Falla critica nell’eID belga: un sito malevolo poteva arrivare fino al computer della vittima

Il componente coinvolto nell’autenticazione con carta d’identità

La Connective signing extension collega il browser al software locale necessario per usare la carta d’identità elettronica belga sui portali pubblici e bancari.

Il flusso richiede quattro elementi:

• una carta d’identità elettronica;
• un lettore di smart card USB;
• il software host installato sul computer;
• l’estensione Connective per il browser.

Nel 2021 Nitro Software Belgium dichiarava l’adozione della tecnologia presso oltre 60 agenzie e dipartimenti governativi, otto delle dieci maggiori banche belghe e più di 1.000 aziende. L’estensione supera inoltre i 2 milioni di utenti sul Chrome Web Store, dove ha una valutazione media di 1,7 su 5, basata su 542 recensioni.

Un token generico sostituiva l’identità del sito

La vulnerabilità nasceva dal modo in cui l’estensione verificava il sito autorizzato a comunicare con il software host.

Invece di trasmettere a quest’ultimo l’indirizzo del portale effettivamente visitato, l’estensione utilizzava un token generico di “attivazione”. Il valore poteva essere recuperato anche da altri siti che integravano Connective.

I ricercatori, tra cui James Arnott, fondatore di Bay Area Labs, hanno dimostrato che un token copiato da una piattaforma belga di amministrazione digitale poteva essere riutilizzato. Un sito malevolo poteva così presentarsi come un’integrazione legittima e interagire con il sistema eID della vittima.

La falla è stata divulgata di recente alla DEF CON 34. I problemi risultavano corretti il 22 luglio.

Dati personali, pagamenti e codice eseguibile a rischio

Un attacco riuscito avrebbe potuto consentire il furto dei dati presenti sulla carta e delle informazioni identificative dell’utente. L’aggressore avrebbe inoltre potuto compromettere l’identità digitale della vittima o dirottare le sue carte di pagamento.

L’impatto più grave riguardava però l’esecuzione di codice sul computer locale, anche da remoto. In pratica, una pagina web ostile avrebbe potuto sfruttare il collegamento con il software host per raggiungere risorse normalmente accessibili soltanto ai servizi governativi o bancari autorizzati.

Sono quindi esposti gli utenti che impiegano l’autenticazione eID presso portali pubblici, banche e altri servizi compatibili con Connective.

Non risultano assegnati un punteggio CVSS o identificativi CVE.

Cosa devono fare utenti e organizzazioni

Le vulnerabilità risultavano corrette il 22 luglio, ma non sono state rese note le versioni coinvolte, i numeri delle release corrette o una procedura tecnica dettagliata per l’aggiornamento.

La misura verificabile consiste nell’utilizzare una versione aggiornata della Connective signing extension e del relativo software host, contenente la correzione, evitando installazioni precedenti. Organizzazioni e amministratori dovrebbero verificare anche le installazioni distribuite sui computer degli utenti.

Non sono stati indicati specifici indicatori di compromissione né ulteriori workaround. Nitro Software Belgium non aveva fornito un commento immediato alla richiesta di Dark Reading.