Ошибка безопасности в новой немецкой системе обработки удостоверений

Ошибка безопасности в новой немецкой системе обработки удостоверений

В Германии вводится в строй новая национальная система электронных удостоверений личности. Ее внедрение началось с 1 ноября текущего года; однако не прошло и двух недель, как в программном обеспечении для считывателей данных обнаружилась уязвимость.



Основной элемент карты электронного паспорта - беспроводной RFID-чип, хранящий изображение гражданина, его имя, адрес, дату рождения, некоторые приметы (рост, цвет волос и глаз), а также данные о месте выдачи удостоверения. Очевидно, что извлечение всех этих сведений невозможно без особого считывателя; для работы с таким считывателем предназначено особое приложение под названием AusweisApp. Немецкий исследователь Ян Шейбл, проживающий в настоящее время в Швеции, выявил в этом программном продукте ошибку безопасности.


Специалист рассказал изданию Deutsche Welle, что, загрузив программу с немецкого правительственного сайта и изучив ее, он обнаружил настораживающий факт: приложение не проверяет происхождение цифрового сертификата безопасности в процессе загрузки обновлений. Это открывает путь для возможной подмены данных и способно привести к загрузке на компьютер пользователя вредоносного программного обеспечения.


"Электронный паспорт может быть хорошо защищен, но, если дополнительные приложения, которые применяются для работы с ним, содержат подобные ошибки, то все внутренние уровни безопасности, предохраняющие персональные данные от утечки, могут оказаться бесполезны", - отметил исследователь.


Федеральное бюро информационной безопасности Германии сообщило, что выявленная проблема изучается, и идет поиск ее решения. Пока же программный продукт удален с сайта; его вновь опубликуют, когда уязвимость будет закрыта.


Infosecurity US

Подпишитесь на новости

Яндекс Пэй восстанавливают после атаки на ЦОД, сроков пока нет

Проверить баланс, оплатить покупку или перевести деньги — привычные операции, но в «Яндекс Пэй» они стали проблемой после повреждения дата-центра компании во Владимире. Когда сервис полностью вернется к нормальной работе, в «Яндексе» пока сказать не могут.

Как сообщает «Интерфакс», руководитель финтех-направления Дмитрий Пирогов вечером 11 октября подтвердил: команда продолжает восстановление и проверяет каждый шаг.

Быстро включить сервис недостаточно, необходимо убедиться, что операции с деньгами работают надежно.

При этом, по словам Пирогова, средства клиентов и данные о счетах находятся в сохранности. Компания обещает продолжать работу до восстановления сервиса, но точного срока не называет.

Дата-центр во Владимире был поврежден утром 11 октября. По данным агентства, это уже третья площадка «Яндекса», пострадавшая от атак беспилотников за несколько дней.

Для пользователей ситуация всё равно неприятная. Хоть деньги, как заверяет компания, и на месте, а привычно распоряжаться ими через сервис практически не получается.

RSS: Новости на портале Anti-Malware.ru