بحث ثغرات التحقق من صحة معرف PDF417

نظرة عامة

يحتوي هذا المستودع على بحث أمني شامل يوثق ثغرات حرجة في أنظمة التحقق من صحة الباركود PDF417 بمعيار AAMVA التي تؤثر على المعرفات الحكومية وحلول المؤسسات والتطبيقات الاستهلاكية. يتضمن البحث دليلاً عملياً كاملاً على المفهوم (PoC) يوضح عيوباً منهجية في كيفية معالجة أنظمة التحقق من الهوية لباركود رخص القيادة.

هام: هذا الكود مُقدم لأغراض البحث الأمني فقط. راجع ملف LICENSE.md للاستخدام المسموح به.

بيان أخلاقيات البحث

تم إجراء هذا البحث وفقاً لما يلي:

• مبادئ الإفصاح المنسق عن الثغرات
• فترة إخطار البائع تزيد عن 120 يوماً (تجاوزت 90 يوماً القياسية)
• بيانات اصطناعية فقط (لا توجد معلومات شخصية حقيقية)
• أغراض أمنية تعليمية/دفاعية
• معايير الإفصاح عن الثغرات ISO/IEC 29147
• الإفصاح المسؤول عبر برنامج MITRE CVE و CISA VDP

CVEs ذات الصلة

يوضح هذا البحث ثغرات تم تعيينها:

• CVE-2025-31337 - عيب في التحقق من IDScan.net
• CVE-2025-31336 - ثغرة في التحقق من TokenWorks

حالة النشر

• تاريخ النشر: 1 يوليو 2025
• حالة CVE: منشورة (على الرغم من إغلاق قضية CISA)
• قضية VINCE: VU#396042 (أغلقتها CISA على أنها "ليست ثغرة")
• فترة الإفصاح: اكتملت 120+ يوماً
• قائمة MITRE CVE:
  • CVE-2025-31337
  • CVE-2025-31336

تقييم المخاطر CVSS v3.1

الدرجة الأساسية: 10.0 (حرجة)
المتجه: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

التفصيل:

• متجه الهجوم: قابل للاستغلال عبر الشبكة من خلال واجهات برمجة التطبيقات الرقمية
• تعقيد الهجوم: منخفض (جهد ضئيل مطلوب)
• الصلاحيات المطلوبة: لا شيء (غير مصادق)
• تفاعل المستخدم: لا شيء مطلوب
• النطاق: متغير (يؤثر على أنظمة التحقق من الهوية التابعة)
• تأثير السرية: عالي (يتيح الوصول غير المصرح به للبيانات)
• تأثير التكامل: عالي (تجاوز كامل للتحقق)
• تأثير التوفر: لا شيء (لا تأثير مباشر على التوفر)

مثال على الاستغلال:```rust // Temporal validation bypass demonstration let license = CaliforniaLicense::builder() .birth_date("06201500") // Year 1500 - Medieval era .validate(); // Returns OK in affected systems

## تاريخ التنسيق وملخص استجابة البائع

### الجدول الزمني للإفصاح
- **22 مارس 2025**: تقديم طلب CVE الأولي إلى MITRE
- **25 مارس 2025**: تقديم إثبات المفهوم والاعتراف به من IDScan.net
- **28 مارس 2025**: استلام الاعتراف بثغرة TokenWorks
- **3 أبريل 2025**: فتح قضية CISA VINCE VU#396042 رسميًا
- **9-16 أبريل 2025**: مناقشات تقنية مكثفة مع البائعين المتأثرين
- **18 يونيو 2025**: قرار إغلاق قضية CISA (تم رفضها كـ "خطر مفهوم")
- **1 يوليو 2025**: الإفصاح العام بعد فترة تنسيق ممتدة

### استجابات البائعين والخلافات الفنية

#### IDScan.net (Joshua Sheetz, CISO/VP Engineering)
**الرد الأولي**: *"بعد التحقيق في هذا الأمر، يبدو أنك تقوم فقط بتزوير بيانات الباركود. هذا معيار شائع."*

**الموقف التقني**:
- ادعى أن المحلل الخاص بهم "يقرأ البيانات فقط" وليس مسؤولاً عن التحقق من الصحة
- جادل بأن القيم المستحيلة (أفراد عمرهم 524 عامًا) مقبولة في "محلل"
- رفض نقاط الضعف الخاصة بالتطبيق كقيود لمعيار AAMVA
- ناقض ادعاءاتهم التسويقية حول "المئات من عمليات التحقق الأمنية الخوارزمية"

**الفجوة بين التسويق والواقع**:
- يعد موقع VeriScan الإلكتروني بـ "كشف الهويات المزيفة / التحقق من الهوية"
- يدعي أنه "يمسك بالهويات المزيفة" ويقوم بـ "فحوصات أمنية"
- كشف التحليل الفني عن الحد الأدنى من التحقق من الصحة بخلاف التوافق مع التنسيق

#### استجابة TokenWorks
- اعترف بالمشكلة على أنها "مشكلة تنفيذ من إدارة المركبات"
- قلل من مسؤولية البائع عن التحقق التشفيري
- لم يتم تقديم جدول زمني للمعالجة

#### قرار CISA (18 يونيو 2025)
**القرار النهائي**: *"قررت CISA أن هذا ليس ثغرة أمنية بل هو خطر مفهوم في معيار رخصة القيادة AAMVA."*

**التحليل الفني لموقف CISA**:
يبدو أن هذا القرار يخلط بين قيود المعيار والثغرات الخاصة بالتطبيق. وثق البحث مشكلات تقنية متميزة:

1. **تصنيف الثغرات متعدد الطبقات**:
    - **الطبقة 1**: القصور التشفيري لمعيار AAMVA (مُعترف به)
    - **الطبقة 2**: فشل التحقق الخاص بالتطبيق (مرفوض من قبل CISA)
    - **الطبقة 3**: الادعاءات التسويقية مقابل القدرات الأمنية الفعلية (لم يتم معالجتها)

2. **المشكلات الخاصة بالتطبيق الموثقة**:
    - **CWE-20 (التحقق غير الصحيح من المدخلات)**: قبول قيم مستحيلة فيزيولوجيًا
    - **CWE-345 (التحقق غير الكافي من أصالة البيانات)**: لا توجد فحوصات تشفيرية
    - **CWE-770 (تخصيص الموارد دون حدود)**: لا يوجد تحديد لمعدل الاستخدام
    - **CWE-841 (الإنفاذ غير السليم لسير العمل السلوكي)**: لا يوجد اكتشاف للأنماط

## أدلة التحقق من صحة المفهوم

### تجاوز تطبيق Missouri ShowMeID الحكومي
![تجاوز التحقق من ShowMeID](https://assets.kitploit.com/production/public/readmes/23984/099f240df9f0f1d9343e14ec21b05866dc6c69658b84d15d99def82b996ddeeb.png) دليل تجاوز Missouri ShowMeID```shell
gpg --verify signatures/show_me_id/img.png.asc scan_proof/show_me_id/img.png

التأثير: تجاوز كامل لتطبيق التحقق من الهوية الرسمي لولاية ميسوري، مما يكشف عن ثغرات نظامية في أنظمة التحقق من الهوية على مستوى الولايات.

تجاوزات التحقق من صحة VeriScan Enterprise

فشل التحقق من رخصة كاليفورنيا

```shell gpg --verify signatures/veriscan/california/andrew_before.png.asc scan_proof/veriscan/california/andrew_before.png gpg --verify signatures/veriscan/california/andrew_after.png.asc scan_proof/veriscan/california/andrew_after.png

#### تجاوزات التحقق من رخصة أريزونا
![أريزونا كول](https://assets.kitploit.com/production/public/readmes/23984/7e8f9a29f041679502b2f819dbbde3f2d2ab975146f1e8f6d67251e79f7e4b9a.png)
![تجاوز أريزونا كول](https://assets.kitploit.com/production/public/readmes/23984/59da26c90029d839f7a86474479cbb885c5b741ef97433afed022fa92094f22a.png)
![أريزونا بالإجماع](https://assets.kitploit.com/production/public/readmes/23984/038205c2bf9bdff107263a7ea60258fb28a1da6eefce45e3822435159675e840.png)
![تجاوز أريزونا بالإجماع](https://assets.kitploit.com/production/public/readmes/23984/afd56310fbeca17a0c79884bb857468a6fc7126b3dd5d8dcd1ae1e02d68c5c80.png)```shell
gpg --verify signatures/veriscan/arizona/unanimous.png.asc scan_proof/veriscan/arizona/unanimous.png
gpg --verify signatures/veriscan/arizona/unanimous_1.png.asc scan_proof/veriscan/arizona/unanimous_1.png

فشل التحقق من ترخيص فلوريدا

```shell gpg --verify signatures/veriscan/florida/wendy_synthesized.png.asc scan_proof/veriscan/florida/wendy_synthesized.png

#### تجاوز التحقق من رخصة جورجيا
![جورجيا حقيقي](https://assets.kitploit.com/production/public/readmes/23984/dd80e2e66632a4e816e8d3cc4d7d30f8c008357cf0e8fc0caa3ef99f04f5c1a6.png)
![تجاوز وظفني في جورجيا](https://assets.kitploit.com/production/public/readmes/23984/bfe63066cf544c85fe871a4d9dbfd824094c65e56d191655bf6b424a3a2d04a5.png)```bash
# Verify Georgia bypass evidence
gpg --verify signatures/veriscan/georgia/hire_me_2.png.asc scan_proof/veriscan/georgia/hire_me_2.png

فشل التحقق من صحة رخصة نيوجيرسي