Fransk sikkerhetsforsker beskriver større feil i mAadhaar-appen

Aadhaar skulle alltid være et personvernmareritt i de beste tilfellene, men nylige rapporter om alvorlige datainnbrudd og den påfølgende Tribune-etterforskningen har vist hvor enkelt det er for tilfeldige mennesker å få tilgang til Aadhaar-data så lave som Rs. 500. Den verste delen er at i stedet for å eie opp, gikk regjeringen i skjulemodus og benektet at bruddet til og med skjedde, selv da mannen bak det innrømmet å ha solgt Aadhaar-data for peanøtter.

Nå er det kontroversielle identifikasjonssystemet igjen under skudd, denne gangen takket være en etterforskning av en kjent fransk sikkerhetsforsker Baptiste Robert aka Elliot Anderson, som sier at den nylig utgitte mAadhaar-appen har store sikkerhetsproblemer som gjør det “Superenkelt å få passordet til den lokale databasen”.

Anderson, for de uinnvidde, er den samme mannen som rapporterte tilstedeværelsen av EngineerMode APK i OnePlus 'OxygenOS, noe som førte til alvorlig kontrovers og tilbakeslag mot selskapet.

Ifølge Anderson lagrer Aadhaar-appen alle de biometriske detaljene i en lokal database som er beskyttet av et passord. Selv om det i seg selv er vanlig praksis, er det faktum at apputviklerne (KhoslaLabs) genererer passordet ved hjelp av et tilfeldig tall med 123456789 som frø og en hardkodet streng db_password_123, det som nå hever hacklingene til personvernforesatte. I følge et proof-of-concept utgitt av Anderson på Github, forblir det genererte passordet alltid det samme, uansett hvor viktig det er å starte applikasjonen.

#Aadhaar #android-appen lagrer de biometriske innstillingene dine i en lokal database som er beskyttet med et passord. For å generere passordet brukte de et tilfeldig nummer med 123456789 som seed og en hardkodet streng db_password_123 pic️ pic.twitter.com/Ty7cPmOjAb

- Elliot Alderson (@ fs0c131y) 10. januar 2018

I følge Anderson svarte UIDAI på ham og sa at appen lagrer data på selve enheten, men det var aldri stridspunktet. Tingene er, fordi appen ikke genererer et tilfeldig passord hver gang, hvis du mister telefonen din, vil fyren som har kontroll over den få tilgang til alle detaljene dine, selv om du er teknisk logget ut av appen .