जर्मनी में ऑनलाइन प्रमाणीकरण और शरणार्थी वित्तपोषण के साथ जर्मन आईडी खराब

जर्मन आईडी

एसईसी कंसल्ट वल्नरेबिलिटी लैब के सुरक्षा विशेषज्ञ वोल्फगैंग एटलिंगर ने स्टेट जर्मन आईडी की ऑनलाइन जांच के दौरान डेटा (नाम और पते सहित) के साथ छेड़छाड़ करने की एक तकनीक का वर्णन किया ।

जर्मन आईडी कार्ड 1 नवंबर 2010 से जारी किए गए हैं। प्रत्येक कार्ड में एक RFID चिप होती है जो मालिक के बारे में जानकारी संग्रहीत करती है, जिसमें नाम, जन्म तिथि और बायोमेट्रिक फोटो शामिल हैं। यदि मालिक चाहता है, तो वह एक फिंगरप्रिंट स्कैन रिकॉर्ड कर सकता है।

नए कार्ड मशीन-पठनीय हैं और इसका उपयोग अधिकांश यूरोपीय देशों में यात्रा दस्तावेजों के रूप में किया जा सकता है, साथ ही ऑनलाइन सरकारी सेवाओं (कर, डाक) में प्रमाणीकरण या उम्र की जाँच के लिए भी किया जा सकता है। उनका उपयोग कुछ ऑनलाइन सेवाओं में उपयोगकर्ताओं को प्रमाणित करने के लिए किया जाता है, जिसमें टैक्स फाइलिंग पोर्टल भी शामिल है ।

RFID प्रमाणीकरण कार्ड रीडर और एक ईआईडी क्लाइंट एप्लिकेशन (उदाहरण के लिए, AusweisApp 2 ) का उपयोग करके किया जाता है, जो लॉगिन जानकारी को सत्यापित करने के लिए RFID चिप और प्रमाणीकरण सर्वर (ईआईडी-सर्वर या एसएएमएल-प्रोसेसर) के साथ सहभागिता करता है।



पहचान जालसाजी को रोकने के लिए, प्रमाणीकरण सर्वर जानकारी को सत्यापित करता है और फिर ग्राहक से वेब सेवक को भेजी गई प्रतिक्रिया पर हस्ताक्षर करता है ताकि वेब सेवा प्राप्त आंकड़ों की वैधता पर भरोसा कर सके।

वोल्फगैंग एटलिंगर ने उन्हें संशोधित डेटा भेजकर एक वेब एप्लिकेशन को ट्रिक करने का एक तरीका मिला। स्क्रीनशॉट से पता चलता है कि एक प्रसिद्ध जर्मन लेखक जोहान वोल्फगैंग वॉन गोएथे के नाम से आधिकारिक आवेदन में उन्होंने सफलतापूर्वक कैसे प्रमाणित किया। प्रपत्र उस पते को दिखाता है जहां लेखक 50 साल रहता था, जहां गोएथ संग्रहालय आज स्थित है।



वेबिक अनुप्रयोगों में प्रमाणीकरण सुविधाओं को एकीकृत करने के लिए सॉफ्टवेयर घटक गवर्निकस ऑटेंट एसडीके में भेद्यता थी। इसमें ईआईडी क्लाइंट से प्रमाणीकरण सत्यापन कार्य को लागू करना शामिल है। लब्बोलुआब यह है कि सत्यापन दो स्वतंत्र चरणों में किया जाता है । पहले चरण में, प्रमाणीकरण सर्वर के प्रमाणीकरण हस्ताक्षर को सत्यापित किया जाता है, और दूसरे चरण में, स्वामी की पहचान सहित स्वयं डेटा। नतीजतन, आवेदन के लिए दो स्वतंत्र एसएएमएल प्रतिक्रियाएं भेजना संभव हो जाता है: पहला एक वैध हस्ताक्षर के साथ, और दूसरा नकली डेटा के साथ और एक हस्ताक्षर के बिना।

शोषण इस तथ्य का फायदा उठाता है कि गवर्निकस ऑटेंट एसडीके HttpRedirectUtils.checkQueryString पद्धति का उपयोग करके हस्ताक्षर का सत्यापन करता है, जो कई बार एक ही पैरामीटर का उपयोग करने पर विचार नहीं करता है। इस प्रकार, पैरामीटर की जांच करने के बाद, अन्य उदाहरणों का विश्लेषण किया जाता है जैसे कि उन्होंने पहले ही परीक्षा पास कर ली थी।

यहां बताया गया है कि वास्तविक विधि में यह विधि कैसे लागू होती है:

 // check the signature of the SAML response. There is no XML signature in this response but the // parameter are signed. if (!HttpRedirectUtils.checkQueryString(request.getQueryString(), SamlExampleHelper.SERVER_SIG_CERT)) { storeError(request, response, "Signaturprüfung der SAML-Response fehlgeschlagen!"); return; } 

विधि क्वेरी स्ट्रिंग प्राप्त करती है, इसे पार्स करती है, क्वेरी स्ट्रिंग का एक विहित संस्करण बनाती है और हस्ताक्षर को सत्यापित करती है।

तब SAML प्रतिक्रिया को पार्स किया जाता है:

 // get the parameter value String samlResponseBasee64 = request.getParameter(HttpRedirectUtils.RESPONSE_PARAMNAME); [...] // parse the SAML Response. ParsedResponse parsed = parser.parse(samlResponse); 

जैसा कि पहले ही उल्लेख किया गया है, HttpRedirectUtils.checkQueryString कई बार पैरामीटर का उपयोग करने पर विचार नहीं करता है, हमेशा पैरामीटर के अंतिम मूल्य का उपयोग करके।

भेद्यता का सफलतापूर्वक उपयोग करने के लिए, एक हमलावर को प्रमाणीकरण सर्वर द्वारा हस्ताक्षरित एक क्वेरी स्ट्रिंग की आवश्यकता होती है। विवरण जैसे हस्ताक्षर करने का समय या वह व्यक्ति जिसके लिए अनुरोध किया गया था, इससे कोई फर्क नहीं पड़ता। भले ही क्वेरी स्ट्रिंग छोटी अवधि के लिए मान्य हो, आईडी कार्ड पर डेटा के लिए वैधता जांच की जाती है। शोधकर्ता के अनुसार, यदि आप जानते हैं कि कहां देखना है, तो वैध अनुरोध प्राप्त करना मुश्किल नहीं होगा, क्योंकि वे ईआईडी क्लाइंट लॉग पर Google खोज के माध्यम से उपलब्ध हैं।

शोधकर्ता वीडियो पर अपना परिणाम दिखाते हैं:


गवर्निकस ऑटेंट एसडीके 3.8.1 और पुराने संस्करणों को चलाने वाले कमजोर वेब एप्लिकेशन जो डुप्लिकेट HTTP सेटिंग्स को संभालते हैं। भेद्यता का उपयोग किया जा सकता है, उदाहरण के लिए, एक मान्य नाम के तहत ऑनलाइन सेवाओं में पंजीकरण करने के लिए।

आपको ऐसे नकली नाम की आवश्यकता क्यों हो सकती है? आप इस तरह के एक सार उदाहरण दे सकते हैं। हाल ही में, जर्मन आंतरिक मामलों के मंत्रालय ने "स्वैच्छिक वापसी" पहल शुरू की, जिसके तहत यह स्वेच्छा से घर जाने वाले किसी भी विदेशी को वित्त पोषण करता है। सरकार को एक टिकट और आवास का भुगतान करना शरणार्थी को जबरन निर्वासित करने से सस्ता है ( 700 के खिलाफ 1,500 यूरो ), अर्थात्, वित्तपोषण समझ में आता है।


बर्लिन मेट्रो में विज्ञापन अभियान: ऐसे शरणार्थियों के लिए जिन्होंने 31 दिसंबर तक अपने स्वैच्छिक प्रस्थान के जर्मन अधिकारियों को अपनी मातृभूमि के लिए जाने की सूचना दी है, उनके देश में आवास के वार्षिक किराये की भरपाई की जाती है

सैद्धांतिक रूप से, कोई भी विदेशी जर्मनी आ सकता है, शरणार्थी की स्थिति के लिए आवेदन कर सकता है, एक इनकार प्राप्त कर सकता है - और तुरंत इस कार्यक्रम के तहत वित्तपोषित किया जा सकता है। धोखेबाज के लिए एकमात्र समस्या यह है कि आप केवल एक बार इस चाल को कर सकते हैं। जाहिर है, तब सेवाओं की जांच होगी कि लाभ अभी तक उनके नाम पर जारी नहीं किया गया है। लेकिन अगर आप एक अलग नाम के तहत कार्यक्रम में पंजीकरण करते हैं, तो धन कई बार (सैद्धांतिक रूप से) प्राप्त किया जा सकता है।

निश्चित रूप से, राज्य के ईआईडी को खराब करने से एक जालसाज़ को विदेशी पासपोर्ट के साथ जर्मनी में एक नए नाम के तहत आने में मदद नहीं मिलेगी। लेकिन यह उदाहरण बताता है कि हर सुरक्षा प्रणाली में कमजोरियां होनी चाहिए। एकमात्र प्रश्न उन्हें खोजने की इच्छा और संसाधन है।

---