La UE investiga la filtración de claves para falsificar pasaportes covid: hasta Bob Esponja tiene el suyo para viajar libremente

Se ha filtrado la clave privada utilizada para firmar los certificados Covid Digital de la UE (también conocidos como Pasaporte Covid) y que esta está circulando por aplicaciones de mensajería como Telegram y por mercados online de violación de datos. Como consecuencia, la clave se ha usado para falsificar certificados y desde la Unión Europea han afirmado estar investigando este problema de seguridad.

En julio de este año entró en vigor el Reglamento sobre el certificado COVID digital de la Unión Europea. Es un pase, en forma de QR, que nos permite a la ciudadanía viajar de un país a otro (e incluso, en algunos países, entrar en restaurantes o teatros). Con ese documento digital, se puede mostrar que la persona que lo posee ha sido vacunada contra la COVID-19 o que se ha realizado una prueba cuyo resultado ha sido negativo o que se ha recuperado de la enfermedad recientemente.

En Genbeta

Así puedes comprobar que tu Certificado Covid funciona correctamente antes de que te pueda dar un error

Pues bien, parece ser que es mucho más fácil de lo que parece tener un QR de estos que dan más libertad de movimiento, a causa de un problema de seguridad que se ha reportado. Tanto es así que, por ejemplo, hay un certificado falso de Adolf Hitler que está siendo reconocido como válido por las aplicaciones oficiales de Verifica C19, según ha podido comprobar reversebrain, experto en la materia como indica en su perfil de GitHub. También Mickey Mouse, Bob Esponja y otros personajes ficticios, tienen su propio pasaporte Covid que las aplicaciones oficiales reconocen como válido aún hoy mismo.

I think that private keys used to sign EU Digital COVID Certificate, at least in Italy, have been leaked in some ways

1/3

— reversebrain (@reversebrain) October 26, 2021

El problema no es que Bob Esponja tenga un Pasaporte Covid para viajar, sino el hecho de que esto demostraría que cualquiera podría falsificar certificados COVID válidos desde el punto de vista criptográfico, lo que pone en tela de juicio la autenticidad de los certificados legítimos emitidos por organismos gubernamentales de la UE.

La Unión Europea dice estar investigando el caso

Hay foros clandestinos donde se han publicado claves privadas, como se está reportando, y también discutiendo métodos para hacer el Certificado Digital de la UE. Incluso, en esos foros, hay personas que ofrecen a otras generarles pasaportes digitales a cambio de un pago de 300 dólares.

Según los datos del código QR vistos por BleepingComputer, los certificados falsos que circulan por Internet han sido emitidos por diferentes países: Francia, Alemania, Italia, Países Bajos, Macedonia del Norte, Polonia, etc., lo que indica que el problema podría afectar a toda la Unión Europea. Esta misma publicación ha hablado con representantes de Bruselas y han confirmado lo que está sucediendo.

Según un portavoz del Equipo de Respuesta para Emergencias Informáticas (CERT), "somos conscientes de las presuntas manipulaciones fraudulentas del código QR del Certificado Covid de la UE" y ha afirmado que están en "contacto con las autoridades pertinentes de los Estados miembros que están investigando y poniendo en marcha acciones correctivas".