Re: [INFAUX] Passeports RFiD

[Florent Viard <fviard AT isep.fr>]

Bah en faite non plus pour voler ceux de l'état, parce qu'en réalité on 
utilise une cascade de certificats, en gros l'etat dans son bunker creer 
les certificats et signe les passeports, ok pas de problème.

Mais de l'autre coté, il n'y a pas un certificat unique avec une clé 
pour l'état qui serait stocké dans les lecteurs de passeports. En gros 
la clé de l'etat est stockée en lieu sur et utilisée pour signer 
plusieurs certificats a durer de vie limitée, comme par exemple pour les 
services de police/aeroport/ qui est gardé en lieu sûr, puis ceux ci 
signent des certificats d'une durée de vie beaucoup plus limitée, qu'on 
va distribuer à un echelon plus bas, et ainsi de suite, pour avoir par 
exemple une petite autorité (genre le poste de police) qui signe tous 
les matins le certificat d'une borne lecteur de passeport pour une 
journée de validité. Etc ...
Et donc, le lecteur de passeport, vérifie dans l'ordre la chaine des 
certificats fournie par le lecteur de passeport et verifie que le 
lecteur de passeport est capable de crypter/decrypter un message qui l'a 
été avec la clé publique de son propre certificat, pour s'assurer que 
c'est bien lui et qu'il est bien autorisé à y acceder.

Donc si tu peux obtenir un certificat te permettant d'acceder aux 
passeports, ca ne peut qu'etre un a peu de validité si on imagine que 
c'est possible et donc tu ne pourras pas acceder aux passeport longtemps.

Jean-Paul Chiron a écrit :
> 2009/2/17 Florent Viard <fviard AT isep.fr <mailto:fviard AT isep.fr>>
>
>     Réponses dans l'ordre:
>     ...
>
>         <idée à la noix>
>         Dans le cadre de démonstration pour le grand public, ça ne
>         devrait pas pas trop dur de dévelloper une machine que l'on
>         mets dans un endroit ou il y a beaucoup de passage, avec un bo
>         haut-parleur, qui gueule un truc du genre  "machin je sais
>         tout sur vous, vous ête né le .., etc..."
>         </idée>
>
>     Bah justement non, encore une fois parce qu'il faudrait froler la
>     machine et surtout parce que la machine n'a aucun moyen d'acceder
>     toute seule aux données si on ne lui fournit pas le passeport.
>
> Ok, je n'avais pas compris dans ton message que " les données de bases 
> sont accessible", c'est juste le fait de savoir qu'on a une RFID qui 
> traine dans le coin. Ensuite le protocole pour répurer les données 
> implique que connaître les certificats/données de l'état.
> Pour ce qui de l'aspect froler, ce n'est qu'une question de puissance 
> du lecteur, non ?
>  
>
>
>
>         Si l'objectif est de contrer les terroristes, je crois pas que
>         ce soit vraiment efficace, il doit y avoir possibilité de
>         faire "assez facilement" de l'ingenierie sociale pour un
>         groupe suffisamment bien organisé...
>
>     ? ingénierie sociale? le code imprimé permet juste de proteger la
>     lecture du passport, mais toutes les données sont signées avec les
>     certificats/clés de l'etat pour verifier l'integrité et
>     l'originalité des documents.
>
> Je pensais à l'ingénierie sociale pour récupérer les certificats/clés 
> de l'état. Il y a beaucoup de monde dans l'état...
>  
>
>
>         Cela représente quand même un "proof of concept", non ?
>
>     Bah non, si je te dis que je peux acceder et faire demarrer une
>     voiture, et que je te dit que la technique dont je te parle est
>     celle relative au crochetage d'un cadenas de velo, est ce que tu
>     vas en deduire que l'on peut voler les voitures?
>
> ok, je suis donc loin d'avoir tout compris sur les RFID...
>
>
> a+.
> --
> Jean Paul Chiron
> Membre de l'ABUL
>
>
> Click here 
> <https://www.mailcontrol.com/sr/5aWfGePzdsTTndxI%21oX7UiDcb1PUJEr5vjjP4ORcywvVsfNMeXyamelHBXNUg39xgQEq37kqDPRca1YcpG8Zdg==> 
> to report this email as spam.