IT обозрение
Вторник, 15 июля, 2025
No Result
View All Result
  • Новости
  • Игры
  • Смартфоны
  • Обзоры
  • Софт
  • Криптовалюта
  • ИИ
  • Новости
  • Игры
  • Смартфоны
  • Обзоры
  • Софт
  • Криптовалюта
  • ИИ
No Result
View All Result
IT обозрение
No Result
View All Result
Home Новости

Немецкие электронные удостоверения личности могли быть подделаны из-за уязвимости

23.11.2018
A A
0
Share on FacebookShare on Twitter

Еще в 2010 году в Германии ввели систему электронных удостоверений личности (electronic ID, eID). Эти документы имеют RFID-чип и содержат такие данные владельца, как имя, дату рождения, биометрические параметры (включая отпечатки пальцев, по желанию). eID может использоваться для авторизации на различных государственных порталах, для подтверждения возраста, а также принимается почти во всех странах Европы в качестве выездных документов.

Специалисты компании SEC Consult обнаружили проблему, благодаря которой можно было подделать данные eID в онлайне и, по сути, выдать себя за другого человека. Уязвимость была найдена не в самих RFID-чипах удостоверений, но в софтверной составляющей этой системы, Governikus Autent SDK. Данный SDK применяется на различных немецких сайтах, включая правительственные порталы, для авторизации и регистрации посредством eID.

ЭТО ИНТЕРЕСНО

Honda показала Super EV Concept — компактный городской электрокроссовер

Honda показала Super EV Concept — компактный городской электрокроссовер

15.07.2025
Илон Маск обещает «самую эпическую демонстрацию» Tesla до конца года — снова

Илон Маск обещает «самую эпическую демонстрацию» Tesla до конца года — снова

15.07.2025

Исследователи объясняют, что корень проблемы заключался в том, как сайты обрабатывают полученные от пользователей ответы, когда те пытаются пройти аутентификацию с использованием eID. В нормальных обстоятельствах данная процедура должна выглядеть так:

-сайт обнаруживает, что пользователь инициирует процесс аутентификации посредством eID, и запрашивает у него специальный ответ;
-пользователь использует кардридер или специальное приложение для чтения eID, и вводит PIN-код в специальном приложении на ПК или мобильном устройстве;
-клиентское приложение eID соединяется с одним из множества авторизованных eID-серверов и верифицирует этот запрос на вход, присваивает операции криптографическую верификационную подпись, которая вместе с запросом пользователя направляется целевому сайту;
-клиентское приложение eID передает eID-запрос сайту (запрос содержит упомянутую подпись и данные пользователя), тем самым завершая процедуру eID-индентификации;
-сайт создает новую учетную запись или авторизует пользователя.

german-eid-auth-process.png (96 KB)

По данным SEC Consult, сайты, работавшие со старыми версиями Governikus Autent SDK, могли принимать ответы, содержащие одну криптографическую подпись, но несколько параметров SAML (Security Assertion Markup Language), содержащих данные пользователя. В итоге систему валидации можно было обмануть, а ответ пользователя модифицировать.

Для эксплуатации проблемы атакующему требовалась действительная строка запроса, подписанная аутентификационным сервером, в которую можно было внести изменения. Манипуляции позволяли теоретическому злоумышленнику выдать себя за другого человека, или аккуратно «подправить» в ответе имя, возраст и так далее. Исследователи подчеркивают, что осуществить подобную атаку было не так уж сложно. Дело в том, что многие eID-серверы «светят» своими логами в интернет (1, 2), и атакующий мог с легкостью почерпнуть все необходимые для атаки данные отсюда.

Демонстрацию атаки можно увидеть в ролике ниже.

Специалисты уведомили Governikus о проблеме еще летом текущего года, и в августе была выпущена исправленная версия Autent SDK (3.8.1.2). Теперь немецкий CERT и разработчики Governikus предупреждают, что все версии Autent SDK от 3.8.1 и ниже уязвимы перед обнаруженной проблемой и требуют немедленного обновления.

Источник: xakep.ru

Читайте так-же

Honda показала Super EV Concept — компактный городской электрокроссовер
Новости

Honda показала Super EV Concept — компактный городской электрокроссовер

15.07.2025
0

На фестивале скорости в Гудвуде 2025 года Honda представила свой новый электрический концепт — Super EV Concept. Компания устроила предварительную...

Read more
Илон Маск обещает «самую эпическую демонстрацию» Tesla до конца года — снова

Илон Маск обещает «самую эпическую демонстрацию» Tesla до конца года — снова

15.07.2025
Ученые нашли отличие психопатов — меньший мозг, чем у обычных людей

Ученые нашли отличие психопатов — меньший мозг, чем у обычных людей

15.07.2025
Том Холланд: «Человек-паук 4» вернет Marvel к «старой школе кино» со съемками в реальных местах и практическими эффектами

Том Холланд: «Человек-паук 4» вернет Marvel к «старой школе кино» со съемками в реальных местах и практическими эффектами

15.07.2025
Fallout 5 получила «полностью зеленый свет» после отмены другого проекта, — журналист

Fallout 5 получила «полностью зеленый свет» после отмены другого проекта, — журналист

15.07.2025

ТОП НОВОСТИ

Трейлер Borderlands 4 показал Железяку и функцию его отключения в настройках

Трейлер Borderlands 4 показал Железяку и функцию его отключения в настройках

15.07.2025
Huawei готовит компактный фолд в стиле iPhone Fold

Huawei готовит компактный фолд в стиле iPhone Fold

15.07.2025
Honda показала Super EV Concept — компактный городской электрокроссовер

Honda показала Super EV Concept — компактный городской электрокроссовер

15.07.2025
Фанатский ремейк Star Wars Dark Forces 2 на Unreal Engine 4 продолжает развиваться

Фанатский ремейк Star Wars Dark Forces 2 на Unreal Engine 4 продолжает развиваться

15.07.2025
ИИ-контент вам не принадлежит

ИИ-контент вам не принадлежит

15.07.2025

ПОПУЛЯРНОЕ

  • СМИ: Китай создаст большой ИИ-центр в пустыне

    СМИ: Китай создаст большой ИИ-центр в пустыне

    0 shares
    Share 0 Tweet 0
  • Нейросеть цифровых копий разума

    0 shares
    Share 0 Tweet 0
  • Редкий случай, когда без переплаты за бренд. Обзор OnePlus 13 — в этот раз хорош

    0 shares
    Share 0 Tweet 0
  • Три режиссерских режима, свобода действий и тематическая PS5 – что показали во время трансляции Ghost of Yotei

    0 shares
    Share 0 Tweet 0
  • Сирена Векс и ее геймплей в новых роликах Borderlands 4

    0 shares
    Share 0 Tweet 0
  • Реклама
  • Контакты
  • Политика конфиденциальности
Реклама: digestmediaholding@gmail.com

Использование любых материалов сайта разрешается при условии ссылки на itoboz.com
Интернет-СМИ должны использовать открытую для поисковых систем гиперссылку. Ссылка должна размещаться в подзаголовке или в первом абзаце материала. Редакция может не разделять точку зрения авторов статей и ответственности за содержание републицируемых материалов не несет.

© 2010-2025 IT новости. All Rights reserved

No Result
View All Result
  • Новости
  • Игры
  • Смартфоны
  • Обзоры
  • Софт
  • Криптовалюта

Использование любых материалов сайта разрешается при условии ссылки на itoboz.com
Интернет-СМИ должны использовать открытую для поисковых систем гиперссылку. Ссылка должна размещаться в подзаголовке или в первом абзаце материала. Редакция может не разделять точку зрения авторов статей и ответственности за содержание републицируемых материалов не несет.

© 2010-2025 IT новости. All Rights reserved

wpDiscuz