Forskere afdækker privatlivets fejl i e-pas

Forskere ved University of Luxembourg har opdaget en fejl i sikkerhedsstandarden for biometriske e-pas, der er blevet brugt verden over siden 2004. Denne standard, ICAO 9303, giver e-paslæsere i lufthavne mulighed for at scanne chippen inde i et pas og identificere indehaveren.

De fleste pas i dag bruger standard ICAO 9303, som udstedes af International Civil Aviation Organization (ICAO). Standarden er designet til at sikre, at pasindehaverens privatliv og afkobling i højeste grad er beskyttet. Unlinkability sikrer, at en angriber ikke kunne skelne, hvis to elementer er nært beslægtede.

Dr. Ross Horne, Prof. Sjouke Mauw, Ph.d. kandidat Zach Smith og masterstuderende Ihor Filimonov testede standarden. De opdagede en fejl, der giver specifikt ikke-autoriseret udstyr adgang til pasdata. "Med den rigtige enhed, du kan scanne pas i nærheden og genidentificere tidligere observerede pasindehavere, holde styr på deres bevægelser, "Dr. Horne forklarer." Således, pasindehavere er ikke beskyttet mod at få deres bevægelser sporet af en uautoriseret observatør. "

Grænser og konsekvenser af fejlen

En uautoriseret enhed, der scanner et pas inden for flere meter, kan identificere og holde styr på det pas, selvom det ikke kan læse passet. Dermed, pasindehaverens privatliv er sårbare over for potentielle angreb, selvom fejlen ikke tillader angriberne at læse alle oplysninger fra et givet pas eller at gå på kompromis med biometriske oplysninger, der er gemt i en chip inde i passet.

"Da de fleste pas i dag bruger den samme standard, denne sikkerhedsfejl kan potentielt have global indvirkning, "fortsætter Dr. Horne. I Europa, sådan et sikkerhedsbrud overtræder sandsynligvis krav fra EU's databeskyttelsesramme. Regeringerne har ansvaret for at beskytte individets privatliv og for at sikre, at officielle dokumenter er skudsikre mod sådanne angreb.

Forskerteamet delte deres testresultater med ICAO i juni 2019. De skitserede også flere tilgange til genoprettelse af beskyttelse af privatlivets fred, baseret på den antagelse, at producenterne af e-paslæsere skal tage ansvaret for at sikre pastholdere beskyttelse af personlige oplysninger.

Resultaterne af undersøgelsen, "Brud på unlinkability af ICAO 9303-standarden for e-pas ved brug af lighed, "blev præsenteret tirsdag den 24. september på ESORICS 2019, en sikkerhedskonference på højt niveau i Europa.