Na ubiegłotygodniowej konferencji Black Hat 2006 niemiecki badacz Lukas Grunwald zademonstrował praktyczną metodę klonowania paszportów elektronicznych zawierających informacje biometryczne. Paszporty takie zostały wprowadzone m.in. w USA oraz Niemcy, a od końca sierpnia b.r. będą także dostępne w Polsce.

Zademonstrowana przez Grunwalda technika dotyczy tylko jednego elementu paszportu - układu RFID, zawierającego elektroniczną wersję danych posiadacza paszportu. Niemiec zademonstrował, że zapisane w układzie informacje można pobrać, a następnie zapisać na innym, dziewiczym RFID. Jednak takie kopiowanie, wbrew temu tezie prezentacji, nie niesie ze sobą większego zagrożenia dla bezpieczeństwa paszportu a tym bardziej dla ruchu granicznego.

Układ RFID działa na zasadzie wzbudzenia - sygnał elektromagnetyczny wysłany przez czytnik jest odbierany przez chip, dla którego stanowi on równocześnie zasilanie oraz prośbę o wysłanie danych, zapisanych na stałe w układzie. W odpowiedzi na sygnał są wysyłane drogą radiową do czytnika. Ze względu na zasilanie drogą radiowego impulsu oraz pamięć tylko do odczytu w układzie RFID nie jest możliwe zastosowanie bardziej rozbudowanego protokołu uwierzytelnienia, jak np. w kartach elektronicznych. RFID - w uproszczeniu - zwróci zatem dane każdemu, kto o nie poprosi.

Wiąże się z tym ryzyko naruszenia prywatności posiadacza paszportu przez zdalne skanery, które mogłyby bez wiedzy osoby chodzącej z paszportem zczytywać zawarte tam dane osobowe w celu kradzieży tożsamości lub np. profilowania reklam. Organizacja ICAO (International Civil Aviation Organization), która opracowała standard bezpieczeństwa paszportów, rozwiązała ten problem dość sprytnym zabiegiem - dane w układzie są zaszyfrowane. Skąd jednak bierze się klucz szyfrujący? Otóż znajduje się on na stronie paszportu, zawierającej dane i zdjęcie posiadacza wydrukowane w tradycyjnej formie. Dzięki temu rozszyfrować dane z RFID może tylko ten, kto będzie mógł zobaczyć i zeskanować stronę ze zdjęciem.

Uniemożliwia to naruszenie prywatności, bo dostęp do strony paszportem będzie miał tylko ten, komu posiadacz paszport da do ręki a dane z RFID są elektroniczną kopią tego co jest wydrukowane na stronie ze zdjęciem. Równocześnie jest to zabezpieczenie przed klonowaniem, które opisał Grunwald. Każde pobranie informacji z układu RFID wymaga zeskanowania strony z paszportu w celu pobrania klucza. Sam klucz też jest inny w każdym paszporcie, więc przeniesienie układu RFID z jednego paszportu do drugiego też nie będzie możliwe. Każdorazowo podczas skanowania obie wersje danych - elektroniczna i tradycyjna - będą porównywane ze sobą, również pozwalając na wykrycie fałszerstwa.

Jedyne zastosowanie techniki klonowania opisanej przez Grunwalda to kopiowanie danych z paszportów w celu tworzenia dokumentów udających paszporty przy odpytywaniu drogą radiową. Biorąc jednak pod uwagę, że dane na paszporcie są zaszyfrowane kluczem wydrukowanym na jednej ze stron dokumentu przydatność takiego klonowania jest niewielka.

* Smartcard Alliance:http://www.smartcardalliance.org/industry_news/industry_news_item.cfm?itemID=1582

* MSWiA - paszport biometryczny: http://www.mswia.gov.pl/index.php?dzial=298&id=3998