PDF417 आईडी सत्यापन भेद्यता अनुसंधान

अवलोकन

इस रिपॉजिटरी में व्यापक सुरक्षा अनुसंधान है जो सरकारी आईडी, उद्यम समाधानों और उपभोक्ता अनुप्रयोगों को प्रभावित करने वाले AAMVA-मानक PDF417 बारकोड सत्यापन प्रणालियों में महत्वपूर्ण कमजोरियों का दस्तावेजीकरण करता है। अनुसंधान में एक पूर्णतः कार्यशील प्रूफ ऑफ कॉन्सेप्ट (PoC) शामिल है जो आईडी सत्यापन प्रणालियों द्वारा ड्राइवर लाइसेंस बारकोड प्रसंस्करण में प्रणालीगत दोषों को प्रदर्शित करता है।

महत्वपूर्ण: यह कोड केवल सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किया गया है। अनुमत उपयोग के लिए LICENSE.md फ़ाइल देखें।

अनुसंधान नैतिकता वक्तव्य

यह अनुसंधान निम्नलिखित के अनुपालन में किया गया:

• समन्वित भेद्यता प्रकटीकरण सिद्धांत
• 120+ दिवसीय विक्रेता सूचना अवधि (मानक 90 दिनों से अधिक)
• केवल सिंथेटिक डेटा (कोई वास्तविक व्यक्तिगत जानकारी नहीं)
• शैक्षिक/रक्षात्मक सुरक्षा उद्देश्य
• ISO/IEC 29147 भेद्यता प्रकटीकरण मानक
• MITRE CVE कार्यक्रम और CISA VDP के माध्यम से जिम्मेदार प्रकटीकरण

संबंधित CVE

यह अनुसंधान आवंटित भेद्यताओं को प्रदर्शित करता है:

• CVE-2025-31337 - IDScan.net सत्यापन दोष
• CVE-2025-31336 - TokenWorks सत्यापन भेद्यता

प्रकाशन स्थिति

• प्रकाशन तिथि: 1 जुलाई, 2025
• CVE स्थिति: प्रकाशित (CISA मामला बंद होने के बावजूद)
• VINCE मामला: VU#396042 (CISA द्वारा "भेद्यता नहीं" के रूप में बंद)
• प्रकटीकरण अवधि: 120+ दिन पूर्ण
• MITRE CVE सूची:
  • CVE-2025-31337
  • CVE-2025-31336

CVSS v3.1 जोखिम आकलन

आधार स्कोर: 10.0 (गंभीर)
वेक्टर: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

विवरण:

• हमला वेक्टर: डिजिटल API के माध्यम से नेटवर्क-शोषणीय
• हमला जटिलता: निम्न (न्यूनतम प्रयास आवश्यक)
• आवश्यक विशेषाधिकार: कोई नहीं (अप्रमाणित)
• उपयोगकर्ता सहभागिता: कोई आवश्यक नहीं
• दायरा: परिवर्तित (आश्रित आईडी सत्यापन प्रणालियों को प्रभावित करता है)
• गोपनीयता प्रभाव: उच्च (अनधिकृत डेटा पहुंच सक्षम करता है)
• अखंडता प्रभाव: उच्च (पूर्ण सत्यापन बाईपास)
• उपलब्धता प्रभाव: कोई नहीं (कोई प्रत्यक्ष उपलब्धता प्रभाव नहीं)

शोषण उदाहरण:```rust // Temporal validation bypass demonstration let license = CaliforniaLicense::builder() .birth_date("06201500") // Year 1500 - Medieval era .validate(); // Returns OK in affected systems

## समन्वय इतिहास और विक्रेता प्रतिक्रिया सारांश

### प्रकटीकरण समयरेखा
- **22 मार्च, 2025**: MITRE को प्रारंभिक CVE अनुरोध प्रस्तुत किया गया
- **25 मार्च, 2025**: IDScan.net प्रूफ-ऑफ-कॉन्सेप्ट प्रस्तुतिकरण और स्वीकृति
- **28 मार्च, 2025**: TokenWorks द्वारा भेद्यता स्वीकृति प्राप्त हुई
- **3 अप्रैल, 2025**: CISA VINCE मामला VU#396042 आधिकारिक रूप से खोला गया
- **9-16 अप्रैल, 2025**: प्रभावित विक्रेताओं के साथ व्यापक तकनीकी चर्चाएँ
- **18 जून, 2025**: CISA मामला बंद करने का निर्णय ("समझा गया जोखिम" के रूप में खारिज)
- **1 जुलाई, 2025**: विस्तारित समन्वय अवधि के बाद सार्वजनिक प्रकटीकरण

### विक्रेता प्रतिक्रियाएँ और तकनीकी असहमतियाँ

#### IDScan.net (Joshua Sheetz, CISO/VP Engineering)
**प्रारंभिक प्रतिक्रिया**: *"इसकी जांच करने के बाद, ऐसा लगता है कि आप केवल बारकोड डेटा को स्पूफ कर रहे हैं। यह एक सामान्य मानक है।"*

**तकनीकी स्थिति**:
- दावा किया कि उनका पार्सर "सिर्फ डेटा पढ़ता है" और सत्यापन के लिए जिम्मेदार नहीं है
- तर्क दिया कि असंभव मान (524 वर्ष पुराने व्यक्ति) "पार्सर" में स्वीकार्य हैं
- कार्यान्वयन-विशिष्ट भेद्यताओं को AAMVA मानक सीमाओं के रूप में खारिज किया
- "सैकड़ों एल्गोरिथम सुरक्षा जाँचों" के बारे में अपने स्वयं के विपणन दावों का खंडन किया

**विपणन बनाम वास्तविकता अंतर**:
- VeriScan वेबसाइट "फर्जी आईडी पहचान / आईडी प्रमाणीकरण" का वादा करती है
- "फर्जी आईडी पकड़ने" और "सुरक्षा जाँच" करने का दावा करती है
- तकनीकी विश्लेषण से प्रारूप अनुपालन से परे न्यूनतम सत्यापन का पता चला

#### TokenWorks प्रतिक्रिया
- इस मुद्दे को "DMV कार्यान्वयन समस्या" के रूप में स्वीकार किया
- क्रिप्टोग्राफिक सत्यापन के लिए विक्रेता की जिम्मेदारी को कम किया
- कोई सुधार समयसीमा प्रदान नहीं की गई

#### CISA निर्णय (18 जून, 2025)
**अंतिम निर्धारण**: *"CISA ने निर्णय लिया है कि यह कोई भेद्यता नहीं है क्योंकि यह AAMVA DL मानक में एक समझा गया जोखिम है।"*

**CISA की स्थिति का तकनीकी विश्लेषण**:
यह निर्णय मानक सीमाओं को कार्यान्वयन-विशिष्ट भेद्यताओं के साथ मिलाने जैसा प्रतीत होता है। शोध ने अलग-अलग तकनीकी मुद्दों का दस्तावेजीकरण किया:

1. **बहु-स्तरीय भेद्यता वर्गीकरण**:
    - **स्तर 1**: AAMVA मानक क्रिप्टोग्राफिक कमियाँ (स्वीकृत)
    - **स्तर 2**: कार्यान्वयन-विशिष्ट सत्यापन विफलताएँ (CISA द्वारा खारिज)
    - **स्तर 3**: विपणन दावे बनाम वास्तविक सुरक्षा क्षमताएँ (संबोधित नहीं)

2. **कार्यान्वयन-विशिष्ट मुद्दे दस्तावेजीकृत**:
    - **CWE-20 (अनुचित इनपुट सत्यापन)**: शारीरिक रूप से असंभव मान स्वीकार करना
    - **CWE-345 (डेटा प्रामाणिकता का अपर्याप्त सत्यापन)**: कोई क्रिप्टोग्राफिक जाँच नहीं
    - **CWE-770 (बिना सीमा के संसाधनों का आवंटन)**: कोई दर सीमित नहीं
    - **CWE-841 (व्यवहारिक कार्यप्रवाह का अनुचित प्रवर्तन)**: कोई पैटर्न पहचान नहीं

## प्रूफ ऑफ कॉन्सेप्ट सत्यापन प्रमाण

### मिसौरी ShowMeID सरकारी एप्लिकेशन बाईपास
![ShowMeID सत्यापन बाईपास](https://assets.kitploit.com/production/public/readmes/23984/099f240df9f0f1d9343e14ec21b05866dc6c69658b84d15d99def82b996ddeeb.png) Missouri ShowMeID बाईपास प्रमाण```shell
gpg --verify signatures/show_me_id/img.png.asc scan_proof/show_me_id/img.png

प्रभाव: मिसौरी के आधिकारिक सरकारी पहचान पत्र सत्यापन एप्लिकेशन का पूर्ण बाईपास, जो राज्य-स्तरीय पहचान सत्यापन प्रणालियों में प्रणालीगत कमजोरियों को प्रदर्शित करता है।

VeriScan Enterprise सत्यापन बाईपास

कैलिफोर्निया लाइसेंस सत्यापन विफलताएँ

```shell gpg --verify signatures/veriscan/california/andrew_before.png.asc scan_proof/veriscan/california/andrew_before.png gpg --verify signatures/veriscan/california/andrew_after.png.asc scan_proof/veriscan/california/andrew_after.png

#### एरिज़ोना लाइसेंस सत्यापन बाइपास
![एरिज़ोना कोल](https://assets.kitploit.com/production/public/readmes/23984/7e8f9a29f041679502b2f819dbbde3f2d2ab975146f1e8f6d67251e79f7e4b9a.png)
![एरिज़ोना कोल बाइपास](https://assets.kitploit.com/production/public/readmes/23984/59da26c90029d839f7a86474479cbb885c5b741ef97433afed022fa92094f22a.png)
![एरिज़ोना सर्वसम्मत](https://assets.kitploit.com/production/public/readmes/23984/038205c2bf9bdff107263a7ea60258fb28a1da6eefce45e3822435159675e840.png)
![एरिज़ोना सर्वसम्मत बाइपास](https://assets.kitploit.com/production/public/readmes/23984/afd56310fbeca17a0c79884bb857468a6fc7126b3dd5d8dcd1ae1e02d68c5c80.png)```shell
gpg --verify signatures/veriscan/arizona/unanimous.png.asc scan_proof/veriscan/arizona/unanimous.png
gpg --verify signatures/veriscan/arizona/unanimous_1.png.asc scan_proof/veriscan/arizona/unanimous_1.png

फ्लोरिडा लाइसेंस सत्यापन विफलता

```shell gpg --verify signatures/veriscan/florida/wendy_synthesized.png.asc scan_proof/veriscan/florida/wendy_synthesized.png

#### जॉर्जिया लाइसेंस सत्यापन बाईपास
![जॉर्जिया रियल](https://assets.kitploit.com/production/public/readmes/23984/dd80e2e66632a4e816e8d3cc4d7d30f8c008357cf0e8fc0caa3ef99f04f5c1a6.png)
![जॉर्जिया हायर मी बाईपास](https://assets.kitploit.com/production/public/readmes/23984/bfe63066cf544c85fe871a4d9dbfd824094c65e56d191655bf6b424a3a2d04a5.png)```bash
# Verify Georgia bypass evidence
gpg --verify signatures/veriscan/georgia/hire_me_2.png.asc scan_proof/veriscan/georgia/hire_me_2.png

न्यू जर्सी लाइसेंस सत्यापन विफलता