Onderzoekers vinden problemen met RFID-paspoorten

Paspoortkaarten van de Verenigde Staten uitgegeven door het Amerikaanse ministerie van Buitenlandse Zaken en EDL's (verbeterde rijbewijzen) van de staat Washington bevatten RFID-tags (radiofrequentie-identificatie) die kunnen worden gescand bij grensovergangen zonder aan agenten te worden overgedragen. Beide zijn eerder dit jaar geïntroduceerd voor grensovergangen alleen over land en water en kunnen niet worden gebruikt voor vliegreizen. New York is de enige andere Amerikaanse staat met een EDL, hoewel andere in de maak zijn.

De informatie in deze tags kan worden gekopieerd naar een andere, standaard tag, die kan worden gebruikt om de legitieme houder te imiteren van de kaart als een Amerikaans ministerie van Binnenlandse Veiligheidsagenten aan de grens de kaart zelf niet zag, aldus de onderzoekers. Een ander gevaar is dat de tags in sommige situaties tot op 150 voet afstand kunnen worden gelezen, zodat criminelen ze kunnen lezen zonder te worden gedetecteerd. Hoewel de tags geen persoonlijke informatie bevatten, kunnen ze worden gebruikt om de bewegingen van een persoon te volgen door middel van continue bewaking, zeiden ze.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Een ander gevaar is dat hackers EDL's zelfvernietiging kunnen veroorzaken door een bepaald aantal te versturen, zeiden ze.

"Het zou voor iemand relatief gemakkelijk zijn om uw paspoortkaart of EDL te lezen," zei Tadayoshi Kohno, een assistent-professor in de informatica en engineering aan de Universiteit van Washington.

Hoewel er geen reden is voor paniek, "zouden onze harten een beetje sneller moeten slaan," zei Kohno. Het risico voor individuele passagiers is laag, maar de problemen veroorzaken systeemgebreken in het grensovergangssysteem, volgens een samenvatting van het rapport.

Retail-, verzend- en andere bedrijven maken in toenemende mate gebruik van RFID-tags als draadloze barcodes die kunnen bevatten meer informatie dan traditionele gedrukte exemplaren. Door de groei van de technologie worden de tools voor RFID-hacking gemakkelijker beschikbaar, aldus Kohno.

Bij een kloningaanval kon een hacker de informatie van de RFID-tag van een kaart lezen, terwijl de kaarthouder langs kwam of als de officiële kaartlezer was bezig de gegevens op te halen. De aanvaller kan dan een generieke RFID-tag coderen met dezelfde gegevens, zei Kohno. Met die nieuw gecodeerde tag zou iemand door de grens kunnen glippen door naar de RFID-lezer te gaan om een ​​legitieme identiteitskaart te hebben, zolang niemand vraagt ​​naar de werkelijke kaart te kijken.

Op zichzelf zijn de RFID-kwetsbaarheden niet betekent dat iemand wegkomt met klonen of andere aanvallen, Kohno wees erop.

"In werkelijkheid is het systeem dat betrokken is bij grensovergangen veel groter dan alleen het technische aspect," zei Kohno. Autoriteiten zullen bijvoorbeeld waarschijnlijk chauffeurs en passagiers interviewen die de grens overschrijden en naar hun identiteitskaarten kijken, zei hij. Ze kunnen ook andere maatregelen tegen het klonen van kaarten bij grensovergangen gebruiken.

Kohno en drie collega-onderzoekers geloven echter dat er mechanismen beschikbaar zijn voor de RFID-tags die de regeringen van de VS en Washington niet gebruiken.

Bijvoorbeeld: elke tag heeft twee gespecialiseerde nummers: een toegangscode (persoonlijk identificatienummer) en een kill-PIN. (Deze zijn groter dan pinaques van bankpassen en worden niet gekozen door de kaarthouders.) De toegangscode kan worden gebruikt om te controleren of een tag legitiem is en de kill-pincode kan worden gebruikt om de tag onleesbaar te maken.

De toegang Pincodes worden gebruikt op zowel de paspoortkaarten als de EDL's, maar er zijn aanvullende beveiligingsmaatregelen waarvan de onderzoekers denken dat de autoriteiten ze niet gebruiken. Ze konden bijvoorbeeld de toegangscode met behulp van informatie uit een database testen, zei Kohno. Bovendien is de kill-PIN niet ingesteld op de Washington EDL's, waardoor ze kwetsbaar zouden kunnen worden voor een aanval die al dergelijke kaarten op een bepaalde site onleesbaar zou maken, zei hij. Een dergelijke aanval kan het vertrouwen van reizigers hinderen of ondermijnen, aldus de samenvatting.

De onderzoekers hebben aanbevelingen gedaan aan zowel de VS als de autoriteiten in Washington, aldus Kohno. Volledige paspoorten van Amerikaanse dollars, die boekjes zijn in plaats van kaarten, worden niet beïnvloed door deze kwetsbaarheden, omdat hun RFID-tags cryptografische beveiligingen hebben en de boekjes metaal bevatten. covers die beschermen tegen rondneuzen, aldus de onderzoekers.

Voor zelfbescherming, suggereren de onderzoekers dat consumenten de beschermhoezen gebruiken die bij beide kaarten worden meegeleverd, wat kan helpen om clandestiene scanning te voorkomen. Reizigers kunnen in plaats daarvan ook gebruikmaken van de veiligere Amerikaanse paspoorten van volledige grootte.