Ang mga mananaliksik ay may mga problema sa RFID Passport Cards

Ang mga tag ng RFID na ginagamit sa dalawang bagong uri ng mga dokumento sa pagtawid sa hangganan sa US ay maaaring mahawakan sa pag-snoop at pagkopya, sinabi ng isang mananaliksik noong Huwebes.

Mga Pasaporte ng Estados Unidos ng Estados Unidos na inisyu ng Kagawaran ng Estado ng Estados Unidos at EDL (pinahusay na mga lisensya ng pagmamaneho) mula sa estado ng Washington ay naglalaman ng mga tag ng RFID (radio-frequency identification) na maaaring ma-scan sa mga crossings ng hangganan nang hindi ibibigay sa mga ahente. Ang parehong ay ipinakilala ng mas maaga sa taong ito para sa mga crossings ng hangganan sa pamamagitan ng lupa at tubig lamang, at hindi maaaring magamit para sa air travel. Ang New York ay ang tanging ibang estado ng Estados Unidos na may isang EDL, bagama't ang iba ay nasa mga gawa.

Ang impormasyon sa mga tag na ito ay maaaring kopyahin sa isa pang tag na off-the-shelf, na maaaring gamitin upang ipagdiwang ang lehitimong holder ng card kung ang isang US Department of Homeland Security ahente sa hangganan ay hindi nakikita ang card mismo, sinabi ng mga mananaliksik. Ang isa pang panganib ay ang mga tag ay maaaring basahin mula sa hanggang sa 150 talampakan ang layo sa ilang mga sitwasyon, kaya maaaring basahin ng mga kriminal ang mga ito nang hindi napansin. Kahit na ang mga tag ay hindi naglalaman ng personal na impormasyon, maaari silang magamit upang subaybayan ang mga kilusan ng isang tao sa pamamagitan ng patuloy na pagsubaybay. Sinabi nila.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Isa pang panganib na ang mga hacker maaaring maging sanhi ng pagkawasak ng mga EDL sa pamamagitan ng pagpapadala ng isang tiyak na bilang, sinabi nila.

"Magiging madali para sa isang tao na basahin ang iyong passport card o EDL," sabi ni Tadayoshi Kohno, isang assistant professor ng computer science and engineering sa ang Unibersidad ng Washington.

Kahit na walang dahilan para biglang matakot, "Ang aming mga puso ay dapat magsimulang matalo nang kaunti nang mas mabilis," sabi ni Kohno. Ang panganib sa mga indibidwal na pasahero ay mababa, ngunit ang mga problema ay lumikha ng mga kahinaan sa systemic sa sistema ng hangganan-pagtawid, ayon sa isang buod ng ulat.

Ang mga retail, pagpapadala at iba pang mga negosyo ay lalong gumagamit ng RFID tag bilang mga wireless bar code na maaaring maglaman mas maraming impormasyon kaysa sa mga tradisyonal na nakalimbag. Ang paglago ng teknolohiya ay gumagawa ng mga tool ng RFID na pag-hack nang mas madaling makuha, Sinabi ni Kohno.

Sa isang pag-atake sa pag-clone, mababasa ng hacker ang impormasyon sa RFID tag ng card, alinman habang ang cardholder ay dumadaan o bilang opisyal nagbabasa ng card ang data. Pagkatapos ay ma-encode ng magsasalakay ang pangkaraniwang RFID tag na may parehong data na iyon, sinabi ni Kohno. Gamit ang bagong naka-encode na tag, ang isang tao ay maaaring makapasok sa hangganan sa pamamagitan ng paglitaw sa reader ng RFID upang magkaroon ng isang lehitimong identipikasyon card, hangga't walang nagtanong upang tumingin sa aktwal na card.

Sa pamamagitan ng kanilang sarili, ang mga kahinaan ng RFID ay hindi ibig sabihin ang isang tao ay makalusot sa pag-clone o iba pang pag-atake, sinabi ni Kohno.

"Sa katunayan, ang sistema na kasangkot sa mga crossings sa hangganan ay mas malaki kaysa sa teknikal na aspeto lamang," sabi ni Kohno. Halimbawa, ang mga awtoridad ay malamang na makapanayam ng mga driver at pasahero na tumatawid sa hangganan at tingnan ang kanilang mga kard ng pagkakakilanlan, sinabi niya. Sa kabilang banda, naniniwala si Kohno at tatlong kapwa mananaliksik na may mga mekanismo na magagamit para sa RFID tag na hindi ginagamit ng mga gobyerno ng US at Washington.

Halimbawa, Ang bawat tag ay may dalawang pinasadyang mga numero: isang access PIN (personal identification number) at isang pumatay ng PIN. (Ang mga ito ay mas malaki kaysa sa mga PIN ng bank card at hindi pinili ng mga card holder.) Ang access na PIN ay maaaring gamitin upang i-verify na ang isang tag ay lehitimo at ang kill PIN ay maaaring gamitin upang i-render ang tag na hindi mabasa.

Ang pag-access Ang mga PIN ay ginagamit sa parehong mga card ng pasaporte at mga EDL, ngunit may mga karagdagang mga hakbang sa seguridad na hindi iniisip ng mga mananaliksik na ginagamit ng mga awtoridad. Halimbawa, maaari nilang subukan ang access ng PIN gamit ang impormasyon mula sa isang database, sinabi ni Kohno. Bukod pa rito, ang pumatay ng PIN ay hindi naka-set up sa Washington EDLs, na maaaring magawa ang mga ito na mahina laban sa isang atake na gagawin ang lahat ng naturang card sa isang partikular na site na hindi mababasa, sinabi niya. Ang ganitong pag-atake ay maaaring maging sanhi ng isang istorbo o pag-alis ng tiwala ng mga biyahero, sinabi ng buod.

Ang mga mananaliksik ay nagbigay ng mga rekomendasyon sa parehong mga awtoridad ng US at Washington, sinabi ni Kohno.

Ang mga pasaporte sa buong laki ng US, na mga booklet sa halip ng mga kard, ay hindi naapektuhan ng mga kahinaan na ito sapagkat ang kanilang mga RFID tag ay may mga cryptographic na proteksyon at ang mga buklet ay may metallic Sinasaklaw ng mga mananaliksik.

Para sa proteksyon sa sarili, inirerekomenda ng mga mananaliksik na gamitin ng mga consumer ang mga protective sleeves na may parehong card, na makakatulong upang maiwasan ang pag-scan ng lihim. Maaari ring gamitin ng manlalakbay ang mas ligtas na full-size na pasaporte sa U.S..