Симеон Гарфинкель - Все под контролем - Кто и как следит за тобой

Смарт-карта, вроде изображенной на рисунке карты фирмы Gemplus, представляет собой обычную пластиковую карту с размещенным на ней тонким микрочипом. Чип может включать в себя микропроцессор и несколько килобайт памяти. Самое популярное применение смарт-карт – «электронные кошельки», когда карта используется в качестве носителя электронной наличности. Смарт-карта может быть использована и в качестве носимого банка данных, причем владелец карты не может модифицировать находящуюся на карте информацию. В приведенном примере смарт-карта используется в качестве идентификатора, содержащего оцифрованную фотографию владельца и, возможно, отпечатки пальцев. Пограничник сравнивает лицо стоящей перед ним женщины с ее фотографией, считанной со смарт-карты. Поскольку изменить записанное в карту фотоизображение гораздо сложнее, чем переклеить обычную фотографию на документе, разработчики считают такую технологию более безопасной. Хотя эта технология считается сегодня наиболее безопасной, это значит лишь, что создателей поддельной карты ждет более высокое вознаграждение. В конечном счете смарт-карта будущего окажется не более защищенной, чем кредитные карты сегодня. [Фотографии любезно предоставлены фирмой Gemplus]

Уже сегодня крупнейшая служба доставки United Parcel Service (UPS) является также и крупнейшим биометрическим пиратом. При доставке большинства отправлений UPS требует, чтобы получатель расписался в качестве подтверждения получения. В 1987 году UPS начала оцифровывать изображения подписей получателей и хранить их в базе данных. Изображение могло быть отослано по факсу любому, кто позвонил в UPS по номеру 800 и запросил уведомление о вручении отправления. В 1990 году UPS усовершенствовала свою пиратскую технологию, оснастив своих курьеров портативными компьютерами, названными «устройствами для сбора информации о доставке» – DIAD [Delivery Information Acquisition Device]. Каждый компьютер оснащался встроенным считывателем штрих-кодов и специальным планшетом для подписи. Доставив отправление, курьер считывает штрих-код и предлагает получателю расписаться на планшете. Эти данные записываются в память DIAD, после чего, конечно, попадают в базы данных UPS.

Когда я обратился в компанию с жалобой на такую практику, пресс-секретарь UPS Пэт Стифен [Pat Steffen] объяснила мне, что инициатива сделать подписи доступными в электронном виде исходила от клиентов UPS. Подписи рассматривались как подтверждение доставки. Оцифровка этого подтверждения позволяла UPS работать с ними, как и с любыми другими цифровыми данными. Отправка по факсу сертификатов с подтверждением о доставке осуществляется компьютерами UPS автоматически, объяснила мне Стифен. Клиентам UPS также предоставляется возможность получить специальное программное обеспечение для отслеживания доставки и просматривать подписи непосредственно на своем персональном компьютере. [54]

Самое забавное, что, сделав оцифрованную собственноручную подпись клиента широко доступной, UPS тем самым принизила ее значимость. Как только подпись оцифровывается, ею очень легко манипулировать с помощью компьютера, например поставить ее под контрактом. Система UPS особенно уязвима: вы можете отслеживать доставку отправлений, зная номера накладных, которые присваиваются последовательно, например «0930 8 164 904», «0930 8 164 913», «0930 8 164 922». Зная номер выданной в UPS квитанции, злоумышленник может использовать эту информацию для составления полного списка получателей отправлений и присвоить копию подписи каждого получателя.

UPS понимает уязвимость своей системы, но не предпринимает серьезных действий по ее ликвидации. На web-сайте компании можно увидеть замечание следующего содержания:

UPS предоставляет вам возможность использовать систему отслеживания доставки только с целью контроля ваших отправлений. Любое другое использование системы отслеживания и информации из нее строго запрещено.

Говоря по правде, UPS не делает практически ничего для противодействия атакам криминального характера. «Если кто-то захочет узнать номера отправлений, он сможет это сделать. Если кто-то захочет сделать что-то еще, я думаю, что это ему тоже удастся. И этому сложно противостоять», – говорит Стифен. Но подобрать номер было бы сложнее, если бы UPS использовала более длинные числа для номеров накладных и не назначала их предсказуемым образом.