Green Pass: tra errori di progettazione e certificati venduti nel dark web.

Redazione RHC : 29 Luglio 2021 09:01

Il certificato di vaccinazione digitale è disponibile e valido in tutta l’UE. Ma ci sono alcune lacune di sicurezza, in quanto sviluppato a tempo record e sotto un’enorme pressione per renderlo disponibile entro l’estate, il periodo dell’ondata dei viaggi estivi.

Tuttavia, gli esperti di sicurezza informatica di GData Cyber ​​Defense, che hanno esaminato più da vicino il certificato di vaccinazione digitale europeo, hanno scoperto una serie di problemi che possono portare a delle falsificazioni apparentemente possibili.

Le vulnerabilità del green pass

Thomas Siebert, responsabile delle tecnologie di protezione presso l’azienda di sicurezza informatica con sede a Bochum, lamenta che ciò non sia dovuto alla mancanza di possibilità tecniche, ma piuttosto all’implementazione, il quale ha detto:

“Essere in grado di presentare una soluzione rapida prima dell’inizio delle festività natalizie era ovviamente più importante di una soluzione sicura fin dall’inizio”.

Secondo Tim Berghoff, Security Evangelist presso GData, l’elenco delle vulnerabilità inizia con il trasferimento dei dati dal libretto di vaccinazione.

“Questo certificato di vaccinazione digitale non contiene il numero del lotto del principio vaccino, dove è stata effettuata la vaccinazione o chi ha effettuato la vaccinazione”.

Inoltre, quando il certificato di vaccinazione viene redatto in una farmacia o in uno studio medico, non viene verificata la correttezza delle voci. Ad esempio, il team di GData ha trovato una data di vaccinazione sbagliata per il secondo appuntamento in un certificato di vaccinazione digitale di una farmacia. La data della prima vaccinazione è stata inserita una seconda volta senza alcun problema.

Ma invece di un messaggio di errore, il computer ha fornito un OK senza obiezioni. Per inciso, come emittente del certificato di vaccinazione viene sempre indicato il Robert Koch Institute (nel caso dell’Italia dal Ministero della Salute), e non la farmacia o lo studio medico che ha effettivamente rilasciato il certificato di vaccinazione.

Secondo Thomas Siebert, un’altra carenza è che la firma digitale rimane incontrollata.

Il test di sicurezza è stato in grado di:

“Abbiamo portato la pandemia di coronavirus al 19° secolo e fornito un falso certificato di vaccinazione digitale per una persona nata nel 1843, anno di nascita di Robert Koch.”

Secondo questo, la vaccinazione di questo medico (non del tutto sconosciuto e premio Nobel Robert Koch) sarebbe avvenuta durante la sua vita nel secolo 1800. Ma, riassume Siebert,

“l’app ha accettato questo certificato di vaccinazione senza lamentarsi”

Soprattutto come vaccinazione completa, nonostante un tempo di attesa minimo richiesto di due settimane dopo l’ultima vaccinazione.

“Con il nostro certificato di vaccinazione, il periodo di attesa è scaduto da ben 130 anni”.

Dal punto di vista di Tim Berghoff, il punto debole più evidente è la funzione di visualizzazione della prova digitale della vaccinazione nell’app, perché la firma digitale sotto tale certificato non è controllata.

Ciò significa, secondo Berghoff,

“Posso anche includere un certificato di fantasia nell’app di avviso Corona, il quale viene visualizzato”.

L’APP Corona, come sappiamo è l’APP tedesca di tracciamento che visualizza il green pass.

Intanto nel dark web

Come sappiamo, il crimine informatico è molto attento alle novità, e visto quanto riportato sopra, si è subito messo in moto per poter creare dei green pass a dei prezzi convenienti, oltre che ad una infinità di truffe.

Sui social network stanno spuntando gruppi segreti che propongono il rilascio di Green pass contraffatti, e sul dark web vi sarebbe un vero e proprio mercato di certificati falsificati, venduti ad un prezzo che va dai 100 ai 500 euro.

A chi è disposto a pagare (e solo con metodi non tracciabili come cryptovalute e buoni acquisto) viene assicurato il rilascio di un Qr Code in versione digitale o cartacea, che garantirà la possibilità di viaggiare o accedere a locali pubblici anche in assenza di vaccinazione e tampone.

Ma ovviamente si tratta di truffe. O meglio: la truffa potrebbe anche essere stata orchestrata meglio. Infatti se chi l’ha organizzata (a questo punto parliamo di gruppi diversi) sono entrati in possesso di green pass autentici, potrebbero clonarli. In quel caso la faccenda si fa seria in quanto il reato contestato diventa anche più grave.

Fonti

https://ehealth.vyncke.org/

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.