Een goedkope patch voor de enrollment-software van het Indiase overheidssysteem Aadhaar maakt het mogelijk om de veiligheidseisen van de software te verlagen om zo makkelijker identiteiten binnen het systeem aan te maken. De patch circuleert op WhatsApp.
De Indiase editie van HuffPost meldt dat dit de bevindingen zijn van een eigen onderzoek dat drie maanden in beslag nam. De krant heeft verschillende beveiligingsonderzoekers geraadpleegd en die bevestigen de bevindingen. De patch is voor een bedrag van 2500 roepies, omgerekend ongeveer 30 euro, in een groot aantal WhatsApp-groepen te verkrijgen.
De patch is bedoeld voor de enrollment software van het zogenaamde Aadhaar-systeem. Die software wordt gebruikt om een twaalfcijferig nummer te genereren in het overheidssysteem. Daaraan kunnen vervolgens weer andere gegevens gekoppeld worden, zoals vingerafdrukken en irisscans. HuffPost meldt dat door de eenvoudige verkrijgbaarheid van de patch de integriteit van de gegevens in de Aadhaar-database in gevaar komt.
Met de patch zou het voor 'iedereen op de wereld' mogelijk zijn om Aadhaar-nummers te genereren. De site schrijft: "Dit heeft significante gevolgen voor de nationale veiligheid, vooral nu de Indiase overheid heeft geprobeerd om Aadhaar-nummers de gouden standaard te maken voor de identificatie van burgers en ze verplicht te stellen voor het gebruik van een mobiele telefoon of het toegang verkrijgen tot een bankrekening."
HuffPost legt uit dat de overheid in 2010 besloot om het aanmelden van mensen in het Aadhaar-systeem uit te besteden aan private partijen, zodat dit sneller zou verlopen. Die partijen kregen de beschikking over de zogenaamde Enrolment Client Multi-Platform-software, die ze op hun computers moesten installeren. Het aanmelden kon ook worden gedaan door 'village-level computer kiosks', die tot februari van dit jaar goed waren voor een totaal van 180 miljoen aanmeldingen. In diezelfde maand besloot de overheid alleen nog banken en overheidsinstellingen Aadhaar-aanmeldingen te laten uitvoeren, vanwege zorgen over corruptie. Daardoor verloren veel mensen werk en ontstonden er WhatsApp-groepen om de software alsnog te kunnen gebruiken.
Een van de ondervraagde beveiligingsexperts zegt tegen de site dat het veiliger was geweest om een web-based systeem te bouwen. Dat idee werd echter verworpen doordat grote delen van India slecht internet hadden. De software is wel voorzien van veiligheidsmaatregelen. Zo moet een computer eerst aangemeld worden voordat deze gebruikt kon worden voor enrollment, moet de beheerder een irisscan of vingerafdruk ter verificatie afgeven en moet de computer verbonden zijn met een gps-module om de locatie te bepalen.
De patch maakt het volgens HuffPost mogelijk om deze maatregelen te omzeilen. Zo is de biometrische authenticatie uit te schakelen, net als de controle op een aanwezige gps-module. Daarnaast worden de eisen voor een irisscan verlaagd, waardoor de software eenvoudiger voor de gek te houden is met bijvoorbeeld een foto. De installatie van de patch zou niet moeilijk zijn, de site spreekt van 'knippen en plakken van bestanden'. Een van de ondervraagde experts zegt tegen de site dat het aanmaken van Aadhaar-nummers bijvoorbeeld kan leiden tot fraude met rantsoenen, die per persoon worden toebedeeld.
De Aadhaar-gegevens zijn in beheer bij de zogenaamde Unique Identification Authority of India, oftewel Uidai. Een registratie in het systeem fungeert als identiteitsbewijs, maar niet als bewijs van burgerschap. Het systeem is omstreden, onder meer door twijfels over de beveiliging en haalbaarheid van de doelstellingen, zoals het elimineren van dubbele en valse identiteiten, en snelle en eenvoudige verificatie. Het eerste nummer werd in 2010 afgegeven en inmiddels zijn er in totaal ongeveer 1,2 miljard nummers afgegeven op ruim 1,3 miljard inwoners van India. Indiase overheidsinstanties zouden tot nu toe niet gereageerd hebben op vragen van HuffPost.
De Uidai heeft op Twitter wel gereageerd op de publicatie van het artikel en noemt de claims 'volledig incorrect en onverantwoordelijk'.
:strip_exif()/i/1303128799.gif?f=fpa)
/i/2002309683.png?f=fpa)
/i/1386053492.png?f=fpa)
:strip_exif()/i/1201638628.gif?f=fpa)
:strip_icc():strip_exif()/u/86796/ancientdragon60.jpg?f=community){kind=small}
:strip_exif()/u/341057/minibeevatar.gif?f=community){kind=small}
:strip_exif()/u/574726/crop563740846555c_cropped.gif?f=community){kind=small}
/u/322701/crop6152f078d4887_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/16567/my_avatar2.jpg?f=community){kind=avatar}
:strip_icc():strip_exif()/u/345834/crop659102bd4439a_cropped.jpg?f=community){kind=small}
