Forschung zu Schwachstellen in der PDF417-ID-Validierung

Übersicht

Dieses Repository enthält umfassende Sicherheitsforschung, die kritische Schwachstellen in AAMVA-konformen PDF417-Barcode-Validierungssystemen dokumentiert, die behördliche Ausweise, Unternehmenslösungen und Verbraucheranwendungen betreffen. Die Forschung enthält einen voll funktionsfähigen Proof of Concept (PoC), der systemische Fehler in der Verarbeitung von Führerschein-Barcodes durch ID-Verifikationssysteme demonstriert.

WICHTIG: Dieser Code wird ausschließlich zu Sicherheitsforschungszwecken bereitgestellt. Die zulässige Nutzung entnehmen Sie bitte der Datei LICENSE.md.

Erklärung zur Forschungsetik

Diese Forschung wurde unter Einhaltung folgender Grundsätze durchgeführt:

Grundsätze der koordinierten Offenlegung von Schwachstellen
120+ Tage Benachrichtigungsfrist für Anbieter (über die üblichen 90 Tage hinaus)
Ausschließlich synthetische Daten (keine echten personenbezogenen Informationen)
Bildungs- und defensive Sicherheitszwecke
ISO/IEC 29147 Standards zur Offenlegung von Schwachstellen
Verantwortungsvolle Offenlegung über das MITRE CVE-Programm und das CISA VDP

Verwandte CVEs

Diese Forschung demonstriert die folgenden zugewiesenen Schwachstellen:

CVE-2025-31337 - Validierungsfehler in IDScan.net

## Koordinationsverlauf und Zusammenfassung der Anbieterantworten ### Offenlegungszeitplan - **22. März 2025**: Erster CVE-Antrag bei MITRE eingereicht - **25. März 2025**: Einreichung und Bestätigung des Proof-of-Concept durch IDScan.net - **28. März 2025**: Bestätigung der Schwachstelle durch TokenWorks erhalten - **3. April 2025**: CISA VINCE-Fall VU#396042 offiziell eröffnet - **9.–16. April 2025**: Umfangreiche technische Diskussionen mit betroffenen Anbietern - **18. Juni 2025**: CISA-Entscheidung zur Fallschließung (als „verstandenes Risiko“ abgewiesen) - **1. Juli 2025**: Öffentliche Offenlegung nach verlängerter Koordinationsphase ### Anbieterreaktionen und technische Meinungsverschiedenheiten #### IDScan.net (Joshua Sheetz, CISO/VP Engineering) **Erste Antwort**: *„Nach Untersuchung dieser Angelegenheit sieht es so aus, als ob Sie lediglich die Barcode-Daten fälschen. Dies ist ein gängiger Standard.“* **Technische Position**: - Behaupteten, ihr Parser „liest nur Daten“ und sei nicht für die Validierung verantwortlich - Argumentierten, dass unmögliche Werte (524 Jahre alte Personen) in einem „Parser“ akzeptabel seien - Wiesen implementierungsspezifische Schwachstellen als Einschränkungen des AAMVA-Standards zurück - Widersprachen ihren eigenen Marketingbehauptungen über „Hunderte von algorithmischen Sicherheitsprüfungen“ **Kluft zwischen Marketing und Realität**: - Die VeriScan-Website verspricht „Fake-ID-Erkennung / ID-Authentifizierung“ - Behauptet, „gefälschte Ausweise zu erkennen“ und „Sicherheitsprüfungen“ durchzuführen - Technische Analyse ergab minimale Validierung über die Formatkonformität hinaus #### TokenWorks-Antwort - Erkannten das Problem als „DMV-Implementierungsproblem“ an - Spielten die Verantwortung des Anbieters für die kryptografische Validierung herunter - Kein Zeitplan für Abhilfemaßnahmen angegeben #### CISA-Entscheidung (18. Juni 2025) **Endgültige Entscheidung**: *„CISA hat entschieden, dass es sich nicht um eine Schwachstelle handelt, da es sich um ein verstandenes Risiko im AAMVA DL-Standard handelt.“* **Technische Analyse der CISA-Position**: Diese Entscheidung scheint Standardeinschränkungen mit implementierungsspezifischen Schwachstellen zu vermengen. Die Forschung dokumentierte unterschiedliche technische Probleme: 1. **Mehrschichtige Schwachstellenklassifizierung**: - **Schicht 1**: Kryptografische Mängel des AAMVA-Standards (anerkannt) - **Schicht 2**: Implementierungsspezifische Validierungsfehler (von CISA abgewiesen) - **Schicht 3**: Marketingbehauptungen vs. tatsächliche Sicherheitsfähigkeiten (nicht behandelt) 2. **Dokumentierte implementierungsspezifische Probleme**: - **CWE-20 (Unzureichende Eingabevalidierung)**: Akzeptieren physiologisch unmöglicher Werte - **CWE-345 (Unzureichende Überprüfung der Datenauthentizität)**: Keine kryptografischen Prüfungen - **CWE-770 (Zuweisung von Ressourcen ohne Grenzen)**: Keine Ratenbegrenzung - **CWE-841 (Unzureichende Durchsetzung des Verhaltensworkflows)**: Keine Mustererkennung ## Proof-of-Concept-Validierungsnachweise ### Umgehung der Missouri ShowMeID-Regierungsanwendung ![ShowMeID-Validierungsumgehung](https://assets.kitploit.com/production/public/readmes/23984/099f240df9f0f1d9343e14ec21b05866dc6c69658b84d15d99def82b996ddeeb.png) Nachweis der Umgehung von Missouri ShowMeID```shell gpg --verify signatures/show_me_id/img.png.asc scan_proof/show_me_id/img.png

## Technische Beweise und Stellungnahmen der Anbieter ### Dokumentierte Schwachstellen #### 1. Umgehung der zeitlichen Validierung **Ergebnis**: VeriScan akzeptiert Geburtsdaten aus dem Mittelalter (z. B. Jahr 1500) **Antwort des Anbieters**: *"Wo zieht man die Grenze, besonders bei einem reinen Parser"* **Technische Erwiderung**: Die menschlichen physiologischen Grenzen liefern klare Validierungsgrenzen (max. ~122 Jahre) #### 2. Fehler bei der Mustererkennung **Ergebnis**: Dieselbe Lizenznummer wird wiederholt mit unterschiedlichen Namen akzeptiert **Antwort des Anbieters**: *"Wir wüssten nicht, ob der erste oder der zweite Scan echt war"* **Technische Erwiderung**: Die Mustererkennung kennzeichnet verdächtiges Verhalten, unabhängig davon, welcher Scan authentisch ist #### 3. Diskrepanz bei Marketingaussagen **Ergebnis**: Das Produkt wird mit dem Versprechen von "Sicherheitschecks" und "Fälschungserkennung" vermarktet **Antwort des Anbieters**: *"Wenn Sie nur unser Parsing-Tool verwenden... sind Sie auf die verfügbaren Funktionen beschränkt"* **Technische Erwiderung**: Das Marketingmaterial behauptet explizit Validierungsfähigkeiten #### 4. Auswirkungen auf gewerbliche Führerscheine **Ergebnis**: Die Umgehung des LKW-Führerscheins (CDL) stellt ein Risiko für die öffentliche Sicherheit dar **Antwort des Anbieters**: Nicht spezifisch adressiert **Technische Auswirkung**: Potenzial zur Fälschung von Gefahrgut-/Transportberechtigungen ## CVE-2025-31337: Validierungsfehler bei IDScan.net ### Betroffene Produkte - **VeriScan** Enterprise-Validierungsplattform - **VSCloud Enterprise** Cloud-basierte Verifizierung - **Mobile Verifizierungsanwendungen** mit IDScan-APIs ### Details zur Schwachstelle **Zentrale technische Probleme**: 1. **Fehler bei der zeitlichen Validierung**: - Akzeptiert physiologisch unmögliche Geburtsdaten (z. B. Jahr 1500) - Keine Obergrenzenvalidierung für Altersberechnungen - Zukünftige Ausstellungs-/Ablaufdaten bestehen die Validierung 2. **Reine Header-Prüfung**: - Validiert die AAMVA-Formatkonformität statt der Inhaltsauthentizität - Fehlende Prüfung kryptografischer Signaturen - Statische Feldvalidierung ohne logische Konsistenzprüfungen 3. **Statische IIN-Akzeptanz**: - Keine Echtzeit-Überprüfung gegen Ausstellerdatenbanken - Akzeptiert gültige staatliche IINs (z. B. 636014=CA) mit synthetischen Daten - Fehlende Verifizierung gegen autoritative DMV-Datensätze ## CVE-2025-31336: TokenWorks ID-Validierungsschwachstelle ### Betroffene Produkte - **IDentiFake Plus** Verifizierungsterminal - **AgeVisor Serie** Altersverifikationsgeräte - **IDVisor Sentry** Sicherheitsscanner-Systeme - **Alle aktuellen Versionen** der Produktlinie ### Details zur Schwachstelle **Grundursache**: Eine unsachgemäße Validierung der zeitlichen Datenfelder und Subfile-Marker des PDF417-Barcodes ermöglicht die vollständige Generierung synthetischer IDs, die die TokenWorks-Validierungssysteme umgehen. **Technische Angriffsvektoren**: 1. **Manipulation des Geburtsdatumsfeldes**: - Das System akzeptiert Daten von 1400-2025 ohne Validierung - Keine Prüfung physiologischer Grenzen implementiert - Mittelalterliche Daten (z. B. 1400er) werden als legitim akzeptiert 2. **Subfile-Offset-Fälschung**: - Gefälschte ZC/ZF/ZG-landesspezifische Marker werden akzeptiert - Berechnete Offsets umgehen die Formatvalidierung - Fehlende Kreuzvalidierung gegen bekannte Muster ## Systemische Schwachstellen in den AAMVA-ID-Standards ### Ursachenanalyse Die Schwachstellen beruhen auf grundlegenden Lücken im **AAMVA DL/ID-2020 Standard**: **Kritische Standarddefizite**: - **Keine kryptografischen Validierungsanforderungen**: Fehlende Spezifikationen für digitale Signaturen - **Unzureichende Prüfung zeitlicher Bereiche**: Abschnitt 4.3.2 enthält keine Jahresvalidierungsanforderungen - **Formatkonformität priorisiert vor Datenauthentizität**: Korrektheit des Parsings wird höher bewertet als Inhaltsverifizierung ### Matrix der betroffenen Systeme | Systemtyp | Beispiele | Auswirkungsstufe | Validierungsumgehung | |----------------------|-------------------------------|------------------|----------------------| | Staatliche ID-Apps | Missouri ShowMeID v3.0.14 | **Kritisch** | Vollständig | | Unternehmensscanner | TokenWorks IDentiFake Plus | **Hoch** | Zeitlich/Muster | | Verbrauchertools | Scannr iOS v4.2.1+ | **Hoch** | Formatbasiert | | KYC-Plattformen | IDScan.net VSCloud | **Kritisch** | Authentifizierung | ## Repository-Struktur```shell ./ ├── Cargo.lock ├── Cargo.toml # Rust project configuration ├── generated_pdf417.png # Example output barcode ├── LICENSE.md # Security Research License ├── README.md # This comprehensive documentation ├── scan_proof/ # Validation evidence and screenshots │ ├── show_me_id/ # Missouri ShowMeID bypass evidence │ │ └── img.png │ └── veriscan/ # VeriScan validation bypasses │ ├── arizona/ # Arizona license validation tests │ │ ├── cole_after.png │ │ ├── cole_before.png │ │ ├── unanimous_1.png │ │ └── unanimous.png │ ├── california/ # California license validation tests │ │ ├── andrew_before.png │ │ ├── andrew_after.png │ │ └── joe_biden.png │ ├── florida/ # Florida license validation tests │ │ ├── before.png │ │ └── wendy_synthesized.png │ ├── georgia/ # Georgia license validation tests │ │ ├── hire_me_2.png │ │ └── lucas_real.png │ ├── new_jersey/ # New Jersey license validation tests │ │ ├── ana_real.png │ │ └── wendy_synthesized.png │ ├── south_carolina/ # South Carolina license validation tests │ │ ├── jason_real.png │ │ └── slander.png │ └── texas/ # Texas license validation tests │ └── slander.png ├── signatures/ # PGP signatures for all evidence │ ├── show_me_id/ │ │ └── img.png.asc │ └── veriscan/ │ ├── arizona/ │ │ ├── unanimous_1.png.asc │ │ └── unanimous.png.asc │ ├── california/ │ │ └── joe_biden.png.asc │ ├── florida/ │ │ └── wendy_synthesized.png.asc │ ├── georgia/ │ │ └── hire_me_2.png.asc │ ├── new_jersey/ │ │ └── wendy_synthesized.png.asc │ └── south_carolina/ │ └── slander.png.asc ├── vince_coordination/ # CISA VINCE case documentation │ └── VU396042_thread.pdf # Complete coordination thread ├── scripts/ │ └── barcode_reader.sh # Barcode validation utility └── src/ # Proof of Concept implementation ├── main.rs # Interactive demonstration program ├── states/ # State-specific implementations │ ├── california_cdl.rs # California Commercial Driver's License │ ├── california.rs # California standard license │ ├── florida.rs # Florida license implementation │ ├── georgia.rs # Georgia license implementation │ ├── illinois.rs # Illinois license implementation │ ├── mod.rs # States module │ ├── new_jersey.rs # New Jersey license implementation │ ├── south_carolina.rs # South Carolina license implementation │ └── texas.rs # Texas license implementation └── utils/ # Core functionality ├── decoding/ # PDF417 barcode decoding │ ├── base64_to_str.rs │ ├── decode.rs │ ├── errors.rs │ ├── mod.rs │ └── tests.rs └── encoding/ # PDF417 barcode generation ├── encode.rs └── mod.rs

**PGP-Fingerabdruck**: `2EFA A479 1439 CF35 47A9 6680 1ECC 2986 AF90 3402` ## Forschungsmethodik und Ethik ### Verantwortungsbewusster Offenlegungsansatz Trotz Ablehnung durch die Hersteller und Schließung des CISA-Falls hält diese Forschung an den Grundsätzen der verantwortungsvollen Offenlegung fest: 1. **Verlängerter Koordinationszeitraum**: 120+ Tage (über den üblichen 90-Tage-Zeitraum hinaus) 2. **Nur synthetische Daten**: Alle Demonstrationen verwenden klar gekennzeichnete Forschungsdaten 3. **Anbieterengagement**: Umfangreiche technische Diskussionen und Lösungsvorschläge 4. **Fokus auf öffentliche Sicherheit**: Betonung defensiver Verbesserungen statt Ausnutzung ### Technische Validierungsstandards Alle Erkenntnisse wurden validiert anhand: - **NIST SP 800-63B** Richtlinien zur Identitätsüberprüfung - **NIST Cybersecurity Framework v1.1** Sicherheitskontrollen - **CWE/SANS Top 25** Schwachstellenklassifikationen - **ISO/IEC 29147** Offenlegungsstandards ## Referenzen und Standards ### Technische Standards und Richtlinien - [AAMVA DL/ID Card Design Standard](https://www.aamva.org/dl-id-standards/) – Offizielle AAMVA-Implementierungsspezifikationen - [NIST SP 800-63B Identity Verification Guidelines](https://pages.nist.gov/800-63-3/sp800-63b.html) – Bundesrichtlinien zur Identitätsüberprüfung - [NIST Cybersecurity Framework v1.1](https://www.nist.gov/cyberframework) – Leitfaden zur Cybersicherheitsimplementierung - [CWE/SANS Top 25 Most Dangerous Software Errors](https://cwe.mitre.org/top25/) – Rahmenwerk zur Schwachstellenklassifikation - [ISO/IEC 29147 Vulnerability Disclosure](https://www.iso.org/standard/45170.html) – Internationale Offenlegungsstandards ### Koordinations- und Publikationsreferenzen - [MITRE CVE Program](https://cve.mitre.org/) – Schwachstellenkoordination und -veröffentlichung - [CISA Vulnerability Disclosure Policy](https://www.cisa.gov/vulnerability-disclosure-policy) – Bundeskoordinierungsrahmen ## Einschränkungen und ethische Überlegungen ### Technische Einschränkungen 1. **Fehlen physischer Sicherheitsmerkmale**: Generierte Barcodes weisen keine physischen Sicherheitsmerkmale auf (Hologramme, RFID, spezielle Tinten) 2. **Anforderungen an die Rechtskonformität**: Alle Demonstrationen verwenden synthetische Daten mit Wasserzeichen „NUR ZU FORSCHUNGSZWECKEN“ 3. **Koordinationsprobleme**: Widerstand der Industrie gegen die Behebung implementierungsspezifischer Schwachstellen 4. **Lücken im Regulierungsrahmen**: Begrenzte existierende Rahmenwerke zur Behandlung systemischer Validierungssicherheitsprobleme ### Ethische Forschungsgrenzen 1. **Ausschließliche Verwendung synthetischer Daten**: In keiner Demonstration wurden echte persönliche Daten verwendet 2. **Fokus auf Bildungszwecke**: Forschung zur Verbesserung defensiver Sicherheitsfähigkeiten 3. **Einhaltung verantwortungsvoller Offenlegung**: Verlängerte Koordinationszeiträume und kollaboratives Anbieterengagement 4. **Priorität der öffentlichen Sicherheit**: Betonung schützender Verbesserungen statt Ermöglichung von Ausnutzung ## Zukünftige Forschungsrichtungen ### Erforderliche technische Verbesserungen 1. **Kryptografische Validierung**: Implementierung von digitaler Signaturverifikation 2. **Verhaltensanalyse**: Mustererkennung für verdächtiges Scanverhalten 3. **Datenbankintegration**: Echtzeitabgleich mit ausstellenden Behörden 4. **Multi-Faktor-Validierung**: Kombination physischer und digitaler Verifikationsmethoden ### Verbesserungen bei Richtlinien und Koordination 1. **Schwachstellenklassifikation**: Bessere Rahmenwerke für Standard- vs. Implementierungsprobleme 2. **Verantwortung der Industrie**: Klarere Verantwortungsmodelle für Sicherheitsbehauptungen 3. **Integration der öffentlichen Sicherheit**: Verbesserte Berücksichtigung realer Auswirkungen 4. **Internationale Koordination**: Grenzüberschreitende Identitätsüberprüfungsstandards ## Verantwortungsvolle Offenlegung und öffentliches Interesse Diese Forschung wird nach umfangreichen Koordinationsbemühungen im öffentlichen Interesse veröffentlicht. Entscheidungsfaktoren für die Veröffentlichung: 1. **Verlängertes Koordinationsengagement**: 120+ Tage gutgläubigen Anbieter- und Regulierungsengagements 2. **Risikobewertung der öffentlichen Sicherheit**: Fälschungsmöglichkeiten kommerzieller Lizenzen stellen erhebliche Transport-Sicherheitsrisiken dar 3. **Validierung des technischen Wertes**: Dokumentierte implementierungsspezifische Schwachstellen, die Branchenaufmerksamkeit erfordern 4. **Bereitstellung von Bildungswert**: Forschung verbessert Sicherheitsbewusstsein und Entwicklung defensiver Fähigkeiten ### Laufendes Anbieterengagement Trotz Meinungsverschiedenheiten in der Koordination bleibt der Forscher verfügbar für: - Unterstützung bei technischen Implementierungsverbesserungen - Unterstützung und Zusammenarbeit bei AAMVA-Standardverbesserungen - Entwicklung defensiver Sicherheitsmaßnahmen - Bereitstellung zusätzlicher technischer Analysen nach Bedarf ## Kontakt und Koordination ### Kontaktinformationen für die Forschung - **Primäre E-Mail**: [email protected] (PGP-Verschlüsselung bevorzugt) - **GitHub-Profil**: [github.com/coleleavitt](https://github.com/coleleavitt) - **LinkedIn**: [linkedin.com/in/coleleavitt](https://linkedin.com/in/coleleavitt) ### Laufende Koordinationskanäle - **MITRE CVE Program**: [email protected] - **CISA Vulnerability Disclosure**: [email protected] - **VINCE-Fallreferenz**: VU#396042 (geschlossen, aber Dokumentation verfügbar) ## Lizenz und rechtlicher Rahmen Diese Forschung wird unter einer umfassenden Security Research License bereitgestellt. Siehe [LICENSE.md](https://github.com/coleleavitt/aamva-pdf417-vulnerability-research/blob/PoC/LICENSE.md) für vollständige Geschäftsbedingungen. **Forschungsziel**: Diese Forschung wurde mit dem Ziel durchgeführt, die Sicherheit im gesamten Ökosystem der Identitätsüberprüfung zu verbessern. Obwohl die Koordinationsbemühungen erhebliche Herausforderungen mit sich brachten, bleiben die technischen Erkenntnisse gültig und erfordern Branchenaufmerksamkeit, um die öffentliche Sicherheit und nationale Sicherheitsinteressen zu schützen. **Rechtskonformität**: Alle Forschungsaktivitäten entsprechen den geltenden Gesetzen, einschließlich des Computer Fraud and Abuse Act (CFAA), des Digital Millennium Copyright Act (DMCA) sowie relevanter bundesstaatlicher und nationaler Ausweisvorschriften. Es wurden keine echten persönlichen Daten verwendet, und alle Demonstrationen verwenden klar gekennzeichnete synthetische Forschungsdaten. **Hinweis**: Diese Forschung wurde mit dem Ziel durchgeführt, die Sicherheit im gesamten Ökosystem der Identitätsüberprüfung zu verbessern. Obwohl die Koordinationsbemühungen auf Hindernisse stießen, bleiben die technischen Erkenntnisse gültig und erfordern Branchenaufmerksamkeit, um die öffentliche Sicherheit und nationale Sicherheitsinteressen zu schützen.

AAMVA-PDF417-Vulnerability-Research

Beliebteste

Forschung zu Schwachstellen in der PDF417-ID-Validierung

Übersicht

Erklärung zur Forschungsetik

Verwandte CVEs

Veröffentlichungsstatus

CVSS v3.1 Risikobewertung

Umgehungen der VeriScan Enterprise Validierung

Fehler bei der Validierung von kalifornischen Führerscheinen

Fehler bei der Validierung des Florida-Führerscheins

Fehler bei der Zulassungsvalidierung in New Jersey

Texas Lizenzvalidierungsfehler

Zentrale Sicherheitslücken

1. Format-only Validierungsansatz

2. Fehlende Datenbank-Referenzprüfung

3. Schwachstelle durch Header/Offset-Manipulation

4. Fehler bei der Validierung zeitlicher Logik

5. Sicherheitslücken bei gewerblichen Führerscheinen

Analyse der Implementierung in verschiedenen Bundesstaaten

Kalifornien (california.rs, california_cdl.rs)

Florida nicht verfügbar (florida.rs)

Georgia (georgia.rs)

Illinois nicht verfügbar (illinois.rs)

New Jersey (new_jersey.rs)

South Carolina (south_carolina.rs)

Texas (texas.rs)

Implementierungshinweis: Veränderbare Werte

Technische Implementierungsbeispiele

Erstellen synthetischer Testausweise

Installation und Verwendung

Voraussetzungen

Installation```bash

Clone the repository

Build the project

Run the interactive demonstration

AAMVA Standardreferenzimplementierung

Codes für physische Merkmale

Ausstelleridentifikationsnummern (IINs) der Bundesstaaten

Wichtige Forschungsergebnisse

Überprüfung und Authentizität

GPG-Signaturüberprüfung```bash

Import researcher's public key

Verify research archive integrity

Verify individual proof images (examples)

Kalifornien (`california.rs`, `california_cdl.rs`)

Florida nicht verfügbar (`florida.rs`)

Georgia (`georgia.rs`)

Illinois nicht verfügbar (`illinois.rs`)

New Jersey (`new_jersey.rs`)

South Carolina (`south_carolina.rs`)

Texas (`texas.rs`)