Green Pass falsi in Italia riescono a passare i controlli ma sono intestati ad Adolf Hitler. Come mai?

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/web/gr...ai_101937.html

Da ieri notte circolano su alcuni forum almeno due green pass COVID-19 falsificati, ma che vengono perfettamente validati dalle applicazioni di verifica. Queste certificazioni verdi sono entrambe molto particolari perché sono state intestate ad Adolf Hitler. Quello che ci si chiede è se c'è effettivamente una falla nel sistema che permette a monte di creare falsi Green Pass per chiunque validi.

Click sul link per visualizzare la notizia.

[Ginopilot]

Ancora piu' imbecilli quelli che pagano per un certificato di questo genere.

[Gringo [ITF]]

dai dai... basta passare le certificazioni su NFT, così facciamo contenti tutti.

[Opteranium]

spero sia la prima ipotesi, se fosse bucato il sistema delle chiavi.. ciao..

[ulukaii]

Dev'essere omonimia perché l'Hitler "originale" è del '89

Anyway, l'app ha ricevuto un update ieri, in serata. Se si scansiona ora il QR viene identificato come non valido.

[marcram]

Presumo che le chiavi siano diverse per ogni ente certificatore, in questo caso non capisco quanto ci voglia a risalire a chi ha rilasciato quel certificato.
Poi, annulli tutti i certificati creati con quella chiave, crei una nuova chiave e rifirmi i certificati validi...

[ulukaii]

E' probabilmente quanto è stato fatto, dato che quel certificato ora risulta non valido.

PS: e forse s'è già beccata pure la fonte > Hackers arrested for 'infiltrating' Ukraine’s health database

[Saturn]

Qua c'è un Adolf Hitler nato nel 1930.

Green pass ancora valido...

Testato ora puntando C19 sullo schermo...

[grizzo94]

Originariamente inviato da marcram

Presumo che le chiavi siano diverse per ogni ente certificatore, in questo caso non capisco quanto ci voglia a risalire a chi ha rilasciato quel certificato.
Poi, annulli tutti i certificati creati con quella chiave, crei una nuova chiave e rifirmi i certificati validi...

Chiaro, specialmente in questo caso specifico ed eclatante.

Peró metti caso che il sistema delle chiavi sia stato effettivamente "bucato", come si fará in futuro a capire se il Pass di un cittadino comune é genuino o comprato da qualche parte?
Puó passare molto tempo prima che qualcuno se ne accorga.

[marcram]

Originariamente inviato da grizzo94

Chiaro, specialmente in questo caso specifico ed eclatante.

Peró metti caso che il sistema delle chiavi sia stato effettivamente "bucato", come si fará in futuro a capire se il Pass di un cittadino comune é genuino o comprato da qualche parte?
Puó passare molto tempo prima che qualcuno se ne accorga.

"Sistema delle chiavi", bisogna vedere cosa vuol dire.
O buchi l'algoritmo di crittografia, cosa alquanto improbabile, e in quel caso cambi algoritmo.
O c'è un passaggio "umano" delle chiavi, molto più probabile, nel qual caso devi individuare il colpevole e/o bannare l'ente certificatore.
Oppure buchi l'app di verifica, ma in quel caso ne buchi una sola, non tutte...

[Saturn]

Originariamente inviato da Svelgen

Praticamente, puoi farne uno anche con su scritto: W LA FIGA!
Immagino poi a farlo scansionare alla tipa della pasticceria dove di solito faccio colazione...

Il famoso Gustavo LaFiga.

Riposi in pace.

Non ci credevano in amministrazione che fosse vero...!

Le ho fatte provare con C19 a scansionare la pagina con quello del giovane Hitler e sono rimaste di sasso !

[biometallo]

Ma ora che salta fuori che anche zio Adolf si è vaccinato quelli di Forza Nuova saranno ancora contrari?

[cronos1990]

Dacchè mi risulti, l'App per la verifica del Green-Pass si limita a verificare che sia valido, e non si possono creare registri o tenere traccia di tali controlli.

Per cui non c'è nessun sistema da "bucare", semplicemente nel momento in cui trovi il modo di generare un QR-Code che è considerato valido per l'App, tutto il resto sono discorsi da Bar. L'unico problema può sorgere nel caso la verifica sia fatta di persona e in un luogo in cui il controllore conosce il controllato... come all'ingresso di un posto di lavoro (al di là di "impiegati confacenti").
Al limite facendo un controllo con un documento di riconoscimento... cosa che NON è richiesta e non credo neanche lecita.

[ EDIT ]
Leggendo QUI scopro or ora che i dati personali del QR-Code non sono neanche criptati

[marcram]

Originariamente inviato da cronos1990

Dacchè mi risulti, l'App per la verifica del Green-Pass si limita a verificare che sia valido, e non si possono creare registri o tenere traccia di tali controlli.

Per cui non c'è nessun sistema da "bucare", semplicemente nel momento in cui trovi il modo di generare un QR-Code che è considerato valido per l'App, tutto il resto sono discorsi da Bar. L'unico problema può sorgere nel caso la verifica sia fatta di persona e in un luogo in cui il controllore conosce il controllato... come all'ingresso di un posto di lavoro (al di là di "impiegati confacenti").
Al limite facendo un controllo con un documento di riconoscimento... cosa che NON è richiesta e non credo neanche lecita.

[ EDIT ]
Leggendo QUI scopro or ora che i dati personali del QR-Code non sono neanche criptati

Sì, ma è un'app che esegue dei compiti.
Dal momento che scarica le chiavi pubbliche, al momento che fotografa il QR, lo decifra, lo decritta, e ti restituisce che è valido, ci sono vari passaggi che potrebbero essere soggetti a falle. Ma come già detto, sarebbe comunque relativo alla singola app di verifica.

Qui, essendo valido su app diverse, il problema può essere solo in due punti: o sono riusciti a bucare l'algoritmo crittografico (cosa molto improbabile), oppure il certificato è effettivamente valido, creato con una chiave privata valida usata illecitamente.
Non mi sembra ci siano altre possibilità.

[Unrue]

La soluzione più semplice è anche quella corretta, Adolf Hitler è ancora vivo e si è vaccinato

[cruelboy]

Originariamente inviato da Unrue

La soluzione più semplice è anche quella corretta, Adolf Hitler è ancora vivo e si è vaccinato

Perfettamente d'accordo con te!
Ora bisogna capire se in Francia ci vive, o era solo di passaggio e s'è vaccinato li. Magari era in vacanza?

[alien321]

Il green pass non è altro che un JSON encodato in BASE64,
nel JSON sono contenute un bel po di informazioni ma quello che importa è una voce, non mi ricordo come si chiama sono passati mesi da quanto lo avevo studiato.

In pratica in questa voce c'è il certificato vero e proprio, non ho indagato molto ma in pratica è il classico concetto dei certificati, come SSL, TSL SSH ecc.

Revocare un certificato è relativamente facile, ma prima devi sapere che è effettivamente falso, il che è banale se lo chiami Adolf Hitler e lo pubblichi su mezza internet.

Un po più complesso se lo chiami Mario Verdi o se lo fai con il tuo vero nome.

Detto questo è abbastanza palese che le chiave private, e non credo c'è ne siano tante che girano, siano state trafugate, almeno una ma probabilmente tutte.

In questo ultimo caso l'unica soluzione è revocare tutti i certificati fatti con questa/e chiave/i il che si traduce nel rifare il green pass per qualche milione di persone, capirete che è un grosso problema se viene confermato.

[randorama]

Originariamente inviato da biometallo

Ma ora che salta fuori che anche zio Adolf si è vaccinato quelli di Forza Nuova saranno ancora contrari?

post della settimana....

[Ginopilot]

Originariamente inviato da Unrue

La soluzione più semplice è anche quella corretta, Adolf Hitler è ancora vivo e si è vaccinato

Quindi ormai ha i giorni contati

[RiccioGatto]

Con l'ultimo aggiornamento delle 15.01 versione 1.1.5 il Green Pass di Adolfo da errore!