Ricercatori hanno ripristinato le chiavi di firma dei codici a barre delle patenti di guida degli Stati Uniti

Il ricercatore Ryan Stevens ha pubblicato i risultati dell'analisi della sicurezza dei codici a barre sui documenti di identità negli Stati Uniti. Nel corso del lavoro è stato possibile ripristinare le chiavi pubbliche di firma, utilizzate per la verifica dei dati criptati nei codici PDF417 sul retro dei documenti.

Il processo di ripristino delle chiavi si basa sull'analisi della struttura dei dati conformi allo standard AAMVA. Il ricercatore ha dimostrato che l'assenza di adeguate protezioni per le chiavi private in diversi stati consente a soggetti esterni di verificare l'autenticità della firma digitale contenuta nel codice a barre. Ciò consente di leggere e confermare le informazioni personali codificate nel documento senza il coinvolgimento dei sistemi di controllo ufficiali del governo.

L'implementazione tecnica del metodo include l'estrazione dei certificati dalle banche dati pubbliche e la successiva decrittazione dei parametri di firma. Nel corso dell'esperimento, i dati dei documenti rilasciati in diversi stati sono stati verificati con successo, confermando la vulnerabilità dell'attuale architettura di protezione dei documenti. I risultati ottenuti hanno scatenato una discussione nella comunità Hacker News sulla necessità di implementare standard crittografici più rigorosi.

Il principale problema è che molti stati utilizzano algoritmi di firma obsoleti che non garantiscono un livello di isolamento delle chiavi sufficiente. Sebbene il ripristino delle chiavi consenta di verificare l'integrità dei dati, non garantisce la protezione contro la contraffazione delle stesse carte fisiche, poiché gli elementi visivi, come le fotografie, rimangono al di fuori della portata della verifica digitale del codice a barre.

Questo studio sottolinea le critiche carenze nell'implementazione dei sistemi di identificazione che si basano su chiavi statiche. La mancanza di rotazione regolare delle chiavi e l'utilizzo di schemi di firma deboli creano rischi per la privacy dei dati personali di milioni di cittadini, i cui documenti possono essere letti e verificati con l'uso di attrezzature standard.