Стандарты безопасности принимает Международная организация гражданской авиации (ICAO). Их вполне достаточно для надежной защиты. Разумеется, это не значит, что какая-то другая структура или частные лица, ознакомившись со стандартами (они, кстати, находятся в открытом доступе) и приобретя соответствующее оборудование, не смогут разработать ПО для считывания. Но это нельзя расценивать как угрозу. Считать данные закрытого паспорта, находясь в нескольких метрах от его обладателя, невозможно. Для этого нужно еще выкрасть паспорт и приложить чип к «самопальному» сканеру. Ну а потерянные или украденные паспорта в соответствии с законодательными нормами объявляются недействительными.
«Считать данные закрытого паспорта, находясь в нескольких метрах от его обладателя», действительно невозможно, однако нидерландские экспериментаторы сумели сделать это с расстояния 30 см (британцы остановились на 7,5 см - при том, что, по официальной точке зрения, паспорт можно считать с расстояния не более 2 см). Не бог весть какое достижение, но лиха беда начало. Конечно, сегодня трудно предположить, насколько эти прорехи в безопасности критичны, но то, что новый уровень защиты не слишком хорош, - удивляет.
Паспорта made by «Восход» четко соответствуют международным стандартам, однако сами процессы изготовления, оформления, выдачи и пограничного контроля осуществляются силами государственной информационной системы, к которой предъявляются дополнительные требования.
- Информация о выданных паспортах будет храниться в центрах обработки данных, - говорит Юхневич, - что позволит более целостно ее контролировать. Понятно, что все передается по защищенным каналам с использованием систем, сертифицированных соответствующими органами. Так что на международные стандарты накладываются еще и наши российские требования, которые, поверьте мне, сегодня очень жесткие. И если говорить о паспортной системе, то требования по безопасности к ней не имеют равных среди аналогичных систем, кроме систем специального применения.
Специализированное ПО - документооборот, использование ЭЦП, считывание данных, а в перспективе дактилоскопия и создание 3D-фотографий - в основном пишется в России. И по большей части - в самом «Восходе». А вот основа ИТ-составляющей реализована на зарубежных технологиях. Операционные системы, СУБД, продукты передачи данных - все от мировых производителей: Microsoft, IBM, Oracle.
Пресловутая «закрытость» кода от Microsoft Юхневича не смущает. Уже несколько лет Microsoft дает «посмотреть», что напрограммировали ее сотрудники, если речь идет о государственных или просто крупных заказах.
- Мы, разумеется, исследовали их системы, прежде чем принимать решение об использовании той или иной технологической платформы в проекте. Помимо Microsoft, есть так называемая доверенная операционная система, которая построена на базе Linux и имеет соответствующий сертификат требуемого класса. Она и ложится в основу выбранного технологического решения. Такие решения мы применяем при автоматизации паспортно-визовых отделов.
Но так ли хороши сами стандарты, если информацию, помещенную в чип, столь легко прочитать и расшифровать? По мнению Леонида Юхневича, сегодняшняя версия стандарта не окончательная, хотя выданные паспорта действительны в течение пяти лет (как и их неэлектронные аналоги). Одной из причин возможного изменения стандарта Юхневич считает расширение данных, которые будут храниться в электронном чипе.
- Например, все говорят о биометрических паспортах, но очевидно, что на сегодняшний день никакой биометрии там нет. Биометрия может появиться тогда, когда появится информация об отпечатках пальцев и, возможно, трехмерный портрет владельца. Думаю, уже в нынешнем году будет принят стандарт с 3D. Ну и безусловно будут совершенствоваться международные стандарты в области криптографии.
Биометрия
Опыт клонировани
Специалист по информационной безопасности Лукас Грюнвальд одним из первых продемонстрировал технологию клонирования е-паспортов летом прошлого года на конференции в Лас-Вегасе. С помощью программы RFID Golden Reader Tool (находящейся в свободном доступе) он получил данные со своего паспорта. Затем, достав припасенный паспортный бланк с чипом, Грюнвальд скопировал на RFID-метку извлеченную информацию с помощью собственной программы RFDump. Дополнительного оборудования для этого не понадобилось, т. к. RFID-ридеры могут и записывать данные.
Может показаться, что добавление биометрии значительно повышает общую надежность электронных удостоверений, однако не все эксперты с этим согласны. По крайней мере, если под биометрией понимать только изображение лица. Несколько лет назад ученые из Университета Вестминстера провели любопытный эксперимент, чтобы выяснить, насколько кредитки с фотографией владельца надежнее обычных кредитных карт. Казалось бы, если найдется такой глупый злоумышленник, что попытается расплатиться фотокредиткой в супермаркете, то его задержат при первой же попытке пробить чек, однако все оказалось иначе. Работники «подопытного» супермаркета совершенно спокойно принимали фотокредитки от людей, хотя бы немного напоминающих тех, кто изображен на фотографии. Мало ли когда он фотографировался? Само осознание того, что эти кредитки более «надежны», снижало их надежность. В результате никакой заметной разницы между фотокредитками и обычными карточками обнаружено не было - в реальной жизни технологии работают не всегда столь эффективно, как ожидается.