[ALERTE] Le passeport sanitaire hacked

Le 28 octobre 2021 à 14:39:19 :
Quelqu'un peut m'expliquer par MP le principe du coup svp ? Les conséquences d'une telle révélation et une vulgarisation de la façon de générer un "faux" qr code ? Pour que je comprenne le principe hein, pas dans un but d'inciter à le faire bien sûr. C'est juste que c'est vachement technique et j'aimerais bien comprendre les enjeux

Il faut refaire un systeme de pass sanitaire et bloqué tout ceux qui ont été réalisé après la date du hacking

Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Le 28 octobre 2021 à 14:46:55 :
si quelqu'un choppe la private key envoyez-la moi je sais comment m'en servir (à but éducatif bien évidemment)

C'est pas le deux key postées ici ?

https://github.com/ehn-dcc-development/hcert-spec/issues/103

(lien github les modos no ban)

Le 28 octobre 2021 à 14:44:56 SaucentDeter2 a écrit :

Le 28 octobre 2021 à 14:42:59 :

Le 28 octobre 2021 à 14:42:14 SaucentDeter2 a écrit :
En vérifiant le pass sur TACverif il est VALIDE (donc le hacker a bien réussi son coup) mais il a été signalé comme frauduleux (par des golems collabos )

Mais ceci dit j'imagine la scène
Voir les flics qui arrivent
Présenter ton pass Hitler
Les flics qui te regardent médusés
Toi qui sort un "schnell schnell, j'ai connu vos grands parents, ils faisaient comme vous"

comment ça signalé comme frauduleux ? tu vois ça sur tac verif ?

oui, tu vois la date de naissance, nom et prénom etc la base quoi, et que le pass est valide (donc pas expiré ou quoi genre un test) MAIS c'est entouré en rouge avec écrit "attention, ce pass a été signalé comme frauduleux"

bizarre je ne vois pas cette mention de frauduleux avec TAC verif...

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Chaque chose en son temps. Rome ne n’est pas faite en un jour.

Le 28 octobre 2021 à 14:48:04 :

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Chaque chose en son temps. Rome ne n’est pas faite en un jour.

fournir juste une photo avec le pass ça prend 3 secondes hein

Le 28 octobre 2021 à 14:47:44 :

Le 28 octobre 2021 à 14:46:55 :
si quelqu'un choppe la private key envoyez-la moi je sais comment m'en servir (à but éducatif bien évidemment)

C'est pas le deux key postées ici ?

https://github.com/ehn-dcc-development/hcert-spec/issues/103

(lien github les modos no ban)

merci je vais faire des tests

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Parce que ça enfreint le secret médical et que seul des personnes ayant l'autorité de l'état peuvent vérifier l'identité

Le 28 octobre 2021 à 14:47:44 :

Le 28 octobre 2021 à 14:46:55 :
si quelqu'un choppe la private key envoyez-la moi je sais comment m'en servir (à but éducatif bien évidemment)

C'est pas le deux key postées ici ?

https://github.com/ehn-dcc-development/hcert-spec/issues/103

(lien github les modos no ban)

C'est le clés publiques ça kheyou

Le 28 octobre 2021 à 14:50:49 :

Le 28 octobre 2021 à 14:47:44 :

Le 28 octobre 2021 à 14:46:55 :
si quelqu'un choppe la private key envoyez-la moi je sais comment m'en servir (à but éducatif bien évidemment)

C'est pas le deux key postées ici ?

https://github.com/ehn-dcc-development/hcert-spec/issues/103

(lien github les modos no ban)

C'est le clés publiques ça kheyou

Le 28 octobre 2021 à 14:48:37 :

Le 28 octobre 2021 à 14:48:04 :

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Chaque chose en son temps. Rome ne n’est pas faite en un jour.

fournir juste une photo avec le pass ça prend 3 secondes hein

probablement en premier lieu une raison de praticité et faisabilité
Je pense qu'on y viendra mais regarde comme tout a été mis en speed, macron qui déclare ça obligatoire alors que matériellement y'a pas assez de doses, ni de centres, des files d'attentes de plusieurs semaines..

maintenant imagine devoir lier ça avec une photo...et tu fais comment ? tu prends une photo sur place ? regarde la merde pour les cartes d'identité déjà
et pour les tests ?

bref, pas envisageable

Le 28 octobre 2021 à 14:51:15 :

Le 28 octobre 2021 à 14:48:37 :

Le 28 octobre 2021 à 14:48:04 :

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Chaque chose en son temps. Rome ne n’est pas faite en un jour.

fournir juste une photo avec le pass ça prend 3 secondes hein

probablement en premier lieu une raison de praticité et faisabilité
Je pense qu'on y viendra mais regarde comme tout a été mis en speed, macron qui déclare ça obligatoire alors que matériellement y'a pas assez de doses, ni de centres, des files d'attentes de plusieurs semaines..

maintenant imagine devoir lier ça avec une photo...et tu fais comment ? tu prends une photo sur place ? regarde la merde pour les cartes d'identité déjà
et pour les tests ?

bref, pas envisageable

T inquiète pas que quand il s agit de soumettre et contraindre ils peuvent tout envisager !

Le 28 octobre 2021 à 14:39:19 :
Quelqu'un peut m'expliquer par MP le principe du coup svp ? Les conséquences d'une telle révélation et une vulgarisation de la façon de générer un "faux" qr code ? Pour que je comprenne le principe hein, pas dans un but d'inciter à le faire bien sûr. C'est juste que c'est vachement technique et j'aimerais bien comprendre les enjeux

C'est assez simple à comprendre, chaque QR code comprend:

[1] Tes informations personnelles + vaccination
[2] Une signature de [1] créée à partir d'une clef de chiffrement privée (normalement connue uniquement de chaque pays)

Avec une clef publique (dérivée de la clef privée), les applications comme TousAntiCovid peuvent vérifier que les informations dans le passe sanitaires ont bien été chiffrées avec la clef privée (en vérifiant la signature), et par conséquent vérifier leur authenticité (sans passer par internet). Je ne vais pas rentrer dans les détails de la vérification, c'est extrêmement complexe. Il faut juste retenir que:

- Clef privée (chiffrement - secret que seul les états possèdent, en théorie) ==> Clef publique (vérification d'authenticité - disponible à tous - associée à une seule clef privée).
- Clef privée + données de vaccinations ==> Signature
- Donnée de vaccinations + Signature ==> Passe sanitaire (QR code)
- Passe sanitaire (QR code) + clef publique ==> Pass valide / Pass invalide

Maintenant, il faut savoir que n'importe quelle personne possédant la clef privée est en mesure de créer un pass sanitaire valide. Vu que les "hackers" vont mettre ces clefs à disposition, n'importe qui pourra fabriquer des "faux" pass sanitaires valides.

Il y a un moyen simple pour les états à remédier à ça:

- Création de nouvelles clefs privées et clefs publiques associées.
- Création / envoi de nouveaux pass sanitaires pour tous les pass sanitaires existants (on va bien rigoler aves tous les pass papiers).
- Mise à jour des applications du style TousAntiCovid avec les nouvelles clefs publiques.

A partir du moment ou les clefs publiques sont redistribuées, les pass sanitaires créés à partir des anciennes (piratées) clefs privées sont considérés invalidates.

Le 28 octobre 2021 à 14:52:43 :

Le 28 octobre 2021 à 14:51:15 :

Le 28 octobre 2021 à 14:48:37 :

Le 28 octobre 2021 à 14:48:04 :

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

Chaque chose en son temps. Rome ne n’est pas faite en un jour.

fournir juste une photo avec le pass ça prend 3 secondes hein

probablement en premier lieu une raison de praticité et faisabilité
Je pense qu'on y viendra mais regarde comme tout a été mis en speed, macron qui déclare ça obligatoire alors que matériellement y'a pas assez de doses, ni de centres, des files d'attentes de plusieurs semaines..

maintenant imagine devoir lier ça avec une photo...et tu fais comment ? tu prends une photo sur place ? regarde la merde pour les cartes d'identité déjà
et pour les tests ?

bref, pas envisageable

T inquiète pas que quand il s agit de soumettre et contraindre ils peuvent tout envisager !

oui, envisager, et même commencer de mettre en place, je sais bien, je suis pas dupe
Je dis juste que vu les délais et calendriers, c'était impossible de lier au départ avec photo ou quoi

Maintenant, c'est très probable que ça finisse par arriver

Le 28 octobre 2021 à 14:47:05 :
Franchement quelqu'un peut m'expliquer pourquoi le pass n'est pas lié à la carte d'identité ? ou bien même fournir une photo sur le QR code ?

ça paraît si simple de frauder et de prendre le pass de quelqu'un d'autre

PS : je ne suis pas vax

C'est là où on va - et à mon avis, cette "fuite" arrive à point nommé pour mettre en place des systèmes beaucoup plus difficiles à éviter (et éventuellement mettre en place la pupuce). C'est un false flag comme assez souvent.

Les héros qui ont réussi ce coup

Enfin des actions concrètes