Исследователи восстановили ключи подписи штрихкодов водительских прав США

Исследователь Райан Стивенс опубликовал результаты анализа безопасности штрихкодов на водительских удостоверениях в США. В ходе работы удалось восстановить публичные ключи подписи, которые используются для верификации данных, зашифрованных в PDF417-кодах на обратной стороне документов.

Процесс восстановления ключей базируется на анализе структуры данных, соответствующих стандарту AAMVA. Исследователь продемонстрировал, что отсутствие должной защиты приватных ключей в ряде штатов позволяет сторонним лицам проверять подлинность цифровой подписи, содержащейся в штрихкоде. Это дает возможность считывать и подтверждать персональную информацию, закодированную в документе, без участия официальных государственных систем проверки.

Техническая реализация метода включает извлечение сертификатов из общедоступных баз данных и последующую дешифровку параметров подписи. В ходе эксперимента были успешно верифицированы данные прав, выданных в нескольких штатах, что подтверждает уязвимость текущей архитектуры защиты документов. Полученные результаты вызвали дискуссию в сообществе Hacker News о необходимости внедрения более строгих криптографических стандартов.

Основная проблема заключается в том, что многие штаты используют устаревшие алгоритмы подписи, которые не обеспечивают достаточного уровня изоляции ключей. Хотя восстановление ключей позволяет проверять целостность данных, оно не гарантирует защиту от подделки самих физических карт, так как визуальные элементы, такие как фотографии, остаются вне зоны действия цифровой верификации штрихкода.

Данное исследование подчеркивает критические недостатки в реализации систем идентификации, полагающихся на статические ключи. Отсутствие регулярной ротации ключей и использование слабых схем подписи создают риски для конфиденциальности персональных данных миллионов граждан, чьи документы могут быть считаны и проверены с помощью стандартного оборудования.