Araştırmacılar ABD ehliyetlerinin barkod imzalama anahtarlarını geri yükledi

Araştırmacı Ryan Stevens, ABD'deki sürücü belgelerindeki barkodların güvenliği analizinin sonuçlarını yayımladı. Çalışma sırasında, belgelerin arka yüzündeki PDF417 kodlarında şifrelenen verilerin doğrulanması için kullanılan imzalama kamu anahtarlarını geri yüklemek mümkün oldu.

Anahtar geri yükleme süreci, AAMVA standardına uygun veri yapısının analizine dayanmaktadır. Araştırmacı, bazı eyaletlerde özel anahtarların yeterli korumasının olmamasının, üçüncü şahısların barkodda bulunan dijital imzanın doğruluğunu kontrol etmelerine olanak tanıdığını gösterdi. Bu, resmi devlet doğrulama sistemlerinin katılımı olmadan belgede kodlanmış kişisel bilgilerin okunması ve doğrulanmasını sağlar.

Teknik uygulama, kamu veritabanlarından sertifikaları çıkarmayı ve ardından imza parametrelerini şifrelemeyi içerir. Deney sırasında, birkaç eyalette verilen sürücü belgelerinin verileri başarıyla doğrulandı, bu da belgelerin koruma mimarisindeki zayıflığı doğruladı. Elde edilen sonuçlar, Hacker News topluluğunda daha katı kriptografik standartların uygulanması gerektiği konusunda bir tartışmaya neden oldu.

Temel sorun, birçok eyaletin yeterli anahtar izolasyonu sağlamayan eski imza algoritmalarını kullanmasıdır. Anahtar geri yüklemenin veri bütünlüğünü kontrol etmeyi sağlaması rağmen, fiziksel kartların sahteciliğinden korunmasını garanti etmez, çünkü görsel öğeler gibi fotoğraflar, barkodun dijital doğrulama alanının dışında kalır.

Verilen araştırma, statik anahtarları kullanan kimlik doğrulama sistemlerinin uygulamasındaki kritik eksiklikleri vurgulamaktadır. Anahtarların düzenli olarak değiştirilmemesi ve zayıf imza şemalarının kullanılması, milyonlarca vatandaşın belgelerinin standart ekipman ile okunup doğrulanabilmesi nedeniyle kişisel verilerin gizliliği için riskler oluşturur.