Aadhaar System Hacked Again Patch sendo vendido por Rs 2.500 em grupos do WhatsApp

No início deste ano, em maio, surgiram relatos de que uma versão adulterada do software de inscrição Aadhaar da UIDAI, que contornava os recursos de segurança do software original e permitia que qualquer pessoa não autorizada criasse um número Aadhaar, estava sendo vendida online. A UIDAI negou rapidamente os relatórios, mas uma investigação recente e aprofundada revelou que a UIDAI 'super-seguro' O software de inscrição Aadhaar foi hackeado e um patch que permite o hack está sendo vendido por apenas Rs. 2.500.

Uma investigação de 3 meses conduzida por Huffington Post Índia descobriu a existência de um patch que desativa todos os recursos críticos de segurança do sistema oficial de inscrição Aadhaar da UIDAI e permite que qualquer pessoa crie um número Aadhaar, de qualquer lugar do mundo.

O patch foi avaliado por 3 especialistas em segurança de software internacionais e dois indianos, que confirmaram que ele funciona e o perigo que representa. O patch supera o protocolo de autenticação biométrica do software de inscrição Aadhaar - chamado Enrollment Client Multi-Platform - e também reduz a precisão do sistema de reconhecimento de íris, tornando mais fácil falsificar o software com uma impressão de uma íris, em vez de Verificação 3D, permitindo que qualquer pessoa que não seja um operador de inscrição Aadhaar certificado adicione novos membros.

Conforme declarado no relatório original meses atrás, ele também desativa o recurso de GPS obrigatório do software para rastrear o paradeiro de um centro de inscrição Aadhaar, tornando possível criar uma ID Aadhaar de qualquer lugar do mundo. Curiosamente, o patch foi criado usando código de compilações mais antigas do software de inscrição UIDAI que tinha várias falhas de segurança e, de acordo com o último relatório, está sendo amplamente usado em todo o país.

Os especialistas em segurança que analisaram o patch revelaram que usar o patch é tão simples quanto instalar qualquer software e, em seguida, copiar e colar pastas para quebrar o sistema de inscrição Aadhaar.

Gustaf Björksten, tecnólogo-chefe da Access Now, um grupo de defesa e política de tecnologia global, e um dos especialistas consultados pelo Huffington Post para a investigação, disse que Aadhaar é um alvo de alto nível para criminosos. “Provavelmente existem muitos indivíduos e entidades, criminais, políticos, nacionais e estrangeiros, que se beneficiariam o suficiente deste compromisso de Aadhaar para fazer o investimento na criação do patch valer a pena.

“Para ter alguma esperança de proteger Aadhaar, o projeto do sistema teria que ser radicalmente alterado," ele adicionou

O Huffington Post afirma ter fornecido acesso ao patch para o Centro Nacional de Proteção de Infraestrutura de Informações Críticas (NCIIPC), o órgão governamental responsável por supervisionar a segurança de Aadhaar. No entanto, a agência ainda não divulgou suas conclusões. A UIDAI ainda não se pronunciou sobre o relatório, nem respondeu às perguntas da publicação.