului si 32 lei taxa consulara).

„Dorim sa subliniem ca nu intentionam decat sa demonstram ca, in lipsa transparentei publice cu privire la programele guvernamentale din zona IT – si mai ales a celor care privesc elemente cheie de procesare de date personale, in lipsa unor standarde publice de securitate si protectie a datelor personale si fara o verificare regulata a indeplinirii acestor standarde, avem toate premisele ca aceste programe sa devina necredibile, din cauza unor erori majore de implementare si lacune de securitate evidente”, explica Asociatia pentru Tehnologie si Internet (APTI), care a solicitat din partea unui expert independent in securitate IT o analiza a securitatii pasaportului electronic romanesc.

• Cum se pot citi o parte din datele stocate pe cipul pasaportului electronic

Expertul IT Bogdan Alecu a demonstrat pe propriul pasaport electronic ca citirea datelor se poate face nu doar de catre aparate guvernamentale autorizate.

• „Pentru a citi o parte din datele de pe cip e nevoie de un cititor NFC, softul pentru interpretarea datelor si informatiile din BAC (n.a. un mecanism de siguranta care protejeaza canalul de comunicatie dintre cip si cititor prin criptarea informatiilor transmise). Pentru ca nu avea rost sa ma complic cu un cititor performant, am ales sa folosesc propriul telefon cu NFC si softul celor de la Research Lab Hagenberg, NFC TagInfo. Dupa configurarea cheilor de acces din aplicatie, tot ceea ce a mai ramas de facut a fost sa pun telefonul peste pasaport. Dupa cateva secunde, cipul a fost citit si recunoscut a fi ePassport”, explica Bogdan Alecu.

VIDEO Cum se pot citi anumite date de pe cipul pasaportului biometric:

Reading ePassport with phone from Msec Net on Vimeo.

„Realitatea e de fapt ca Basic Access Control (BAC) se face printr-o cheie ce se deriva din data nasterii detinatorului documentului, numarul pasaportului si data de expirare a acestuia. Acest lucru l-am putut afla urmarind diversele prezentari in cadrul conferintelor de securitate internationale”, mentioneaza expertul.

Asa a putut sa acceseze toate informatiile privind:

• Tipul documentului
• Numarul documentului
• Numele
• Prenumele
• Data nasterii
• Nationalitatea
• Sexul
• Poza (cea facuta in momentul aplicarii pentru pasaport)
• Tara emitenta
• Data expirarii

I-au fost afisate apoi alte fisiere, dintre care si unele care sunt protejate suplimentar si despre care sustine ca „nu pot fi decodate, intrucat sunt protejate prin Extended Access Control (EAC) si ar fi nevoie de cheia privata. Aceasta cheie privata este emisa de catre fiecare autoritate guvernamentala”.

• Pe baza acestor date, cipul ar putea fi clonat – sustine expertul

De ce este grav ca a putut vizualiza aceste date?

• „Din moment ce putem citi cipul, putem foarte simplu lua aceste date si modifica local, dupa care le scriem pe alt cip. Cu alte cuvinte, se poate clona acest cip. Singurul impediment il reprezinta datele protejate cu EAC (EF.DG3, EF.DG14) dar acestea se pot ignora pur si simplu si nu le mai scriem pe noul cip. Ganditi-va ca doar in cadrul Uniunii Europene este obligatorie prezenta acestor informatii, in celelalte tari emitente nu exista o astfel de cerinta”, avertizeaza expertul.

Acesta subliniaza ca in tot mai multe tari se introduc la granita dispozitive care permit accesul automat.

• „Ce reprezinta concret aceasta clonare? Din ce in ce mai multe tari introduc la granita asa numitele ￯porti inteligente – ce permit accesul automat in tara respectiva. Pentru a exista o compatibilitate cu celelalte tipuri de pasapoarte, majoritatea acestor porti citesc de pe cip doar acele elemente protejate prin BAC, dupa care compara imaginea stocata pe cip cu cea vazuta prin intermediul camerei. Daca cele doua se potrivesc, poarta se deschide si poti intra. Mai mult, unele se bazeaza pe raspunsul utilizatorului: ai doua butoane prin care confirmi sau infirmi daca cele doua imagini se potrivesc. Acum ganditi-va ca se face o clonare a unui chip si modificati numele si poza. Autoritatile locale vor sti ca a intrat in tara Elvis Presley”, spune expertul care indica o situatie similara in Europa in care doi experti in IT au aratat ca se poate modifica informatia de pe cip astfel incat sa poti trece de ‘portile inteligente’.

VIDEO Reportaj CNN, despre hibele pasaportului electronic

„Aceasta nu inseamna ca pasaportul biometric este inutil si nici ca o persoana rau-voitoare poate sa scaneze sute de pasapoarte doar mergand cu un cititor de cipuri pe aeroport. Dar inseamna ca nivelul de securitate estimat de autoritati nu este nici pe departe atins. Si ca cineva care are cunostintee tehnice medii spre avansat si doreste sa va ia datele din pasaport, o poate face daca nu va protejati suficient de bine”, atentioneaza Asociatia pentru Tehnologie si Internet (APTI).

Asociatia spune ca din datele pe care le detine in Romania nu sunt folosite astfel de porti inteligente.

Ce spun autoritatile: Ministerul de Interne asigura ca datele necesare citirii pasaportului „nu pot fi obtinute usor”

Contactati de HotNews.ro pe marginea acestor informatii, oficialii Directiei Generale de Pasapoarte (DGP) din Ministerul Afaverilor Interne (MAI) au tinut sa asigure ca „pasaportul electronic romanesc corespunde tuturor standardelor internationale aflate in vigoare” si ca fara sa stii anumite date personale citirea unui pasaport este sortita esecului.

• „(…) asa cum admite si persoana care sustine ca a efectuat experimentul, pentru a se putea accesa informatiile stocate in mediul electronic, sunt necesare o serie de date inscrise doar in interiorul pasaportului (date de identificare ale titularului si ale documentului prezente in zona citibila optic-MRZ). Prin urmare, fara a se cunoaste aceste date personale, orice incercare de a citi un pasaport electronic va esua”.

Bogdan Manolea, directorul executiv al APTI, avertizeaza insa ca aceste date nu sunt chiar atat de greu de obtinut.

• „Cele 3 date de care ziceam ca fac cheia de acces (data nasterii detinatorului documentului, numarul pasaportului si data de expirare a acestuia) sunt obligatorii de dat companiilor aeriene (care le transmit statelor unde calatoresti sau tranzitezi) inca din momentul rezervarii unui bilet de avion in multe tari din lume (SUA, Canada, Mexic, Correa de Sud, Japonia, Australia, Noua Zeelanda, etc.)”, spune juristul Bogdan Manolea.

Cum raspund oficialii DGP din MAI?

• „Datele necesare citirii pasaportului (…) sunt date cu caracter personal, astfel incat toti operatorii care le prelucreaza sunt obligati sa se supuna reglementarilor in vigoare. Prin urmare, consideram ca aceste date nu pot fi obtinute usor si nu pot fi folosite la o citire aleatorie a pasapoartelor electronice”, sustin oficialii Directiei Generale de Pasapoarte.

• Clonarea datelor din mediul de stocare electronic este imposibila, spun oficialii MAI

Cum ramane cu posibilitatea clonarii cipului? Se poate pacali „o poarta inteligenta” pe baza unui cip falsificat care sa nu contina amprentele? Autoritatile romane sustin ca acest lucru ar fi imposibil.

• „Informatia stocata in mediul electronic este semnata cu un certificat digital conform mecanismului de autentificare pasiva (Passive Authentication) care are rolul de a asigura integritatea si autenticiatea datelor. Astfel, in aceste conditii, clonarea datelor din mediul de stocare electronic este imposibila. Parcurgerea cu succes a etapelor care se desfasoara intr-un punct de control in cazul unui pasaport electronic este posibila doar daca mediul de stocare este cel emis de o autoritate guvernamentala. In acest sens, la nivel interguvernamental, pe cale diplomatica, se efectueaza un schimb de certificate digitale”, au precizat pentru HotNews.ro oficialii DGP din MAI.

Bogdan Alecu ii contrazice: Standardul mentionat de MAI pe care se bazeaza continutul cipului nu exclude posibilitatea clonarii datelor

In replica, expertul roman in securitate IT le atrage atentia oficialilor MAI ca insusi standardul mentionat de ei nu exclude posibilitatea clonarii cipului.

• „Pentru a face acest schimb de certificate digitale prin ICAO PKD trebuie ca tarile sa fie inscrise in acest sistem. (…) Nu toate tarile au astfel de acorduri diplomatice. Tocmai pentru ca nu toate tarile fac acest schimb de certificate, sistemul automatizat de la granita face doar verificarea asupra integritatii datelor inscrise pe cip. Astfel este posibila semnarea datelor stocate printr-un certificat digital propriu, nu printr-un certificat digital emis de catre o autoritate guvernamentala. Datele inscrise pe cip-ul din pasaport nu pot fi modificate (pe acelasi cip) insa pot fi copiate pe un altul si, intrucat se detine controlul total asupra noului cip, aceste date pot fi modificate si semnate cu propriul certificat digital. Mai mult, insusi standardul mentionat de MAI atrage atentia asupra acestor lucruri:

„Passive authentication proves that the contents of the Document Security Object (SOD) and

LDS are authentic and not changed. It does not prevent exact copying of the chip content or

chip substitution. (Sursa)”

Drept raspuns, oficialii Directiei Generale de Pasapoarte au precizat ca „ICAO PKD doar faciliteaza schimbul de certificate digitale si nu inlocuieste schimbul interguvernamental pe cai diplomatice. (…) intrucat toate organizatiile guvernamentale cu atributii in emiterea sau controlul documentelor de calatorie electronice sunt obligate sa respecte standardele in vigoare pe linie de securitate, controlul presupune in mod obligatoriu mai mult decat verificarea asupra integritatii datelor. (…) concluzionam ca prin orice punct de control se poate trece cu succes numai cu un document emis de catre o autoritate guvernamentala”.

Oficialii MAI subliniaza si aspectele de securitate fizica: Din decembrie 2008 si pana in prezent nu ne-au fost semnalate incercari de falsificare a datelor

In raspunsurile oferite HotNews.ro. oficialii DGP din MAI insista si asupra elementelor de siguranta oferite de suportul fizic al pasaportului.

• „Nu in ultimul rand trebuie reliefat faptul ca, pe langa inserarea in mediul electronic de stocare a imaginii faciale a titularului documentului, aceasta se regaseste repetata, pe fila informatizata si pe prima pagina a documentului, de patru ori, falsificarea sau contrafacerea acestui document necesitand interventii multiple asupra zonelor urmarite cu predilectie de catre falsificatori.

Toate aceste elemente legate de conditiile de forma si continut ale pasapoartului simplu electronic romanesc coroborate cu capabilitatile tehnice ale mediului electronic de stocare ofera invulnerabilitatea acestui tip de document aspect care este sustinut si de faptul ca, de la punerea in circulatie a acestuia, la 31.12.2008, nu ne-au fost semnalate, de catre autoritatile cu competente pe linia controlului acestora, cazuri de incercare de falsificare, fie a datelor inscrise in mediul electronic de stocare (prin clonare sau prin orice alta metoda) fie a documentului in sine”, au mai declarat oficialii Directiei Generale de Pasapoarte.

Concluziile si solutiile propuse de expert/MAI spune ca mecanismul BAC va fi imbunatatit pana in decembrie 2014

Concluzia ar fi ca teoretic asa cum este implementat sistemul in tarile unde exista porti inteligente fara alte masuri suplimentare de detectie ar fi posibila trecerea frauduloasa a granitei.

• „Modalitatea de protectie a datelor este una slaba si ar trebui ca toate pasapoartele sa contina aceleasi campuri (aceleasi fisiere) astfel incat un pasaport electronic din US sa nu difere de unul din UE – la portile inteligente sa fie verificate toate aceste informatii scrise pe cip. In prezent in tarile non-UE nu exista amprente stocate pe cip dar poarta inteligenta e aceeasi, astfel incat nu va verifica mereu si prezenta fisierului in care sunt stocate amprentele. Altfel spus este necesara fosirea unei infrastructuri de chei publice (PKI) la nivel global, astfel incat se va evita ca fiecare tara sa semneze cu propriul certificat datele stocate pe cip”,a concluzionat Bogdan Alecu.

De altfel si oficialii DGP din MAI admit ca „standardele internationale privind documentele electronice de calatorie sunt supuse unui proces de imbunatatire, in conformitate cu progresul tehnologic. In acest sens, conform deciziei nr. 5499/04.08.2011, a CE, pana in decembrie 2014, mecanismul BAC va fi imbunatatit conform proiectului PACE”.