Электронные паспорта не защищены от клонирования

Издание Australian IT цитирует ведущего специалиста лабораторий RSA Барта Калиски (Burt Kaliski), который отмечает, что, несмотря на растущее распространение радиочастотных идентификационных устройств, данная технология в долгосрочной перспективе «не настолько надежна, как следовало бы». «Это особенно важно, поскольку паспорта в США рассматриваются как следующая огромная область для внедрения RFID, — указал он. — Результаты исследований показывают, что удаленное сканирование широко распространенных ныне RFID-ярлыков, позволяющее создавать их идентичные копии, возможно уже сегодня. Становится возможным „клонировать“ оригиналы».

RSA предсказывает рост спроса на системы пользовательской идентификации на базе радиочастотных устройств — как для обеспечения защиты компьютерных сетей, так и для контроля доступа в помещения.

«Такие системы существуют уже сегодня в виде электронных пропусков, передающих информацию в радиочастотном диапазоне, — поясняет г-н Калиски. — Если злоумышленник может, пройдя мимо человека, просканировать пропуск, лежащий у того в кармане или в сумочке, а затем изготовить его электронную копию, для системы охраны он станет идентичной копией своей жертвы. RFID-системы потенциально чрезвычайно уязвимы, и остается только надеяться, что эта их уязвимость не проявится на практике».

Причем сама по себе биометрия безопасность не повышает, подчеркивает Барт Калиски, поскольку вопрос — не в уязвимости биометрии как таковой, а в уязвимости чипов, используемых для хранения биометрической информации.

«В настоящее время рассматривается возможность введения так называемой „комбинированной биометрии“, при которой у идентифицируемого человека запрашивается лишь информация о том, кем именно он является — но сам его чип биометрической информации не содержит. Его отпечатки пальцев или рисунок радужки сравниваются с образцами, полученными системой из имеющихся баз данных. В этом случае сканирование RFID-чипа позволит лишь установить, кем именно является данный человек, однако не позволит злоумышленнику в полной мере „подменить“ его. Если же сканирование RFID-устройства позволит получить доступ еще и к биометрическому „паспорту“ человека, тогда подмена становится делом вполне возможным».

Андрей Бурилов, ИТ-директор Мосбиржи: Финансовые операции станут частью кода цифровизация

По мнению г-на Калиски, суть проблемы — в том, что любое считывающее устройство, находящееся в пределах досягаемости, может считать данные с любого RFID-чипа. «Необходимо разработать технологию ограничения доступа, так, чтобы ярлыки могли обмениваться информацией только со строго определенными устройствами, а не выдавали содержащуюся в них информацию всем, кто ее запросит, — считает он. — В существующих ныне системах реализовать это будет чрезвычайно непросто. В идеале хотелось бы видеть какую-либо систему смешанной идентификации».

«В руководстве России в 2004 году немало сказано о скором введении биометрических паспортов и в нашей стране, но пока — в виде специального вкладыша в загранпаспорте, — комментирует ситуацию Сергей Шалманов, аналитик CNews Analytics. — В данном случае есть основания ожидать появления системы смешанной идентификации, хотя бы в силу большей медлительности отечественных чиновников и накопленного опыта, связанного, в том числе, с социальными картами жителей регионов. Но оснащения МВД необходимыми средствами произойдет, возможно, лишь в 2006–2007 гг., даже с учетом значительного увеличения ИТ-бюджетов этого ведомства на 2005 г. Правда, здесь могут быть определенные трудности, связанные с управлением поддержкой и своевременной актуализацией ИТ-систем и ресурсов, которые будут поставлены на баланс МВД».