בלתי ניתן לזיוף?

מהגרת סינית עברה ניתוח פלסטי לשינוי טביעת אצבע והצליחה להיכנס ליפן (הארץ 9.12.09).
.

בדברי ההסבר להצעת חוק המאגר הביומטרי נאמר: "היתרון בשימוש במאפיינים ביומטריים… מקורו בכך שמידע ביומטרי הוא מידע שאדם 'נושא' עמו באופן תמידי, המהווה חלק ממנו, ואינו משתנה באופן קיצוני לאורך זמן; זאת לעומת מידע מזהה אחר … העלול להיות חשוף לשינויים ולתיקונים במרמה, עם יכולת מוגבלת לגילוי הזיוף."

.

"אינו משתנה"? אינו ניתן לשינוי?

.

לפני שמשחקים עם טכנולוגיה חדשה, יקרה ומסוכנת כדאי לזכור שלכל מנעול יש מפתח.

בלתי ניתן לזיוף? הנה דוגמא נוספת.

תודה למיכה שפיר, שהעביר לי את הלינק.

האח הגדול או שומר הסף?

2.12.08 ynet מביא מאמר מסיינטיפיק אמריקן (אוזכר אצלנו כאן):

.

"... הגבהת סף ההתאמה יכולה להקטין את שיעורי האישורים השגויים, אך הדבר יביא לידי הגדלת שיעורי הדחיות השגויות. כדי להקטין את שיעוריהם של שני סוגי השגיאות בו בזמן יש לפתח חיישנים ביומטריים שייצרו תמונות איכותיות יותר ולשפר את יכולות חילוץ המאפיינים וההשוואה. מתכנני המערכות יצטרכו להבטיח גם שהמערכות יהיו מוגנות מפני חבלה: היינו מצפים שלא יהיה אפשר לצותת למידע ביומטרי ולהזינו מחדש במערכת, או לשנות את החומרה או התוכנה הביומטריות. ניסיונות חבלה כאלה אופייניים לכלל מערכות הזיהוי, גם לאלו המבוססות על סיסמה או חפץ, ולכן אפשר להתמודד אתם בכלים המקובלים בתחום. לדוגמה, אפשר להשתמש בשיטות הצפנה כדי למנוע מהאקרים להשיג גישה למידע, להשתמש בו או לשנותו...

.
אתגר גדול הרבה יותר הוא עיצוב מערכת זיהוי ביומטרית בטוחה, שתאשר רק את בעל המאפיינים האמיתי ולא תוטעה על ידי חיקויים, כמו למשל העתק פלסטיק של אצבע. לשם כך אפשר להשתמש בחיישנים המגלים חום או סימני חיים אחרים, ולהבטיח שמקור הקלט אינו חפץ דומם ...

.

שאלת הפרטיות - השימוש בביומטריה מעלה חששות לגבי סוגיית הפרטיות. מיהו בעליו של המידע - האדם או ספקי השירות? האם ישתמשו במידע למטרות שלא יועד להן, למשל כדי ללמוד ממנו על מצב בריאותו של האדם? המערכות הביומטריות העתידיות יפעלו ודאי בצנעה, והן יקלטו את מאפייניו הביומטריים של המשתמש ללא מעורבותו הפעילה. אופן פעולה כזה מחריף עוד יותר את הבעיות הכרוכות בסוגיית הפרטיות ...

..
כרגע איננו רואים באופק פתרונות ממשיים וישימים למגוון הבעיות האלה. עם זאת, אנו סבורים שיהיה אפשר לפתור אותן באמצעות דיון ציבורי והתוויית מדיניות. אין דרך אחרת. זהו רק עניין של זמן עד ששיפורים נוספים בכלים הביומטריים יביאו אותם אל קדמת הבמה במאמצים להילחם בבעיות הנפוצות של בטיחות והונאות זהות, שעמן מתמודדת החברה ..."

/

המומחים, אם כן, מאשרים שיש עדיין בעיות גדולות עם שיטת הזהות הביומטרית. וזאת עוד, מבלי שהתייחסו לשאלה של מאגר ענק מדינתי. לגבי הצעתם להתגבר על הליקויים באמצעות "דיון ציבורי והתוויית מדיניות" – כאן כבר אין להם יתרון של מומחיות, על זה נצרך אנחנו כחברה להחליט.

הדרכון החדש של אלביס פרסלי - 7.10.08

דרכון מזוייף שהוצא לאלביס פרסלי המנוח עבר את סורק הבדיקה בנמל התעופה של אמסטרדם.

"The Hacker's Choice", קבוצה הולנדית של מומחים לאבטחת מידע, הצליחה לפצח את הקוד וליצור דרכון מזוייף תחת שמו של אלביס פרסלי המנוח. הדרכון עבר בהצלחה את הסורק האלקטרוני בנמל התעופה של אמסטרדם. למרות שהדרכון לא נבדק בסורק של ביקורת הגבולות, סורק שעשוי להיות קפדני יותר, הניסוי המצולם מעורר ספקות וחששות בבריטניה ביחס לתוכנית הממשלתי להנפקת דרכונים ביומטריים. אולי. אולי גם אצלנו יבחנו מחדש את התוכניות הביומטריות של משרד הפנים. למצער את התוכנית להקים מאגר מידע ביומטרי - it's now or never...

THC/vonJeek proudly presents an ePassport emulator. This emulator applet allows you to create a backup of your own passport chip(s) - The Hacker's Choice
Hackers reveal serious flaw in biometric passports after cloning one for Elvis Presley - dailymail.co.uk
Hackers Clone Elvis Presley's Passport - Foxnews
Researcher gives Elvis and bin Laden fake e-passports Claims they'll fool e-readers. Uh huh huh - The Register

זיוף טביעת אצבע של שר הפנים (בינתיים רק בגרמניה)

30.9.08 Theregister מדווח על זיוף טביעת האצבע של שר הפנים הגרמני, מצדד נלהב של שימוש בביומטריה כאמצעי ביטחון. טביעת האצבע של השר נלקחה מכוס זכוכית שהשתמש בה, ומגזין גרמני כבר קורא לתפוס ולזייף טביעות אצבע של פוליטיקאים קשקשנים נוספים (...). כדאי שהשר שיטרית יתחיל להשתמש בכפפות.

.

המדען שהשתתף במבצע אומר ששימוש "ביטחוני" בטביעת אצבע משול להפקרת סיסמת הכניסה למחשב שלכם בלי כל יכולת לשלוט עליה בעתיד. אלא שסיסמא אפשר כמובן להחליף מה שקשה לעשות עם טביעת האצבע.

.

ברוס שנייר:

.

"This is 1) a good demonstration that a fingerprint is not a secret, and 2) a great political hack. Wolfgang Schauble, Germany's interior minister, is a strong supporter of collecting biometric data on everyone as an antiterrorist measure. Because, um, because it sounds like a good idea."

כך ניתן לזהות אותנו בעזרת אמצעים ביומטריים

19.8.08 איתי שמושקוביץ ynet, מביא "קולות מרגיעים של מומחים" - רק חבל שכולם באים מהתעשייה, שעשוייה לצאת נשכרת מהתשפטות השימוש בטכנולוגיה הביומטרית. חוקרים מהאקדמיה זהירים קצת יותר. ובכל זאת, אחרי כל שרשרת ההרגעות הוא כותב כך:

.

"... למרות כל קולות ההרגעה מצד המומחים, אירעו לאחרונה כמה מקרים מדאיגים - באנגליה נגנבו ‭3,000‬ דרכונים ריקים שמכילים שבב לזיהוי ומומחה אבטחה הולנדי כבר הוכיח שניתן לפרוץ גם לדרכונים כאלה ולזייף את הנתונים שנמצאים בהם בעזרת כלים לא יקרים, אשר זמינים לציבור הרחב. בארה"ב נגנב מחשב נייד שהכיל פרטים לא מוצפנים של עשרות אלפי נוסעים אשר נרשמו לתוכנית שמאפשרת להם לעלות למטוס באמצעות זיהוי ביומטרי. אפשר רק לקוות שבישראל עוקבים אחרי ההתפתחויות הללו וידאגו שמאגר הזיהוי הביומטרי שאישרה הממשלה יהיה מוגן בצורה טובה יותר."

.

לקוות אפשר. להאמין קשה יותר. עניין של ניסיון ושל תרבות.

האם טביעת אצבע היא אכן האמצעי להלחם בגניבת זהות?

19.8.08 - מאמר ב-Scientific American Magazine (גרסה עברית ב-ynet מאוזכר אצלנו כאן), קובע כי מערכת ביומטרית המבוססת על טביעות אצבע סובלת מאחוז שגיאה גבוה - רצוי לחכות.

.

Beyond Fingerprinting: Is Biometrics the Best Bet for Fighting Identity Theft? By Anil K. Jain and Sharath Pankanti:

.
"The Privacy Conundrum - The use of biometrics raises important privacy concerns. Who owns the data—the individual or the service providers? Will those data be used for an unintended purpose—to deduce something about a person’s health, for instance? Biometric systems of the future will probably operate unobtrusively, capturing biometric traits without the active involvement of the user. Such stealth further confounds the privacy issue.

.
At present we see no concrete, viable solutions on the horizon for addressing the entire spectrum of privacy concerns. We believe these problems can be resolved through public discussion and policy making, however. They will have to be. It is only a matter of time before continued improvements to biometric tools will move them center stage in efforts to combat the rampant problems of security and identity fraud that our society faces."

חוק הנתונים הביומטריים – הכצעקתה?

12.8.08 - עו"ד דן אורחוף באתר law.co.il:
.

"... אם מידע יזלוג מהמאגר הביומטרי ויעבור לשימושו הבלתי מורשה של עבריין כלשהו, יוטל על האזרח נטל כמעט בלתי אפשרי להוכיח שהוא לא היה במקום, או שלא ביצע פעולה המיוחסת לו. יתר על כן, מרגע שיגיע נתון ביומטרי לידיים הלא נכונות, שוב לא ניתן יהיה להשיב את הגלגל אחורנית... העובדה שתהליך ההזדהות יישען על נתונים ביומטריים תשמש כתמריץ לגורמים מפירי חוק לפתח טכנולוגיות זיוף מתאימות. כך, שהשוואה בעת תהליך ההזדהות בין הנתונים בתעודה לנתונים הפיסיולוגיים של המחזיק בה, לא תאתר את הזיוף... מערכות אבטחת מידע אינן יכולות לספק הגנה מוחלטת, ומנגד זליגה כזו יוצרת נזק שקשה עד בלתי אפשרי לתקנו. חכמים אמרו: "מה שאין לי, אינני יכול לאבד". אם לא יוקם המאגר הביומטרי, גם לא תהיה סכנה לשימוש לרעה בנתונים השמורים בו...

.

מה שנעדר מדברי ההסבר הוא החלופות שנבחנו לצורך המלחמה בתופעה הידועה והממוקדת, של עשרות אלפי עבריינים (הידועים כעבריינים) המתדפקים על דלתות משרד הפנים. האומנם אין כל חלופה אחרת, אלא ליצור מאגר רגיש מאין כמוהו, שיהיה מטרה לניסיונות פריצה בלתי פוסקים מצד גורמים עוינים? הנטל להוכיח את מידתיותו של ההסדר המוצע בתזכיר החוק, רובץ לפתחה של הממשלה. נטל זה אף כבד שבעתיים, כיוון שההיסטוריה המתועדת בפסקי דין רבים מלמדת שמידע אישי רגיש דלף בעבר ממאגרי מידע ממשלתיים ואף נמכר על-ידי עובדי ממשלה, תוך הפרה בוטה של החוק. אין פלא, אפוא, שהבטחת הממשלה על יכולתה לאבטח כראוי את המאגר הביומטרי נתקלת בחוסר אמון. ..."

.

הביומטריה מותירה טביעת אצבע רשלנית

יהודה קונפורטס, מערכת ThePeople ,DailyMaily 8.8.08: "מתנגדי השיטה מרימים את הכפפה - בניסוי שבוצע מטעם הטיימס הבריטי, כל הקוראים הדיגיטליים שדרכם הועבר דרכון דיגיטלי, לא זיהו תמונה של אוסמה בן לאדן".
.
"ההתלבטות בין חתימה דיגיטלית, שהנה השיטה המקובלת כרגע, לבין ביומטריה, אינה רק נחלת הישראלים. כמה ימים לאחר שהממשלה קיבלה את ההחלטה הגורפת, פרסם הטיימס הלונדוני את תוצאות הניסוי שעשו אנשיו בעזרת מדען הולנדי: על דרכון דיגיטלי (אי-פספורט) נשתלה תמונה של אוסמה בן לאדן ושל אלביס פרסלי. כל הקוראים הדיגיטליים שדרכם הועבר הדרכון, לא זיהו את הזיוף. אילו הדרכון הזה היה בידי בן לאדן, או מי מאנשיו, התוצאות היו חמורות מאוד. הניסוי הזה מוכיח לא רק שהביומטריה אינה אמינה במאת האחוזים, אלא שגם הקוראים של הגורמים המאשרים, האמורים לבדוק גם את החתימה הדיגיטלית, לא הצליחו לגלות את ההונאה. החוקר ההולנדי ממחיש את התזה ששום כלי אינו חסין מפני זיופים, ומכאן שכל מתנגדי השיטות הללו יכולים לבנות תילי תילים של נימוקים נוספים
.
עלינו אולי גם להבין, כי בארצות אירופה, כמו גם בארצות הברית, העובדה שמכריחים אנשים להזדהות מהווה טראומה לא קטנה לאוכלוסיה המקומית. במדינתנו זה אולי מובן מאליו, אבל אצלנו הרי תמיד צריך להיות שונה, כי אנחנו עם לא ככל העמים. אצלנו, קודם כותבים הצעות חוק, מעבירים אותם בממשלה (איזה שר לא ירים אצבע בעד "שיפור השירות לאזרח"), ורק אחר כך מתחילים לדבר על תעודות חכמות, לריב בכנסת על המשמעויות של צנעת הפרט, לבלות כמה שנים בבג"צים, ובינתיים, תעשיית הזיופים ותעשיית גניבות הזהות לצרכי פיגועים ממשיכה לפרוח. הם עדיין לא שמעו על הביומטריה. גם אנחנו לא."

זיוף פספורט ביומטרי ו"מאובטח" בבריטניה

6.8.08 Steve Boggan ב-timesonline - דרכון של ילד זוייף והפך להיות "הדרכון" של אוסמה בן לאדן. מה שמדאיג עוד יותר הוא, שהדבר מטיל ספק בהודעות ההרגעה שהושמעו שבוע קודם וכינו את גניבתם של 3,000 דרכונים ריקים כ"חסרת תועלת". המומחה שביצע את "התרגיל" נזהר מלומר אם טרוריסטים יוכלו לבצע אותו בכל פספורט, אבל שיש במבצע שלו כדי ללמד על צורך בדיון ציבורי פתוח על הסוגייה. עוד דיון ציבורי בבריטניה? הם דנים בזה כבר שנתיים וצפויים לדון עוד מספר שנים. הם צריכים ללמוד מאיתנו - אצלנו רוצים להעביר את החקיקה בתוך מספר שבועות.

.

"The tests for The Times were conducted by Jeroen van Beek, a security researcher at the University of Amsterdam... developed a method of reading, cloning and altering microchips so that they are accepted as genuine by Golden Reader, the standard software used by the International Civil Aviation Organisation to test them. It is also the software recommended for use at airports.

.

'We’re not claiming that terrorists are able to do this to all passports today or that they will be able to do it tomorrow... But it does raise concerns over security that need to be addressed in a more public and open way.'

.
The tests also raise serious questions about the Government’s £4 billion identity card scheme, which relies on the same biometric technology. ID cards are expected to contain similar microchips... the Shadow Home Secretary, called on ministers to take urgent action to remedy the security flaws discovered by The Times. 'It is of deep concern that the technology underpinning a key part of the UK’s security can be compromised so easily,' he said ..."

.

ץץץ

האם מאגר ביומטרי מהווה סכנה לבטחון המדינה?

5.8.08 עומר טרן "יומן אבטחה"

אין כל צורך במאגר הביומטרי על מנת להלחם בזיופי דרכונים ותעודות זהות והטענה כאילו יש בכך צורך היא במקרה הטוב הונאה של הציבור וציבור המחוקקים בשם גחמה. אלא שנדמה כי למאגר שכזה עלולות להיות השלכות שליליות על בטחון המדינה, כאלה ההופכות את עצם קיום המאגר לבעיה בטחונית. כזו הגורמת לי להטיל ספק בשיקול הדעת של מי שחשבו על הרעיון ההזוי הזה. …

לפני שאסביר את הסכנות הגלומות בקיום מאגר כזה, חשוב להסביר מדוע הטוענים כי גם במדינות אחרות נעשה שימוש בזיהוי ביומטרי טועים ומטעים. …

ניסיון העבר של מדינת ישראל מלמד כי מידע המוגן על ידי חוק הגנת הפרטיות דולף החוצה. מידע אישי ממשרד הפנים מצוי באינטרנט, אך גם מידע ממאגרים משטרתיים וממאגרי בתי המשפט דולף החוצה על בסיס קבוע. אנחנו כמובן מודעים לכך רק כאשר זה מגיע לתקשורת, אך סביר להניח כי אלו מיעוט המקרים. אם נשלב את הנתונים הללו יחד נקבל כי המדינה מעוניינת להקים מאגר של דגימות מקור ביומטריות שבסבירות גבוהה ידלוף החוצה ובמצב כזה לא ניתן יהיה להשיב את הגלגל לאחור.

יותר מזה, במידה ומסיבות של בטחון מדינה תרצה המדינה להוציא מישהו מהמאגר בשלבים מאוחרים יותר בחייו לא תהיה לכך משמעות.אנו יודעים גם כן כי ניתן בקלות יחסית לזייף טביעות ביומטריות. מטבע הדברים הטכנולוגיות משתכללות, אך גם טכניקות התקיפה. פועל יוצא הוא שקיומו של מאגר ביומטרי מרכזי עלול לגרום לבעיית הזיוף אותה לכאורה (לכאורה בלבד, כיוון שזו אינה מטרת המאגר) מנסה המדינה למנוע.

אלא שהמשמעות היא יותר דרמטית מ"ניתן לזייף ביומטרי". המדינה תבסס את הזיהוי הביומטרי שלה על נתוני הגלם המקוריים המצויים במאגר, עובדה שתאפשר לכל מי ששם ידו על המאגר ליצור זיוף בתנאי מעבדה ולבדוק אותו מול המאגר הממשלתי עד להתאמה מושלמת. באותה המידה שניתן לזייף טביעות אצבע, ניתן לזייף זיהוי פנים באמצעות מסיכת לטקס מהסוג שמשמש את תעשיית הקולנוע. בהנתן ההשקעה הכספית המתאימה תימצא המתקפה המתאימה. בייחוד לאור העובדה שגופי מדינה יעשו שימוש בטכנולוגיות מדף רגילות אותן יכול כל תוקף לקנות על מנת לבצע ניסויי מעבדה על יבש. מלכתחילה המטרה היא להתמודד עם אלו שמוכנים להשקיע כסף בתעודות מזויפות. מספר תרחישים אפשריים… כניסה לארץ … זיהוי בעלי תפקידים בגופים מסווגים … כניסה למתקנים מסווגים …

הבעיה המרכזית של מדינת ישראל בכל האמור לזיופים היא חלמאות, טיפשות ועצלנות. את אלה גם שמונה מאות מאגרים ביומטריים ותשעים מיליון תעודות חכמות בהשקעה של שבעה מיליארד דולר לא יתקנו.

מיכאל שפיר - עתירה ציבורית נגד מאגר ביומטרי

מיכאל שפיר עוסק בפיתוח ומחקר ביומטרי, ממציא ויזם סידרתי בעיקר בפיתוח טכנולוגיות עתידיות ומשמש כטכנולוג, מדען ראשי ויזם במספר רב של חברות היי טק העוסקות בעיקר ברשתות תקשורת, אבטחת מידע, ביומטריה, ציוד רפואי, ומחקרים ביו טכנולוגים.

.

חיבר "עתירה ציבורית" נגד החוק הביומטרי. הוא סוקר היסטוריה של הפקרות מצד משרד הפנים בשמירה על מאגרי מידע אישי ושואל:

.

"האם יעלה על הדעת שאזרח במדינה דמוקרטית שלא "יהין" למסור את מאפיניו הביומטריים למשרד פנים עם היסטוריה חוזרת של אבדן מידע ולחברה ש"זכתה" במכרז ב"נסיבות מתמיהות"?, האם אזרח זה ראוי שייאסר למשך שנה?... האם לא ראוי לבטל את המכרז להעמיד לדין את האחראים למחדלים? האם אזרח החרד לפרטיותו ו/או לגורל מידע רגיש ואישי שיכפה עליו למסור, ישלם על מחדלים בחרותו? …

.

.הטענה שאיסוף מידע ביומטרי "נועד למנוע זיוף" לא זו בלבד שאינה נכונה היא אפילו מטעה ויתרה מזאת 'היפכא מסתברא', קל מאוד לזייף מידע ביומטרי. המידע הביומטרי כיום (לפני התחלת האיסוף) הוא בבחינת נתון אנונימי שמשמש רק לצרכים פליליים, כלומר אין סיבה מעשית לציבור לעשות בו שימוש יומיומי. אולם לאחר הפיכתו של זה לאמצעי זיהוי של אדם, תגדל המוטיבציה להפוך את הזיוף שלו לזמין, שהשפעתו הרסנית לרשות השופטת ורשויות אכיפת החוק לעניין קשירת אדם למקום או ארוע בהסתמך על טביעת אצבעותיו או כל ראיה ביומטרית אחרת שיעשה בה שימוש רחב…

.

מידע ביומטרי דוגמת טביעת אצבעות ניתן בקלות לזייף או ליירט ללא ידע או. מיומנות מיוחדת… הנימוק המרכזי לנחיצות מאגר מידע ביומטרי - 'מניעת הרכשה כפולה' מטעה…כל פתרון טכנולוגי שנוסה כמו שימוש ב RFID בכרטיס אשראי נכשל התופעה בוודאי תחזור על עצמה כאשר יהפוך כרטיס הכחם לכלי נפוץ כמו תעודת זהות. ככל שהטכנולוגיה הופכת למתוחכמת יותר המוטיבציה לפריצתה הופכת לאתגר גדול יותר."

.

מיכאל שפיר - זיהוי ביומטרי ופרטיות

31.7.08 - זיהוי ביומטרי ופרטיות מאת מיכאל (מיכה) שפיר, חוקר, מדען וטכנולוג ראשי במספר רב של חברות היי טק, מסביר מהו זיהוי ביומטרי, מדוע מסוכן להשתמש בו במערכות ענק, מתאר את הפגיעה בפרטיות, את אפשרויות הזיוף הרבות, ומזכיר חלופות פולשניות פחות. הוא גם מזכיר דרך של התנגדות אזרחית.

"זיהוי ביומטרי נחשב משפטית כפולשני כי הוא עוסק במאפיינים ההתנהגותיים ו/או הפיזיולוגיים של האדם, הניתנים למדידה ולשמירה והיכולים לשמש לאימות זהותו. לכל אדם מאפיינים ביומטריים ייחודיים לו. …
מידע ביומטרי שנפל לידי עבריינים ואו גופים זרים, יסכן את שלומו של בעליו. …מאגר ביומטרי ככל שהוא גדול יותר, הוא מהווה מכשול גדול יותר ביכולת שלו לאתר רשומה נכונה. בנייה והשוואה למאגר נתונים ביומטרי גדול, לא ימנע "הרכשה הכפולה", ולא יכול לצדד בצורך בבנית מאגר כזה תוך פגיעה אפשרית בפרטיותם של אזרחים תמימים.…
הטענה שה"שימוש בטביעת אצבעות ימנע זיוף" מטעה - לא זו בלבד שתופעת הזיוף תחריף, היא תהפוך לנפוצה ובתי המשפט יתמלאו ב"עבריינים" (לכאורה) שאינם יכולים להתכחש לביומטריה שלהם בשל עבירות זיופי זהות ביומטרית, שבוצעו על ידי זייפני רחוב... הקלות הבלתי נסבלת של זיוף ביומטרי… סרטון הדגמה…
כדי להמחיש שהמדינה לא עשתה הכל כדי להמנע מפגיעה באזרחיה - ניקח את רעיון ה"הביומטריה ללא עקבות"…
המידע האגור ב"כרטיס חכם" צפוי ע"פ הנסיון בעולם, להתבטל. כל פתרון "אלקטרוני" (פולשני) ביחוד לעניין זהות, מטבע הדברים והמשמעויות עשוי ל"הפצח" או ל"הנטרל"…
אזרח יוכל תאורטית... למחוק את המידע מהכרטיס האישי שלו בהליך "פרימיטיבי" ביתי פשוט - הכנסתה של תעודת הזהות "החכמה" למכשיר מקרוגל ביתי במשך 5 עד 7 שניות שלא תפגע במזהים הויזואליים …קיימות היום טכנולוגיות החדשות ואלטרנטיבות לאימות ודאי וקשירה של כרטיסי זהות לאזרחים עצמם, ומניעת זיוף גם ללא מאגרי נתונים ביומטריים, ללא כרטיס "אלקטרוני חכם" וללא (יצירת) חשש לפגיעה בפרטיות - תוך שמירה על החוק… "

נשואה למאפיה - המחוקקים בבריטניה מזהירים מפני שימוש עברייני במידע הביומטרי

10.6.08 - דו"ח של הפרלמנט הבריטי מזהיר מפני ההשלכות החמורות של שימוש במידע ביומטרי בתעודות זהות ובמאגרים. הפשע המאורגן ישים ידו על הנתונים וישתמש בהם לגניבת זהות. במקרה של מידע ביומטרי הנזק הוא בלתי הפיך.

מקור: SecurityInfoWatch.com. (ראו גם: LiveJurnal).

אחד המומחים שהופיעו בפני הוועדה בפרלמנט הוא פרופ' רוס אנדרסון, מומחה לאבטחת מידע מקיימברידג':

"There is a fundamental security engineering problem with biometrics as opposed to the cryptographic keys in your chip and pin card. Once your biometrics become compromised, you cannot revoke them. It is not practical to do eye or finger transplants. Once you start using biometrics on a very wide scale, for all sorts of everyday transactions, the Mafia will also have your biometrics. You do not know which shops are owned by the Mafia but if you end up having to put your fingerprint on the glass every time that you buy a can of Coke, sooner or later the Mafia will have the biometrics of millions of people.' The powerful Commons' Home Affairs Committee called on the Home Office to prepare 'contingency plans to be implemented in the event of a loss or theft of biometric information from its databases" …

Face and Fingerprints ID taken from Passports

Face and Fingerprints ID taken from Passports

Dutch TV programme Nieuwslicht (Newslight) is claiming that the security of the Dutch biometric passport has already been cracked. As the programme reports here, the passport was read remotely and then the security cracked using flaws built into the system, whereupon all of the biometric data could be read.

Face and fingerprints swiped in Dutch biometric passport crack - The Register

REAL ID Implementation Review: Few Benefits, Staggering Costs

ארגון הפרטיות האמריקאי EPIC פרסם דו"ח חדש על פרויקט "Real ID" של הממשל האמריקאי תחת הכותרת: "REAL ID Implementation Review: Few Benefits, Staggering Costs".

.

"REAL ID SYSTEM CREATES NEW NATIONAL SECURITY RISKS - ...The Department of Homeland Security says in the final rule that it will be “significantly more difficult,” but not impossible, “for an individual to use a false name or provide fraudulent documents to obtain an identification.” This is the reason that any national identification system is fundamentally flawed: Individuals are told to “trust” the national ID card, but it is still possible to create a fake card, so one cannot rely on the national identification system to “prove” an individual is who she says. Contrary to the Department of Homeland Security’s claims, this system harms our national security by creating another “trusted” path for criminals to exploit...

.

The REAL ID national identification system would harm rather thanprotect privacy and security, and such a system would exacerbate the country’s growing identity theft problem. It decreases security to have a centralized systemof identification, one ID card for many purposes, as there will be a substantialamount of harm when the card is compromised.

.

A system of decentralized identification reduces the risks associated withsecurity breaches and the misuse of personal information. Technological innovation can enable the development of context-dependent identifiers. Adecentralized approach to identification is consistent with our commonsenseunderstanding of identification. ... These context-dependentusernames and passwords enable authentication without the risk of a universalidentification system. That way, if one number is compromised, all of thenumbers are not spoiled and identity thieves cannot access all of your accounts.All of your accounts can become compartmentalized, enhancing their security

.

The final rule includes few protections for individual privacy and security in its massive national identification database. It harms national security by creating yet another “trusted” credential for criminals to exploit. The Department of Homeland Security has faced so many obstacles with the REAL ID system that the agency now plans an implementation deadline of 2017 – nine years later than the 2008 statutory deadline. It is an unfunded mandate that would cost billions, with the burden ultimately being placed on the individual taxpayer.

.

Technical experts familiar with the challenges of privacy protection and identification presented the Department of Homeland Security with a variety of recommendations that would have minimized the risks of the REAL ID system. The DHS made some modifications, but left the essential system in place. As REAL ID currently stands, the costs are many and the benefits are few. Public opposition to implementation is understandable."

.

N2ID: People willing to trade their freedom for temporary security deserve neither and will lose both.

פורצים את ההצפנה של כרטיסים חכמים

12.3.08 Dan Goodin The Register- חוקרי בטיחות מידע מצאו דרך לפרוץ ולזייף בתוך דקות הצפנה של כרטיסים חכמים, המשמשים כאמצעי כניסה לאתרים ומוסדות שונים.

"If you want to get into a high-security building, spending a matter of days is OK. Now, it doesn't take days; it takes minutes for subways and military installations alike..."

.

פרופסור למערכות מידע בבריטניה: ת"ז ביומטרית היא גניבת הזהות האולטימטיבית

7.3.08 – Time OnLine, פרופ' איאן אנג'ל, מומחה למערכות מידע ב-London School of Economics: מערכות מחשב נכשלות תמיד ומאגר לאומי יעשה זאת "big time".

פרוייקט תעודת הזהות כרוך במערכות מחשב ענקיות ומורכבות, הרבה יותר ממערכת המחשב של משרד הבריאות שדלפה לאחרונה בבריטניה – זוהי הקטסטרופה הבאה. הפוליטיקאים נאיבים מדי כדי לחשוב שלא יהיו בעיות, שהמאגר יהיה מאובטח לחלוטין בגלל שהוא ביומטרי. אבל הניסיון, לרבות דוגמאות מהתקופה האחרונה, מלמד שמערכות מחשב ענקיות שכאלה נכשלות שוב ושוב. מאגר ביומטרי בהיקף לאומי יהיה מטרה אולטמיטיבית ל"אולמפיידת ההאקרים".

מלבד כשלים טכנולוגיים שקורים בכל מאגר, תמיד נמצאים מבין העובדים שמטפלים בו מעטים שמעבירים מידע – 80% מכשלי האבטחה אינם קורים בגלל האקרים אלא בגלל עובדים מושחתים. ובמקרה של מאגר ביומטרי, המאגר יהפוך למקור לגניבות זהות, פעילות טרוריסטית.…

"Paradoxically, you only agreed to register to protect yourself from “identity theft”, and instead you find yourself victim of the ultimate identity theft - the total loss of control over your identity.
Errors won't just happen by accident. It's possible to imagine that workers on the ID database will be corrupted, threatened or blackmailed into creating perfectly legal ID cards for international terrorists and criminals. Then the ID card, far from eliminating problems, will be a one-stop shop for identity fraud; foreign terrorists, illegal immigrants will be waived past all immigration checks…

At a recent Ditchley Park conference on combating organised crime, a persistent warning from the law enforcement authorities was that criminal gangs had placed “sleepers” in financial sector companies, and they were just waiting for the one big hit. The perpetrators of 80 per cent of all computer security lapses are not hackers, but employees. Cryptographic systems don't help if the criminal has been given the keys to the kingdom. Why should the ID centre be immune, especially when there will be nearly 300 government departments logging in. Furthermore, the register will be the No 1 target for every hacker on the planet: the Olympic Games of hacking. …"

ID cards are the ultimate identity theft

Computer systems always fail - and the national database will do so big time

Angell, I ID cards are the ultimate identity theft The Times, March 7, 2008

Ian Angell is Professor of Information Systems at the London School of Economics

The ID project is one of the biggest computer systems envisaged - far more complex than the failing NHS system. And it's another disaster waiting to happen. Still the politicians naively claim there will be no problems: it will be totally secure because of biometrics.

The only property that all systems have in common is that they fail. And the bigger the system - 60 million entries on a compulsory ID card database - the greater the opportunity of failure.

Errors won't just happen by accident. It's possible to imagine that workers on the ID database will be corrupted, threatened or blackmailed into creating perfectly legal ID cards for international terrorists and criminals. Then the ID card, far from eliminating problems, will be a one-stop shop for identity fraud; foreign terrorists, illegal immigrants will be waived past all immigration checks.