Vào cuối năm 2019, chính phủ New South Wales ở Úc đã cấp giấy phép lái xe kỹ thuật số. Giấy phép mới cho phép mọi người sử dụng điện thoại Iphone hoặc Android thiết bị để hiển thị bằng chứng nhận dạng và tuổi khi cảnh sát kiểm tra bên đường hoặc tại các quán bar, cửa hàng, khách sạn và các địa điểm khác. ServiceNSW, như cơ quan chính phủ thường được gọi là, đã hứa nó sẽ “cung cấp thêm mức độ an ninh và bảo vệ chống lại gian lận danh tính, so với bằng lái xe nhựa” mà công dân đã sử dụng trong nhiều thập kỷ.
Bây giờ, 30 tháng sau, các nhà nghiên cứu bảo mật đã chỉ ra rằng việc bất kỳ ai giả mạo danh tính giả bằng cách sử dụng bằng lái xe kỹ thuật số hoặc DDL đều là điều tầm thường. Kỹ thuật này cho phép những người chưa đủ tuổi uống rượu thay đổi ngày sinh của họ và để những kẻ lừa đảo làm giả danh tính. Quá trình này diễn ra trong vòng chưa đầy một giờ, không yêu cầu bất kỳ phần cứng đặc biệt hoặc phần mềm đắt tiền nào và sẽ tạo ra các ID giả để vượt qua sự kiểm tra của hệ thống xác minh điện tử được sử dụng bởi cảnh sát và các địa điểm tham gia. Tất cả những điều này, mặc dù đảm bảo rằng bảo mật là ưu tiên hàng đầu đối với Hệ thống DDL.
“Để rõ ràng hơn, chúng tôi tin rằng nếu Giấy phép lái xe kỹ thuật số được cải thiện bằng cách triển khai một thiết kế an toàn hơn, thì tuyên bố trên thay mặt cho ServiceNSW sẽ thực sự đúng và chúng tôi sẽ đồng ý rằng Giấy phép lái xe kỹ thuật số sẽ cung cấp các cấp bổ sung về bảo mật chống gian lận so với bằng lái xe bằng nhựa, ”Noah Farmer, nhà nghiên cứu xác định các sai sót, đã viết trong một đăng tải xuất bản tuần trước.
Một chiếc Mousetrap tốt hơn được tấn công với nỗ lực tối thiểu
“Khi một nạn nhân không nghi ngờ quét mã QR của kẻ lừa đảo, mọi thứ sẽ được kiểm tra và nạn nhân sẽ không biết rằng kẻ lừa đảo đã kết hợp ảnh nhận dạng của chính họ với chi tiết bằng lái xe bị đánh cắp của ai đó,” anh tiếp tục. Tuy nhiên, như mọi thứ đã ổn định trong 30 tháng qua, DDL khiến “người dùng độc hại có thể tạo ra [a] gian lận Giấy phép Lái xe Kỹ thuật số với nỗ lực tối thiểu trên cả thiết bị đã bẻ khóa và chưa bẻ khóa mà không cần phải sửa đổi hoặc đóng gói lại chính ứng dụng di động. ”
DDL yêu cầu ứng dụng iOS hoặc Android hiển thị thông tin đăng nhập của mỗi người. Ứng dụng tương tự cho phép cảnh sát và địa điểm xác minh rằng thông tin xác thực. Các tính năng được thiết kế để xác nhận ID là xác thực và hiện tại bao gồm:
- Biểu trưng hoạt hình của Chính phủ NSW.
- Hiển thị ngày và giờ được làm mới gần đây nhất.
- Mã QR hết hạn và tải lại.
- Hình ba chiều di chuyển khi nghiêng điện thoại.
- Hình mờ phù hợp với ảnh giấy phép.
- Chi tiết địa chỉ không yêu cầu cuộn.
Kỹ thuật đơn giản
Kỹ thuật để vượt qua các biện pháp bảo vệ này đơn giản một cách đáng ngạc nhiên. Chìa khóa là khả năng cưỡng bức mã PIN mã hóa dữ liệu. Vì nó chỉ dài bốn chữ số, nên chỉ có 10.000 sự kết hợp có thể. Sử dụng các tập lệnh có sẵn công khai và một máy tính hàng hóa, ai đó có thể học cách kết hợp chính xác trong vài phút, như được minh họa trong Video này hiển thị quá trình trên iPhone.
Các nội dung
Nội dung này cũng có thể được xem trên trang web bắt nguồn từ.
Khi kẻ lừa đảo có quyền truy cập vào dữ liệu giấy phép DDL được mã hóa của ai đó — có sự cho phép, bằng cách đánh cắp bản sao được lưu trữ trong bản sao lưu iPhone hoặc thông qua thỏa hiệp từ xa — thì kẻ gian sẽ cho họ khả năng đọc và sửa đổi bất kỳ dữ liệu nào được lưu trữ trên tệp .
