Názory k článku Kopie elektronického pasu za pár minut

Davaji k tomu take olovena pouzdra?

Proc olovene? Idealne zlate, stribrne nebo aspon medene. Nebo chcete svuj pas chranit pred radioaktivitou? Pravda, clovek nikdy nevi. Treba za vama ve fronte bude stat nejaky rusky spion s pul kilem polonia v zaludku...

S pul kilem polonia? Kdyby bylo ve stavu kovovém, tak by to byl docela solidní záric, ale jinak celkem bezpecny. No a pokud by to byl mikroprasek nebo rozpustna sul, tak by to stacilo na otraveni cele planety... Ale kde by se takove mnozstvi vzalo? Ze by ten spion mel vlastni jadernou elektrarnu???

+1

Všetko sa dá kopírovať. Jediné riešenie je v aplikácii, keď pri každom predložení pasu sa overí nejaký biometrický údaj z pasu so skutočnosťou. Obávam sa, že banky, úrady a iné inštitúcie to nebudú schopné veľmi veľmi dlho.

biometriky jsou nespolehlive. a navic rizikove pro uzivatele.

Nic spolehlivějšího AFAIK není k dispozici. Jedině centralizovená databáze osobních informací (včetně biometrických) zajistí jakous' takous' kontrolu identity. Že bude pracovník pasové kontroly schopný zjistit, jestli vousatý Arab (nebo bezvousý Korejec) je ten samý vousatý Arab (nebo bezvousý Korejec), co je na fotce, je podle mě sázka do loterie.

Že to je hrubý zásah do soukromí, je zase jiná věc.

biometrika je zpusob autentizace pres 'neco co jsem' -- tj. nejdou snadno menit. problem je, ze pokud se tento zpusob autentizace pouzije na ty pasy, uz ho nemuzu pouzit na nic jineho (protoze autentizacni udaje do dalsiho systemu by vlastnil i nekdo jiny, obdobne jako kdybych jim dal rekneme svoje rootovske heslo do systemu).

druhy problem s biometrikami je, ze biometricka identifikace cloveka fyzicky ohrozuje. imho je dost znamy pripad, kdy prepadli majitele auta se senzorem na otisky prstu (misto klice) a protoze potrebovali odjet, vzali si s sebou i jeho prst.

dalsi vec je, ze automaticka identifikace cloveka na hranicich strojem je zatim spis sci-fi. staci se kouknout do specifikaci ICAO k ten rfid pasum, jeden dokument ukazuje zavislost pravdepodobnosti spravne identifikace na mire ztratovosti jpegu -- ale co si autori zjevne neuvedomili je, ze zverejnili, jak nizkou spolehlivost ten system ma.

Tu prvni namitku by asi resila jednosmerna kryptografie - v databazi by nebyl otisk prstu, ale nejaky jeho hash, ale nevim presne, jak by to fungovalo, protoze to porovnani je pravdepodobne ponekud "fuzzy". Krome toho mame na rukou obycejne deset prstu, takze by nemusel byt takovy problem jeden vyhradit pro verejne systemy a na pristup k notebooku nebo autu pouzivat jiny.

To nebezpeci useknuteho prstu tady samozrejme je, ale pasove kontroly se snad az tolik netyka.

Otisk prstu nespolehlivy? To ma byt vtip???

Problem neni v otisku prstu, ale v pouzite technologii snimani.

Kolega provadel statisticke vyhodnoceni nekolika kvelitnejsich ctecek se systemem prihlaseni na vzorku nekolika desitek lidi kazdy s dvema otisky s tim, ze zkusil simulovat i male procento postizenych pouzitim jinych prstu nez ukazovacku.

Obvykle nebyl problem se prihlasit do systemu svymi prsty jako uplne nekdo jiny. V pripade mirneho zprisneni kriterii byl zase problem se vubec nekdy prihlasit.

Nehlede na to, ze nektere ctecky konstrukcne vubec nevyhovovaly - treba ty do PCMCIA slotu v kombinaci vyssich notebooku a vysuvneho snimace hned vedle steny notebooku. Pokud mel nekdo vetsi prst, tak obvykle nedolehnul spravne pro sejmuti otisku...

Nie, to nie je vtip. Nedavno som skoro spadol na zadok, ked som na nemeckej ZDF videl ako jednoducho mozno odtlacok prsta na pohari zviditelnit, odfotit digitalom a vyrobit jeho 3D kopiu. Bez problemv tak oklamali novy system testovany na letisku vo Frankfurte.

niekde je i popis jak urobili otlacok prsta pomocou plasteliny a zele medvedikou ;-)

tym oklames skenery ktore beru otlacok.

"Vsetko se da kopirovat"

Tak pro zacatek zkuste zkopirovat obycejnou platebni cipovku.

Vice informaci na http://csrc.nist.gov/cryptval/140-2.htm

Jinak platebni karta vyhovuje levelu 2

Urcite da, ale pak ten pas nemusi na hranicich uznat jakozto platny ... takze niceni cipu nikam nevede ...

Hm, takže základní bezpečnostní pravidlo zní: Hned poté, co dostanu svůj pas s čipem, nechám ho projít mikrovlnkou. Jedině tak zabráním krádeži identity :)))

Nj, neni to sice nic nove, ale nikdy nieje na skodu poukazat, ze staty totalne seru na bezpecnost, len sa na nu hraju a znauzivaju demagogiu na to aby nas mohli coraz viac kontrolovat. este stastie ze ani do ciech ani na slovensko este nedorazilo to ze na kazdom rohu kazdej rite je bezpecnostna kamera, ako napr v anglicku.

za chvilku nas budu zatvarat za kazdu blbost, ale to aby nam dali bezpecne pasy na to nemaju. ale hlavne ze ked napr ide o vynucovanie priblblych americkych/europskych predstav o autorskom prave, tak sa sleduje kazda prdel.

fakt fantazia

...a politici to přesto nasadí a když ITíci navrhnou něco rozumného, užitečného, levného a bezpečného, najdou na tom milion chyb. Ať jdou politici a spol. do háje. Jdu si koupit RFID čtečku, ať si pak nemusím žádat o nový pas, když ho ztratím. Prostě si udělám "backup" ;)

To si myslite, ze tuto technologii navrhli politici? Ze by Paroubek s Topolankem videli to RFID, autentizacnich mechanismu a dalsich technologii a doma na chalupe si zbastlili prototyp?

Tenhle cestovni pas navrhli spolecnosti, ve kterych pracuji ITci. Neverite? Verte!

Jo, ITci, kteri jednaji v zajmu svych spolecnosti. Tedy jak co nejrychleji a nejlevneji uplatnit existujici technologii bez toho, ze by se ty RFID chipy na zbozi do supermarketu musely nejak prilis upravovat. Politici se pod to pak jednoduse podepisi, aniz by se radili s nekym, kdo tomu rozumi.

A kdo jini nez ITci tomu ma rozumnet?

Proto jsou dulezita vyberova rizeni a oponentura. To prvni se dela tak, aby profitoval ten, co da nejvetsi baksis a to druhe se pro jistotu nedela vubec.
Nejde jen o kopirovani, neni preci problem si udelat pas na nekoho jineho s vlastnimi biometrickymi informacemi. Protoze je to v chipu, tak je to pravda :-)
Kdyz tak o tom premyslim, nasazeni takoveho smejdu hranici skoro s vlastizradou.

No ale padalet ten "papir okolo cipu" (aneb zfalsovat zbytek pasu) ktery ma ochranne znaky asi srovnatelne s bankovkami uz nebude tak jednoduche .... takze rek bych ze zadny backup se nekona :)

A není to celé myšleno spíš tak, že celník přečte elektronické údaje pasu a nechá je ověřit vydávajícím úřadem (platný/neplatný). Takže přečíst to klidně může kdokoliv (stejně, jako si tu knížečku může opsat), ale když ta JPEG fotka nebo jiný údaj nebude souhlasit s tím, co vydali, pas není platný. A dotyčný se aspoň rámcově musí podobat tomu, co je v knížce a to musí být stejné, jako to, co je v čipu.

V případě ztráty se pas označí v databázi jako ztracený a nikdo na něj od toho okamžiku neprojde, i kdyby se namaskoval podle fotky.

Takto by to celé dávalo smysl a šifrování není nijak zvlášť důležité, je to jen ochrana, aby to nemohl zkoušet úplně každý pitomec.

ad 'označí v databázi jako ztracený': to se v tehle chvili afaik v cechach neumi.

to neumime zneplatnit? ztraceny = neplatny

Ma to RFID cip - slovo RFID se dneska nosi - musi to byt bezpecne. Copak tu logiku nevidite?

V nejhorsim pripade se ustanovi zakon, ze kdo precte pas RFID cteckou, pujde na Guantanamo, a bude zase klidek.

Clovek je povinen nechat si cist otisky prstu, jako by byl nejaky zlocinec? Co kdyz nekdo pujde kolem s RFID cteckou, otisk si z jeho pasu precte, udela z toho folii ktera bude otisk imitovat a vyuzije to k zakamuflovani zlocinu? To pak pudu sedet.

Rek bych ze jedno "cink-cink" v mikrovlnce tenhle problem spravi, a kdyztak reknu na hranici "ja nevim - nic jsem s tim pasem nedelal - to jste poprvy co mam problemy se ctenim pasu - vzdycky vsude jinde mi to chodilo".

no a prave o tom to je, colnici viac veria pocitacu ako vlastnym ociam, takze v podstate pre nich nebudes existovat a pojdes pekne na Guantanamo

Lebo to je dolezite, chranit si svoj odtlacok pred precitanim z pasu.. Ako keby pre toho vraha neholo jednoduchsie "vziat" si tvoj odtlacok z tyce v MHD po tom, co vystupis. No jo, a policia aj cely svet veri jednoznacnosti odtlacku bezhranicne. Pritom taka blbost. Kde je napisane, ze kazdy ma iny odtlacok? Dokaz neexistuje. Ale o inom som chcel..
Fakt nevedia co od dobroty s tymi RFID cipmi? Pochopim ked to niekto pouzije na preukaz v kniznici alebo kartu na vydaj obedov v zavodnej jedalni.. ale uradny dokument?? dakujem pekne. pri prvej prilezitosti si do toho rfid nakopcim fotku svojho psa a budem tvrdit ze pri vydavani bolo na pasovom riadne "mejdlo"

Clanek je trochu nepresny. Neni v nem zdurazneno, ze data
na chipu obsahuji elektronicky podpis pasove certifikacni autority daneho statu. To znamena, ze je (zatim) NELZE MODIFIKOVAT, aniz by zustala platna. Pokud si dejme tomu
Usama chce opatrit pas na jmeno G.W.Bush, dokaze si sice
v principu zkoporovat pas na jmeno G.W.Bush, ale zustane v nem fotka Bushe. Svoji forku tam sice muze vymenit, ale pak nebude
sedet jeji ktronicky podpis. Lepsi zabezpeceni nez stare pasy to tedy JE. Stoji a pada to ale s eventuelnim prolomenim
pouzite hashovaci funkce a/nebo asymetricke sifry pouzite k podpisu. Nebo si terorsti muzou podplatit insidera v pasove
certifikacni autorite nejake bananove republiky (napr. CR)
a ziskat tak pristup k privatnimu heslu pro el. popis (ani ho nemusi mit explicitne, staci, kdyz inseder zaridi podepsani
jejich fotky "navic").

lepsi zabezpeceni nez stare pasy to neni, protoze:

1. na fotku v pasu stejne nikdo nekouka
2. pas lze kopirovat nekolika zpusoby, nekdy i bez vedomi uzivatele (priklad: pri dorucovani postou, ktere se deje tusim ve velke britanii zna postak prevaznou vetsinu autentizacnich udaju (jmeno, adresa, datum vydani), tj. dokaze ho behem cca 20 hod okopirovat skrz obalku)
3. rfid jsou obecne pro uzivatele rizikove, tusim tady: http://www.youtube.com/watch?v=-XXaqraF7pI (nemam ted flash, nevidim tam nic) je demo bomby aktivovane pritomnosti pasu.
4. pokud se tak ohanite bezpecnosti pasu, kouknete se do pecifikaci pasu na pouzite sifrovaci protokoly. problem totiz je, ze ten chip je napajeny zvenci bezdratove, takze neni schopen poskytnout dostatecny vypocetni vykon. a samozrejme dalsi problem je cena chipu, ze.. (i kdyz existuji bezpecnostni bezdotykove karty s kapacitni vazbou, ale to asi autori prislusnych pasu nebrali v potaz).

spis mi to cele prijde jako dalsi z planu na vyrobu velkeho bratra.

ad 1. Zkusil jste uz projit na letisti na cizi pas?
2. pri cteni cipu se musi zadat heslo napsane v pase - bez otevreni obalky to nepujde
3. mne neslo o moznost vyzvidat o cizich lidech, coz jiste taky vadi, ale primarne o zfalsovani pasu s cizimi biometrickymi udaji
4. Ten elektronicky podpis NENI pocitan ani overovan na CIPU.
Overuje ho PC u pasoveho urednika. Cip nanejvys nejak jednoduse sifruje data pro prenos a kontroluje zadani hesla
z pasu. Logicky, kdyz data musi jit z cipu precist, musi byt take mozno je zkopirovat! Ale uz ne modifikovat, aby pritom zustala platna.

Ja prece netvrdim, ze RFID je bezpecna technologie, co se tyce odposlechu apod. Ale ochrana pasu proti PADELANI na cizi biometricke udaje
nema s pouzitim RFID nic spolecneho. To zavisi jen na kryptografii pouzite na elektronicky podpis. RFID je zde jen nosic informace. Zrovna tak bychom mohli k pasu dostat balicek
dernych stitku

ad 1: ja ne, ale jsou lidi co to zkousi a docela dobre jim to jde. navic se da ten pas pouzit i klasicky na hranicich, takze nechapu proc jste se zameril prave na letiste.
ad 2: heslo je slozene z: data narozeni, jmena, tusim i adresy, datumu konce platnosti pasu a cisla pasu. afaik jsou tyhle udaje ulozene i ve strojove citelne casti pasu (2d carovy kod). detaily jsou v icao specifikacich, nechce se mi to hledat, ta metoda se afaik jmenuje basic authentication. kazdopadne pocet kombinaci je pro toho postaka tak maly, ze na spravny kod prijde zhruba za tech 20 hod.
ad 3: to se dela blbe, ale dokud nejsou mechanismy na overeni fotky a ostatnich biometrik funkcni, neprijde mi to relevantni.
ad 4: samozrejme. ten cip (pokud to ma zrovna implementovane), resi autentizaci a sifrovani prenasenych dat. akorat ze to sifrovani je slabe a jde to obejit a odposlechnout.

data jsou v tom pasu usporadana lehce chaoticky a podpisy to co si vzpominam nebylo chranene cele. resp. v ulozenych datech jsou ty podpisy, pripadne sifrovani dat volitelne. co se konkretne implementuje u nas nevim, ministerstvo vnitra detaily nezverejnilo, jen naznaky.

no, o tom RFID se shodneme, i kdyz dneska uz se vyrabi cipy s aspon trochu pouzitelnou bezpecnosti (sifrovani pres 3des). ja bych treba resil ty pasy pres 2d-barcode, afaik je to i jedna z moznosti implementace tech pasu dle icao. jenze se nekdo rozhodl jinak.

myslim si take, ze jakykoli utocnik vyuzije nejslabsi misto a ze pouziti rfid + slaba kontrola dohromady vytvari dost velkou mezeru v bezpecnosti, ktera bude hromadne vyuzivana.

Coz je otazkou nalezeni kolize druheho typu v Hashovacim algoritmu. Nevim jaky hashovaci algoritmus pouzivaji, kazdopadne jsem presvedcen ze bude prolomen drive, nez bude konec zivotnosti takovychto pasu.

len tak zo srandi si najdi na nete veci ohladne SHA1 a MD5 prelomeni a zistis ze spravit koreknty a spravne podpisany pas nieje az taky problem (teda ak nevyzadujes presne rovnake datumi narodenia a podobne udaje a nevadi ti nejaky iny zostrich ako prave mas ;-)

http://www.fidis.net/press-events/press-releases/budapest-declaration/

Ať laskavě ty státní kašpaři a jiný nýmandi, který IT vůbec nerozuměj, držej hubu. Jejich demagogický žvásty ať zvracej dětem na písku ale ne odborný veřejnosti! Dělaj idioty naopak z nás - to si nezvykejte, frajeři, nikdo na ty vaše zvratky neni zvědavej!

Zdejsi nekteri IT radoby odbornici by si meli uvedomit, jaky je rozdil mezi ochranou proti duplikovani a ochranou proti zmene udaju.
Tu prvni zatim nedokaze nikdo uspokojive vyresit (jenom ztizit, viz treba zabavni prumysl), tu druhou dokazeme po jiste obdobi vyresit velice slusne.
Problem zabezpeceni pasu neni v jeho moznem kopirovani, ale musi zabezpecit udaje co nese proti zmene. V historii se pasy nikdy tupe nekopirovaly. Vzdy slo o vytvoreni noveho s nejakou zmenou, minimalne jinym foto....

a nekteri zdejsi radoby security odbornici by si meli uvedomit, ze utocnik vzdy hleda nejslabsi misto v bezpecnosti. tj. pokud pro nej je ted jednodussi menit fotky na pasech dela to. pokud pro nej bude jednodussi kopirovat cipy, zacne pro zmenu pouzivat tento zpusob utoku.

zpusob uvazovani, ktery predvadite, se da prirovnat k uvaze: vykradli nas skrz predni dvere, zabezpecme tedy prave a jen predni dvere. zadni muzeme nechat klidne otevrene, tamtudy nas prece nikdy nevykradli.

az uvedete rozumny zpusob, jak by se dal takovy okopirovany pas s cipem zneuzit, tak ja uznam svoji chybu a panove z NDR taky... ...a vetsina dnesnich "security odborniku" pujde do predcasneho duchodu...

priklad s dverma, ktery uvadite prameni z nepochopeni problematiky a s pasama nijak nesouvisi (kopie pasu je totiz opravdu k nicemu)

Vyvedte ma z omylu.. Nie je cielom ziskat platny pas? To by kopirovanie imho riesilo. Novy s podpisom pasovej CA nevyrobim ani keby som sa rozkrajal, tak preco si neskopcit?
Pritom ten cip by sa mohol tak krasne a jednoducho branit precitaniu svojho obsahu. Co tak sa inspirovat pri smart-kartach ako napr. SIM alebo bankomatova karta? Viem ze kopirovanie SIM uz ludstvo zvlada, ale dlho to bol problem a este stale sa da vylepsit silnejsimi mechanizmami.

Nemuzete srovnavat pas se SIM a podobne. Cip v pasu zajistuje integritu dat uvedenych v pasu a je dohromady platny pouze s drzitelem daneho pasu. PROTO je dany drzitel nedilnou a neoddelitelnou soucasti bezpecnostniho protokolu. Minimalne tak, ze spolu s pasem, je potreba overit to, zda udaje uvedene v pasu pasuji na osobu co jej nese.

U SIM karet a podobne toto obecne neplati. Tu kdyz Vam ukradnou, tak ji muze zneuzit kazdy, nebot v ni nejsou ulozene informace, ktere je potreba overit u osoby, ktera ji chce pouzit. (PIN nijak nesouvisi s danou osobou). Pokud by na SIM karte byl treba otisk prstu (sifrovan soukromym klicem CA, tudiz opet chranen proti zmene) a pouziti SIM karty by bylo vazano na tuto biometriku dane osoby, pak by to bylo neco uplne jineho. A bylo by to srovnatelne s pasem.

ok, priklad utoku: mam databazi N pasu. mam osobu, ktera chce projit za hranice. vyberu tedy pas s nejpodobnejsi fotografii a vyrobim kopii..

V pripade ze mate databazi pasu je myslim naprosto zbytecne resit otazku zabezpeceni jednotlivych pasu, nebot zde selhalo neco uplne jineho...

O tom se tady ale nebavime. Zde resime problem duplikatu pasu, a jeho zneuziti.

Jaky je zasadni problem v tom si nechat pas podepsat CA? Preci ty pasi vydavaji bezne urednice, ktere na stejme pocitaci na kterem vysavuji zadost o podpis brouzdaji na netu. Opravdu myslite ze nejakym spyware se do toho pocitace nikdo nedostane a nezazada si o podepsai svych dat?

A to ani nemusi nikdo hledat kolizi 2-heho druhu, ktera u hashovaciho algoritmu pouziteho pro pasy, s vysokou pravdepodobnosti nalezena bude.

Tohle ale opet neni problem zabezpeceni pasu jako takoveho/resp. problem duplikace a jejiho zneuziti. To tady neresime.

Zadny system neni odolny proti zneuziti "zevnitr".

Je náhoda, že zrovna včera jsem si chtěl vyřídit pas. Na úřadě jsem zjistil, že mi pas vyřídit nemůžou, protože to musím udělat v místě trvalého bydliště (Kolik ze zdejších čtenářů pracuje v místě trvalého bydliště? Já ne). Úřednice načetla občanský průkaz a na monitoru ji vyběhla chybová hláška (něco o inkonzitentní odpovědi serveru -- to ten systém taky mohl říct, že nesedí trvalé bydliště). Možná v době, kdy se pasy nedělaly digitálně, bych ji ukecal, ale takhle to nešlo, protože systém se s ní nebavil. Všechno se dělá digitálně, včetně fotky, určitě se připojují do centrální databáze, tak nechápu, proč to komunistické omezení s trvalým bydlištěm. Nevíte někdo, kdo je za tento paskvil odpovědný?

Clovece, vy byste snad chtel, aby urednici meli udaje dostupne pres sit a mohli tak vyrizovat zadosti bez ohledu na misto bydliste. Tohle prece nejde, tohle neni zadna cochcarna, aby kazdy delal, co se mu chce, i kdyz bydli jinde. Treba ja, kdyz, jsem zavadel plyn ve vesnici 3 km od Prahy, jsem musel jet do Kladna a potom s projektem na posouzeni (jednalo se o obecne schema pouzitelne uplne snad vsude) do Kralup. Pricemz pobocka plynarenske spolecnosti v Kladne mi nebyla ani schopna rici, kde ze je sidlo plynaru v Kralupech. Ze pry je to u kostela a ze se tam mam doptat.

to mas vsude - ani banka (krome ebanky) se s tebou nebavi v jine pobocce nez kde sis zalozil konto - mam konto na expoziture v olomouci - prisel jsem do prahy a potreboval vybrat 20k - urednice po me chtela 500 za autorizaci podpisu - tak jsem sel a vybral to z bankomatu - coz jsem ale delat nechtel ze

Zrovna s timhle jsem u CSOB problem nemel... Ale je fakt, ze kdyz chci neco zmenit ve smlouve (uz jsem to 3 roky nedelal), tak musim na svoji pobocku.

(a kromě spořky)

Nemuzu si ted vzpomenout na vyber, ale u CSOB jsem (pred fungovanim EB v jinem prohlizeci nez IE) bezne podaval platebni prikazy v ruznych mestech a pobockach - podpisove vzory maji uz nejakou dobu on-line.

JJ, podpisove vzory maji minimale tri roky online. Ja jsem u nich narazil na jiny "spek". Na vaclavaku v pobocce proti KRONE jsem platil prikazem - sam si podepsal a sam si orazitkoval a sam si hodil do sberneho kose. Jake bylo moje prekvapeni kdyz mi den pred odletem volali z cestovky ze prachy nedorazili ... Proc nedorazili a co se stalo s tim prikazem mi nikdo nebyl schopny rici. Vyresil to vyber a osobni predani v cestovce.

Tomu docela verim a proto radeji kdyz mi provedeni platby vic zalezi delam to pres EB, nebo dojdu na (jakoukoliv) prepazku, vyplnim prikaz rucne a predam jej urednici na prepazce kt. mi to hned zanese do systemu. Je to sice drazsi, ale rekl bych ze o neco jistejsi.

tak zrovna s eBankou jsem měl problém, že jsem musel na "domovskou" pobočku.

Chyba lavky - kdyz chces, vse maji pripravene na predem tebou vybrane pobocce. Vlastni zkusenost.

Já rovněž nepracuju v místě trvalého bydliště. Pas mám z roku 1999 a tenkrát mi ho bez problémů vyřídili v Praze, kde jsem bydlel a bydlím. Právě se dívám na stránky ministerstva vnitra a skutečně je potřeba žádat v místě trvalého pobytu, resp. v obci s rozšířenou působností (podobné to je u řidičáků, já svůj nemám od té doby, co mi jej ukradli, ze stejných důvodů)! Tohle je neuvěřitelné! Zajímalo by mě, kdo tyhle paskvily vymýšlí a schvaluje a proč to, co bylo rozumné a fungovalo, se zase zrušilo. Pokud by někdo měl zájem obrátit se na příslušné instituce s žádostí o nápravu, šel bych do toho taky. Je samozřejmě otázka, jestli jsou v současné době politici ochotni a schopni něco praktického vůbec řešit.

Viem si predstaviť, že všade tam, kde je treba overenie totožnosti, dotyčná osoba preukáže občianku s bio údajom, napr. otlačkom prstu, a inštitúcia - banka, polícia, notár ho prostredníctvom nejakého skenera porovná s držiteľom občianky. Nakoľko však ľudia sú podplatiteľný, nedá sa vylúčiť, že nejaký notár overí aj majiteľa falošnej občianky. Dalo by sa to čiastočne eliminovať aj otlačkom prsta k podpisu.

a preistotu skener ocnej rohovky, kontrola DNA a u chlapou preistotu i spermatu ;-)


pri kazdej takejto veci sa treba spitat kdo stoho ma osoh a mne tu vychadza: vyrobcovia chipou, velky brat.
A kdo nato doplati? slusni clovek.

Kdo je to Ivo Benda ?

Taky se vam zda, ze krome serialu o grafice je uz Root.cz jenom o par dni zpozdena, orezana a "prelozena" verze Slashdotu? Uz ani nevim, kdy jsem se tady naposledy dozvedel neco noveho...

Tak uz mame 2 clanky ktere na slashdotu nejsou... Nestalo by za to je rovnou psat anglicky a posilat tam? :)

Ctu Slashdot i Root. Root ma výhodu v tom, ze ty diskuze jsou kratsi a tim prehlednejsi. Diskutovat na Slashdotu je tak trochu jako lit vodu do more... kdo neni prvni nema sanci :-( Trochu mi to pripomina Novinky...

Na Novinkách jde podle mě spíš o to, že si někdo "nakliká" skriptem stovky hlasů a pak už je v pohodě. Diskutovat pod články v Novinkách a na iDnesu (i jinde) se stejně nedá, protože tam většina "diskutujících" jakýkoliv pokus o skutečnou diskusi obyčejně zlikviduje.

Ten Slashdot není až tak hrozný, je sice riziko, že váš příspěvek dostane nálepku "Redundant", ale rozumné příspěvky mají větší šanci vyniknout - pokud ovšem člověk postuje jako Anonymous Coward, má počáteční pozici výrazně ztíženou.

Hlavní výhoda Roota je, že je "hezký český" (a slovenský); nevím jak kdo, ale já se ještě pořád cítím lépe v českém jazykovém prostředí.

Nejde ani tak o to, ze root je v cestine. To je pro spoustu lidi vyhoda a to beru. "Problem" je v tom, ze spousta clanku a naprosta vetsina zpravicek je ze slashdotu proste prejata a pak pro me root prestava byt serverem ktery prinasi nove informace, ale ve vetsine pripadu jen preklada to, co napsali jini.

Jinak fakt ocenuju snahu autoru serialu o L-systemech a grafickych formatech...

jedna se o stejneho autora, ne autory :-) [pokud netrpi poruchou osobnosti]

Rád bych okomentoval pár nepřesností a omylů.
1. Tvrzení, že čip v e-pasu je značně podobný čipům používaným v obchodem na označování zboží či knížek, je opravdu značně odvážné. Ve skutečnosti mají společný pouze způsob přenosu informací pomocí RFID. Tím ale podobnost končí - zatímco čipy na zboží jsou jen tupé kusy křemíku, který když se dostanou do pole čtečky, okamžitě vysypou vše, co na nich je vypáleno, čipy v e-pasech jsou skutečné mikroprocesory s podporou asymetrické kryptografie, pamětí a s bezpečnostími certifikacemi na úrovni čipových platebních karet.
2. Autorizace přístupu do čipu a šifrování komunikace (tzv. Basic Access Control) je sice dle mezinárodních standarů ICAO volitelný způsob zabezpečení, ale pro evropské pasy je dle nařízení EU povinný.
3. Síla zabezpečení (entropie klíčů) je opravdu diskutabilní, útočník opravdu může při znalosti věci množinu údajů, které jsou potřeba pro určení klíčů, zůžit a pak vyzkoušet zbývající kombinace a prolomit ochranu hrubou silou. Síla zabezpečení je však úměrná informacím, které jsou tímto způsobem chráněny. V čipu jsou totiž uloženy stejné údaje, jako ve strojově čitelné zóně pasu, + fotografie v JPEG. Tyto údaje ale může získat i bez technického zařízení pro odposlech šifrované komunikace v bezprostřední blízkosti hraniční kontroly a následného lámání ochrany silou - kdekoliv, kde se pas předkládá ke kontrole - hranice, úřady, hotely, ... Stačí malý úplatek na správném místě a útočník zná vaší identitu i bez technických zařízení.
4. Od srpna 2006 se pořád dokola na různých webech objevuje ten blábol o klonování (kopírování) čipu e-pasu, který předvedl pan Lukas Grunwald kdesi v Las Vegas. V žádném článku si ale kupodivu nepřečtete, že na té uváděné prezentaci naklonoval svůj vlastní německý e-pas, který není proti klonování nijak chráněn. Chce se mi volat bravo, pane Grunwalde, jako zloděj jste se vloupal do domu, kde byly odemčené dveře!!! Jen to podtrhuje, jaký je p.Grunwald "odborník". Kdyby se o elektronické cestovní doklady zajímal o trochu déle, než 14 dní, jak sám v původním článku na wired.com píše, určitě by zjistil, že ochrana proti kopírování čipu e-pasu existuje, jmenuje se to Active Authentication, je založená na asymetrické kryptografii, podle mezinárovních standardů je volitelná, EU to nijak neupravuje, a Německo se rozhodlo ji neimplementovalo. Takže koho to má překvapit, že německé e-pasy jdou kopírovat 1:1, když ochranu proti kopírování nepoužívají? Odborníky opravdu ne. České e-pasy active authentication používají, takže české e-pasy kopírovat 1:1 nelze. S českým pasem by p.Grunwald neuspěl. Ale samozřejmě mi nemusíte věřit, nebyl jsem v Las Vegas :o))
Ještě bych doplnil, že je velký rozdíl data z čipu zkopírovat 1:1, a původní data změnit. Data uložená v čipu e-pasu jsou samozřejmě digitálně podepsaná certifikační autoritou, kterou si každý stát za tímto účelem zřídil, a k jejímž klíčům má přístup opravdu velmi omezený okruh osob, přece jen jde o bezpečnost občanů každého státu. Pokud si někdo zkopíruje německý pas, když to tak jednoduše jde, stejně v něm nemůže změnit ani jedinný údaj (ani foto), protože by poškodil digitální podpis. Takže i kopii může použít jen oprávněný německý občan.
Až se budou doplňovat do e-pasů otisky prstů, bude současně zaveden i nový způsob zabezpečení, tzv. Extended Access Control, který je založen na asymetrické kryptografii. Bude chránit citlivá data (otisky prstů), a každý stát si bude moct řídit, kterým státům dovolí tuto vysoce zabezpečenou oblast čipu s daty číst a kterým ne (v podstatě si budou státy muset navzájem podepsat certifikáty).
Státy, které právo přístupu přes EAC k otiskům mít nebudou, budou i tak moci číst základní údaje o držiteli - jméno, příjmení, datum narození, datum platnosti, ... buď ze strojově čitelné zóny, jak už to dělají cca 10 let, nebo nově pomocí RFID (přes Basic Access Control - viz výše téma entropie klíčů).

Neodpustim si poznamku ke Grunwaldovi. Nevim co mel, ci nemel v umyslu, kazdopadne nedemonstroval problem technologie jako celku (v sirsim slova smyslu tedy vcetne procesu), ale implementace, kterou si vybralo Nemecko.

Cestovni pas je proti kopirovani vybaven bezpecnostnimi prvky jako je napr. vodotisk, irisovy prechod, mikropismo atd. a zavadi se i RFID cipy. Fakt, ze z nemeckeho pasu mohu naklonovat RFID cip, tuto cast ochrany v podstate likviduje. Pak uz je to jen otazka shody podoby majitele s vlastnikem kopie.

heh, to je opravdu "nicotna" podminka :) staci vypadat jako majitel :)

Kdyz uvazite, do jake miry si jsou lide na pasovkach podobni, tak to v rade pripadu neprekonatelny problem neni.

No ono je toho třeba samozřejmě více: Když už pomineme naklonování RFID čipu, které je u e-pasů některých států možné snadno provést, jak již bylo popsáno výše, a také podobu s původním majitelem e-pasu, což taky asi není úplně jednoduché zajistit, bude asi největší problém padělat knížku e-pasu tak, aby byla k nerozeznání podobná jako originál - přece jen je to cenina stejně jako třeba bankovky, je použito rozličné množství bezpečnostních technik a prvků (některé byly také vyjmenovány výše), polotovar = prázdná polykarbonátová stránka s tím správným čipem a operačním systémem se také nedá na trhu volně sehnat, personalizace již dnes není tisk na papír, ale laserové gravírování, takže vhodnou mašinu vzhledem k ceně taky nemá každý druhý kutil doma v garáži atd. Těch problémů pro potenciální padělatele je spousta a RFID čip s daty digitálně podepsanými je jen jedním z prvků, které zvyšují celkovou bezpečnost proti padělání a zneužití.

no zo sprav v telke si spominam na minimalne 32 pripady ked obchodnik z bielym masom previedol babu na pas svojej manzelky/priatelky. takze to asi nebude az taky velky problem. (hlavne ked je teraz v mode si prefarbovat, vlasy, pobocie,... a to nepocitam drahsie veci ako plasticka chirurgia)

Aho, přesně to jsem měl na mysli. V médiích je ale bohužel jeho demonstrace klonování RFID čipu e-pasu v Las Vegas mylně prezentována jako všeobecný problém e-pasů, a to není pravda, týká se to pouze e-pasů několika málo států včetně Německa.

Jen pro úplnost. Ochrana e-pasu proti klonování (AA) nebyla u Německých pasů implementována z důvodu (možná trochu paradoxně) ochrany soukromí, protože mechanismus Active Authentication trpí zranitelností nazývanou challenge semantics. Za využití této zranitelnosti lze při kontrole pasu a provedení AA vygenerovat důkaz o přítomnosti daného pasu na konkrétním místě.

Německo se snaží dobu vydávání takto oslabených pasů zkrátit tím, že nasadí Extended AccessControl. V rámci nasazení Extended Access Control je rovněž jiná technika ochrany před klonováním, která netrpí výše uvedenou zranitelností.

Více o problematioce pasu z hlediska technologií najdete v říjnovém a listopadovém čísle CryptoWorldu ( http://www.cryptoworld.info/casop8/crypto10_06.pdf, http://www.cryptoworld.info/casop8/crypto11_06.pdf )

Souhlas, je to o diskusi, který důsledek je horší: Buď a) e-pasy bez AA, které jdou klonovat, nebo b) e-pasy s AA, které klonovat nejdou, ale zase je možné jednoznačně prokázat čtení e-pasu na daném zařízení. Osobně se domnívám, že větší zlo je možnost a), takže bych hlasoval pro e-pasy s AA.
EAC to řeší, to je taky pravda, takže Německo holt musí spěchat s implementací :o))

Mně by zajímalo, proč tam dávají RFID čipy, když mají komunikovat jen na vzdálenost 10cm? Proč tam nedají obyčejný čip přístupný přes kontakty, jako mají třeba telefonní karty --- tím by se problém se neoprávněným zjištěním identity vyřešil, protože by to mohla přečíst jen osoba, které dáme pas do ruky.

Prva rozumna otazka.
Pretoze RFID je v tejto dobe IN! Je to bezdratove a to je dneska uplna spicka, pretoze kable su len na obtiaz a nikto ich nechce!
To ze ma RFID obmedzene moznosti vdaka nedostatku napajania a este je aj odpocuvatelne, to vsetci s privretymi ocami akceptujeme, lebo RFID je proste IN, a nejaka kontaktna cipova karta sa s tym nemoze porovnavat, lebo je kontaktna a to tu uz bolo. Potrebujeme horucu novinku.
Som strasne rad, ze aspon banky beru bezpecnost vazne a nezacali vymienat "stare" cipove platobky za bezkontaktne. Kazdopadne, banky niesu statne institucie, takze trocha rozumu sa tam predsalen najde.

Tohle má bohužel v rukou Mezinárodní organizace pro civilní letectví (ICAO), která spravuje standardy pro strojově čitelné cestovní doklady. Je jasné, že je to z důvodu globální interoperability, aby si to každý stát nemohl udělat po svým. Standardy jsou tedy dány pro všechny a žádná lokální státní instituce to nemůže ovlivnit - pouze určité volitelné vlastnosti.

no banky to z bezpecnostou az tak vazne neberu skor je stary system rovnako dobry a navyse je LACNEJSI. to je hlavny ak nie jediny dovod preco tu stale mame magneticke karty a prat z kontaktnym chipom.

kontakty se osoupou, rezavi a hlavne taky koroduji, ne?

Co se stane se samopalem vzor 56, kdyz ho nechame na desti ?

Zrezne.

To taky. Ale hlavne koroduje, vy tupci !!!

Cerni baroni ruleZ.

zalezi jak sa osetria ;-)

Mate pravdu. Ale treba je to "investice" do budoucna... dnes na 10 cm, zitra na 100m a budeme mit o tech teroristech naprosto dokonaly prehled. ;))

10cm je obmedzenie pouzivanich citaciek ale pokial si vezmes smerovu antenu dobry predzosilovac, a smerovou antenou plus vyssim vykonom vybavys i vysielaciu cast tak precitas i na viac metrou ;-)

nejak jsem si vzpomel na mpfc a ministerstvo svihle chuze :D

Tjn, John Cleese by mel asi tezky potize pri vycestovani :D