211service.com
Borderline-beveiliging
Voor sommige Amerikaanse reizigers kunnen grensovergangen worden versneld door verbeterde rijbewijzen of door paspoortkaarten, plastic kaarten in portemonnee-formaat die zijn uitgegeven door de federale overheid en die doorgang over land of over zee naar Canada, Mexico, Bermuda of het Caribisch gebied toestaan. Beide soorten kaarten zijn goedkoper dan gewone paspoorten en bevatten radiofrequentie-identificatie (RFID)-apparaten die op afstand kunnen worden gelezen. Als een reiziger een kaart tegen de voorruit van een auto houdt, kan een grensovergangsagent automatisch informatie over hem of haar uit een database halen. Echter, een recente analyse door onderzoekers van de Universiteit van Washington en RSA-laboratoria , gevestigd in Bedford, MA, laat zien dat aanvallers de RFID-signalen die door de kaarten worden verzonden, kunnen gebruiken om valse documenten te maken of om kaarthouders te bespioneren.
ID binnen: De antenne in de nieuwe Amerikaanse paspoortkaart, hierboven weergegeven, zendt radiofrequentiesignalen uit die grensovergangsfunctionarissen kunnen gebruiken om informatie over een reiziger op te halen. Onderzoekers van de Universiteit van Washington en RSA Laboratories hebben gesuggereerd dat de signalen vanaf een relatief grote afstand kunnen worden gelezen, waardoor de kaarten kunnen worden vervalst of gevolgd.
Dergelijke kaarten zijn relatief nieuw. Ze maken deel uit van de Amerikaanse regering Reisinitiatief westelijk halfrond , waardoor de regels voor het overschrijden van nabijgelegen grenzen per juli 2009 worden gewijzigd. Na die datum kunnen reizigers er niet meer doorheen komen door simpelweg een rijbewijs en geboorteakte te tonen. In plaats daarvan hebben ze speciale, goedgekeurde documenten nodig. Begin 2008 werd Washington de eerste staat die verbeterde rijbewijzen aanbood voor grensovergangen, en New York volgde in september.
De RFID-chips in de kaarten worden EPC-tags (elektronische productcode) genoemd en lijken op streepjescodes. Wanneer ze worden gescand, retourneren ze een uniek nummer dat is gekoppeld aan een database die wordt beheerd door de federale overheid, waar informatie zoals foto's van de kaarthouders wordt opgeslagen. Ari Juels , directeur en hoofdwetenschapper bij RSA Laboratories, die deelnam aan de recente analyse, legt uit dat, hoewel bekend was dat EPC-tags kunnen worden gekopieerd, verschillende kenmerken van de nieuwe ID-kaarten het risico vergroten dat ze kunnen worden vervalst, gevolgd of , in het geval van de Washington-kaarten, gedeactiveerd door een kwaadwillende aanvaller.
Het type chip dat in de kaarten wordt gebruikt, kan opnieuw worden geprogrammeerd met standaardapparatuur, legt Juels uit; een aanvaller met een gestolen ID-nummer kan deze vrij gemakkelijk op een blanco chip laden. Maar als elke chip in de fabriek ook een uniek serienummer had, zou het moeilijker zijn om te dupliceren. De vervalser zou het serienummer in de blanco chip moeten veranderen - een veel moeilijker voorstel.
Een ander probleem met de kaarten, zegt Juels, is dat ze op relatief grote afstand kunnen worden gelezen. Een aanvaller kan het nummer op een kaart krijgen door bij een controlepost af te luisteren of de kaart te lezen terwijl deze in de zak of tas van een slachtoffer wordt gedragen.
De kaarten worden uitgegeven met een beschermende hoes die bedoeld is om ongeautoriseerde toegang te blokkeren, maar de onderzoekers ontdekten dat de kaarten van Washington nog steeds door de hoes konden worden gelezen. Bovendien kunnen EPC-tags worden uitgeschakeld door ze een kill-opdracht te sturen. Terwijl de paspoortkaarten beschermd waren tegen deze aanval, zeiden de onderzoekers, werd de mogelijkheid opengelaten op de Washington-kaarten. Dit zou een aanvaller in staat kunnen stellen grensovergangen te verstoren door grote aantallen kaarten te doden, of om bepaalde personen lastig te vallen, aangezien een gedode kaart waarschijnlijk argwaan wekt.
Gigi Zenk, een woordvoerder van de Washington State Department of Licensing , zegt dat ze twijfelt aan de ernst van de bevindingen omdat de onderzoekers veel aannames deden over hoe douane en grenscontrole werken. Hoewel ze zegt dat geen enkel systeem ooit volledig onkwetsbaar is, benadrukt ze dat de kaarten geen persoonlijke informatie bevatten en dat de staat Washington het een misdrijf heeft gemaakt om te proberen er informatie van af te romen. We zijn van mening dat we aanzienlijke stappen hebben genomen om de risico's te beperken, zegt Zenk, en ik maak me zorgen dat dit onnodige angst veroorzaakt.
Juels is het ermee eens dat als grensagenten alles doen wat ze moeten doen, bijvoorbeeld door de foto's die in de database zijn opgeslagen te vergelijken met de foto's die op het identiteitsbewijs zijn afgedrukt, ze vervalsingen moeten kunnen detecteren. Maar hij voegt eraan toe dat de agenten in de verleiding kunnen komen om op de technologie te vertrouwen en hun waakzaamheid te verslappen.
Zelfs als grensagenten waakzaam blijken te zijn, stellen de onderzoekers, kunnen de kaarten nog steeds risico's opleveren. Deze kaarten kunnen nog steeds informatie over ons leven onthullen, zegt Tadayoshi Kohno , een assistent-professor informatica aan de Universiteit van Washington, die aan het onderzoek werkte. Als je nadenkt over het burgerservicenummer, zou er op een gegeven moment een argument kunnen zijn geweest dat het slechts een nummer is, geen persoonlijke informatie. Maar cijfers evolueren in de loop van de tijd, en gebruik evolueren in de tijd, en uiteindelijk kunnen deze dingen meer informatie onthullen dan we aanvankelijk verwachten.
Jonathan Westhues , een onafhankelijke beveiligingsonderzoeker die RFID heeft bestudeerd, merkt op dat veel afhangt van hoe de tag daadwerkelijk wordt gebruikt. Als een ambtenaar aanneemt dat de tag zelf voldoende identiteitsbewijs is, dan is de dreiging van klonen ernstig. Hij merkt op: Het is moeilijk te zeggen wat ze precies van plan zijn met de tag te doen, dus het is moeilijk te zeggen of het algehele systeem veilig zal zijn. Wat privacy betreft, voegt hij eraan toe dat veel mensen al smartcards of mobiele telefoons bij zich hebben waarmee ze kunnen worden gevolgd.
De onderzoekers zeggen dat ze hopen dat de paspoorttechnologie verbetert als gevolg van de vragen die ze hebben gesteld. De hele RFID-infrastructuur is geen slecht idee, zegt Juels. Het moet gewoon goed gebeuren.