Französischer Sicherheitsforscher Details Großer Fehler in der mAadhaar App

Aadhaar war im besten Fall immer ein Albtraum für die Privatsphäre, aber jüngste Berichte über schwerwiegende Datenverletzungen und die anschließende Untersuchung der Tribune haben gezeigt, wie einfach es für zufällige Personen ist, für nur Rs auf Aadhaar-Daten zuzugreifen. 500. Das Schlimmste ist, dass die Regierung, anstatt zu besitzen, in den Vertuschungsmodus überging und bestritt, dass der Verstoß sogar stattgefunden hat, obwohl der Mann dahinter zugab, Aadhaar-Daten für Erdnüsse verkauft zu haben.

Jetzt steht das umstrittene Identifikationssystem erneut unter Beschuss, diesmal dank einer Untersuchung des bekannten französischen Sicherheitsforschers Baptiste Robert alias Elliot Anderson, der sagt, dass die kürzlich veröffentlichte mAadhaar-App große Sicherheitsprobleme aufweist, die sie ausmachen "Super einfach, das Passwort für die lokale Datenbank zu bekommen".

Anderson ist für den Uneingeweihten derselbe Mann, der die Anwesenheit des EngineerMode APK in OnePlus 'OxygenOS gemeldet hat, was zu heftigen Kontroversen und Gegenreaktionen gegen das Unternehmen geführt hat.

Laut Anderson speichert die Aadhaar-App alle biometrischen Details in einer lokalen Datenbank, die durch ein Passwort geschützt ist. Während dies an sich gängige Praxis ist, ist die Tatsache, dass die App-Entwickler (KhoslaLabs) das Passwort unter Verwendung einer Zufallszahl mit 123456789 als Startwert und einer fest codierten Zeichenfolge db_password_123 generieren, das, was die Befürworter der Privatsphäre jetzt in Aufruhr versetzt. Laut einem von Anderson auf Github veröffentlichten Proof-of-Concept bleibt das generierte Passwort immer das gleiche, egal wie oft die Anwendung gestartet werden soll.

Die #Aadhaar # android App speichert Ihre biometrischen Einstellungen in einer lokalen Datenbank, die mit einem Passwort geschützt ist. Um das Passwort zu generieren, verwendeten sie eine Zufallszahl mit 123456789 als Startwert und eine fest codierte Zeichenfolge. Db_password_123 ️♂️ pic.twitter.com/Ty7cPmOjAb

- Elliot Alderson (@ fs0c131y) 10. Januar 2018

Laut Anderson antwortete UIDAI ihm, dass die App Daten auf dem Gerät selbst speichere, aber das war nie der Streitpunkt. Die Sache ist, weil die App nicht jedes Mal ein zufälliges Passwort generiert, wenn Sie Ihr Telefon verlieren, hat der Verantwortliche Zugriff auf alle Ihre Daten, obwohl Sie technisch von der App abgemeldet sind .