Tout d’abord il faut savoir que le contenu de la puce est signé par le certificat du pays, ou du ministère. Toujours. Donc non seulement le contenu de la puce n’est pas modifiable car la puce est verrouillée en écriture, mais en plus si le contenu était modifié, ça se verrait comme le nez au milieu de la figure. C’est ce qu’on appelle la passive authentication, ou chip authentication. Déjà rien que ça, on est tranquilles, non ?

Mais ces gens prétendent avoir cloné le contenu d’une puce. Ce n’est pas possible non plus. L’immense majorité des passeports électronique, ce qui inclut la totalité des passeports électroniques français, sont équipés d’un procédé qui s’appelle l’active authentication. C’est simplement un couple clé publique / clé privée, dont la clé publique est lisible en communiquant avec la puce, et dont la clé privée est dans une zone de mémoire inaccessible (absolument inaccessible, c’est certifié, ne cherchez pas). Quand on lit la puce, on lui envoie un challenge pour qu’elle démontre qu’elle possède la clé privée, sans pour autant la dévoiler. Donc si on clone la puce, il n’est pas possible de retrouver cette clé privée pour la cloner avec. Donc la puce clonée ne pourra pas passer le test active authentication.

Je vous passe les détails de la protection BAC qui bloque toute lecture sans ouvrir le passeport, et créé un canal de communication crypté entre le terminal et la puce, et la protection EAC supplémentaire pour les empreintes ou les iris (passeports biométriques).

Croyez-le ou non, vous êtes tranquilles.

Par défaut, la seul sécurité sur le passeport basique qu’ils se vantent d’avoir cassée, c’est la protection basique (BAC) qui en faite n’est là que pour s’assurer que personne ne puisse lire ton passeport sans l’avoir dans la main et crypter la communication pour que quelqu’un a proximité ne puisse intercepter tes informations pendant que ton passeport est lu dans la borne du douanier. La clé de cette sécurité est le code (dit MRZ) marqué sur ton passeport papier.

Là, il n’y a pas de challenge car il suffit de lire la norme pour savoir comment récupérer les données de la puce. Et le programme sur la capture d’écran est le programme officiel de test des passeports électroniques pour vérifier qu’ils fonctionnent bien! Ce programme est suffisant pour récupérer les données sur la carte!

La seule sécurité de la version actuelle est le douanier qui vérifie que les informations électroniques sont bien celles écrites sur la version papier. Les importants changement de la sécurité pour les prochaines versions du passeport, tiennent surtout à ce qu’on doit s’assurer que personne d’autre que l’Etat ne puisse lire les données biométriques confidentielles. Et comme elles ne sont pas imprimées, s’assurer de leur véracité.

Au passage, très bon blog

Et pour le problème de l’édition, je suis bien obligé de passer par konqueror pour visiter ton blog, car tu dois avoir une bannière en flash quelque part qui fait planter mon firefox sous ubuntu! Foutu plugin flash officiel!

Le passé nous a montré que RIEN n’arrête un pirate informatique, chaque innovation en DRM fut brisé en l’espace de quelques semaines…etc etc…

A chaque innovation apparaissent de nouvelles technique, de plus en plus complexe certes mais que nos bons amis développer vont s’efforcer de rendre accessible au public…

Bref : RIEN n’est INVIOLABLE et rien ne le sera JAMAIS…

Il faut lire la description du soft sur leur site pour bien comprendre :
‘ THC is proud to release a video and a tool to backup data from the ePassport. The tool also allows you to create a clone of the ePassport chip. ‘

Pour ton souci avec Konqueror, je n’en sais rien, je jetterai un coup d’oeil.

Merci Flo d’avoir pris le temps de nous expliquer comment fonctionnait un passeport électronique

Les informations modifiables là, sont celles qui sont imprimées sur le passport dont ta photo, donc à part tomber sur un douanier aveugle qui ne lirait pas ton passport papier tu iras pas loin, a moins que tu sache falsifier un passport papier?…

En plus, ceci n’est qu’une étape, les passports qui vont arriver très bientot contiendront ton empreinte digitale et peut etre même la photo de ton iris plus tard… et autant l’accès confidentiel a ces données que l’authentification de ton passport reposeront sur du cryptage et des certificats de securité. (meme systeme que pour les sites en https en gros!).

Et là, le groupe de pirate qui pourras se vanter d’avoir falsifié un passport électronique pourra etre très fier!

Donc en gros, tu vois ta capture d’écran? Tant que ces script kiddies ne sont pas capable de faire s’illuminer l’étoile EAC et les autres, et pas seulement celle BAC (Basic Access Control), ils se foutent de toi en se faisant mediatiser!

Pour revenir au sujet : Je ne sais pas pourquoi les autorités veulent à tout prix passer par des systèmes informatisés pour sécuriser des données : Tout ce qui peut être créé en informatique peut aussi être démonté… Il faut rester au papier, couteux à falsifier (billet de banque etc etc)

Kanor, j’aime bien ton idée ! Ca serait effectivement un beau bordel…Comme une EMB mais en plus ciblée…

Je vois bien le principe de petit « bombe » qui remplace efface … toutes les puce rfid à sa porté

Tu prend le code barre d’un canard wc et tu te débrouille pour qu’elle aille sur le code barre d’origine mais attention, si vous avez pour 20 euros de papier toilette et que sur la caisse il y a 1 pc portable, une ps3 et quelque jeux la caissière pourrais s’en rendre compte

@Sedlex: inclonables :… comme ça quand tu perdsta carte, il peuvent pas la refaire, c’est la fête…

[quote]Les prix vont sérieusement baisser pour certains petits malins.[/quote]
Intéressant ^^

Mais ils étaient sous perfusion quand ils ont voté ça ?