Фапотька из фольги
Я иногда ошибаюсь в своих выводах о людях из-за того, что думаю о них слишком хорошо. "Ну, не могут же они? (быть такими долбоёбами)" Могут. Ещё как. Представьте, что вы сидите в Монреале в штаб-квартире ICAO (Международная организация гражданской авиации) и вам нужно придумать новый формат паспортов.
Удобный
Такой, чтобы можно было положиться на электронику и оставить перед дверцей только вахтёра, чтобы "наркобароны" через неё не перелазили по двое. Кого вы позовёте? Ясное дело, чудаков, которые печатают бланки, кого же ещё. Только те в IT не рубят. А кого те позовут? Производителей радио-чипов, вот эти вот все метро-карточки и прочий урбанистический хайтек. Безопасников никто конечно не позвал. Гнусные люди, оббирают весь город-сад и тормозят прогресс, мешая продажам и принудительному осчастливливанью лохоктората.
Что они сделали, ну конечно же асимметричная криптография и PKI (если попросите, то я запощу в комментариях ссылки на основы), а ещё ISO/IEC ASN.1, BER, TLV, чтобы без трусов и по-взрослому. И сразу поломали стандарт так, чтобы нельзя было пользоваться стандартными хорошо отлаженными инструментами. Вроде X.690, а вроде и не совсем. (Это очень-очень плохо, потому если чудо-софту подсунуть что-то чего он не ждёт, то он просто станет раком, а заодно станет вектором атаки на пограничников. Всё равно что флешку незнакомую сунуть в Виндовс Хр-р-р)
Основные усилия международного ансамбля песни и пляски "Еванушки Интернешнл" сосредоточены на защите от прослушки. Чтобы у вас ксерокопию паспорта не сняли сразу сквозь штаны. И сделана она настолько криво, что к американским паспортам даже предлагали шапочки из фольги. Буквально. Чехол-клетка Фарадея.
Потом выяснилось, что стандартные средства PKI позволяют отозвать ключи ЦСК, но не потерянный паспорт, например. И реестры пропотерянных паспортов вернулись на место. Ладно, хоть данные паспорта надежно подписаны RSA, корневые сертификаты доставляются дипломатической почтой, и не смотря на необходимость тяжелого оффлайного онлайна (и того и другого) всё худо-бедно работает.
Но потом понадобилось сличать морду с содержимым паспорта, что тяжело, и добавилась биометрия (отпечатки), что проще. Но отпечатки - вторжение в личную жизнь и они должны быть зашифрованы, на смену BAC приходит EAC, пытающийся доказать, что Алиса - это Пудинг, Пудинг - это Алиса. Доказать паспорту, что терминал имеет право читать отпечатки. DG4 запланировали под сетчатку, но до этого, слава Богу, пока не дошло. Когда терминалов много - в каждом полицейском участке, на каждом пропускном пункте, то ключи потекут целиком и сразу. Можно сделать их коротко-живущими, вот только беда-беда, у паспорта нет часов. То не "Боб" (так в криптографии называют стороны (А)лиса - (Б)об), а нежный и безответственный пудинг.
Уже с биометрическими паспортами праздник происходит нешуточный, именно поэтому ЕС вводит новые правила, вот те вот пять евро, онлайн-регистрация - это всё последствия родовых травм стандарта.
И тут появляются они.
Провинциальные энтузиасты
И они с криками "А вот в Европе!" выкатывают новый внутренний паспорт исполненный со всеми косяками родной технологии, плюс ошибки перевода. И косячат технологию ещё глубже. Ломают "активную аутентификацию". Ломают даже сам PKI. Как выглядит обычный паспорт? "Кем выдан", "Где выдан". ФИО (кто подписал? кого сажать?), Место (где искать, кого сажать?). Что у нас написано в ID-карте? CSCA и signing authority - "полиграфический комбайн "Украина". Найти крайнего в такой схеме невозможно, она централизованная, а в случае пробоя "комбайна" всем паспортам конец.
И вот в это самое говнейро, которое без пограничника с реестрами не работает (а помните какие были мечты?) наши жижитализаторы пытаются воткнуть КЕП (юридически значимую электронную подпись).
У той ID-карты mandatory BAC (для другого её делали) и пароль на обложке. У неё сломанный AA, и возможность клонирования. Там legacy (обратная совместимость), которая позволяет отключить всё говно-security в ноль и свести защищенность девайса до уровня карты для проезда в метро (буквально. до MIFARE, иногда).
Пока выяснял как всё это работает, орал так, что даже пост не мог с первого раза написать. И правильно! И ну его нафиг! Не зовите безопасников, они только продажи портят. :-)
P.S. Про прайвейси и презумпцию невиновности. Голландская полиция, когда вводили биометрику тут же попыталась наложить лапу на базу отпечатков от паспортов, но была отогнана титановым ломом правозащитников. Миграционная служба и Арсен Борисович? Верю им с детства...
P.P.S. Все эти задачи стандартов и безопасности, их всегда нужно проверять контрольными вопросами. "А оно надо?", "А не мучаем ли мы козу?" и ещё более важный "А что если нет?"
