Исследователи обнаружили уязвимость в электронных паспортах

Исследователи обнаружили уязвимость в электронных паспортах

Исследователи из Университета Бирмингема обнаружили очередную уязвимость в электронных паспортах. Недостатки существующей технологии позволяют сконструировать устройство, которое будет сигнализировать о появлении вблизи его владельца того или иного е-паспорта.

Предлагаемая схема эксплуатации данной уязвимости кажется несколько надуманной, однако в некоторых случаях может оказаться действенной.

Для начала злоумышленникам придётся подслушать "разговор" между электронным паспортом жертвы и авторизованным RFID-сканером (например, при пересечении объектом границы). Обмен данными шифруется, однако здесь речь идет не о расшифровке, а всего лишь о перехвате сообщения, в котором сканер передает паспорту ключ конкретной сессии.

Данное сообщение тоже кодируется, но оно, как и всякое последующее сообщение между сканером и паспортом, подписано уникальным для паспорта аутентификационным MAC-кодом (который паспорт предварительно сообщает сканеру).

По словам исследователей, изучение паспортов показало, что существует отличие между сообщением, которое было отклонено из-за некорректного ключа сессии, и сообщением, которое было отклонено из-за ошибки при проверке аутентификационного кода.

Для большинства электронных паспортов это отличие заключается во времени, после которого паспорт возвращает ошибку (потому что в одном из случаев ему приходится тратить время на расшифровку сообщения). Длительность этого интервала зависит преимущественно от того, какая страна выдала паспорт. Сообщается, что для французских паспортов не нужно и этого, так как в описанных случаях они просто возвращают два разных кода ошибок.

Поэтому можно создать собственный псевдо-сканер, который будет периодически транслировать в эфир перехваченное сообщение. Если этот сканер разместить в подъезде, где проживает владелец паспорта, то с его помощью можно будет в режиме реального времени определять, когда он покидает дом или возвращается обратно. Естественно если человек будет носить паспорт с собой.

Исследователи проверили свою теорию на практике, взяв у добровольцев (сотрудников лаборатории и членов их семей) их электронные паспорта. Всего было 3 британских паспорта, 2 немецких и по одному российскому, французскому, ирландскому и греческому. Для реализации описанной схемы исследователи использовали доступное в продаже и дешевое оборудование.

Чтобы защититься от данного способа атаки, как утверждают ученые, необходимо усовершенствовать существующие протоколы, использующиеся электронными паспортами. С уже выпущенными е-паспортами ничего сделать нельзя.

webplanet.ru

Киберучения, ИИ и защита КИИ: что обсудят на КиберV-2026

С 8 по 11 июня 2026 года в Томске пройдёт V юбилейный форум КиберV-2026, посвящённый кибербезопасности. На площадках города, включая БКЗ Томск, соберутся специалисты по ИБ, представители государства, бизнеса, образования, а также школьники, студенты и молодые ИТ-специалисты.

За несколько лет КиберV вырос из отраслевой конференции в заметную региональную площадку для обсуждения практических вопросов информационной безопасности.

В этом году программа рассчитана на четыре дня и охватывает сразу несколько направлений: обучение молодых специалистов, киберучения, соревнования, деловую программу и практические мастер-классы.

Первый день, 8 июня, будет посвящён молодёжи. Участников ждут киберучения на полигоне Ampire от компании «Перспективный мониторинг», мастер-классы от UserGate, лекции, карьерные консультации и интерактивные стенды. Студенты смогут попробовать себя в роли специалистов CSIRT и пройти сценарии обнаружения атак и защиты инфраструктуры.

9 июня состоятся соревнования КиберСибирь’2026 в формате Attack-Defense. Команды студентов вузов и колледжей будут защищать собственную инфраструктуру, искать уязвимости, отражать атаки соперников и захватывать «флаги». Формат близок к реальной работе ИБ-специалистов: мало теории, много давления, ограниченное время и постоянные попытки что-нибудь сломать.

Главный день деловой программы запланирован на 10 июня. На конференции обсудят защиту критической информационной инфраструктуры, требования Приказа ФСТЭК №117, применение ИИ, роботизацию производств, финансовую безопасность, защиту от мошенничества и импортозамещение в сфере ИБ. В программе заявлены пленарная сессия, панельные дискуссии, круглые столы, выставка отечественных решений и демонстрации технологий.

11 июня пройдёт день КиберV Специалист, ориентированный на практику. Участников ждут мастер-классы, разбор реальных кейсов, работа со средствами защиты информации и общение с разработчиками. Также предусмотрена возможность получить удостоверения о повышении квалификации от ТУСУР.

Отдельно в рамках форума проведут образовательный трек КиберV Образование для школьников, родителей и педагогов. Темы вполне приземлённые: цифровая безопасность детей, кибергигиена, защита от интернет-мошенничества, безопасное использование соцсетей и мессенджеров, а также угрозы, с которыми подростки сталкиваются в интернете.

Организаторы ожидают, что в 2026 году форум соберёт более 1000 участников. Для Томска это ещё один повод показать, что разговор о кибербезопасности давно вышел за рамки узкого профессионального круга: теперь это и про кадры, и про образование, и про бизнес, и про обычных пользователей, которым тоже приходится жить в цифровой среде.

RSS: Новости на портале Anti-Malware.ru