Spodrsljaj varnostne agencije: 'Za kopijo česarkoli potrebujemo le fotografijo, 3D-tiskalnik in nekaj iznajdljivosti’

Na ameriških letališčih za varnost skrbi agencija Transportation security administration (TSA). Podjetja, ki izdelujejo ključavnice za prtljago, lahko izdelajo ključavnice po navodilih agencije, na ključavnicah pa je tako zapisano, da so potrjene s strani TSA. To naj bi za uporabnika pomenilo, da je ključavnica narejena po visokih varnostnih standardih. Hkrati pa agenciji, ki je lastnica glavnega ključa, ki odpira vse tovrstne ključavnice, omogoča, da v nujnih primerih na letališču z glavnim ključem odklene ključavnice in pregleda kovček.

Čeprav varnostna agencija, je TSA te dni sama prejela močno varnostno lekcijo. Namreč v dobi, ko je 3D tiskanje že zelo razširjeno, je precej nespametno svoje glavne ključe, ki odpirajo ključavnice, katerih uporabo priporočiš milijonom ljudi, fotografirati in objaviti v javnih medijih.

Če imate set ključev, ki lahko odklenejo ključavnice, za katere ste prosili milijone ljudi, naj jih uporabljajo zaradi večje varnosti, potem je najbrž precej nespametno njihovo fotografijo objaviti na spletu.

Skupina navdušencev nad varnostjo in vlomom v ključavnice je v sredo na spletni strani za deljenje kode in gradnjo programske opreme Github objavila zbirko CAD datotek. Te datoteke lahko uporabi kdorkoli in natisne natančno izmerjen set glavnih ključev za odpiranje s strani TSA potrjenih ključavnic. V nekaj urah od objave je vsaj en lastnik 3D tiskalnika na svoj računalnik naložil omenjene datoteke, enega izmed glavnih ključev pa natisnil in nato objavil posnetek, v katerem je pokazal, da odpre njegovo s strani TSA potrjeno ključavnico.

Prejšnji mesec je Washington Post v članku o "skrivnem življenju prtljage" na letališčih nenamerno objavil (in nato hitro zbrisal) fotografijo glavnih ključev. Fotografija je takoj zakrožila po spletu, in tako to, da so jo hitro zbrisali s svoje strani, ni več imelo nobenega vpliva, bilo je prepozno.

Fotografije so takoj uporabili za natančne meritve glavnih ključev. Natančne mere pa lastnikom 3D tiskalnika ali rezkalnega stroja omogočajo, da v nekaj minutah izdelajo svojo kopijo.

"Iskreno, nisem pričakoval, da bo delovalo, čeprav sem skušal biti čim bolj natančen. To sem storil za zabavo," je zapisal Xylitol, uporabnik Githuba, ki je objavil datoteke. Xylitol, ki naj bi bil iz Francije, ni želel razkriti svojega imena. "Toda če bo kdo pisal o tem, da moji 3D modeli delujejo, no, to bi bilo super in bi pokazalo, kako preprosta fotografija seta ključev lahko ogrozi celotni sistem," je povedal za Wired.

Čeprav je Xylitol opozoril, da sam ni preizkusil CAD datotek, je administrator večopravilnega večuporabniškega računalniškega operacijskega sistema Unix Bernard Bolduc le nekaj ur kasneje potrdil, da datoteke delujejo. Buldoc je povedal, da je v petih minutah natisnil enega izmed ključev na svojem 3D-tiskalniku, za to je uporabil poceni plastiko in takoj odprl eno izmed svojih s strani TSA potrjenih ključavnic za prtljago. "Delovalo je v prvem poskusu," je povedal za Wired.

Povedal je tudi, da ne ve, katere znamke je ključavnica za prtljago, ki jo je odprl, a ima na dnu zapis TSA. Nevarnost torej obstaja za več znamk, saj glavni ključi, katerih dimenzije so prišle v javnost, vključujejo tiste, ki odprejo vse s strani TSA odobrene ključavnice, ki so jih izdelala različna podjetja, kot so Master Lock, Samsonite in American Tourister.

Seveda nobeno od teh podjetij ni krivo, saj so le sledili navodilom izdelave, ki jih je izdala TSA. Glavno varnostno nepremišljena napaka so storili TSA in Washington Post, ki je na svoji spletni strani objavil fotografije.

Strokovnjaki za varnost že dolgo vedo, da je objavljanje fotografij pomembnih ključev nekaj, česar se ne počne. Raziskovalci namreč že vrsto let opozarjajo, da je za to, da nekdo naredi dvojnik ključa, dovolj že fotografija originala in to celo, če je ta fotografiran z razdalje kar 60 metrov.

Githubova objava datotek o tisku TSA ključev bi naj uporabnikom teh ključavnic dokazala, da jim le-te ne nudijo več prav veliko varnosti, je povedal eden izmed tistih, ki so dešifrirali fotografijo glavnih ključev.

"Živimo v času, ko za to, da naredimo kopijo skoraj česarkoli na svetu, potrebujemo le fotografijo, 3D-tiskalnik in nekaj iznajdljivosti," je dejal Shahab Sheikhzadeh, varnostni strokovnjak iz New Jerseya.

Blaze je še povedal, da ta nespametno objavljena fotografija kaže, kako hitro se lahko tehnični spodrsljaj sprevrže v resno grožnjo varnosti. Povedal je še, da bi TSA morala biti pametnejša in vedeti, da ne sme dovoliti fotografiranja glavnih ključev.