Сквозные хитрости

Два года назад блоггер по имени Джонатан Корбетт опубликовал видео на YouTube в котором попытался показать уязвимость сканеров тела, установленных в зонах досмотра в аэропортах. Эксперимент Корбетта показал, что при определенных условиях, возможно пронести на теле небольшие металлические предметы, которые не будут заметны на черном фоне. Службы безопасности отреагировали на этот выпад скептически и даже попытались закрыть доступ к видео, дабы не провоцировать злоумышленников.

Тем не менее выпада блоггера хватило для того, чтобы команда исследователей всерьез озаботилась вопросом реальной пользы ростового сканера и поиском брешей в безопасности служб досмотра. Исследователи составили тревожный список трюков, с помощью которых можно обмануть рентген. Среди них — использование тефлоновой ленты на одежде, которая может скрыть оружие, инсталляция вредоносного ПО на консоль сканера, имитация частей тела из пластиковой взрывчатки и многое другое.

Сканеры, работающие с использованием рентгеновских лучей, сегодня установлены на подавляющем большинстве пунктов досмотра по всему миру.

«Эти машины были созданы по пути наименьшего сопротивления, по-видимому, без рассмотрения нештатных ситуаций,» — говорит Джозеф Хальдерман, который вместе с другими исследователями провел серьезные исследования принципов досмотра. «Они могут остановить только тривиальные атаки. Но тот, кто применит немного сообразительности, сможет обойти их. И если бы злоумышленники имели доступ к машине, чтобы проверить свои атаки, они бы получили возможность перевозить контрабанду абсолютно незамеченными».

Команда университетских исследователей проводили испытания на реальной системе Secure 1000 Rapiscan, которую они приобрели на eBay. Они пытались провести различные виды оружия через этот сканер и нашли несколько способов это сделать. Так, примотанный к ноге пистолет и складной нож, покрытые сверху тефлоновой лентой, были практически незаметны на рентгенограмме.

Что еще более тревожно, исследователи смогли обвести прибор вокруг пальца, налепив 200 грамм взрывчатки на тело, придав ей естественные очертания туловища.

Взывчатка на теле и детонатор, спрятанный в пупке, был незаметен на рентгенограмме. Приглашенный специалист, работник службы безопасности аэропорта также не смог идентифицировать пластиковую взрывчатку на теле испытуемого.

Исследователям удалось замаскировать и другие виды оружия, впрочем, они не стали делиться наблюдениями с общественностью, опасаясь непредвиденных последствий.

В дополнение к своим физическим атакам, исследователи также экспериментировали с цифровыми атаками. Так, к примеру, предустановленное вредоносное ПО может реагировать на скрытый QR-код на теле злоумышленника, заменяя результаты сканирования на другие. Подобное проникновение возможно при определенных условиях, например, если компьютер подключен к интернету или локальной сети.

Исследователи предоставили результаты в соответствующие органы, но пока не получили никакой реакции. Единственный ответ, которого удалось добиться у производителя сканеров, звучит так: «Технология проходит через строгий процесс сертификации и экспертной оценки. Она гарантирует полную безопасность и соответствует современным требованиям».

Исследователи говорят, что предотвращение потенциальных рисков требует постоянного совершенствования системы досмотра. Найденные бреши в безопасности легко свести на нет, введя дополнительное сканирование под углом 90 градусов.