E os smartcards da Gemalto? | CRYPTOID
Edward Snowden está de volta com mais revelações sobre as operações
Durante o carnaval bombou na midia que a NSA hackeou a Gemalto e teve acesso às chaves usadas para proteção dos SIM Cards. Como você pode ver aqui.
O que não apareceu na midia é que a Gemalto é um dos grandes produtores de smartcards no mundo. Boa parte dos cartões usados pelas AC da ICP-Brasil são produzidos pela Gemalto. Então não é hora de questionarmos se esse hack não criou algum tipo de problema nos cartões que nós usamos?
Como funcionam os smartcards?
Descrevendo um pouco melhor o funcionamento de cartões inteligentes, podemos enxergá-los como computadores completos. Basicamente dividem-se em 2 grupos: cartões nativos, e os programáveis.
Os nativos já saem de fabrica com um unico "programa implantado". Enquanto isso nos programáveis podemos rodar qualquer aplicação. Um bom exemplo são os Javacards que rodam pequenos programas chamados applets. Assim, você pode desenvolver seu próprio aplicativo e colocar dentro do cartão.
Alguns recursos como os geradores de numeros aletatórios e geradores de chaves já são nativos dos cartões e seu aplicativo fará uso deles.
Uma hack como esse dentro de um fabricante de cartões cria uma "superfície de exposição" enorme, oferecendo muitas oportunidades para que nossos processos criptográficos sejam sabotados.
Que perguntas ainda não respondemos?
Será que os componentes utilizados para geração de numeros aleatórios (fundamentais na geração de chaves criptográficas de qualidade) não estão comprometidas?
Como isso pode impactar as nossas empresas e os nossos processos de Governo?
Seria, enfim, a hora de investirmos no desenvolvimento de soluções genuinamente brasileiras?
Precisamos aceitar que os riscos de utilizar as "caixas pretas gringas" estão cada vez mais evidentes e não podemos fechar os olhos pra eles.