У ЄС створили COVID-паспорти для Гітлера та Міккі Мауса, влада розслідує витік ключів

Влада Європейського союзу розслідує витік електронних ключів шифрування, необхідних для створення паспортів про вакцинацію проти COVID-19. Про це повідомляє видання Bleeping Computer.

Днями користувачі мережі виявили підроблені сертифікати виписані на імена Міккі Мауса, Губки Боба та Адольфа Гітлера, які опублікували у кількох месенджерах та на онлайн-майданчиках. Всі вони розпізнавались офіційним урядовим програмним забезпеченням як дійсні, зокрема, додатком Verifica C19.

"Існує ймовірність того, що база даних закритих ключів скомпрометована, і це може знищити довіру до архітектури Green Pass", — заявив користувач GitHub Емануель Лафас.

Пізніше моніторинговий сервіс reversebrain повідомив, що згадані фальшиві COVID-паспорти більше не розпізнаються додатком Verifica C19, найімовірніше, закритий ключ змінили. Однак, як виявив BleepingComputer, версії програми 1.1.5 для Android та iOS все ще визнають дійсним QR-код із сертифікатів на ім'я Адольфа Гітлера та різних вигаданих персонажів. При цьому деякі користувачі публікують закриті ключі на форумах хакерів, обговорюють підробку "зелених перепусток" і продають готові паспорти за $300.

У Євросоюзі власники "зелених перепусток" (Green Pass) можуть вільно перетинати державні кордони за наявності щеплення чи негативного тесту на коронавірус. Для його створення використовують систему EU Digital Covid, де зберігаються медичні дані, а сертифікати захищають цифровим підписом, зашифрованим у QR-коді. Доступ до ключа дозволяє зловмисникам створювати фальшиві цифрові документи, які не відрізнити від справжніх навіть за QR-кодом.

Згідно з урядовими документами, кожна уповноважена установа має власний ключ для цифрового підпису, наприклад лікарні. Вони зберігаються у захищених базах даних, які запустила кожна країна Євросоюзу. Bleeping Computer пише, що виявив фальшиві сертифікати з QR-кодами, створеними у різних країнах: Франції, Німеччині, Італії, Нідерландах, Північній Македонії, Польщі та інших.

Це ставить під сумнів справжність навіть справжніх сертифікатів, виданих офіційними органами. Відкликавши ключ, влада анулює як підроблені, так і законні паспорти — у такому разі власникам "зелених перепусток" доведеться отримувати їх заново.

"Нам відомо про ймовірні шахрайські маніпуляції з QR-кодом сертифікату ЄС Covid, і ми ознайомилися зі звітами. Ми уважно стежимо за розвитком цього інциденту і знаходимося в контакті з відповідною владою держав-членів, які розслідують і вживають заходів щодо виправлення становища", прокоментував BleepingComputer представник ЄС та заявив, що інцидент не вплинув на безпеку системи Gateway.

Gateway – це інструмент, який дозволяє прикордонникам із різних держав перевіряти COVID-сертифікати іноземців. Як повідомляла прес-служба МОЗ, у серпні Україна приєдналася до цієї міжнародної системи, завдяки чому європейці визнали паспорти та QR-коди у додатку "Дія". Поки що невідомо, чи були "злиті" українські ключі для їхнього створення.

Раніше Фокус писав про те, які бувають COVID-сертифікати та як їх можна отримати. Документи розроблено за стандартами ВООЗ на основі Digital Green Certificate Єврокомісії.

Повідомляли також, що з жовтня в Ізраїлі для отримання COVID-паспорта потребують три дози вакцини. При цьому уряд анулював паспорти понад мільйон громадян.